-2–
erforderlich gelten jedenfalls die Cookies MC1, FPC, MSFPC,
MicrosoftApplicationsTelemetryDeviceId und ai-session.
Rechtsgrundlagen: Art. 2 Z 1, Art. 4 Z 7, Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1, Art. 28, Art. 51 Abs. 1, Art. 57
Abs. 1 lit. f, Art. 58 Abs. 2 sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-
Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie
24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; § 165 des
Bundesgesetzes, mit dem ein Telekommunikationsgesetz (Telekommunikationsgesetz 2021 – TKG
2021) erlassen wird, BGBl. I Nr. 190/2021 idgF.
B E G R Ü N D U N G
A. Vorbringen der Parteien und Verfahrensgang
A.0. Eine, mit dem gegenständlichen Verfahren zusammenhängende, Beschwerde, die eine
behauptete Verletzung im Recht auf Auskunft zum Gegenstand hat, wurde zeitgleich bei der
Datenschutzbehörde eingebracht und unter der GZ D135.027 geführt. Dieses Verfahren wurde mit
Bescheid vom 9. Oktober 2025, GZ 2025-0.477.534, D135.027 beendet.
A.1. Mit verfahrenseinleitender Eingabe vom 4. Juni 2024 und weiterer Stellungnahme vom 30. August
2024 behauptete die mj. Beschwerdeführerin (in Folge: BF) eine Verletzung von Art. 6 DSGVO
(Rechtmäßigkeit der Verarbeitung) im Zusammenhang mit der Installation von Tracking-Cookies und
nachfolgende Datenverarbeitung ohne Rechtsgrundlage, sowie weiters auch wegen einer Verletzung
von Art. 5 Abs. 1 lit. a DSGVO (Grundsatz von Rechtmäßigkeit sowie Treu und Glauben) und Art. 28
Abs. 3 DSGVO (Verarbeitung in Überschreitung der Auftragsverarbeitung).
Auf das Wesentliche zusammengefasst wurde vorgebracht, dass die BF Schülerin in einer Schule in
Österreich sei und in dieser Schule die Software des Unternehmens Microsoft mit dem Namen
„Microsoft 365 Education” zur Anwendung komme. Die BF habe einen mit Microsoft verbundenen
Schul-Account zugehöriger E-Mail-Adresse: . Während der
Verwendung ihres Microsoft-Schul-Accounts und der Erstellung eines Word- Dokuments in der Online-
Version (Browser-Version) von „Microsoft 365 Education” am 31. Juli 2023 seien, unter anderem,
mehrere, in der Beschwerde näher bezeichnete, Cookies auf dem Endgerät der BF installiert worden.
Für diese habe die BF keine Einwilligung abgegeben.
Die Beschwerde richte sich ausdrücklich gegen die BG und nicht gegen Microsoft Ireland Operations
Limited. Die BG sei jedenfalls Verantwortlicher für die beschwerdegegenständliche Verarbeitung
personenbezogener Daten. Den Stellungnahmen wurden zudem mehrere Beilagen, darunter
Nachweise zum Einsatz von Cookies, beigefügt.
-3–
A.2. Mit Stellungnahme vom 26. Juli 2024 bestritt die BG das Vorbringen der BF. Im Wesentlichen
wurde vorgebracht, dass Microsoft lediglich (Unter-)Auftragsverarbeiter sei.
A.3. Am 4. April 2025 fand zum Verfahren zur GZ 135.027 eine Einvernahme von Vertretern der BG in
den Räumlichkeiten der Datenschutzbehörde statt. Die Niederschrift der Einvernahme wurde in das
gegenständliche Verfahren eingebracht und ist allen Parteien bekannt.
A.4. Mit Stellungnahme vom 5. Juni 2025 verwies die nunmehr rechtsanwaltlich vertretene BG zunächst
auf die Einvernahme und die Stellungnahmen im Verfahren zur GZ 135.027 und brachte ergänzend
vor, dass wenn Microsoft als Auftragsverarbeiter Cookies für die Bereitstellung von Microsoft 365
Education einsetze, diese unbedingt erforderlich seien. Microsoft habe bestimmte Cookies so
konzipiert, dass sie sowohl für unbedingt notwendige als auch für nicht unbedingt notwendige Zwecke
verwendet werden können (Dual-Purpose-Cookies), z. B. MUID, MC1. Die internen Richtlinien von
Microsoft würden die Verwendung dieser Dual-Purpose-Cookies in Auftragsverarbeiterszenarien nur
gemäß den dokumentierten Anweisungen des für die Verarbeitung Verantwortlichen gestatten. Es finde
beim Produkt Microsoft 365 Education kein Tracking statt.
A.5. Mit Stellungnahme vom 7. Juli 2025 brachte die BF zusammengefasst vor, dass selbst bei Multi-
Purpose-Cookies eine Einwilligung einzuholen wäre, wenn einer der Zwecke einwilligungspflichtig sei.
Es sei zudem keine Auftragsverarbeitung in irgendeiner Form ersichtlich ist. Keine andere
gegenständlich in die Verwendung von Microsoft 365 Education involvierte Stelle habe überhaupt
Kenntnis von diesen Cookies gehabt.
B. Beschwerdegegenstand
B.1. Beschwerdegegenstand ist die Frage, ob die BG gegen die Rechtmäßigkeit der Verarbeitung
sowie den Grundsatz der Rechtmäßigkeit und Treu und Glauben verstoßen hat, indem sie ohne
Einwilligung personenbezogene Daten der BF im Zusammenhang mit dem Einsatz von Cookies beim
Produkt „Microsoft 365 Education“ verarbeitet hat.
Darüber hinaus ist Beschwerdegegenstand die Frage, ob die BG gegen Artikel 28 Abs. 3 lit. a DSGVO
verstoßen hat, indem sie personenbezogene Daten der BF in Überschreitung der Auftragsverarbeitung
verarbeitet hat.
B.2. Sofern von einer Rechtsverletzung auszugehen ist, ist die Erteilung eines Leistungsauftrags
gemäß Art. 58 Abs. 2 DSGVO zu prüfen.
C. Sachverhaltsfeststellungen
C.1. Das Bundesministerium für Bildung, Wissenschaft und Forschung stellt österreichischen (Bundes-
)Schulen mehrere Clouddienste durch private Clouddienste-Anbieter für den IT-gestützten Unterricht
zur Verfügung. Hierzu hat das Bundesministerium für Bildung, Wissenschaft und Forschung für die
-4–
Republik Österreich eine Rahmenvereinbarung, welcher Nutzungskonditionen beinhaltet u.a. mit der
europäischen Niederlassung der BG (Microsoft Ireland Operations Limited bzw. Microsoft Austria EDU)
abgeschlossen.
Beweiswürdigung C.1.: Die getroffenen Feststellungen ergeben sich aus den der Beschwerde vom 4.
Juni 2024 beigelegten Unterlagen. Die getroffenen Feststellungen sind unstrittig.
C.2. Die BF ist , welches für Unterrichtszwecke die Software
Microsoft 365 Education nutzt. Microsoft 365 Education umfasst mehrere verschiedene Microsoft-
Produkte und -Dienste, wie Microsoft Word, Microsoft Teams und Microsoft Sharepoint. Der BF wurde
in diesem Zusammenhang eine E-Mail-Adresse samt
Cloudspeicher zur Verfügung gestellt.
Beweiswürdigung C.2.: Die getroffenen Feststellungen ergeben sich unstrittig aus dem Akt,
insbesondere aus der Beschwerde vom 4. Juni 2024.
C.3. Mittels Cookies lassen sich Informationen sammeln, die von einer Website generiert und über den
Browser eines Internetnutzers gespeichert wurden. Es handelt sich um eine kleine Datei oder
Textinformation (in der Regel kleiner als ein Kbyte), die von einer Website über den Browser eines
Internetnutzers auf der Festplatte seines Computers oder mobilen Endgeräts platziert wird.
Ein Cookie erlaubt es der Website, sich an die Aktionen oder Vorlieben des Nutzers zu „erinnern“. Die
meisten Webbrowser unterstützen Cookies, aber die Nutzer können ihre Browser so einstellen, dass
sie die Cookies abweisen. Sie können die Cookies auch jederzeit löschen.
Websites nutzen Cookies, um Nutzer zu identifizieren, sich die Vorlieben ihrer Kunden zu merken und
es den Nutzern zu ermöglichen, Aufgaben abzuschließen, ohne Informationen neu eingeben zu
müssen, wenn sie zu einer anderen Seite wechseln oder die Website später erneut besuchen.
Cookies können auch genutzt werden, um anhand des Online-Verhaltens Informationen für gezielte
Werbung und Vermarktung zu sammeln. Unternehmen verwenden zum Beispiel Software, um das
Nutzerverhalten nachzuverfolgen und persönliche Profile zu erstellen, die es ermöglichen, den Nutzern
Werbung zu zeigen, die auf ihre zuvor durchgeführten Suchvorgänge zugeschnitten ist.
Beweiswürdigung C.3.: Die getroffenen Sachverhaltsfeststellungen zur grundsätzlichen
Funktionsweise von Cookies stammen aus den Schlussanträgen des Generalanwalts vom 21. März
2010, C-673/17, Rz 36 ff mwN. Da es sich um eine einzelfallunabhängige und allgemeine technische
Beschreibung zu den Funktionen von Cookies handelt, waren diese Ausführungen auf
Sachverhaltsebene – und nicht in der rechtlichen Beurteilung – aufzunehmen.
C.4. Im Rahmen der Nutzung von Microsoft 365 Education mit der E-Mail-Adresse der BF
wurden zumindest am 31. Juli 2023 Cookies gesetzt und
-6–
Funktionsweise der jeweiligen Cookies aus der Eingabe vom 4. Juni 2024 sind nachvollziehbar und
stimmen mit den amtswegigen Recherchen unter https://cookiedatabase.org/ sowie
https://cookiesearch.org/ überein. Zudem hat die BF ihre Darlegungen durch Verweise auf die
jeweiligen Erklärungen der BG bzw. des Microsoft-Konzerns untermauert. Demgegenüber haben die
BG diesem Vorbringen der BF nichts Substanzielles entgegengesetzt.
Die Sachverhaltsfeststellung, wonach keine Einwilligung für deren Einsatz vorliegt, ergibt sich aus dem
Vorbringen der BF, insbesondere der Beschwerde vom 4. Juni 2024 und den darin beigelegten
Unterlagen. Die BG hat dies im Laufe des Verfahrens auch nicht verneint oder etwa vorgebracht, dass
eine Einwilligung vorliegen würde.
Die Sachverhaltsfeststellung, nach der andere Akteure als die BG keine Möglichkeit zur Konfiguration
der Cookies zukommt, ergibt sich aus der Aussage des Vertreters der BG bei deren Einvernahme vom
4. April 2025 im Verfahren zur GZ D135.027 (Frage 18d) sowie den der Beschwerde der BF beigelegten
Nachweisen.
C.5. Das Bundesministerium für Bildung stellt unter
https://www.bmb.gv.at/Themen/schule/schulrecht/ds.html#08 (Datenschutzerklärung) u.a. folgende
Informationen zur Verfügung (Formatierung nicht 1:1 übernommen):
„[…] Rahmenbedingungen für den Einsatz privater Clouddienste im IT-gestützten Unterricht
IT-gestützter Unterricht ist seit langem in den meisten Bildungssystemen ein wesentliches Element. Wie auch in
IT-Anwendungsszenarien in anderen Gesellschaftsbereichen wird eine verstärkte Bedeutung von Clouddiensten
privater Anwender (etwa Apple, Google, Microsoft) festgestellt. Aufgrund der Größe des Benutzerkreises (1,2
Millionen Schülerinnen und Schüler, 120.000 Lehrerinnen und Lehrer an 6.000 Schulen) ist (derzeit) eine
Hostinglösung, die für diese Größe performant skaliert, in Rechenzentren der öffentlichen Hand nicht für jede
Verarbeitungstätigkeit (etwa Schülerinnen- und Schüler-Postfächer, Distance Learning-Tools) et cetera
realisierbar. Verlagerung der Server auf einzelne Schulstandorte beziehungsweise eine BYOD-Lösung am
schülereigenen Endgerät würden zu deutlich höheren IT-Sicherheitsrisiken als der Betrieb bei einem privaten
Clouddiensteanbieter führen […]“.
Auf der genannten Website wird auf das Dokument „Microsoft Cloud Dienste für österreichische
Schulen – FAQ“ (unter dem Link Datenschutzinformation) verwiesen. Darin werden u.a. folgende
Informationen zur Verfügung gestellt:
[…]
-7–
Das Dokument „Microsoft Cloud Dienste für österreichische Schulen – FAQ“ wird den
Sachverhaltsfeststellungen zugrunde gelegt.
Beweiswürdigung C.5.: Die getroffenen Feststellungen ergeben sich aus einer amtswegigen
Recherche unter https://www.bmb.gv.at/Themen/schule/schulrecht/ds.html#08. Aufgerufen wurde das
Dokument „Datenschutzinformation (PDF, 85 KB) (Mai 2022)“ unter dem Punkt Microsoft Office 365
(Zuletzt abgerufen am 6.11.2025).
-8–
C.6. Bei der BG handelt es sich um ein weltweit führendes Technologieunternehmen, das vor allem
durch sein Betriebssystem Windows bekannt wurde. Die BG ist insbesondere im Bereich der
Entwicklung und Bereitstellung von Softwarelösungen tätig, zu denen auch Microsoft Education 365 für
den Bildungsbereich gehört.
Der Microsoft-Konzern verfügt über mehrere Niederlassungen weltweit. Der Hauptsitz der BG befindet
sich in den USA. Microsoft Ireland Operations Limited ist eine Tochtergesellschaft der BG.
Vom Hauptsitz der BG werden grundsätzliche Entscheidungen getroffen, welche die Ausrichtung und
Tätigkeit der internationalen Niederlassungen maßgeblich beeinflussen. Die BG ist in die Einführung
neuer Produkte in Märkten wie dem EWR involviert.
Das Produkt Microsoft Education 365 wurde in den USA entwickelt. Auch die Weiterentwicklung findet
im Wesentlichen in den USA durch die BG statt. Die Unternehmensrichtlinien werden von der BG
vorgegeben.
Beweiswürdigung C.6.: Die getroffenen Feststellungen zur grundsätzlichen Tätigkeit der BG sowie zu
den Niederlassungen sind allgemein bekannt und unstrittig. Die getroffenen Feststellungen zum
Konzernverhältnis (Mutter- bzw. Tochtergesellschaft) ergeben sich aus der Einvernahme der BG vom
4. April 2025 im Verfahren zur GZ D135.027.
Die getroffenen Feststellungen, dass vom Hauptsitz der BG grundsätzliche Entscheidungen getroffen
werden und dass die BG in die Einführung neuer Produkte in Märkten wie dem EWR involviert ist,
ergeben sich aus mehreren Faktoren:
Aus Sicht der Datenschutzbehörde liegt es schon aufgrund der allgemeinen Lebenserfahrung nahe,
dass nicht andere kleinere Standorte des Microsoft-Konzerns, sondern die BG die grundsätzliche
Konzernstrategie festlegt und darüber entscheidet, inwiefern die Einführung von Produkten (wie
Microsoft 365 Education) innerhalb gewisser Märkte angestrebt wird. Dem festgestellten Einfluss der
BG auf die internationalen Standorte des Microsoft-Konzerns schadet es nicht, dass die näheren
Umstände der Einführung von Produkten innerhalb eines gewissen Markts den jeweiligen
Tochtergesellschaften (etwa Microsoft Ireland Operations Limited) überlassen werden. Für die
Schlussfolgerung der Datenschutzbehörde spricht auch der Umstand, dass es sich bei der BG um eine
beherrschende Muttergesellschaft handelt und ein derart großer Konzern eine zentrale Stelle benötigt,
welche maßgebliche Entscheidungen trifft und die Konzernstrategie festlegt.
Die getroffenen Feststellungen, dass Microsoft 365 Education in den USA entwickelt wurde und auch
die Weiterentwicklung von der BG erfolgt, ergeben sich aus der Einvernahme der BG vom 4. April 2025
im Verfahren zur GZ D135.027.
-9–
D. In rechtlicher Hinsicht folgt daraus:
Zur Rollenverteilung
D.1. Allgemeines zur Rollenverteilung
Zunächst ist die datenschutzrechtliche Rolle der jeweiligen BG zu bestimmen, da sich die in Kapitel III
DSGVO vorgesehenen Betroffenenrechte ausdrücklich nur an den Verantwortlichen gemäß Art. 4 Z 7
DSGVO richten.
Nach Art. 4 Z 7 DSGVO ist ein „Verantwortlicher“ die natürliche oder juristische Person, Behörde,
Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der
Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser
Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der
Verantwortliche bzw. können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder
dem Recht der Mitgliedstaaten vorgesehen werden.
Die Eigenschaft als Verantwortlicher kann sich gemäß Art. 4 Z 7 erster HS DSGVO daher daraus
ergeben, dass eine Stelle aus Eigeninteresse, also für eigene Zwecke, auf die Verarbeitung
personenbezogener Daten (faktisch) Einfluss nimmt und damit an der Entscheidung über die Zwecke
und Mittel dieser Verarbeitung mitwirkt (vgl. EuGH 10. Juli 2018, CǦ25/17 Rz 68).
Darüber hinaus kann sich die Eigenschaft als Verantwortlicher gemäß Art. 4 Z 7 zweiter Halbsatz
DSGVO auch daraus ergeben, dass eine nationale Regelung oder das Unionsrecht eine Stelle als
Verantwortlichen benennt und daraus der Umfang der Datenverarbeitung ausdrücklich oder implizit
hervorgeht (vgl. EuGH 27. Februar 2025, C-638/23 Rz 40).
Ausgehend von diesen Überlegungen ist für den gegenständlichen Fall Folgendes festzuhalten:
D.2. Rollenverteilung in der Sache
Rolle der BG
Wie festgestellt, werden bei der Verwendung von Microsoft Education 365 Daten für nicht näher
definierte „legitime Geschäftstätigkeiten“ verarbeitet, die den Microsoft-Konzern betreffen. In diesem
Zusammenhang werden u.a. interne Berichtserstattung und Geschäftsmodellierung, Bekämpfung von
Betrug, Cyberkriminalität oder Cyberangriffen sowie Verbesserung der Kernfunktionalität in Bezug auf
Barrierefreiheit, Datenschutz oder Energieeffizienz angeführt (vgl. Sachverhaltsfeststellung C.5.)
Ebenso wurde die Entscheidung getroffen, dass bei der Verwendung von Microsoft Education 365
Cookies mit unterschiedlichen Funktionalitäten gesetzt oder ausgelesen werden (vgl.
Sachverhaltsfeststellung C.4.).
- 10 –
Unbeschadet ihrer potentiellen Rolle als (Unter-)Auftragsverarbeiterin für die bloße Bereitstellung einer
technischen Lösung verarbeitet die BG jedenfalls im in Sachverhaltsfeststellung C.5. dargestellten
Umfang (interne Berichtserstattung und Geschäftsmodellierung, Bekämpfung von Betrug,
Cyberkriminalität oder Cyberangriffen sowie Verbesserung der Kernfunktionalität in Bezug auf
Barrierefreiheit, Datenschutz oder Energieeffizienz) personenbezogene Daten zu eigenen Zwecken.
Diese verfolgten Zwecke sind schon inhärent im Interesse der BG und erfolgt die Datenverarbeitung zu
diesen Zwecken zumindest teilweise über Cookies und ähnliche Technologien (vgl.
Sachverhaltsfeststellungen C.4.).
Diese Schlussfolgerung steht im Einklang mit der Judikatur des EuGH, wonach Akteure in
verschiedenen Phasen einer Datenverarbeitung in unterschiedlichem Ausmaß einbezogen sein können
(vgl. EuGH 29. Juli 2019, CǦ40/17 Rz 70 ff).
Der Verweis der BG darauf, dass es sich bei den in Sachverhaltsfeststellung C.5 beschriebenen
Tätigkeiten lediglich um ein „kundenorientiertes Marketing-FAQ-Papier“ handle, überzeugt nicht. Zum
einen handelt es sich um vom Microsoft-Konzern selbst veröffentlichte Informationen, zum anderen hat
die BF im Rahmen der verfahrenseinleitenden Eingabe vom 4. Juni 2024 auch Nachweise für den
Einsatz von Cookies für bestimmte Zwecke vorgelegt (vgl. Sachverhaltsfeststellung C.4.). Die BG
gesteht vielmehr selbst zu, für einige Zwecke selbst als Verantwortliche zu fungieren.
Verhältnis zwischen BG und Microsoft Ireland Operations
In Folge ist auf das Verhältnis zwischen der BG und Microsoft Ireland Operations einzugehen.
Der EuGH erachtete es für eine datenschutzrechtliche Verantwortlichkeit als ausreichend, dass eine
Stelle hinsichtlich der Datenverarbeitung Richtlinien, Anweisungen, technischen Spezifikationen,
Protokollen und vertraglichen Verpflichtungen vorgibt, die es sowohl dem Anbieter einer Website oder
Anwendung als auch Datenbrokern oder Werbeplattformen ermöglichen, personenbezogene Daten
eines Nutzers einer Website oder Anwendung rechtmäßig zu verarbeiten (vgl. EuGH 7. März 2024,
CǦ604/22 Rz 62 ff).
In einem anderen Fall bekräftigte der EuGH erneut das weite Verständnis eines datenschutzrechtlichen
Verantwortlichen. Demnach ist es für eine Verantwortlichkeit ausreichend, wenn eine Stelle bei der
Entwicklung einer mobilen Anwendung eine aktive Rolle gespielt und gewisse Parameter der
Anwendung vorgegeben hat, selbst wenn die Entwicklung durch eine andere Stelle erfolgte (vgl. EuGH
5. Dezember 2023, CǦ683/21 Rz 28 f und Rz 32 ff).
In Anbetracht der angeführten Judikatur kann für die BG nichts anderes gelten:
Wie festgestellt, trifft die BG die grundsätzlichen Entscheidungen über den Microsoft-Konzern und
beeinflusst maßgeblich die Ausrichtung der internationalen Niederlassungen. Zudem ist die BG in die
- 11 –
Einführung neuer Produkte in Märkten wie dem EWR involviert und erfolgt die Weiterentwicklung und
Koordinierung von Microsoft 365 Education durch die BG. Die Unternehmensrichtlinien werden von der
BG vorgegeben (vgl. Sachverhaltsfeststellung C.6.).
Der Einfluss der BG beschränkt sich dabei nicht nur auf geschäftliche oder strategische Fragen. Wie
oben ausgeführt, werden beim Einsatz von Microsoft Education 365 Daten zwecks eigener
Geschäftstätigkeiten verarbeitet. Da die BG Microsoft Education 365 laut eigenen Angaben entwickelt
hat und weiterhin maßgeblich an dessen Weiterentwicklung beteiligt ist, nimmt sie auch Einfluss auf
die technischen und organisatorischen Spezifikationen der damit verbundenen Datenverarbeitung.
Dieser Schlussfolgerung schadet auch nicht der Verweis der BG im Rahmen der Einvernahme vom 4.
April 2025 im Verfahren zur GZ D135.027, dass die seitens der BG entwickelten
Unternehmensrichtlinien „von Microsoft Ireland Operations auf den europäischen Markt angepasst
werden“ und insofern ein Einfluss der irischen Tochtergesellschaft auf die Datenverarbeitung im
Zusammenhang mit Microsoft Education 365 besteht.
Wie der EuGH bereits ausgeführt hat, kann die Mitwirkung an der Entscheidung über die Zwecke und
Mittel der Datenverarbeitung verschiedene Formen annehmen und sich sowohl aus einer
gemeinsamen Entscheidung von zwei oder mehr Einrichtungen, als auch aus übereinstimmenden
Entscheidungen solcher Einrichtungen ergeben. In letzterem Fall müssen sich diese Entscheidungen
in einer Weise ergänzen, dass sich jede von ihnen konkret auf die Entscheidung über die
Verarbeitungszwecke und Ǧmittel auswirkt. Zudem schadet es einer gemeinsamen Verantwortlichkeit
nicht, dass die Entscheidungen im unterschiedlichen Ausmaß und zu unterschiedlichen Phasen (also
Zeitpunkten) der Datenverarbeitung getroffen werden (vgl. EuGH 7. März 2024, CǦ604/22 Rz 58 f).
Im Sinne der obenstehenden Überlegungen ist die BG daher als Verantwortliche nach Art. 4 Z 7
DSGVO zu qualifizieren.
Die Einflussnahme von Microsoft Ireland Operations kann zwar zu einer gemeinsamen Verantwortung
mit der BG führen; da Microsoft Ireland Operations jedoch nicht Partei des gegenständlichen
Verfahrens ist, wird hierauf nicht näher eingegangen.
D.3. Zu Spruchpunkt I (Rechtsverletzung Rechtmäßigkeit)
Die BG ist für die personenbezogenen Daten, die diese aufgrund der Verwendung von Microsoft
Education 365 durch die BF erhält und für eigene Zwecke verarbeitet, verantwortlich (vgl. Punkt D.2.).
Der sachliche Anwendungsbereich des Art. 2 Abs. 1 DSGVO – und somit der Erfolg dieser Beschwerde
– setzt grundlegend voraus, dass „personenbezogene Daten“ verarbeitet werden.
Gemäß der Legaldefinition des Art. 4 Z 1 DSGVO sind „personenbezogene Daten alle Informationen,
die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“)
- 12 –
beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt,
insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu
Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen
identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen,
wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden
kann“.
Die Datenschutzbehörde hat im Fall Google Analytics – im Einklang mit der Judikatur des Europäischen
Datenschutzbeauftragten (EDSB) – bereits ausgesprochen, dass Cookies, die einen einzigartigen,
zufallsgenerierten Wert (random number) beinhalten und die mit dem Zweck gesetzt werden, Personen
zu individualisieren und auszusondern, die Definition des Art. 4 Z 1 DSGVO erfüllen. Insbesondere
kann nie ausgeschlossen werden, dass die Cookie-Werte und die IP-Adresse des Endgeräts einer
Person an irgendeiner Stelle der Verarbeitungskette mit Zusatzinformationen kombiniert werden, zB.
wenn sich die betroffene Person auf einer Website mit ihrer Email-Adresse oder dem Klarnamen
registriert (vgl. den Bescheid der Datenschutzbehörde vom 22. Dezember 2021, GZ: D155.027, 2021-
0.586.257, zu finden auf der Website der Datenschutzbehörde, sowie den Bescheid vom 22. April 2022,
GZ: D155.026, 2022-0.298.191, diesbezüglich bestätigt vom BVwG mit Erkenntnis vom 10. März 2023
zur Zl. W137 2254817-1/46E / W137 2264614-1/32E; vgl. zum Personenbezug von Google Analytics
Cookies auch die Entscheidung des EDSB gegen das Europäische Parlament vom 5. Jänner 2022,
GZ: 2020-1013, S. 13).
Diese Überlegungen können auf den gegenständlichen Fall übertragen werden, da durch die Nutzung
von Microsoft 365 Education am 31. Juli 2023 Cookies mit einzigartigen, zufallsgenerierten Werten im
Endgerät der BF gesetzt und ausgelesen wurden (siehe Sachverhaltsfeststellung C.3. und C.4). In
weiterer Folge wurden entsprechende Informationen aus dem Endgerät der BF an die Server der BG
übermittelt.
Als Zwischenergebnis ist daher festzuhalten, dass die hier gegenständlichen Nutzer-Identifikations-
Nummern als personenbezogene Daten (in Form einer Online-Kennung) gemäß Art. 4 Z 1 DSGVO zu
qualifizieren sind.
An diesen Schlussfolgerungen ändert auch der Hinweis der BG vom 21. Februar 2025 nichts, wonach
zur Erstellung aggregierter Statistiken (nur) Daten verarbeitet würden, die pseudonymisierte
Identifikatoren enthalten.
Selbst wenn davon auszugehen ist, dass ausschließlich eine derartige Verarbeitung stattfindet, setzt
die Entfernung des Personenbezugs zu statistischen Zwecken zwingend voraus, dass die Daten
zunächst an die BG übermittelt werden. Für diese Datenübermittlung hat die BF eindeutige Nachweise
vorgelegt (vgl. Sachverhaltsfeststellung C.3. und C.4.).
- 13 –
Zudem hat die Datenschutzbehörde bereits klargestellt, dass auch die Entfernung des Personenbezugs
einen Verarbeitungsvorgang im Sinne des Art. 4 Z 2 DSGVO darstellt und damit dem sachlichen
Anwendungsbereich der DSGVO unterliegt (vgl. DSB 5. Dezember 2018, GZ: DSB-D123.270/0009-
DSB/2018).
Von einer rechtmäßigen Datenverarbeitung ist dann auszugehen, wenn zumindest eine der in Art. 6
Abs. 1 DSGVO normierten Bedingungen erfüllt ist. Als Vorfrage ist jedoch zu überprüfen, ob die
Vorgaben des § 165 Abs. 3 TKG 2021 eingehalten wurden, wonach zusammengefasst für „technisch
nicht erforderliche Cookies“ eine Einwilligung einzuholen ist.
D.3.1. Zur technischen Erforderlichkeit
Als Vorfrage ist zu prüfen, ob es sich gegenständlich um technisch erforderliche Cookies handelt.
Gem. § 165 Abs. 3 TKG 2021 (zuvor § 96 Abs. 3 TKG 2003) ist eine Ermittlung von Daten „nur zulässig,
wenn der Nutzer oder Benutzer seine Einwilligung dazu aktiv und auf Grundlage von klaren und
umfassenden Informationen erteilt hat. Dies steht einer technischen Speicherung oder dem Zugang
nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein
Kommunikationsnetz ist oder, wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes
der Informationsgesellschaft, der vom Nutzer oder Benutzer ausdrücklich gewünscht wurde, diesen
Dienst zur Verfügung stellen kann.“
Weder die Richtlinie 2002/58/EG noch das (nunmehrige) TKG 2021 enthalten eine Aufzählung, was
unter „technisch erforderliche Cookies“ konkret zu verstehen ist. Allerdings enthält die Stellungnahme
04/2012 zur Ausnahme von Cookies von der Einwilligungspflicht der ehemaligen Art. 29-Gruppe
Kriterien zur Beurteilung, ob Cookies iSd Art. 5 Abs. 3 der Richtlinie 2002/58/EG aus technischer Sicht
erforderlich sind:
Nach Artikel 5 Absatz 3 ist für Cookies keine Einwilligung in Kenntnis der Sachlage erforderlich,
wenn sie einem der folgenden Kriterien entsprechen: Kriterium A: Der Cookie wird verwendet,
„wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein
elektronisches Kommunikationsnetz ist“. Kriterium B: Der Cookie wird verwendet, „wenn dies
unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der
vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung
stellen kann“.
Webanalysen sind statistische Zielgruppen-Tools für Websites, die häufig auf Cookies
angewiesen sind. Diese Tools werden vor allem von Websitebesitzern verwendet, um die Zahl
der Einzelbesucher zu schätzen, die wichtigsten Suchbegriffe, die über Suchmaschinen zu einer
Website führen, zu ermitteln oder Navigationsprobleme der Website aufzuspüren. Die
Analysetools von heute verwenden zahlreiche unterschiedliche Modelle zur Datenerfassung
und -analyse, die jeweils unterschiedliche Datenschutzrisiken aufweisen. Ein auf First-Party-
Cookies gestütztes Analysesystem des Erstanbieters beinhaltet fraglos andere Risiken als ein
auf Third-Party-Cookies gestütztes externes Analysesystem. Ferner gibt es Tools, die First-
- 14 –
Party-Cookies verwenden, während die Analysen von einem Dritten durchgeführt werden.
Dieser Dritte gilt je nachdem, ob er die Daten für eigene Zwecke oder – wenn dies unzulässig
ist – aufgrund technischer oder vertraglicher Regelungen nutzt, als gemeinsam für die
Verarbeitung Verantwortlicher oder als Auftragsverarbeiter. Während diese Tools häufig als
„unbedingt erforderlich“ für Betreiber von Websites angesehen werden, sind sie für eine vom
Nutzer (oder Teilnehmer) ausdrücklich gewünschte Funktion nicht unbedingt erforderlich.
Genau genommen kann der Nutzer auch dann auf alle Funktionen der Website zugreifen, wenn
derartige Cookies deaktiviert sind. Folglich fallen diese Cookies nicht unter die
Ausnahmeregelung nach Kriterium A oder B.
Festzuhalten ist, dass die in § 165 Abs. 3 TKG 2021 enthaltene Ausnahme „Erbringung eines
ausdrücklich gewünschten Dienstes der Informationsgesellschaft“ (sowie die damit verbundene
Formulierung „unbedingt erforderlich“) restriktiv zu interpretieren ist. Für die Zulässigkeit von Cookies
bedeutet dies, dass diese für die Diensterbringung unbedingt erforderlich sein müssen und ein klarer
Zusammenhang mit dem vom Teilnehmer oder Nutzer ausdrücklich angeforderten Dienst bestehen
muss (vgl. Riesz in Riesz/Schilchegger (Hrsg), TKG (2016) § 96 Rn. 48). Ebenso führt die
Stellungnahme der ehemaligen Art. 29- Gruppe aus, dass bei der Anwendung von Kriterium B zu prüfen
ist, was aus Sicht des Nutzers, nicht des Diensteanbieters, unbedingt erforderlich ist.
Die technische Erforderlichkeit der gegenständlichen, zumindest der in Spruchpunkt 3 genannten,
Cookies für den Betrieb der Website ist für die Behörde nicht ersichtlich.
Soweit die BG in der Stellungnahme vom 5. Juni 2025 vorbringt, Microsoft platziere oder verwende
keine Cookies für administrative und bzw. geschäftliche Zwecke für Geschäftstätigkeiten („Business
Operations“), so gelang ihr kein Nachweis für diese Behauptung. Wie festgestellt, dienen wenigstens
einige der gesetzten Cookies klar betrieblichen Zwecken von Microsoft (siehe Sachverhaltsfeststellung
C.5), wie etwa der Seitenanalyse.
Das Setzen oder Auslesen von Cookies, welche die Nutzung der Website bzw. die
Reichweitenmessung auswerten, ist somit aus technischer Sicht nicht erforderlich, weshalb jedenfalls
eine vorherige Einwilligung einzuholen ist (vgl. erneut die Stellungnahme 04/2012 zur Ausnahme von
Cookies von der Einwilligungspflicht der ehemaligen Art. 29-Gruppe sowie die FAQ der
Datenschutzbehörde zum Thema Cookies und Datenschutz, Stand 3. Mai 2023, Frage 5 und die dort
angeführte Judikatur des BVwG).
D.3.2. Zur Einwilligung im Allgemeinen
Im nächsten Schritt ist zu überprüfen, ob die Vorgaben des § 165 Abs. 3 TKG 2021 eingehalten wurden,
wonach für „technisch nicht erforderliche Cookies“ eine Einwilligung einzuholen ist.
Die Bedingungen für eine Einwilligung iSd TKG richten sich in erster Linie nach Art. 4 Z 11 und Art. 7
DSGVO (vgl. hierzu ausführlichen den Bescheid der DSB vom 30. November 2018, GZ: DSB-
D122.931/0003-DSB/2018). Aus dem Wortlaut von Art. 4 Z 11 iVm Art. 7 DSGVO ist abzuleiten, dass
- 15 –
eine datenschutzrechtliche Einwilligung nur dann gültig ist, sofern die folgenden Voraussetzungen
vollständig erfüllt sind (vgl. die Leitlinien 05/2020 des EDSA zur Einwilligung gemäß Verordnung
2016/679 V1.1 Rz 11 ff):
- Freiwilligkeit;
- Bestimmtheit;
- Informiertheit;
- unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer
sonstigen eindeutigen bestätigenden Handlung.
Unter zusätzlicher Berücksichtigung des Art. 7 Abs. 4 iVm ErwGr 43 DSGVO darf die Einwilligung
zudem nicht an die Erfüllung eines Vertrages gekoppelt sein, obwohl die Einwilligung zur Erfüllung
dieses Vertrags nicht erforderlich ist.
ErwGr 42 S 5 verlangt eine echte oder freie Wahl der betroffenen Person und dass diese dadurch in
der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne dadurch Nachteile zu erleiden.
D.3.4. Zur Einwilligung im konkreten Fall
Gegenständlich wurde für das Setzen und Auslesen von Cookies wie auch die darauffolgende
Datenverarbeitung wie festgestellt keine Einwilligung eingeholt. Das Vorliegen einer Einwilligung wurde
von der BG auch nicht behauptet.
Eine Prüfung der Kriterien entfällt daher. Es können auch sonst keine Anhaltspunkte erkannt werden,
dass eine rechtsgültige Einwilligung der BF eingeholt worden wäre.
Demzufolge kann die dem Setzen oder Auslesen von Cookies folgende Datenverarbeitung mangels
Einwilligung nicht auf Art. 6 Abs. 1 lit. a DSGVO gestützt werden.
Auch die übrigen Tatbestände von Art. 6 Abs. 1 DSGVO (und damit auch eine mögliche
„Weiterverarbeitung“ nach Art. 6 Abs. 4 DSGVO) kommen nicht in Betracht.
Dies trifft insbesondere auch auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO zu. Eine
Interessenabwägung kann nicht zugunsten des Verantwortlichen ausfallen, wenn die
Datenverarbeitung die Folge einer Verletzung sekundärrechtliche Normen bzw. von § 165 Abs. 3 TKG
2021 ist.
Gleichzeitig hat bereits der EuGH festgehalten, dass im Zusammenspiel zwischen Richtlinie
2002/58/EG und DSGVO eine Berufung auf Art. 6 Abs. 1 lit. f DSGVO nur dann in Frage kommt, wenn
auch die Voraussetzungen einer rechtmäßigen Verarbeitung nach der e-Datenschutz-RL vorliegen
(Urteil vom 17. Juni 2021, C-597/19, ab Rz 97). Fällt daher ein Sachverhalt sowohl unter die Richtlinie
2002/58/EG als auch unter die DSGVO, ist die Einhaltung der Vorgaben der Richtlinie 2002/58/EG bei
- 16 –
der Frage, ob berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO vorliegen, zwingend zu
berücksichtigen (vgl, dazu die Rz 113, 114 und 118). Mit anderen Worten: Erst dann, wenn die
Rechtmäßigkeit der Verarbeitung nach der Richtlinie 2002/58/EG bejaht wird, stellt sich überhaupt erst
die Frage, ob berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO geltend gemacht werden können
(vgl. allgemein zur Frage des „Nachschiebens“ von berechtigten Interessen bei Unwirksamkeit einer
Einwilligung auch Zavadil/Rohner, Berechtigte Interessen als Rettung für eine ungültige
Einwilligungserklärung, ZD 2022, 312; Krusche, Kumulation von Rechtsgrundlagen zur
Datenverarbeitung, ZD 2020, 237).
Im Ergebnis liegt eine Verarbeitung personenbezogener Daten ohne einen Erlaubnistatbestand des
Art. 6 Abs. 1 DSGVO vor. Es handelt sich daher um eine unrechtmäßige Verarbeitung
personenbezogener Daten.
D.3.5. Zum Grundsatz der Rechtmäßigkeit sowie Verarbeitung nach Treu und Glauben
Art. 5 Abs. 1 lit. a DSGVO enthält drei verschiedene Grundsätze, welche jedoch unweigerlich
miteinander in einer wechselseitigen Verbindung stehen.
Nicht jede Verletzung konkreter Bestimmungen der DSGVO bedeuten automatisch auch eine
Verletzung eines Grundsatzes nach Art. 5 Abs. 1 DSGVO.
Der Grundsatz der Rechtmäßigkeit der Verarbeitung nach Art. 5 Abs. 1 lit. a DSGVO steht in engem
Zusammenhang mit Art. 6 Abs. 1 DSGVO, da dort die Voraussetzungen an die Rechtmäßigkeit der
Verarbeitung näher normiert werden. Selbst bei engem Verständnis (vgl. Herbst in
Kühling/Buchner (Hrsg), DSGVO/BDSG4 (2024) Art. 5 Rz 8) ist davon auszugehen, dass eine
Verletzung des Grundsatzes der Rechtmäßigkeit der Verarbeitung nach Art. 5 Abs. 1 lit. a DSGVO
dann vorliegt, wenn – so wie gegenständlich der Fall – kein Erlaubnistatbestand des Art. 6 Abs. 1
DSGVO vorliegt (vgl. auch ErwGr 40 DSGVO). Es war daher eine Verletzung des Grundsatzes der
Rechtmäßigkeit der Verarbeitung nach Art. 5 Abs. 1 lit. a DSGVO festzustellen.
Die Verarbeitung nach Treu und Glauben (in der englischen Sprachfassung als „fairness“ bezeichnet)
ist ein übergeordneter und verbindender Grundsatz, nach dem personenbezogene Daten nicht auf eine
Weise verarbeitet werden dürfen, die für die betroffene Person in nicht gerechtfertigter Weise schädlich,
widerrechtlich diskriminierend, unerwartet oder irreführend ist. Dabei sind insbesondere auch
vernünftigen Erwartungen der betroffenen Personen zu berücksichtigen (vgl. ErwGr. 47 DSGVO).
Wenn sich nun ein Verantwortlicher eine Datenverarbeitung durchführt, für die eigentlich eine
Einwilligung iSd Art. 6 Abs. 1 lit. a DSGVO notwendig wäre, diese aber nicht eingeholt wurde, so hat
dies direkten Einfluss auf die Entscheidungsautonomie der betroffenen Person.
- 17 –
Hat der Verantwortliche bei der betroffenen Person eine Einwilligung einzuholen, so kommt es für das
Vorliegen der Rechtmäßigkeit der sie betreffenden Datenverarbeitung auf ihr Einverständnis an, das
auch wieder jederzeit widerrufen werden kann.
Anders würde es sich gegebenenfalls bei Erlaubnistatbeständen verhalten, in denen einer betroffenen
Person keine derart starke Entscheidungsmacht zufällt. So werden etwa im öffentlichen Bereich öfters
sowohl Art. 6 Abs. 1 lit. c als auch lit. e DSGVO denkbar sein. Bei diesen Erlaubnistatbeständen hat
die betroffene Person weniger Kontrolle, ob sie sich darauf einlassen möchte.
Eine Verletzung des Grundsatzes der Verarbeitung nach Treu und Glauben ergibt sich regelmäßig
dann, wenn die Willensbildung der betroffenen Person beeinträchtigt und, für die betroffene Person
gegebenenfalls unvorhergesehen, die Geltendmachung von Betroffenenrechten erschwert oder gar
unmöglich gemacht wird. In jenen Fällen ist die Verarbeitung für die betroffene Person regelmäßig in
nicht gerechtfertigter Weise schädlich, unerwartet und/oder irreführend (siehe hierzu auch die Leitlinien
4/2019 des EDSA, V2.0, Rz 69 f.).
Da gegenständlich keine Einwilligung eingeholt wurde, beeinflusste dies sowohl die
Entscheidungsautonomie der BF, als auch deren Möglichkeit, ihre Betroffenenrechte geltend zu
machen (insb. einem möglichen Widerruf der Einwilligung). Der BF kam daher weniger Wahlmöglichkeit
zu, zudem bestand ein klares Kräfteungleichgewicht (vgl. erneut die Leitlinien 4/2019 des EDSA, V2.0,
Rz 70).
Im Ergebnis liegt daher auch eine Verletzung des Grundsatzes der Verarbeitung nach Treu und
Glauben iSd Art. 5 Abs. 1 lit. a DSGVO vor.
Es war daher spruchgemäß zu entscheiden.
D.4. Zu Spruchpunkt II (Abweisung)
Gemäß Art. 28 Abs. 3 DSGVO erfolgt die Verarbeitung durch einen Auftragsverarbeiter auf der
Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem
Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen
bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art
der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des
Verantwortlichen festgelegt sind.
Wie festgestellt, verarbeitete die BG im gegenständlichen Fall personenbezogene Daten als
Verantwortliche. Die Datenschutzbehörde ist der Auffassung, dass sie dies bereits zu Beginn der
Datenverarbeitung in dieser Rolle getan hat und nicht als Auftragsverarbeiterin.
Die Beschwerde war in diesem Punkt daher abzuweisen.
- 18 –
D.5. Zu Spruchpunkt III (Leistungsauftrag)
Soweit Microsoft Education 365 bereitgestellt wird und die Datenverarbeitung ausschließlich zu
schulischen Zwecken erfolgt, ist aus Sicht der Datenschutzbehörde keine unrechtmäßige
Datenverarbeitung gegeben.
Anders verhält es sich jedoch hinsichtlich des Einsatzes von (Tracking-)Cookies:
Nach gefestigter Judikatur des BVwG handelt es sich bei in Cookies enthaltenen Daten um
personenbezogene Daten nach Art. 4 Z 1 DSGVO (vgl. zuletzt BVwG 13. August 2025, W291 2272970-
1 mwN).
Diese Überlegung kann auf den vorliegenden Fall übertragen werden, zumal eine Verknüpfung der
Daten mit dem Nutzerkonto der BF möglich ist.
Für den Einsatz technisch nicht notwendiger Cookies ist eine vorherige Einwilligung erforderlich.
Cookies zu Werbe-, Tracking- oder Analysezwecken sind aus technischer Sicht nicht erforderlich (vgl.
erneut BVwG a.a.O.). Eine solche Einwilligung liegt im gegenständlichen Fall nicht vor.
Nach Art. 58 Abs. 2 lit. lit. f DSGVO war der BG daher im Ergebnis aufzutragen, die zukünftige
Verarbeitung, die im Rahmen von technisch nicht erforderlichen Cookies ohne geeignete
Rechtsgrundlage (Einwilligung) geschieht, zu untersagen. Als technisch nicht erforderlich gelten
jedenfalls die Cookies MC1, FPC, MSFPC, MicrosoftApplicationsTelemetryDeviceId und ai-session.
Soweit die Löschung personenbezogener Daten der BF beantragt wurde, ist dazu festzuhalten, dass
ein solcher Leistungsauftrag im Hinblick auf die BG bereits im Verfahren zur GZ D135.027
ausgesprochen wurde.
Für einen weiteren, identen Leistungsauftrag bleibt somit kein Platz.
Eine Frist von vier Wochen scheint angemessen, um dem Leistungsauftrag zu entsprechen, weshalb
spruchgemäß zu entscheiden war.
R E C H T S M I T T E L B E L E H R U N G
Gegen diesen Bescheid kann innerhalb von vier Wochen nach Zustellung schriftlich eine Beschwerde
an das Bundesverwaltungsgericht erhoben werden. Die Beschwerde ist bei der Datenschutzbehörde
einzubringen und muss
- die Bezeichnung des angefochtenen Bescheides (GZ, Betreff)
- die Bezeichnung der belangten Behörde,
- 19 –
- die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
- das Begehren sowie
- die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist,
enthalten.
Die Datenschutzbehörde hat die Möglichkeit, innerhalb von zwei Monaten entweder durch
Beschwerdevorentscheidung ihren Bescheid abzuändern oder die Beschwerde mit den Akten des
Verfahrens dem Bundesverwaltungsgericht vorzulegen.
Die Beschwerde gegen diesen Bescheid ist gebührenpflichtig. Die feste Gebühr für eine
entsprechende Eingabe samt Beilagen beträgt 50 Euro. Die Gebühr ist unter Angabe des
Verwendungszwecks auf das Konto des Finanzamtes Österreich zu entrichten.
Die Gebühr ist grundsätzlich elektronisch mit der Funktion „Finanzamtszahlung“ zu überweisen. Als
Empfänger ist das Finanzamt Österreich - Dienststelle Sonderzuständigkeiten anzugeben oder
auszuwählen (IBAN: ). Weiters sind die
Steuernummer/Abgabenkontonummer 10 999/9102, die Abgabenart „EEE -Beschwerdegebühr“, das
Datum des Bescheides als Zeitraum und der Betrag anzugeben.
Sofern das e-banking-System Ihres Kreditinstituts nicht über die Funktion „Finanzamtszahlung“ verfügt,
kann das eps-Verfahren in FinanzOnline genutzt werden. Von einer elektronischen Überweisung kann
nur dann abgesehen werden, wenn bisher kein e-banking-System genutzt wurde (selbst wenn der
Steuerpflichtige über einen Internetanschluss verfügt). Dann muss die Zahlung mittels
Zahlungsanweisung erfolgen, wobei auf die richtige Zuordnung zu achten ist. Weitere Informationen
erhalten Sie beim Finanzamt und im Handbuch „Elektronische Zahlung und Meldung zur Zahlung von
Selbstbemessungsabgaben“.
Die Entrichtung der Gebühr ist bei Einbringung der Beschwerde gegenüber der
Datenschutzbehörde durch einen der Eingabe anzuschließenden Zahlungsbeleg oder einen
Ausdruck über die erfolgte Erteilung einer Zahlungsanweisung nachzuweisen. Wird die Gebühr nicht
oder nicht vollständig entrichtet, ergeht eine Meldung an das zuständige Finanzamt.
Eine rechtzeitig eingebrachte und zulässige Beschwerde an das Bundesverwaltungsgericht hat
aufschiebende Wirkung. Die aufschiebende Wirkung kann im Spruch des Bescheids ausgeschlossen
worden sein oder durch einen eigenen Bescheid ausgeschlossen werden.
21. Jänner 2026
Für den Leiter der Datenschutzbehörde: