W137 2301309-1 – Bundesverwaltungsgericht Entscheidung

W137 2301309-1/12E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie Mag. Martina CHLESTIL als Beisitzerinnen über die Beschwerde der XXXX gegen die Spruchpunkte 1. und 4. des Bescheides der Datenschutzbehörde vom 05.09.2024, GZ. D124.2577/23, 2024-0.326.041, nach Durchführung einer mündlichen Verhandlung am 07.03.2025, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit verfahrenseinleitender Eingabe vom 29.11.2023, ergänzt am 14.12.2023 sowie 22.12.2023 erhob XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Erstbeschwerdegegnerin vor der Datenschutzbehörde) sowie XXXX (Zweitbeschwerdegegnerin vor der Datenschutzbehörde) wegen einer behaupteten Verletzung im Recht auf Geheimhaltung. Begründend wurde im Wesentlichen ausgeführt, dass am 04.07.2023 am Department für XXXX eine Departmentsitzung stattgefunden habe, die von der Zweitbeschwerdegegnerin als Departmentleiterin ohne Rückfrage bei den Sitzungsteilnehmern – mittels Handy – aufgezeichnet worden sei. Diese Tonaufnahme sei dem an der Departmentsitzung gleichermaßen teilnehmenden Schriftführer zur Protokollierung der Sitzung elektronisch zugesendet worden. Der Beschwerdeführer habe diesem Vorgehen nicht zugestimmt.

Am 25.08.2023 sei ein vom Rektorat der Beschwerdeführerin veranlasstes Mitteilungsblatt mit dem Betreff „Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments […] der [Beschwerdeführerin]“ veröffentlicht worden, welches Audioaufzeichnungen im Rahmen der Departmentsitzung für Zwecke der Protokollierung als zulässig erkläre.

Am 14.09.2023 sei ein weiteres Mitteilungsblatt des Rektorats mit dem Betreff „Verhaltenskodex – Code of Conduct der [Beschwerdeführerin]“ erschienen. Dieser erlaube die Ton-, Bild- und Videoaufnahme – auch ohne vorherige Einwilligung der aufgenommenen Person – im Fall der Aufzeichnung für Zwecke der Protokollierung von Sitzungen.

Am 28.11.2023 habe erneut eine Departmentsitzung stattgefunden, welche ebenfalls aufgezeichnet worden sei, an der die mitbeteiligte Partei aus Termingründen jedoch nicht teilgenommen habe.

Der Eingabe waren mehrere Beilagen beigefügt.

2. Die Beschwerdeführerin gab mit Stellungnahme vom 19.01.2024 im Wesentlichen und soweit verfahrensrelevant an, dass Art. 6 Abs. 1 lit. e DSGVO eine (zulässige) Datenverarbeitung ermögliche. Das Rektorat der Beschwerdeführerin habe nach einer internen Beschwerde der mitbeteiligten Partei die Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments dahingehend geändert, als dass eine eindeutige Rechtsgrundlage für Audioaufzeichnungen geschaffen worden sei, die Audioaufzeichnungen im Rahmen der Departmentsitzung für Zwecke der Protokollierung für zulässig erkläre. Die Richtlinie sei auf Grundlage des Art. 81c B-VG, § 20 Abs. 6 UG sowie des Organisationsplanes der Beschwerdeführerin vom Rektorat erlassen worden. Der Organisationsplan der Beschwerdeführerin beauftrage die Departments mit Aufgaben der Entwicklung und Erschließung der Künste sowie der Lehre. Die Departmentleitung sei zwar monokratisch organisiert und habe die Departmentsitzung überwiegend bloße eine Beratungsfunktion, jedoch handle es sich um ein Kollegialorgan. Von den Sitzungen sei ein Ergebnisprotokoll anzufertigen und müsse die Departmentleitung die gefassten Beschlüsse beachten. Bei den Zuständigkeiten zur Beschlussfassung handle es sich auch um Angelegenheiten des Kernbereichs der Forschung und Lehre, es bestehe somit Weisungsfreiheit. Die Richtlinie sei im Ergebnis als Verordnung zu qualifizieren. Verordnungen des autonomen Wirkungsbereiches einer Universität seien daher Rechtsgrundlagen iSd. DSGVO und des DSG und könnten – wie verfahrensgegenständlich – eine Anordnung von Audioaufzeichnungen zum Zweck der Erleichterung einer Protokollierung von Kollegialorgansitzungen enthalten.

3. Mit Stellungnahme vom selben Tag gab die Zweitbeschwerdegegnerin vor der Datenschutzbehörde eine Stellungnahme ab.

4. Mit Eingabe vom 07.02.2024 brachte die Beschwerdeführerin ergänzend und zusammengefasst vor, dass die Zweitbeschwerdegegnerin nach den Organisationsvorschriften der Beschwerdeführerin verpflichtet sei, pro Semester zwei Departmentsitzungen zu leiten. Von diesen Sitzungen sei ein Protokoll anzufertigen. Die Entscheidung, ob das Protokoll elektronisch aufgezeichnet werde, sei bei der Zweitbeschwerdegegnerin gelegen, jedoch könne ohne Protokollierung die ausführliche Diskussion und Meinungsbildung nicht nachvollzogen werden. Die Datenverarbeitung iZm der Tonbandaufnahme am 04.07.2023 sei zur Wahrung berechtigter Interessen erfolgt. Es sei keine Vorabinformation sämtlicher Mitglieder der Departmentsitzung erfolgt, sohin auch nicht der mitbeteiligten Partei. Am Abend des 04.07.2023 sei eine Inkenntnissetzung der mitbeteiligten Partei durch den Protokollführer erfolgt, weil dieser von der Rechtmäßigkeit der Aufzeichnung ausgegangen sei.

5. Mit Eingabe vom 26.02.2024 brachte die mitbeteiligte Partei ergänzend und soweit verfahrensrelevant vor, dass keine Einwilligung zur Verarbeitung der sie betreffenden personenbezogenen Daten erteilt worden sei und könne die Datenverarbeitung durch keinen Erlaubnistatbestand iSd Art. 6 Abs. 1 DSGVO gerechtfertigt werden. Zudem habe die Beschwerdeführerin erst nachträglich den Versuch unternommen, eine Rechtsgrundlage für Audioaufzeichnungen zu schaffen. Bei einer Departmentsitzung handle es sich nicht um ein „Kollegialorgan“, dieses werde in § 20 UG nicht genannt. Auch die „Weisungsfreiheit“ iSv Art. 81c Abs. 1 B-VG könne ungefragte Tonaufnahmen von Departmentsitzungen und ihre Verarbeitung nicht rechtfertigen. Die universitäre Autonomie und Weisungsfreiheit universitärer Kollegialorgane könne nicht so weit reichen, als dass dadurch allgemeingültige Gesetze und Verordnungen ausgehebelt werden könnten, insbesondere, wenn es um Persönlichkeitsrechte und um Rechte von allgemeiner Gültigkeit gehe. Auch § 16 der Geschäftsordnung des Senats könne auf Departmentsitzungen keine Anwendung finden. Die Anwendungsbereiche der „Geschäftsordnung des Senats und der vom Senat eingerichteten Kollegialorgane“ gelte nur für den Senat der Beschwerdeführerin sowie für die vom Senat gemäß § 25 Abs. 7 und Abs. 8 UG eingerichteten Kollegialorgane. Dies treffe auf eine Departmentsitzung nicht zu.

6. Mit Eingabe vom 13.03.2024 brachte die Beschwerdeführerin ergänzend und soweit verfahrensrelevant vor, dass sie weiterhin davon ausgehe, dass die möglichst vollständige Protokollierung von Kollegialorgansitzungen im öffentlichen Interesse gelegen und auch in Erfüllung einer rechtlichen Verpflichtung erfolgt sei. Zusätzlich bestehe ein berechtigtes Interesse der Verantwortlichen daran. Die Beteiligung an den Diskussionen gehöre zu den beruflichen Pflichten der mitbeteiligten Partei. Bei der Satzung und den Richtlinien handle es sich um Rechtsvorschriften, die infolge gehöriger Kundmachung nur von der Aufsichtsbehörde oder vom VfGH aufgehoben werden könnten. Solange dies nicht geschehe, seien sie auch verbindlich. Entgegen dem Vorbringen der mitbeteiligten Partei sei es in den Senatssitzungen nicht üblich, eine ausdrückliche Zustimmung aller Anwesenden einzuholen.

7. Mit Eingabe vom selben Tag brachte die Zweitbeschwerdegegnerin eine weitere Stellungnahme ein.

8. Mit Eingabe vom 27.03.2024 brachte die mitbeteiligte Partei ergänzend und wiederholend vor, dass sie durch die angefertigten Tonaufnahmen im Recht auf Geheimhaltung verletzt worden sei. Dem Schutz der Persönlichkeitsrechte – somit auch dem Recht auf Geheimhaltung – komme im Arbeitsverhältnis besondere Bedeutung zu. Den Ausführungen der Zweitbeschwerdegegnerin sei des Weiteren zu entnehmen, dass sie das Interesse verfolge, insbesondere Streitgespräche aufzuzeichnen, um Personen, die im emotionalen Zustand der Aufregung debattieren, nachträglich auf bestimmen Aussagen „festnageln“ zu können.

9. Mit weiterer Eingabe der mitbeteiligten Partei vom 28.03.2024 legte diese eine Stellungnahme des Bundesministeriums für Wissenschaft, Bildung und Forschung (BMBWF) in Kopie vor, in welchem zusammengefasst ausführt wurde, dass aus Sicht des BMBWF keine iSd DSGVO und des DSG ausreichenden Rechtsgrundlagen für die Anordnung von Audioaufzeichnungen zum Zweck der Erleichterung einer Protokollierung von Kollegialorgansitzungen mit Löschungsverpflichtung vorliegen würden.

10. Mit Bescheid vom 05.09.2024, GZ. D124.2577/23, 2024-0.326.041, gab die Datenschutzbehörde (idF belangte Behörde) der Datenschutzbeschwerde der mitbeteiligten Partei teilweise statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei durch eine von der Zweitbeschwerdegegnerin rechtsgrundlos angefertigte Audioaufnahme der Departmentsitzung am 04.07.2023 sowie durch deren anschließende Weiterleitung an eine dritte Person im Recht auf Geheimhaltung verletzt habe (Spruchpunkt 1.), im Übrigen wurde die Beschwerde gegen die Beschwerdeführerin abgewiesen (Spruchpunkt 2.), zudem die Beschwerde gegen die Zweitbeschwerdegegnerin abgewiesen (Spruchpunkt 3.), die Beschwerdeführerin hinsichtlich der von der Zweitbeschwerdegegnerin rechtsgrundlos angefertigten Audioaufnahme der Departmentsitzung vom 28.11.2023 gem. Art. 58 Abs. 2 lit. b DSGVO verwarnt (Spruchpunkt 4.) und der Antrag der mitbeteiligten Partei auf Verhängung einer Geldbuße zurückgewiesen (Spruchpunkt 5.).

In diesem Bescheid traf die belangte Behörde hinsichtlich der Spruchpunkte 1. und 4. im Wesentlichen folgende Sachverhaltsfeststellungen:

Bei der Beschwerdeführerin handle es sich um eine österreichische Universität für XXXX mit einem Standort in XXXX und einem Standort in XXXX . Sie sei eine Körperschaft des öffentlichen Rechts iSd. Universitätsgesetzes 2002. Bei dieser seien insgesamt 15 Departments (Organisationseinheiten) eingerichtet.

Die mitbeteiligte Partei sei als ao. Univ.-Professor in einem der Departments [ XXXX ] tätig und deren Mitglied gewesen. Er sei im verfahrensrelevanten Zeitpunkt Dienstnehmer bei der Beschwerdeführerin gewesen.

Im Rahmen einer Departmentsitzung am 04.07.2023, an welcher die mitbeteiligte Partei und andere Personen dienstlich verpflichtend teilgenommen hätten und welche von der Zweitbeschwerdegegnerin geleitet worden sei, habe die Zweitbeschwerdegegnerin mittels Mobiltelefon eine Audioaufnahme der Gespräche im Rahmen der Sitzung angefertigt und gespeichert. Dabei seien auch (verbale) Äußerungen der mitbeteiligten Partei im Rahmen der Sitzung erfasst worden. Die mitbeteiligte Partei sei von der Zweitbeschwerdegegnerin (vorab) nicht über die beabsichtigte Audioaufnahme informiert worden und habe auch ansonsten währenddessen keine Kenntnis hiervon gehabt. In weiterer Folge habe die Zweitbeschwerdegegnerin einer dritten Person, welche das Sitzungsprotokoll angefertigt (Protokollführer) habe, die Audioaufnahme per E-Mail übermittelt. Erst nach diesem Zeitpunkt erlangte die mitbeteiligte Partei Kenntnis vom oben genannten Sachverhalt. Die Aufnahme sei von der Zeitbeschwerdegegnerin am 28.11.2023 – nach Genehmigung des Protokolls – gelöscht worden.

Im Rahmen einer neuerlichen Departmentsitzung am 28.11.2023 habe die Zweitbeschwerdegegnerin eine weitere Audioaufnahme der Gespräche im Rahmen der Sitzung angefertigt. Der Beschwerdeführer sei bei dieser Sitzung nicht anwesend gewesen.

Die belangte Behörde stellte die wesentlichen Teile des 44. Organisationsplans der Beschwerdeführerin, des am 25.08.2023 ausgegebenen Mitteilungsblatts, der Geschäftsordnung des Senats vom 18.11.2022 sowie des Verhaltenskodex (Code of Conduct) der Beschwerdeführerin vom 14.09.2023 fest.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die belangte Behörde in rechtlicher Hinsicht betreffend die Spruchpunkte 1. und 4. im Wesentlichen Folgendes:

Die Zweitbeschwerdegegnerin sei als Arbeitnehmerin nicht als datenschutzrechtliche Verantwortliche iSv. Art. 4 Z 7 DSGVO für die Audioaufnahme der Departmentsitzung am 04.07.2023 zu qualifizieren. Hingegen sei die Departmentleitung – entgegen dem Vorbringen der Beschwerdeführerin – nach den einschlägigen Bestimmungen des B-VG, UG und des Organisationsplans als monokratisches Organ zu qualifizieren. Die Verarbeitungen von personenbezogenen Daten durch monokratische universitäre Organe seien gemäß § 6 Abs. 9 UG der Universität als Verantwortliche zuzurechnen, womit im Ergebnis davon auszugehen sei, dass eine datenschutzrechtliche Verantwortlichkeit der Beschwerdeführerin für die verfahrensgegenständliche Audioaufnahme im Rahmen der Departmentsitzung am 04.07.2023 vorliege.

Vor diesem Hintergrund sei festzuhalten, dass die Datenverarbeitung durch eine Körperschaft des öffentlichen Rechts nur aufgrund einer gesetzlichen Grundlage iSv. § 1 Abs. 2 DSG zulässig sei. Eine solche liege jedoch nicht vor, da die Veröffentlichung der Änderung der von der Beschwerdeführerin erlassenen Richtlinie erst nach Erstellung und Weiterleitung der Audioaufnahme – somit nach Abschluss der Datenverarbeitung – am 25.08.2023 erfolgt sei, womit diese als Rechtsgrundlage iSv. § 1 Abs. 2 DSG ausscheide. Mangels der Einordnung der Departmentsitzung oder des Departments als „Kollegialorgan“, könne auch eine Bestimmung der Geschäftsordnung des Senats nicht zur Anwendung kommen. Gleichermaßen unbeachtlich sei § 20 Abs. 3a UG, welcher schon nach dessen Wortlaut nur für die Sitzungen von Kollegialorganen gelte. Auch ein anderer Erlaubnistatbestand sei nicht vorgelegen.

Auch nach der Rechtsauffassung des BVwG sei es zulässig, dass die belangte Behörde in einem Beschwerdeverfahren gemäß Art. 77 DSGVO von ihren in Art. 58 Abs. 2 DSGVO normierten Befugnissen amtswegig Gebrauch mache. Insofern nehme die Datenschutzbehörde die verfahrensgegenständliche Audioaufzeichnung im Rahmen der weiteren Departmentsitzung am 28.11.2023 zum Anlass, das Verfahren um dieses Faktum auszuweiten. Im Ergebnis könne es sich bei der „Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen“ um keine Regelung handeln, welcher „Verordnungsqualität“ iSd VfGH- und VwGH-Judikatur zukomme. Eine andere Rechtsgrundlage sei zu diesem Zeitpunkt nicht vorgelegen und sei von der Beschwerdeführerin auch nicht ausgeführt worden. Der „Verhaltenskodex“ stelle ebenfalls keine geeignete Rechtsgrundlage dar.

Daraus folge, dass die Audioaufnahmen im Rahmen der Departmentsitzungen am 04.07.2023 und 28.11.2023 ohne gesetzliche Grundlage iSd. § 1 Abs. 2 DSG und somit rechtsgrundlos erfolgt seien.

11. In der gegen die Spruchpunkte 1. und 4. des Bescheides fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor:

Die von der belangten Behörde getroffenen Sachverhaltsfeststellungen seien zutreffend, jedoch habe eine unrichtige rechtliche Beurteilung des Sachverhalts stattgefunden.

Aus Sicht der Beschwerdeführerin seien die verfahrensgegenständlichen Datenverarbeitungen gemäß Art. 6 Abs. 1 lit. e und f DSGVO zu rechtfertigen. Im Fall der Rechtsgrundlage des Art. 6 Abs. 1 lit. e DSGVO habe die belangte Behörde verkannt, dass die Beschwerdeführerin nur einem verdünnten Rechtsrahmen unterliege bzw. die von ihr erlassene Richtlinie eine Verordnung darstelle. Zudem hätten durchzuführende Interessenabwägungen zu Gunsten der Beschwerdeführerin ausgehen müssen und liege – im Fall einer Verordnung – kein Widerspruch mit Unionsrecht vor.

12. Mit Schreiben der Datenschutzbehörde vom 11.10.2024 (hg eingelangt am 23.10.2024) wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin wurde auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt.

14. Am 07.03.2025 fand am Bundesverwaltungsgericht eine mündliche Beschwerdeverhandlung statt, in welcher die Parteien die Gelegenheit hatten ihren Standpunkt zu erörtern, eine Zeugenbefragung (der ehemaligen Zweitbeschwerdegegnerin) stattfand und die verfahrensgegenständlichen Rechtsfragen diskutiert wurden.

Soweit verfahrensrelevant wurde ergänzend vorgebracht, dass betreffend die Audioaufzeichnung am 04.07.2023 eine gesetzliche Pflicht im Organisationsplan zur Protokollführung bestehe, die Audioaufzeichnungen der beiden verfahrensgegenständlichen Departmentsitzungen durch einen Laptop ohne externes Mikrophon erfolgt seien und es sich bei der Departmentsitzung um ein Kollegialorgan im Sinne des Organisationsplans handle. Die Departmentleitung treffe jedoch letztendlich – nach außen – alleine die Entscheidung.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Bei der Beschwerdeführerin handelt es sich um eine österreichische Universität für XXXX ( XXXX ) mit einem Standort in XXXX und einem Standort in XXXX und insgesamt 15 Departments (Organisationseinheiten).

1.2. Die mitbeteiligte Partei war im Zeitpunkt der unter 1.4. und 1.5. genannten Datenverarbeitungen als ao. Univ.-Professor im Department für XXXX der Beschwerdeführerin tätig.

1.3. Die ehemalige Zweitbeschwerdegegnerin war im Zeitpunkt der unter 1.4. und 1.5. genannten Datenverarbeitungen als Leiterin des Departments für XXXX der Beschwerdeführerin tätig.

1.4. Im Rahmen einer Departmentsitzung am 04.07.2023, an welcher die mitbeteiligte Partei und andere Personen dienstlich verpflichtend teilnahmen und welche von der ehemaligen Zweitbeschwerdegegnerin geleitet worden ist, fertigte diese mit ihrem Laptop zur Erleichterung der Protokollierung eine Audioaufnahme der Gespräche im Rahmen der Sitzung an und speicherte diese. In weiterer Folge übermittelte diese dem Protokollführer, welche das Sitzungsprotokoll anfertigte, die Audioaufnahme per E-Mail. Die Aufnahme wurde vor Sitzungsbeginn den Teilnehmer:innen nicht bekannt gegeben und war für sie jedenfalls nicht offensichtlich erkennbar.

Dabei wurden u.a. die verbalen Äußerungen der mitbeteiligten Partei im Rahmen der Sitzung erfasst und diese erst nach der genannten Audioaufzeichnung darüber informiert.

Die Audioaufnahme vom 04.07.2023 wurde von der ehemaligen Zeitbeschwerdegegnerin am 28.11.2023 gelöscht.

1.5. Im Rahmen einer weiteren Departmentsitzung am 28.11.2023 fertigte die ehemalige Zweitbeschwerdegegnerin eine weitere Audioaufnahme der Gespräche im Rahmen der Departmentsitzung an. Die mitbeteiligte Partei war bei dieser Sitzung nicht anwesend. Die „technische“ Durchführung der Aufzeichnung (keine Vorabinformation, Laptop ohne externes Mikrophon, keine Offensichtlichkeit) unterschied sich nicht von jener des 04.07.2023; auch diese Aufnahme wurde gelöscht.

1.6. Die Departmentsitzungen dienen der internen Meinungsbildung im Department, wobei die monokratische Struktur des Departments und die alleinige Entscheidungskompetenz des/der Departmentleiter:in (insbesondere im Außenverhältnis) davon nicht berührt ist. Departmentsitzungen sind damit keine „Kollegialorgane“ im Sinne des Universitätsgesetzes.

1.7. Am 25.08.2023 wurde vom Rektorat der Beschwerdeführerin nachfolgendes Mitteilungsblatt veröffentlicht. Dieses lautete auszugsweise wie folgt:

„116. Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments an der XXXX

Das Rektorat hat mit Beschluss vom 08.08.2023 die Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments an der Universität XXXX in der folgenden Fassung beschlossen.

Die Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments an der Universität XXXX , veröffentlicht im Mitteilungsblatt am 01.07.2019, 74.Stück, sind grau hinterlegt ersichtlich.

Rektorat

Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments an derUniversität XXXX

Präambel

Der Organisationsplan der Universität XXXX sieht vor, dass das Rektorat in Absprache mit den Leitungen der Departments nachfolgende Richtlinie erlässt. Diese dient der Stärkung der internen Kommunikation. Transparenz und Nachvollziehbarkeit sowie Einbindung in Meinungsbildungsprozesse sollen dadurch für alle dem jeweiligen Department zugeordneten Angehörigen (§ 22 Abs. 1 Z. 7 UG) gewährleistet werden.

(…)

Protokoll

(1) Über jede Sitzung ist ein Protokoll zu führen, das von der Sitzungsleitung zu unterfertigen ist.

(2) Das Protokoll hat jedenfalls zu enthalten:

- Ort, Datum, Beginn und Ende der Sitzung

- die Namen der Anwesenden der dem Department zugeordneten Angehörigen

- die Namen der nicht Anwesenden der dem Department zugeordneten Angehörigen

- die Tagesordnung

- Berichte, insbesondere zu Personaleinsatz, Sach- und Investitionsbudgets und zu den

Entscheidungen der Departmentsleitung – Entwicklungsplan, Evaluierungen, Wissensbilanz

- Beschlüsse in vollem Wortlaut samt Meinungsbildungsergebnissen

- stichwortartig den wesentlichen Verlauf der Beratungen, soweit dies zum Verständnis der

Beschlüsse notwendig ist

- Beiträge, deren Aufnahme in das Protokoll verlangt werden.

(3) Sämtliche Schriftstücke, die aus Anlass der Sitzung zur Kenntnis gebracht wurden, sind mit dem Protokoll abzulegen.

(4) Das Protokoll ist ehest möglich zu erstellen. Eine Abschrift davon ist schriftlich per E-Mail (an die dienstliche XXXX -E-Mail Adresse) durch die Departmentsleitung an die dem Department zugeordneten Angehörigen und an das Rektorat zu übermitteln. Darüber hinaus können alle Protokolle bei der Departmentsleitung eingesehen werden.

(5) Einwendungen gegen das Protokoll sind spätestens beim Tagesordnungspunkt „Genehmigung des Protokolls“ vorzubringen. Einwendungen können sich nur gegen eine sachlich unrichtige Wiedergabe des Sitzungsverlaufs richten.

Audioaufzeichnungen

Im Rahmen der Departmentsitzung sind für Zwecke der Protokollierung Audioaufzeichnungen durch den*die Protokollführende*n zulässig. Nach Genehmigung des jeweiligen Protokolls sind die Audioaufzeichnungen umgehend zu löschen.

(…)“

1.8. Der Verhaltenskondex („Code of Conduct“) der Beschwerdeführerin, verlautbart mit Mitteilungsblatt vom 14.09.2023, lautet auszugsweise:

„Präambel

Die Universität XXXX versteht sich als künstlerische, pädagogische und wissenschaftliche Bildungs-, Produktions- und Forschungsstätte sowie als Ort der Begegnung, des Entstehens, Weiterentwickelns und Diskurses von Ideen und Konzepten. Personen unterschiedlicher Weltanschauungen, Kulturkreise und Interessenslagen treten miteinander in Dialog, forschen, lehren und arbeiten gemeinsam, um der wissenschaftlichen Forschung und Lehre, der Entwicklung und der Erschließung der Künste sowie der Lehre der Kunst zu dienen und hierdurch auch verantwortlich zur Lösung der Probleme des Menschen sowie zur gedeihlichen Entwicklung der Gesellschaft und der natürlichen Umwelt beizutragen.

Um dieser gesellschaftlichen Verantwortung und der damit einhergehenden Vorbildwirkung bestmöglich nachzukommen, will die Universität XXXX ein wertebasiertes Arbeitsumfeld gewährleisten.

Das Handeln der Mitarbeiter*innen der Universität XXXX ist daher nicht nur gesetzlichen Vorschriften und den von der Universität XXXX selbst erlassenen Regelungen unterworfen, sondern ist dem vorliegenden Code of Conduct verpflichtet und orientiert sich am universitären Gewaltschutzkonzept.

Der Code of Conduct legt für die Mitarbeiter*innen der Universität XXXX einen verbindlichen Handlungsrahmen fest, soll gesetzeskonformes, professionelles und ethisches Verhalten sicherstellen und trägt auch dazu bei, die leitenden Grundsätze der Universität XXXX gemäß § 2 UG zu verwirklichen.

Die Angehörigen der Universität XXXX und externe Personen, die in der Lehre, XXXX und Forschung tätig sind (folgend kurz: Externe) machen sich mit den geltenden Regelungen und Richtlinien vertraut und sind sich ihrer persönlichen Verantwortung bewusst.

Neu aufgenommene Mitarbeiter*innen werden im Zuge des Onboardings mit dem Verhaltenskodex vertraut gemacht.

[…]

§ 3 Wertschätzung und Gesprächskultur

[…]

Im täglichen Miteinander sind angemessene Umgangsformen und eine wertschätzende, respektvolle Gesprächskultur zu praktizie - ren. Ton-, Bild- und Videoaufnahmen ohne vorherige Einwilligung der aufgenommenen Person sind rechtswidrig und unzulässig, ausgenommen Aufzeichnungen für Zwecke der Protokollierung von Sitzungen. Dies gilt für alle Tätigkeitsbereiche und Personen - gruppen.[…]“

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde, dem Gerichtsakt und der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 07.03.2025, insbesondere aus den Angaben der Zeugin und der Verfahrensparteien.

Die Nutzung (lediglich) eines Laptops zur Audioaufzeichnung bedingt, dass diese Aufzeichnung bei der geschilderten Sitzordnung allenfalls für jene Beteiligten offensichtlich sein kann, die einen Blick auf den Bildschirm des Laptop haben. Für die große Mehrheit der Teilnehmer:innen ist eine Erkennbarkeit der Aufnahme unter diesen Umständen hingegen auszuschließen.

Zur Struktur der Departments und deren Entscheidungsfindung haben letztlich alle Beteiligten (insbesondere auch die Beschwerdeführerin und deren Vertreter) eingeräumt, dass die Entscheidung – rechtlich – durch die monokratische Departmentleitung erfolgt, auch wenn inhaltlich im Vorfeld eine zumindest mehrheitliche Unterstützung dieser Entscheidung – eben durch die Departmentsitzungen – zu erreichen versucht wird.

3. Rechtliche Beurteilung:

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gegenständlich liegt gemäß § 27 DSG Senatszuständigkeit vor.

3.1. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist. Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Zu A)

3.3. Die maßgeblichen Bestimmungen der DSGVO:

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3.-6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8.-26. (…)

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: (…)

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) – (4) (…)

3.4. Die maßgeblichen Bestimmungen des DSG:

Artikel 1

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

3.5. Die maßgeblichen Bestimmungen des B-VG und UG:

Artikel 81c B-VG

Universitäten

(1) Die öffentlichen Universitäten sind Stätten freier wissenschaftlicher Forschung, Lehre und Erschließung der Künste. Sie handeln im Rahmen der Gesetze autonom und können Satzungen erlassen. Die Mitglieder universitärer Kollegialorgane sind weisungsfrei.

(2) Bundesgesetzlich kann vorgesehen werden, dass die Tätigkeit an der Universität sowie die Mitwirkung in Organen der Universität und der Studierendenvertretung von Personen, die nicht die österreichische Staatsbürgerschaft besitzen, zulässig ist.

§ 6 UG

Leitung und innere Organisation

(…)

(9) Hinsichtlich der Verarbeitung personenbezogener Daten durch die Universität und der universitären Organe ist die Universität Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG [Datenschutz-Grundverordnung], ABl. Nr. L 119 vom 04.05.2016 S. 1, [im Folgenden: DSGVO].

§ 20 UG

Leitung und innere Organisation

(1) Die obersten Organe der Universität sind der Universitätsrat, das Rektorat, die Rektorin oder der Rektor und der Senat.

(2) Die Mitgliedschaft in mehr als einem der obersten Organe der Universität ist unzulässig.

(3) Die Mitglieder von Kollegialorganen sind bei der Ausübung dieser Funktion an keine Weisungen oder Aufträge gebunden (Art. 81c Abs. 1 B-VG). Sie haben mit einfacher Stimmenmehrheit eine Vorsitzende oder einen Vorsitzenden zu wählen. Kommt eine zur Wahl, Entsendung oder Nominierung von Vertreterinnen und Vertretern in ein Kollegialorgan der Universität berufene Personengruppe dieser Verpflichtung nicht zeitgerecht nach, hat der Universitätsrat dieser Personengruppe eine einmalige Nachfrist zur Nachholung der Wahl, Entsendung oder Nominierung zu setzen. Kommt der Senat seiner Verpflichtung zur Wahl der Mitglieder des Universitätsrats gemäß § 21 Abs. 6 Z 1 oder Abs. 7 nicht zeitgerecht nach, hat die Bundesministerin oder der Bundesminister dem Senat eine einmalige Nachfrist zur Nachholung der Wahl zu setzen. Verstreicht diese Frist ergebnislos, gilt das Kollegialorgan auch ohne Vertreterinnen und Vertreter dieser Personengruppe als gesetzmäßig zusammengesetzt.

(3a) Die Nutzung von Mitteln der elektronischen Kommunikation für Sitzungen von Kollegialorganen ist zulässig. Näheres ist in der Geschäftsordnung des Kollegialorgans zu regeln, wobei insbesondere die sichere Identifizierung der Mitglieder und zuverlässige Feststellung der Erfüllung von Beschlusserfordernissen sicherzustellen sind. Personen, die mit Mitteln der elektronischen Kommunikation an der Sitzung des Kollegialorgans teilnehmen, gelten als persönlich anwesend. Für die vom Senat gemäß § 25 Abs. 7 und 8 eingerichteten Kollegialorgane sind in der Satzung Rahmenbedingungen für die Nutzung von Mitteln der elektronischen Kommunikation festzulegen.

(4) Das Rektorat hat nach Stellungnahme des Senats einen Organisationsplan zu erstellen, der der Genehmigung des Universitätsrats bedarf. Bei der Einrichtung von Organisationseinheiten (Departments, Fakultäten, Institute oder andere Organisationseinheiten) ist auf eine zweckmäßige Zusammenfassung nach den Gesichtspunkten von Forschung, Entwicklung und Erschließung der Künste, Lehre und Lernen sowie Verwaltung zu achten. Das Rektorat hat sicherzustellen, dass den Organisationseinheiten die zur Erfüllung ihrer Aufgaben erforderlichen Ressourcen zugewiesen werden.

(5) Zur Leiterin oder zum Leiter einer Organisationseinheit mit Forschungs- und Lehraufgaben oder Aufgaben der Entwicklung und Erschließung der Künste und der Lehre der Kunst ist vom Rektorat auf Vorschlag der Universitätsprofessorinnen und Universitätsprofessoren der betreffenden Organisationseinheit eine entsprechend qualifizierte Person mit einem aufrechten Dienstverhältnis zum Bund, die der Universität zur Dienstleistung zugewiesen ist, oder einem aufrechten Arbeitsverhältnis zur Universität zu bestellen. Diese Leiterinnen und Leiter haben mit den der betreffenden Organisationseinheit zugeordneten Angehörigen der Universität Zielvereinbarungen über die Leistungen in Forschung oder Entwicklung und Erschließung der Künste sowie in der Lehre abzuschließen, die von diesen Angehörigen zu erbringen sind. Dabei ist auf die Freiheit der Wissenschaft und der Künste und auf einen entsprechenden Freiraum der einzelnen Wissenschafterinnen und Wissenschafter sowie Künstlerinnen und Künstler in der Forschung oder bei der Entwicklung und Erschließung der Künste sowie in der Lehre Bedacht zu nehmen. Nähere Bestimmungen sind in der Satzung festzulegen.

(5a) Die Leiterin oder der Leiter einer Organisationseinheit mit Forschungs- und Lehraufgaben oder Aufgaben der Entwicklung und Erschließung der Künste und der Lehre der Kunst kann vom Rektorat wegen einer schweren Pflichtverletzung, einer strafgerichtlichen Verurteilung, wegen mangelnder gesundheitlicher Eignung oder wegen eines begründeten Vertrauensverlustes von ihrer oder seiner Funktion durch Bescheid abberufen werden.

(6) Jede Universität hat ein Mitteilungsblatt herauszugeben und im Internet auf der Homepage der Universität öffentlich zugänglich zu machen. Im Mitteilungsblatt sind insbesondere kundzumachen:

1. Satzung, Entwicklungsplan und Organisationsplan einschließlich der Personalzuordnung;

2. Eröffnungsbilanz;

3. Leistungsvereinbarung unverzüglich nach deren Abschluss, Rechnungsabschluss und Wissensbilanz unverzüglich nach deren Weiterleitung an die Bundesministerin oder den Bundesminister;

4. Verordnungen und Geschäftsordnungen von Organen;

5. Richtlinien der Leitungsorgane;

6. Curricula;

7. von der Universität zu verleihende akademische Grade sowie Bezeichnungen für die Absolventinnen und Absolventen von Universitätslehrgängen;

8. Mitteilungen an die Studierenden sowie sonstige Verlautbarungen von allgemeinem Interesse;

9. Ausschreibung und Ergebnisse von Wahlen;

10. Ausschreibung von Stellen und Leitungsfunktionen;

11. Mitglieder der Leitungsorgane;

12. Verleihung von Lehrbefugnissen;

13. Berechtigungen und erteilte Bevollmächtigungen;

(Anm.: Z 14 aufgehoben durch Art. 1 Z 4, BGBl. I Nr. 177/2021)

15. Vergütung für die Mitglieder des Universitätsrats.

(7) Personen ohne österreichische Staatsbürgerschaft können – unbeschadet anderer in diesem Bundesgesetz geregelter Voraussetzungen – Organfunktionen im Rahmen von monokratischen und kollegialen Universitätsorganen übernehmen.

§ 25 UG

Leitung und innere Organisation

(1) Der Senat hat folgende Aufgaben:

(…)

14.

Einsetzung von Kollegialorganen mit und ohne Entscheidungsbefugnis (Abs. 7 und 8);

15.

Erlassung von Richtlinien für die Tätigkeit von Kollegialorganen;

16.

Genehmigung der Durchführung von Beschlüssen der entscheidungsbefugten Kollegialorgane;

(…)

(7) Vom Senat können zur Beratung oder Entscheidung einzelner seiner Aufgaben Kollegialorgane eingerichtet werden.

(Anm.: Abs. 7a aufgehoben durch BGBl. I Nr. 21/2015)

(8) Für folgende Angelegenheiten sind entscheidungsbefugte Kollegialorgane einzusetzen:

1. Habilitationsverfahren (§ 103),

2. Berufungsverfahren (§ 98),

3. Studienangelegenheiten gemäß § 25 Abs. 1 Z 10a.

Für die Beschlussfassung über die Einsetzung eines Kollegialorgans gemäß Z 1 und 2 ist neben den sonstigen Beschusserfordernissen eine Mehrheit der anwesenden Mitglieder der Gruppe gemäß Abs. 4 Z 1 einschließlich der sonstigen Mitglieder des Senats mit venia docendi erforderlich.

(…)

(10) Die Kollegialorgane gemäß Abs. 7 und Abs. 8 Z 3 sind längstens für die Dauer der Funktionsperiode des Senats einzurichten. Diese Kollegialorgane sind an die Richtlinien des Senats gebunden und entscheiden in dessen Namen. Der Senat kann eine gemäß Abs. 7 erteilte Entscheidungsvollmacht jederzeit widerrufen. Die Beschlüsse der Kollegialorgane gemäß Abs. 7 und Abs. 8 Z 3 bedürfen der Genehmigung des Senats.

3.6. Die maßgeblichen Bestimmungen des 44. Organisationsplans [Studienjahr 2022/23; Ausgegeben am 01.03.2023] lauten auszugsweise:

1. LEITUNG UND VERWALTUNG

1.1. Oberste Leitungsorgane der Universität

Die obersten Leitungsorgane der Universität XXXX sind gemäß § 20 Abs. 1 UG der Universitätsrat, das Rektorat, die Rektorin und der Senat.

1.2. Rektorat

(…)

1.2.2. Die Aufgaben und die Verteilung der Agenden des Rektorats ergeben sich aus dem Universitätsgesetz sowie der Geschäftsordnung des Rektorats. (…)

2. DEPARTMENTS UND INSTITUTE

2.1. Departments

Folgende Departments mit Aufgaben der Entwicklung und Erschließung der Künste sowie der Lehre der Kunst und der wissenschaftlichen/künstlerischen Forschung und Lehre sind eingerichtet:

(…)

Dept.09 XXXX

(…)

2.2. Leiter*in eines Departments

2.2.1. Die*der Leiter*in eines Departments wird vom Rektorat gemäß § 20 Abs. 5 UG bestellt.

(…)

2.3. Aufgaben der Departmentsleitung

2.3.1. Abschluss einer Zielvereinbarung mit dem Rektorat (i.S.d. § 22 Abs. 1 Z 6 UG).

2.3.2. Entscheidung über den Einsatz des dem Department zugeordneten Personals sowie der dem Department zugewiesenen Finanz‐ und Sachmittel.

2.3.3. Führung der laufenden Geschäfte des Departments.

2.3.4. Die organisatorische Leitung und Koordination der Aufgabenerfüllung (i.S.v. Lehr‐ und Forschungstätigkeit sowie der Tätigkeit im Rahmen der Entwicklung und Erschließung der Künste im Department).

2.3.5. Die Wahrnehmung der unmittelbaren Dienst‐ und Fachaufsicht über das dem Department zugeordnete künstlerische, wissenschaftliche und allgemeine Personal.

(…)

2.3.8. Einrichtung und regelmäßige Nutzung eines Kommunikations‐ und Koordinationsinstrumentariums innerhalb des Departments unter Beteiligung aller im Department tätigen Personengruppen.

2.3.9. Abhaltung von ‐ mindestens zweimal pro Semester stattfindenden ‐ Departmentssitzungen unter Beteiligung aller im Department tätigen Personengruppen. Die Sitzungstermine sollen nach Möglichkeit immer zum Ende des vorangegangenen Semesters festgesetzt werden und sind allen Angehörigen des Departments sowie dem Rektorat schriftlich bekannt zu geben.

2.3.10. Von den Departmentssitzungen ist ein Ergebnisprotokoll anzufertigen, das allen Angehörigen des Departments und dem Rektorat übermittelt wird. Berichtswesen (insbesondere zu Personaleinsatz, Sach‐ und Investitionsbudgets und zu den Entscheidungen der Departmentsleitung − Entwicklungsplan, Evaluierungen, Wissensbilanz) ist ein fester Bestandteil der Tagesordnung und des Ergebnisprotokolls. Das Sitzungsprotokoll hat mindestens zu enthalten:

Ort, Datum, Uhrzeit der Sitzung, Anwesenheiten, Abwesenheiten, besprochene Themen, Unterschrift der*des Departmentleiter*in*s. (…)

3.7. Die maßgeblichen Bestimmungen der am 18.11.2022 erlassenen Geschäftsordnung des Senats der Beschwerdeführerin lauten auszugsweise:

(…)

§ 1 GELTUNGSBEREICH

Diese Geschäftsordnung gilt für den Senat der Universität XXXX sowie für die vom Senat gemäß § 25 Abs 7 und Abs 8 UG eingerichteten Kollegialorgane. Für diese ist in dieser Geschäftsordnung jeweils „Senat“ durch „Kollegialorgan“ zu ersetzen.

(…)

(5) Die Kollegialorgane gemäß § 25 Abs 8 Z 1 und Z 2 UG werden zu ihren konstituierenden Sitzungen von der*dem Vorsitzenden des Senats einberufen und von dieser*diesem bis zur Wahl der*des Vorsitzenden geleitet. Nähere Bestimmungen finden sich im Satzungsteil “Richtlinie für das Berufungsverfahren gemäß § 98 UG 2002 an der Universität XXXX “ und im Satzungsteil *„Habilitationsrichtlinien“.

(6) Die Kollegialorgane gemäß § 25 Abs 8 Z 3 UG werden zu ihren konstituierenden Sitzungen von der*dem Vorsitzenden des Senats einberufen und von dieser*diesem bis zur Wahl der*des Vorsitzenden geleitet. Zur*Zum Vorsitzenden sowie zur*zum stellvertretenden Vorsitzenden ist eine*ein Vertreterin*Vertreter aus einer der Personengruppen gemäß § 94 Abs 2 Z 1 und Z 2 UG zu wählen. Die*Der stellvertretende Vorsitzende wird auf Vorschlag der*des Vorsitzenden gewählt.

(7) Die Kollegialorgane gemäß § 25 Abs 7 UG werden zu ihren konstituierenden Sitzungen von der*dem Vorsitzenden des Senats einberufen und von dieser*diesem bis zur Wahl der*des Vorsitzenden geleitet. Die*Der stellvertretende Vorsitzende wird auf Vorschlag der*des Vorsitzenden gewählt.

(…)“

§ 16 AUDIOAUFNAHMEN

Audioaufnahmen sind für das gemäß § 11 zu erstellende Protokoll zulässig.

(…)

3.8. Darstellung der relevanten Judikatur und Literatur im Zusammenhang mit den strittigen Rechtsfragen:

Öffentliche Universitäten sind nach hL jedenfalls die zum Zeitpunkt der Erlassung des Art 81c B-VG in § 6 UG aufgezählten 21 Universitäten (vgl. Hofstätter in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Art. 81c B-VG Rz 3 (Stand 1.1.2021, rdb.at)).

Sie sind dem Vollzugsbereich der unmittelbaren Bundesverwaltung zuzuordnen, da es sich um „bundesnahe“ Organe handelt (vgl. VwGH 17.12.2014, Ro 2014/10/0120; Muzak, B-VG6 Art 81c Rz 3 (Stand 1.10.2020, rdb.at)).

Teil der universitären Autonomie ist auch die Organisationsautonomie. Explizit in Art. 81c Abs. 1 Satz 2 angesprochen ist die Satzungsautonomie der Universitäten. Danach können die Universitäten in allen universitätsinternen Angelegenheiten, die nicht durch staatliche Rechtsvorschriften geregelt sind, verfassungsunmittelbare gesetzesergänzende VO erlassen (zur »Satzung« iSd Art. 81c B-VG gehören auch der Organisationsplan gemäß § 22 Abs. 1 Z 3 UG) (vgl. Hofstätter in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Art. 81c B-VG Rz 7 (Stand 1.1.2021, rdb.at)).

Art. 81c Abs. 1 Satz 3 stellt alle Mitglieder universitärer Kollegialorgane (zB Universitätsrat, Rektorat, Senat, Schiedskommission, Arbeitskreis für Gleichbehandlungsfragen, Berufungs- und Habilitationskommissionen) weisungsfrei. Diese Gewährleistung der Weisungsfreiheit bezieht sich auf den inneruniversitären Bereich, Weisungen staatlicher Organe sind schon auf Grund der universitären Autonomie ausgeschlossen (RV 314 BlgNR 23. GP 11). Die monokratischen Universitätsorgane sind dagegen an die Weisungen des jeweils übergeordneten Organs (zB Dekan, Rektor gemäß § 23 Abs. 1 Z 5 UG) gebunden, wobei in Angelegenheiten der Lehre und Forschung Art. 17 und Art. 17a StGG Weisungen regelmäßig ausschließen (vgl. Kucsko-Stadlmayer in Perthold-Stoitzner, Art 81c B-VG Rz 13; Hofstätter in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Art. 81c B-VG Rz 9 (Stand 1.1.2021, rdb.at)).

Autonomie „im Rahmen der Gesetze“ heißt Freiheit besteht dort, wo eine gesetzliche Regelung nicht besteht. Insofern kommt der Universität ein im Vergleich zu Art. 18 Abs. 1 B-VG größerer Gestaltungsspielraum zu (vgl VfSlg 20.016; Muzak, B-VG6 Art 81c Rz 7 (Stand 1.10.2020, rdb.at)).

Die Verordnungskompetenz der Universitäten unterliegt daher nur einer verdünnten Gesetzesbindung. Verordnungen der Universitätsorgane in den in Art. 81c Abs. 1 B-VG umschriebenen Angelegenheiten dürfen zwar nicht gegen bestehende Gesetze verstoßen, sie bedürfen aber keiner gesetzlichen Grundlage iSd Art. 18 Abs. 2 B-VG. Während Art. 81c Abs. 1 B-VG die Bezeichnung „Satzung“ umfassend für alle in dieser Bestimmung genannten Angelegenheiten verwendet, ist der Satzungsbegriff des UG enger, weil er sich gemäß § 19 Abs. 1 UG nur auf die „erforderlichen Ordnungsvorschriften“ bezieht (vgl. Perthold-Stoitzner, UG3.02 § 19 Rz 1, 2 (Stand 1.9.2023, rdb.at)).

Das UG verteilt die wesentlichen Aufgaben der Universitäten auf die im § 20 Abs. 1 genannten obersten Organe und beruft diese gleichzeitig zur gegenseitigen Kontrolle durch Bindung an Vorschläge, Genehmigungserfordernisse etc. Das UG sieht unterhalb der obersten Leitungsebene (Abs. 1) nur vereinzelt besondere Organisationseinheiten unmittelbar vor (z.B. § 25 Abs. 7 und 8, §§ 30, 40, 42 f UG). Im Übrigen ergibt sich die Organisationsstruktur aus dem Organisationsplan (vgl. Perthold-Stoitzner, UG3.02 § 20 (Stand 1.9.2023, rdb.at)).

Die Weisungsfreiheit gilt für die im § 20 Abs. 1 UG vorgesehenen kollegialen obersten Leitungsorgane wie auch für Kollegialorgane, die vom Senat einzurichten sind (§ 25 Abs. 1 Z 14, Abs. 7 und 8 UG); ob ein Kollegialorgan Entscheidungsbefugnis hat, ist nicht relevant. Als Kollegialorgan iSd § 20 Abs. 3 UG sind auch der Arbeitskreis für Gleichbehandlungsfragen, die Schiedskommission, Prüfungssenate sowie der Gründungskonvent anzusehen (vgl. Perthold-Stoitzner, UG3.02 § 20 Rz 4 (Stand 1.9.2023, rdb.at)).

Der Organisationsplan ist – ebenso wie die im § 19 UG vorgesehene Satzung – eine Verordnung, die ihre verfassungsrechtliche Grundlage in Art. 81c Abs. 1 B-VG findet (vgl. Perthold-Stoitzner, UG3.02 § 20 Rz 7 (Stand 1.9.2023, rdb.at)).

Mit dem Organisationsplan werden die Organisationseinheiten eingerichtet; aus ihm ergibt sich auch, welche Aufgaben eine Organisationseinheit zu erfüllen hat. Der Leiter der Organisationseinheit ist auf deren Vorschlag vom Rektorat zu bestellen (vgl. Perthold-Stoitzner, UG3.02 § 20 Rz 9 (Stand 1.9.2023, rdb.at)).

Der Senat kann für bestimmte Angelegenheiten Kollegialorgane einsetzen (Abs. 7), für bestimmte Angelegenheiten muss er Kollegialorgane einsetzen (Abs. 8). Die Mitglieder der Kollegialorgane müssen nicht dem Senat angehören. Sie sind gemäß Art. 81c Abs. 1 B-VG (vgl. auch § 20 Abs. 3 UG) weisungsfrei. Zwingend sind Kollegialorgane für Habilitationsverfahren, für Berufungsverfahren und für die Erlassung und Änderung von Curricula (Abs. 1 Z 10) einzurichten (vgl. Perthold-Stoitzner, UG3.02 § 25 Rz 7,9 (Stand 1.9.2023, rdb.at)).

Das im § 20 Abs. 6 vorgesehene Mitteilungsblatt ist das offizielle Kundmachungsorgan der Universität. Das Mitteilungsblatt dient nicht nur der Kundmachung von rechtlich relevanten Umständen, sondern soll auch solche Mitteilungen veröffentlichen, die sonst von allgemeinem Interesse sind (vgl. Perthold-Stoitzner, UG3.02 § 20 Rz 11 (Stand 1.9.2023, rdb.at)).

3.9. In der Sache:

Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Unter schutzwürdigen personenbezogenen Daten sind in diesem Zusammenhang nicht nur unschwer als personenbezogene erkennbare Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen, sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig.

Nach § 1 Abs. 2 DSG sind Beschränkungen des Geheimhaltungsanspruchs nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig. Behördliche Eingriffe dürfen nur auf Grund von Gesetzen erfolgen, die einem legitimen Ziel iSd Art 8 Abs. 2 EMRK dienen (materieller Gesetzesvorbehalt) und im Hinblick auf dieses Ziel notwendig (verhältnismäßig) sind (vgl. z.B. VfSlg 16.369/2001; 18.975/2009; 19.657/2012; VfGH 11.12.2019, G 72/2019; Grabenwarter/Frank, B-VG § 1 DSG Rz 6 (Stand 20.6.2020, rdb.at)). Der Eingriff durch eine Behörde iSd § 1 Abs. 2 ist im funktionellen Sinn zu verstehen (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 1 Rz 49 (Stand 1.2.2022, rdb.at)).

Vorweg ist festzuhalten, dass es sich bei den Audioaufnahmen der Departmentsitzungen (wobei die mitbeteiligte Partei nur mit der Aufzeichnung vom 04.07.2023 erfasst wurde), um eine Verarbeitung (iSd Art. 4 Z 2 DSGVO – aufgrund des Speicherns) von personenbezogenen Daten gemäß Art. 4 Z 1 DSGVO handelt. Die Verantwortlicheneigenschaft (Art. 4 Z 7 DSGVO) der Beschwerdeführerin wurde in ihrer Beschwerde nicht bestritten und ist für den erkennenden Senat eine diesbezüglich unrichtige rechtliche Qualifikation nicht ersichtlich.

Wie bereits durch die belangte Behörde festgestellt, handelt es sich bei der Beschwerdeführerin um eine juristische Person des öffentlichen Rechts (vgl. § 4 Abs. 1 UG; § 6 Abs. 1 Z 18 UG). Ihr ist gemäß § 6 Abs. 9 UG die Verarbeitung personenbezogener Daten durch die Universität und der universitären Organe im Sinne des Art. 4 Z 7 DSGVO zuzurechnen.

Die Rolle des für die Verarbeitung Verantwortlichen definiert sich durch drei Merkmale: 1. jede natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle (personenbezogener Aspekt), 2. die allein oder gemeinsam mit anderen (pluralistische Kontrolle), 3. über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden (Entscheidungsfunktion). Entscheidend für die Zuweisung der Verantwortlichkeit ist, wer über die wesentlichen Aspekte der Mittel der Verarbeitung entscheidet. Trifft jemand die Entscheidung, dass Daten zu verarbeiten sind, sind ihm sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw. Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane). Als Mittel sind nicht nur die technischen und organisatorischen Methoden gemeint, sondern das „Wie“ der Verarbeitung (vgl. Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 80 - 86 (Stand 1.12.2018, rdb.at)).

Grundsätzlich kann davon ausgegangen werden, dass jede Verarbeitung personenbezogener Daten durch eine Mitarbeiterin im Tätigkeitsbereich einer Organisation unter der Kontrolle dieser Organisation erfolgt. Unter außergewöhnlichen Umständen kann es jedoch vorkommen, dass eine Beschäftigte beschließt, personenbezogene Daten für ihre eigenen Zwecke zu verwenden, wodurch die ihr erteilte Befugnis unrechtmäßig überschritten wird (z.B. Gründung eines eigenen Unternehmens o.ä.). Daher hat die Organisation als Verantwortlicher dafür zu sorgen, dass angemessene technische und organisatorische Maßnahmen, wie z.B. Schulungen und Informationen für Mitarbeiter, ergriffen werden, um die Einhaltung der DSGVO sicherzustellen (vgl. die Leitlinien zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0., angenommen am 07.07.2021, Rz 19 mit Verweis auf Art. 24 Abs. 1 DSGVO).

3.10. Zur rechtlichen Qualifikation der Departementleitung bzw. der Departmentsitzung:

Die Beschwerdeführerin behauptete in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 07.03.2025 nunmehr, dass sich das Kollegialorgan der Departmentsitzung direkt aus dem Organisationsplan ergebe. Dem kann aufgrund nachfolgender Erwägungen nicht gefolgt werden:

Bei der Departmentsitzung handelt es sich um keines der obersten Organe der Beschwerdeführerin (vgl. § 20 Abs. 1 UG). Ein behauptetes weisungsfreies Kollegialorgan kann somit nur durch den Senat der Beschwerdeführerin eingerichtet werden (vgl. §§ 20 Abs. 3, 25 Abs. 1 Z 14 Abs. 7 und 8 UG), ob dieses Entscheidungsbefugnisse inne hat oder nicht ist irrelevant. Als Kollegialorgan iSd § 20 Abs. 3 UG sind auch der Arbeitskreis für Gleichbehandlungsfragen (§ 42 UG), die Schiedskommission (§ 43 UG), Prüfungssenate (§ 77 Abs 3 UG) sowie der Gründungskonvent (§ 120 UG) anzusehen (vgl. Perthold-Stoitzner, UG3.02 § 20 Rz 4 (Stand 01.09.2023, rdb.at)), nicht jedoch Departments, die im Klammerausdruck des § 20 Abs. 4 UG explizit nicht als Kollegialorgan, sondern als „Organisationseinheit“ angeführt sind. Die Satzungsteile der Beschwerdeführerin enthalten zudem keine Bestimmungen oder Hinweise zum „Kollegialorgan der Departmentsitzung“. Der Organisationsplan wird vom Rektorat, mit Zustimmung des Senats und Genehmigung des Universitätsrates, erlassen. Gemäß Punkt 2.3.8. des 44. Organisationsplans der Beschwerdeführerin ist es gerade die Aufgabe der Departmentleitung ein Kommunikations- und Koordinierungsinstrumentarium (die Departmentsitzung) einzurichten. Die Departmentleitung wird vom Rektorat auf eine bestimmte Zeit bestellt (vgl. § 20 Abs. 5 UG sowie Punkt 2.2.1 des Organisationsplans). Dem Rektor bzw. der Rektorin kommt nach dem UG die Funktion des obersten Vorgesetzten des gesamten Universitätspersonals - somit auch gegenüber der Leitung einer Organisationseinheit – zu.

Vor diesem Hintergrund ist festzuhalten, dass die Leitung der Departments der Beschwerdeführerin monokratisch organisiert ist und eine Departmentsitzung – als beratendes Instrumentarium – erst durch die Departmentleitung einzurichten ist. Im Umkehrschluss ergibt sich somit, dass die Departmentsitzung nicht durch den Senat eingerichtet wird oder der 44. Organisationsplan der Beschwerdeführerin durch diesen unmittelbar erlassen wurde. Im Außenverhältnis – wie auch die Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 07.03.2025 zugestand – ist allein die Departmentleitung für verbindliche Entscheidungen verantwortlich.

Damit fehlt es an einem gemäß § 25 Abs. 7 UG vom Senat eingerichteten und weisungsfreien Kollegialorgan. Zudem handelt es sich um keines der in § 25 Abs. 8 UG verpflichtend vorgesehenen Kollegialorgane, welche auch in der Satzung der Beschwerdeführerin bereits vorgesehen sind. Auch die Ableitung der Departmentsitzung aus dem Organisationsplan – als Kollegialorgan – scheidet somit aus.

Gegenständlich handelte es sich ohne Zweifel um eine Datenverarbeitung im direkten Zusammenhang mit der beruflichen Tätigkeit der ehemaligen Zweitbeschwerdegegnerin als Leiterin eines Departments. Ein privater Konnex ist nicht erkennbar. Es ist bereits aufgrund des Organisationsplans der Beschwerdeführerin, welcher rechtlich als Verordnung zu qualifizieren ist, ein verpflichtendes Ergebnisprotokoll dieser Sitzungen anzufertigen, wobei eine konkrete Art der Protokollführung nicht vorgegeben war. Der Mindestinhalt des Protokolls ergibt sich aus Punkt 2.3.10. des 44. Organisationsplans der Beschwerdeführerin. Der erkennende Senat übersieht nicht, dass die ehemalige Zweitbeschwerdegegnerin zwar über die konkreten Mittel der Protokollierung entschied (Aufnahme der Sitzung mittels privatem Laptop), jedoch ausschließlich ihre Dienstpflicht, aufgrund verpflichtender Vorgaben der Beschwerdeführerin, erfüllte.

In der Folge kommt es zu einer funktionellen Zurechnung des Handelns der ehemaligen Zweitbeschwerdegegnerin zur Beschwerdeführerin (§ 6 Abs. 9 UG) und ist den rechtlichen Ausführungen der belangten Behörde nicht entgegenzutreten.

3.11. Zur Datenverarbeitung vom 04.07.2023 (Spruchpunkt 1.):

Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie (unter Einhaltung der in Art. 5 Abs. 1 DSGVO genannten Verarbeitungsgrundsätze) auf Grund einer der in Art. 6 DSGVO genannten Erlaubnistatbestände erfolgt. Gemäß Art. 6 Abs. 1 lit. e DSGVO ist sie u.a. dann zulässig, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt, wobei gemäß Art 6 Abs. 3 DSGVO die Rechtsgrundlage für die Verarbeitungen nach dieser Bestimmung durch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt wird.

Von Behörden – die Beschwerdeführerin ist aufgrund des funktionalen Behördenbegriffs und ihrer hoheitlichen Aufgaben als juristische Person des öffentlichen Rechts, hier der „Entwicklung und Erschließung der Künste sowie der Lehre der Kunst und der wissenschaftlichen/künstlerischen Forschung und Lehre“ als solche zu betrachten – in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung können laut Art. 6 Abs. 1 letzter Satz DSGVO nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden.

Somit ist die Heranziehung des von der Beschwerdeführerin in ihrer Beschwerde vorgebrachten Erlaubnistatbestands des Art. 6 Abs. 1 lit. f DSGVO, zur Rechtfertigung der durchgeführten Datenverarbeitung am 04.07.2023, ausgeschlossen.

Darüber hinaus mangelte es im Zeitpunkt der Departmentsitzung an den ins Treffen geführten weiteren Rechtsgrundlagen (Code of Conduct veröffentlicht am 14.09.2023, Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen veröffentlicht am 25.08.2023). Diese scheiden bereits aufgrund der zeitlichen Divergenz als mögliche Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. e DSGVO aus.

Mangels der Qualifikation der Departmentsitzung als „vom Senat eingerichtetes Kollegialorgan“ ist die Heranziehung der Bestimmung der Geschäftsordnung des Senats (insbesondere §§ 1 und 16 der Geschäftsordnung des Senats) ebenfalls ausgeschlossen.

Auch andere belastbare Rechtsgrundlagen, welche für eine Datenverarbeitung gemäß Art. 6 Abs. 1 lit. e DSGVO herangezogen werden könnten, sind für den erkennenden Senat nicht ersichtlich.

In Ermangelung jeglicher Rechtsgrundlagen war die Audioaufnahme der Departmentsitzung am 04.07.2023 – mit den erfassten verbalen Äußerungen der mitbeteiligten Partei –unrechtmäßig und die Beschwerde gegen Spruchpunkt 1. des Bescheides als unbegründet abzuweisen.

3.12. Zur Datenverarbeitung vom 28.11.2023 (Spruchpunkt 4.):

Die belangte Behörde nahm in diesem Zusammenhang ihre Aufgabe gemäß Art. 58 Abs. 2 lit. b DSGVO – ohne eine Betroffenheit der mitbeteiligten Partei – amtswegig wahr (zur Zulässigkeit siehe BVwG vom 16.11.2022, W274 2237056-1/8E, 31.7.2024, W108 2284491-1/15E).

Die Datenverarbeitung betreffend die Departmentsitzung vom 28.11.2023 unterscheidet sich nur dadurch von jener am 04.07.2023, dass die Beschwerdeführerin in der Zwischenzeit mehrere – oben festgestellte – Vorschriften im Mitteilungsblatt der Universität veröffentlicht hatte, welche als taugliche Rechtsgrundlage im Sinne des Art. 6 Abs. 1 lit. e DSGVO dienen könnten.

Die von der Beschwerdeführerin angedachte „analoge“ Heranziehung der oben angeführten Richtlinie des Rektorats als Grundlage für die Kommunikations- und Meinungsbildungsprozesse der Departments im Sinne einer Geschäftsordnung der Departmentsitzung scheitert aber bereits an dem oben (I.1.6.) festgestellten Fehlens eines Kollegialorgans.

Verfahrensgegenständlich ist daher zu prüfen, ob die festgestellten Vorschriften, welche durch das Rektorat erlassen wurden, eine Rechtsgrundlage iSd Art. 6 Abs. 3 DSGVO darstellen.

Unter einer Verordnung ist – unabhängig von der Bezeichnung – jeder generelle, also an die Allgemeinheit überhaupt oder an einen nach Gattungsmerkmalen umschriebenen Personenkreis gerichtete, normative Akt der Verwaltung zu verstehen (vgl. VfSlg 2071/1950; 17.137/2004 mwN; grundlegend VfSlg 1398/1931). Ob einem generellen Verwaltungsakt Verordnungscharakter zukommt, richtet sich nach seinem Inhalt: Ein als Rundschreiben, Erlass, Richtlinie oä bezeichneter Verwaltungsakt ist als Verordnung zu qualifizieren, wenn er sich nicht in einer bloßen Wiederholung des Gesetzestextes erschöpft, sondern das Gesetz bindend auslegt (z.B. VfSlg 5905/1969; 13.632/1993) (vgl. Grabenwarter/Frank, B-VG Art 139 Rz 2 (Stand 20.06.2020, rdb.at)).

Nach ständiger Judikatur sind für die Qualität als VO „nicht der formelle Adressatenkreis und die äußere Bezeichnung und auch nicht die Art der Verlautbarung, sondern nur der Inhalt des Verwaltungsaktes maßgebend“ (VfSlg 12.744, 13.578, 17.244, 17.806; vgl schon VfSlg 2465). Auch die Intention der Behörde ist nicht entscheidend (VfSlg 11.624, 12.574, 15.189).

Allgemeine Anordnungen von Verwaltungsbehörden, die sich nicht an die Rechtsunterworfenen richten, sondern nur an nachgeordnete Verwaltungsbehörden sind generelle Weisungen, die auch als Erlass oder Verwaltungsverordnung bezeichnet werden. Enthalten solche Verwaltungsverordnungen auch Regelungen, welche sich an Rechtsunterworfene richten, so handelt es sich um eine Rechtsverordnung (vgl. VfGH Beschluss vom 01.03.1990, V 60/89).

Einer Richtlinie kommt dann nicht die Eigenschaft einer Rechtsverordnung zu, wenn sie nach ihrer sprachlichen Fassung als eine nur intern wirkende Regelung im Interesse einer einheitlichen Ermessensübung gedeutet werden kann (vgl. VwGH 14.12.1994, GZ: 94/12/0121).

Als zentrales Element einer (Rechts-)Verordnung gilt die Außenwirkung: Wenn Richtlinien nach ihrer sprachlichen Fassung als eine nur intern wirkende Regelung im Interesse einer einheitlichen Ermessensübung gedeutet werden können, fehlt es an der notwendigen Außenwirkung (vgl. Muzak, B-VG6 Art 18 Rz 18 (Stand 1.10.2020, rdb.at)).

Nach der Rechtsprechung des Verwaltungsgerichtshofes überlässt es das Regelungssystem des UG 2002 der Hochschulautonomie, ihre Organisation im Rahmen der Vorgaben des UG 2002 zu regeln (vgl. VwGH 12.05.2010, 209/12/0140).

Allerdings normiert das UG für die Erlassung der Satzung bestimmte Erzeugungsregeln. So kann die Satzung nach dem ausdrücklichen Wortlaut des § 19 Abs. 1 UG nur vom Senat auf Vorschlag des Rektorats erlassen werden (vgl. hierzu auch Perthold-Stoitzner, UG3.02 § 19 Rz 4 (Stand 01.09.2023, rdb.at)). Da die gegenständlichen Beschlüsse vom Rektorat – und nicht vom Senat – erlassen wurden, kann es sich bei diesen nicht um Teile der Satzung der Beschwerdeführerin handeln. Somit gehen die Verweise der Beschwerdeführerin in ihrer Beschwerde auf weitere bzw. ähnliche Regelungen anderer Universitäten ins Leere, da es sich bei diesen um Verordnungen aufgrund des B-VG und UG bzw. Satzungsteile handelt.

Bereits aus der Präambel der festgestellten Richtlinie des Rektorats geht hervor, dass sich diese ausschließlich an Angehörige eines Departments richtet (vgl. § 22 Abs. 1 Z 7 UG). Die Richtlinie soll dabei der Stärkung der internen Kommunikation bei den Aufgaben der einzelnen Departments dienen, insbesondere durch eine Departmentsitzung, welche nach den angeführten Regeln abzuhalten ist. Hingegen kann eine Regelung, welche Außenwirkung (somit das Verhalten von Externen regelt) entfaltet, der Richtlinie nicht entnommen werden.

Es ist somit davon auszugehen, dass das Rektorat (als oberstes Organ) eine Verwaltungsverordnung (eine generelle Weisung) für alle Departments bzw. die Departmentleitungen geschaffen hat, um eine einheitliche interne Kommunikation/Willensbildung zu gewährleisten. Dass diese im Mitteilungsblatt verlautbart wurde schadet nicht (vgl. § 20 Abs. 6).

Aufgrund identer Beweggründe (vgl. erneut die Präambel sowie die ausschließliche Regelung des internen Umgangs sowie das Verhalten der Bediensteten und die Erlassung durch das Rektorat) bildet auch der „Verhaltenskodex“ keine ausreichende rechtliche Grundlage für die hier in Rede stehende Datenverarbeitung.

Im Ergebnis gebricht es der am 25.08.2023 veröffentlichten Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments sowie § 3 des am 14.09.2023 veröffentlichten „Code of Conduct“ am notwendigen Verordnungscharakter, um eine rechtliche Grundlage für den Erlaubnistatbestand des Art. 6 Abs. 1 lit. e DSGVO bilden zu können.

Die Behandlung des weiteren Beschwerdevorbringens bzw. eine allfällige Verdrängung der vorgebrachten Regelungen durch das Unionsrecht konnte daher unterblieben.

Vor diesem Hintergrund ist die seitens der Datenschutzbehörde ausgesprochene Verwarnung als vertretbar anzusehen, weshalb die diesbezügliche Beschwerde auch hinsichtlich ihres vollen Umfangs abzuweisen ist.

Zu B) Unzulässigkeit der Revision:

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.