{"check":null,"uid":"0662729848436268","title":"Суды общей юрисдикции Австрии — 34R58/26w — Rechtssatz","title_generated":false,"country":"Австрия","organ":"Суды Австрии (RIS)","kind":"case","kind_name":"Судебная практика","lang":"de","date":"2026-07-31","summary":"Отклонила жалобу покупателя на передачу его данных ирландским оператором маркетплейса получателям в США и Китае. Для США действует решение Еврокомиссии об адекватности (Data Privacy Framework, решение (ЕС) 2023/1795), оба получателя значатся в списке DPF. Адекватности для Китая нет, но единственная передача продавцу при оформлении заказа подпадает под исключение ст. 49(1)(b) GDPR — необходимость исполнения договора; «эпизодичность» толкуется как «в случае заказа». Ирландский DPC отказался вести дело, поэтому спор рассмотрела австрийская служба. Требование остановить потоки данных всех европейских пользователей отклонено. Решение не окончательно, срок обжалования в Федеральный административный суд открыт.","snippet":"","topics":["Персональные данные","Цифровые платформы и сервисы"],"status":"ok","error":"","text_len":43365,"versions":1,"url":"https://ogd.ris.bka.gv.at/Dokumente/Dsk/DSBT_20260731_2026_0_617_893_00/DSBT_20260731_2026_0_617_893_00.html","first_seen":"2026-08-20","last_checked":"2026-09-17 02:52","relevance":"hit","score":97,"query":"personenbezogene Daten","source_key":"ris_at_case","verdict":{"relevance":"hit","score":97,"topics":["Персональные данные","Цифровые платформы и сервисы"],"need_body":3,"authorities":[{"kind":"орган","name":"Datenschutzbehörde","topic":"Персональные данные"},{"kind":"акт","name":"GDPR","topic":"Персональные данные"},{"kind":"акт","name":"DSGVO","topic":"Персональные данные"},{"kind":"акт","name":"Datenschutz-Grundverordnung","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"},{"kind":"акт","name":"DSG","topic":"Персональные данные"}],"evidence":[{"topic":"Цифровые платформы и сервисы","term":"маркетплейс","weak":false,"pos":128,"ctx":"26w — rechtssatz отклонила жалобу покупателя на передачу его данных ирландским оператором маркетплейса получателям в сша и китае. для сша действует решение еврокомиссии об адекватности (data p","zone":"название","weight":3},{"topic":"Персональные данные","term":"privacy","weak":true,"pos":229,"ctx":"а получателям в сша и китае. для сша действует решение еврокомиссии об адекватности (data privacy framework, решение (ес) 2023/1795), оба получателя значатся в списке dpf. адекватности дл","zone":"название","weight":1},{"topic":"Персональные данные","term":"gdpr","weak":false,"pos":433,"ctx":"динственная передача продавцу при оформлении заказа подпадает под исключение ст. 49(1)(b) gdpr — необходимость исполнения договора; «эпизодичность» толкуется как «в случае заказа». ирл","zone":"название","weight":3},{"topic":"Персональные данные","term":"datenschutz","weak":false,"pos":22,"ctx":"entscheidende behörde datenschutzbehörde  entscheidungsdatum 31.07.2026  geschäftszahl 2026-0.617.893  anfechtung beim bvwg/vwgh/v","zone":"текст","weight":1},{"topic":"Персональные данные","term":"datenschutz","weak":false,"pos":774,"ctx":"rechtschreib-, grammatik- und satzzeichenfehler wurden korrigiert.]  bescheid spruch die datenschutzbehörde entscheidet über die datenschutzbeschwerde von bruno a*** (beschwerdeführende partei), ve","zone":"текст","weight":1},{"topic":"Персональные данные","term":"datenschutz","weak":false,"pos":814,"ctx":"enfehler wurden korrigiert.]  bescheid spruch die datenschutzbehörde entscheidet über die datenschutzbeschwerde von bruno a*** (beschwerdeführende partei), vertreten durch den m***-datenschutz-verband","zone":"текст","weight":1},{"topic":"Персональные данные","term":"datenschutz","weak":false,"pos":905,"ctx":"atenschutzbeschwerde von bruno a*** (beschwerdeführende partei), vertreten durch den m***-datenschutz-verband vom 16. jänner 2025 gegen die n*** technology limited (beschwerdegegnerische part","zone":"текст","weight":1},{"topic":"Персональные данные","term":"personenbezogene daten","weak":false,"pos":1082,"ctx":"gnerische partei) wegen einer verletzung von kapitel v der dsgvo infolge der übermittlung personenbezogener daten an empfänger in den vereinigten staaten von amerika und in der volksrepublik china wie fo","zone":"текст","weight":1},{"topic":"Персональные данные","term":"datenschutz","weak":false,"pos":1204,"ctx":"nger in den vereinigten staaten von amerika und in der volksrepublik china wie folgt: die datenschutzbehörde entscheidet über die datenschutzbeschwerde von bruno a*** (beschwerdeführende partei), ve","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Datenschutzbehörde","weak":false,"pos":791,"ctx":"тельно, срок обжалования в Федеральный административный суд открыт. Entscheidende Behörde Datenschutzbehörde  Entscheidungsdatum 31.07.2026  Geschäftszahl 2026-0.617.893  Anfechtung beim BVwG/VwGH/V","zone":"орган","weight":3},{"topic":"Персональные данные","term":"GDPR","weak":false,"pos":433,"ctx":"динственная передача продавцу при оформлении заказа подпадает под исключение ст. 49(1)(b) GDPR — необходимость исполнения договора; «эпизодичность» толкуется как «в случае заказа». Ирл","zone":"акт","weight":0},{"topic":"Персональные данные","term":"DSGVO","weak":false,"pos":1820,"ctx":"echnology Limited (beschwerdegegnerische Partei) wegen einer Verletzung von Kapitel V der DSGVO infolge der Übermittlung personenbezogener Daten an Empfänger in den Vereinigten Staaten","zone":"акт","weight":0},{"topic":"Персональные данные","term":"Datenschutz-Grundverordnung","weak":false,"pos":2619,"ctx":"Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und","zone":"акт","weight":0},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":2609,"ctx":"1 lit. b, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§","zone":"акт","weight":0},{"topic":"Персональные данные","term":"DSG","weak":false,"pos":2769,"ctx":"L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF., Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10","zone":"акт","weight":0}],"dropped":[{"topic":"Электронная коммерция и платежи","term":"e-commerce","weak":false,"pos":3806,"ctx":"ie plattform „x***trade“ im europäischen wirtschaftsraum. die plattform versteht sich als e-commerce marktplatz, welcher konsumenten mit händlern und anbietern von produkten (vor allem aus d","why":"одиночное упоминание (нужно 3)"},{"topic":"Цифровые платформы и сервисы","term":"social media","weak":true,"pos":40534,"ctx":"lg traunstein 08.07.2024, 9 o 173/24). gleichwohl diese überlegungen unter bezugnahme auf social-media-plattformen angestellt wurden, können sie auf den gegenständlichen fall übertragen werden","why":"одиночное упоминание (нужно 3)"}]},"last_changed":"2026-08-20","meta":{"dokumentnummer":"DSBT_20260731_2026_0_617_893_00"},"source_url":"https://ogd.ris.bka.gv.at/Dokumente/Dsk/DSBT_20260731_2026_0_617_893_00/DSBT_20260731_2026_0_617_893_00.html","text":"Entscheidende Behörde\nDatenschutzbehörde\n\nEntscheidungsdatum\n31.07.2026\n\nGeschäftszahl\n2026-0.617.893\n\nAnfechtung beim BVwG/VwGH/VfGH\nDieser Bescheid ist NICHT rechtskräftig. Die Frist für eine Bescheidbeschwerde an das Bundesverwaltungsgericht (BVwG) ist im Zeitpunkt der Veröffentlichung noch offen.\n\nText\nGZ: 2026-0.617.893 vom 31. Juli 2026 (Verfahrenszahl: D130.2269)\n[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]\n\nBESCHEID\nSPRUCH\nDie Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Bruno A*** (beschwerdeführende Partei), vertreten durch den M***-Datenschutz-Verband vom 16. Jänner 2025 gegen die N*** Technology Limited (beschwerdegegnerische Partei) wegen einer Verletzung von Kapitel V der DSGVO infolge der Übermittlung personenbezogener Daten an Empfänger in den Vereinigten Staaten von Amerika und in der Volksrepublik China wie folgt: Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Bruno A*** (beschwerdeführende Partei), vertreten durch den M***-Datenschutz-Verband vom 16. Jänner 2025 gegen die N*** Technology Limited (beschwerdegegnerische Partei) wegen einer Verletzung von Kapitel römisch fünf der DSGVO infolge der Übermittlung personenbezogener Daten an Empfänger in den Vereinigten Staaten von Amerika und in der Volksrepublik China wie folgt:\n-\nDie Beschwerde wird als unbegründet abgewiesen .\n\nRechtsgrundlagen : Art. 1, Art. 45, Art. 46, Art. 49 Abs. 1 lit. b, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF., Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen (Data Privacy Framework) EU-USA Rechtsgrundlagen: Artikel eins,, Artikel 45,, Artikel 46,, Artikel 49, Absatz eins, Litera b,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF., Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen (Data Privacy Framework) EU-USA\nBEGRÜNDUNG\nI. römisch eins.\nBeschwerdegegenstand\n\nAusgehend vom Vorbringen der beschwerdeführenden Partei (im Folgenden: BF) besteht der Beschwerdegegenstand in der Frage, ob die beschwerdegegnerische Partei (im Folgenden: BG) die BF durch die Übermittlung von personenbezogenen Daten in die USA und in die Volksrepublik China in ihren Rechten nach Kapitel V der DSGVO verletzt hat. Ausgehend vom Vorbringen der beschwerdeführenden Partei (im Folgenden: BF) besteht der Beschwerdegegenstand in der Frage, ob die beschwerdegegnerische Partei (im Folgenden: BG) die BF durch die Übermittlung von personenbezogenen Daten in die USA und in die Volksrepublik China in ihren Rechten nach Kapitel römisch fünf der DSGVO verletzt hat.\nII. römisch zwei.\nSachverhaltsfeststellungen\n\n1. Die BG hat ihren Sitz in Irland und betreibt die Plattform „X***TRADE“ im Europäischen Wirtschaftsraum. Die Plattform versteht sich als E-Commerce Marktplatz, welcher Konsumenten mit Händlern und Anbietern von Produkten (vor allem aus dem asiatischen Raum) verbindet. Konsumenten müssen dazu ein Konto auf der Plattform der BG anlegen und die jeweiligen Nutzungsbedingungen akzeptieren. Der Vertrag über den Kauf einzelner Produkte kommt hingegen mit dem jeweiligen Verkäufer, der seine Produkte auf der Plattform „X***TRADE“ anbietet, zu Stande.\n2. Die BF hat am 19. August 2024 ein Konto auf der Plattform der BG angelegt. Ein weiterer Login ist für den 25. November 2024 registriert.\n3. Die BG verarbeitet die folgenden Daten der BF: E-Mail-Adresse, Login und Passwort, Name, Telefonnummer, Lieferadresse, Informationen über die Seitenaufrufe, Daten über Bestellungen, Informationen über die Endgeräte, mit denen die BF die Seite der BG besucht hat (zB Betriebssystem, Android ID, Marke des Geräts, etc.), Informationen über Service E-Mails (zB Code zum Zurücksetzen des Passworts, aktualisierte Nutzungsbedingungen), Informationen zum Konto und zum Profil, Informationen über gesetzte Cookies und deren Werte sowie Informationen über Datenempfänger.\nDie Verarbeitung von Daten betroffener Personen zur Erbringung der Dienste der Plattform findet grundsätzlich in der Europäischen Union und im Vereinigten Königreich statt. Im Falle von Bestellungen werden jedoch personenbezogene Daten an die auf der Plattform registrierten Verkäufer der bestellten Produkte weitergegeben, um die Bestellung bzw. Lieferung ausführen zu können.\n4. Abgesehen von den unter Punkt II.2. beschriebenen Logins hat die BF die Seite der BG nur noch einmal kurz vor Abschluss des gegenständlichen Verfahrens am 14. Juli 2026 aufgerufen, um eine Bestellung zu tätigen. 4. Abgesehen von den unter Punkt römisch zwei.2. beschriebenen Logins hat die BF die Seite der BG nur noch einmal kurz vor Abschluss des gegenständlichen Verfahrens am 14. Juli 2026 aufgerufen, um eine Bestellung zu tätigen.\n5. Die personenbezogenen Daten der BF wurden in folgende Drittländer übermittelt: USA und Volksrepublik China. Im Falle der USA liegt ein Angemessenheitsbeschluss der Kommission nach Art. 45 DSGVO vor (Data Privacy Framework). Die Empfänger in den USA waren die K***search LLC und die U*** Inc. Beide Unternehmen scheinen auf der sogenannten „Data Privacy Framework List“ auf. Für die Volksrepublik China liegt kein Angemessenheitsbeschluss nach Art. 45 DSGVO vor. 5. Die personenbezogenen Daten der BF wurden in folgende Drittländer übermittelt: USA und Volksrepublik China. Im Falle der USA liegt ein Angemessenheitsbeschluss der Kommission nach Artikel 45, DSGVO vor (Data Privacy Framework). Die Empfänger in den USA waren die K***search LLC und die U*** Inc. Beide Unternehmen scheinen auf der sogenannten „Data Privacy Framework List“ auf. Für die Volksrepublik China liegt kein Angemessenheitsbeschluss nach Artikel 45, DSGVO vor.\n[Anmerkung Bearbeiter/in: Das an dieser Stelle im Original als Screenshot (grafische Datei) wiedergegebene Suchergebnis mit dem Namen mehrerer Unternehmen konnte mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt.]\n\nAbb. Screenshot der amtswegigen Abfrage der Data Privacy Framework List durch die Datenschutzbehörde am 27. Juli 2026 https://www.dataprivacyframework.gov/list)\n6. Zum Zeitpunkt des Abschlusses des gegenständlichen Verfahrens hat die irische Datenschutzbehörde (DPC) ihre Zuständigkeit als federführende Aufsichtsbehörde für die Behandlung der Beschwerde gegen die BG ausdrücklich verneint.\nBeweiswürdigung : die Feststellungen ergeben sich aus der unstrittigen Aktenlage, insbesondere der Auskunft der BG an die BF vom Februar 2025 sowie den Stellungnahmen der BG im Ermittlungsverfahren nach Aufforderung durch die Datenschutzbehörde. Die gesamte Dokumentation liegt dem Akt bei und wird von der Datenschutzbehörde der Entscheidungsfindung zu Grunde gelegt.\nIII. römisch drei.\nIn rechtlicher Hinsicht folgt daraus:\n\n1. Zum Gegenstand der Beschwerde\nSowohl die Datenschutzbehörde als auch das Bundesverwaltungsgericht vertreten in ständiger Judikatur, dass bei antragsgebunden Fällen - wie insbesondere dem Beschwerdeverfahren gemäß Art. 77 DSGVO iVm. § 24 Abs. 1 DSG - der Inhalt des Antrags (vorliegend: der Beschwerde) den Prozessgegenstand des Verwaltungsverfahrens konstituiert und begrenzt (vgl. etwa BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1). Sowohl die Datenschutzbehörde als auch das Bundesverwaltungsgericht vertreten in ständiger Judikatur, dass bei antragsgebunden Fällen - wie insbesondere dem Beschwerdeverfahren gemäß Artikel 77, DSGVO in Verbindung mit Paragraph 24, Absatz eins, DSG - der Inhalt des Antrags (vorliegend: der Beschwerde) den Prozessgegenstand des Verwaltungsverfahrens konstituiert und begrenzt vergleiche etwa BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1).\nDie BF - vertreten durch die auf Fragen des Datenschutzes spezialisierte Organisation M*** - hat in ihrer Beschwerde den Beschwerdegegenstand ausdrücklich auf eine behauptete Verletzung des Kapitels V der DSGVO eingeschränkt und keine weiteren Beschwerdepunkte vorgebracht. Eine weitere Beschwerde wegen einer behaupteten Verletzung im Recht auf Auskunft nach Art. 12 iVm. Art. 15 DSGVO wurde zwar angekündigt, ist aber bis dato noch nicht bei der DSB eingebracht worden. Die BF - vertreten durch die auf Fragen des Datenschutzes spezialisierte Organisation M*** - hat in ihrer Beschwerde den Beschwerdegegenstand ausdrücklich auf eine behauptete Verletzung des Kapitels römisch fünf der DSGVO eingeschränkt und keine weiteren Beschwerdepunkte vorgebracht. Eine weitere Beschwerde wegen einer behaupteten Verletzung im Recht auf Auskunft nach Artikel 12, in Verbindung mit Artikel 15, DSGVO wurde zwar angekündigt, ist aber bis dato noch nicht bei der DSB eingebracht worden.\nSomit war im gegenständlichen Verfahren ausschließlich über eine behauptete Verletzung von Kapitel V DSGVO durch die BG abzusprechen. Somit war im gegenständlichen Verfahren ausschließlich über eine behauptete Verletzung von Kapitel römisch fünf DSGVO durch die BG abzusprechen.\n2. Zur Zuständigkeit der Datenschutzbehörde\nNach dem Erhalt der Beschwerde hat die Datenschutzbehörde zunächst ein Verfahren nach Art. 56 DSGVO zur Bestimmung der federführenden Aufsichtsbehörde eingeleitet, da auf Grund des Hauptsitzes der BG in Irland nicht ausgeschlossen war, dass eine federführende Zuständigkeit der irischen Aufsichtsbehörde (DPC) vorliegt. Nach dem Erhalt der Beschwerde hat die Datenschutzbehörde zunächst ein Verfahren nach Artikel 56, DSGVO zur Bestimmung der federführenden Aufsichtsbehörde eingeleitet, da auf Grund des Hauptsitzes der BG in Irland nicht ausgeschlossen war, dass eine federführende Zuständigkeit der irischen Aufsichtsbehörde (DPC) vorliegt.\nMit Notifikation vom 3. September 2025 setzte die DPC die Datenschutzbehörde davon in Kenntnis, dass sie sich nicht als federführende Aufsichtsbehörde für den gegenständlichen Fall betrachtet . Bis zum Abschluss des gegenständlichen Verfahrens ist keine anderslautende Entscheidung der DPC an die DSB kommuniziert worden, obwohl von Seiten der BG mehrmals darauf hingewiesen wurde, dass die DPC dabei sei, ihre diesbezügliche Position zu überdenken. Um der BF einen wirksamen Rechtsbehelf im Sinne des Art. 13 EMRK bzw. Art. 47 GRC iVm. Art 77 DSGVO zu ermöglichen und mangels anderslautender Entscheidung der DPC zur Frage ihrer potentiellen federführenden Zuständigkeit sowie unter Bedachtnahme auf das der DSGVO innewohnende Verbot der Wahl des günstigsten Gerichtsstands („forum shopping“) hat die DSB im gegenständlichen Fall ihre Zuständigkeit iSd. Art. 55 Abs. 1 DSGVO bejaht und das Verfahren außerhalb des Kooperationsmechanismus nach Art. 60 DSGVO geführt. Mit Notifikation vom 3. September 2025 setzte die DPC die Datenschutzbehörde davon in Kenntnis, dass sie sich nicht als federführende Aufsichtsbehörde für den gegenständlichen Fall betrachtet. Bis zum Abschluss des gegenständlichen Verfahrens ist keine anderslautende Entscheidung der DPC an die DSB kommuniziert worden, obwohl von Seiten der BG mehrmals darauf hingewiesen wurde, dass die DPC dabei sei, ihre diesbezügliche Position zu überdenken. Um der BF einen wirksamen Rechtsbehelf im Sinne des Artikel 13, EMRK bzw. Artikel 47, GRC in Verbindung mit Artikel 77, DSGVO zu ermöglichen und mangels anderslautender Entscheidung der DPC zur Frage ihrer potentiellen federführenden Zuständigkeit sowie unter Bedachtnahme auf das der DSGVO innewohnende Verbot der Wahl des günstigsten Gerichtsstands („forum shopping“) hat die DSB im gegenständlichen Fall ihre Zuständigkeit iSd. Artikel 55, Absatz eins, DSGVO bejaht und das Verfahren außerhalb des Kooperationsmechanismus nach Artikel 60, DSGVO geführt.\n3. Zur Zulässigkeit von Datentransfers in Drittländer im Allgemeinen\nArt. 1 DSGVO sieht den freien Verkehr von personenbezogenen Daten innerhalb der Union als wesentliches Ziel dieser Verordnung und hält in Abs. 3 auch ausdrücklich fest, dass der freie Datenverkehr in der Union aus Gründen des Schutzes natürlicher Personen weder eingeschränkt noch verboten werden darf. Artikel eins, DSGVO sieht den freien Verkehr von personenbezogenen Daten innerhalb der Union als wesentliches Ziel dieser Verordnung und hält in Absatz 3, auch ausdrücklich fest, dass der freie Datenverkehr in der Union aus Gründen des Schutzes natürlicher Personen weder eingeschränkt noch verboten werden darf.\nIn Erwägungsgrund 101 der DSGVO ist darüber hinaus angeführt, dass der Fluss personenbezogener aus Drittländern bzw. in Drittländer für die Ausweitung des internationalen Handels und der internationalen Zusammenarbeit notwendig ist. Jedoch ist ebenso ausdrücklich angeführt, dass das unionsweit gewährleistete Schutzniveau für personenbezogene Daten durch Drittlandsübermittlungen nicht untergraben werden darf. Somit sind Datenübermittlungen in Drittländer nur unter Einhaltung der in der DSGVO festgeschriebenen Bedingungen zulässig.\nDie oben angeführten Bedingungen finden sich in Kapitel V der DSGVO, in welchem die Übermittlung von personenbezogenen Daten an Drittländer oder an internationale Organisationen abschließend geregelt ist. Die oben angeführten Bedingungen finden sich in Kapitel römisch fünf der DSGVO, in welchem die Übermittlung von personenbezogenen Daten an Drittländer oder an internationale Organisationen abschließend geregelt ist.\nDie Regelungen über den internationalen Datenverkehr basieren auf der Annahme des europäischen Verordnungsgebers, dass das Datenschutzniveau außerhalb der EU bzw. des EWR niedriger ist als innerhalb der Union, weshalb zur Sicherstellung eines angemessenen Grundrechtsschutzes ausreichende Kompensation zu leisten ist, sobald personenbezogene Daten das Gebiet des EWR verlassen. Diese Kompensationsmöglichkeiten werden in den Art. 45-49 DSGVO aufgezählt und stehen in einem Stufenverhältnis zueinander. Daraus ergibt sich, dass ein Datentransfer in ein Drittland primär durch einen Angemessenheitsbeschluss (Art. 45 DSGVO) legitimiert sein soll. Liegt ein derartiger Beschluss für das betroffene Drittland nicht vor, kann auf die Garantien des Art. 46 DSGVO zurückgegriffen werden. Schließlich sieht Art. 49 DSGVO als ultima ratio Ausnahmetatbestände vor, bei deren Vorliegen auch ohne die Garantien des Art. 46 DSGVO personenbezogene Daten in Drittländer übermittelt werden dürfen ( Jahnel , Kommentar zur Datenschutz-Grundverordnung Art. 44 DSGVO Rz 2 (Stand 1.12.2020, rdb.at). Die Regelungen über den internationalen Datenverkehr basieren auf der Annahme des europäischen Verordnungsgebers, dass das Datenschutzniveau außerhalb der EU bzw. des EWR niedriger ist als innerhalb der Union, weshalb zur Sicherstellung eines angemessenen Grundrechtsschutzes ausreichende Kompensation zu leisten ist, sobald personenbezogene Daten das Gebiet des EWR verlassen. Diese Kompensationsmöglichkeiten werden in den Artikel 45 -, 49, DSGVO aufgezählt und stehen in einem Stufenverhältnis zueinander. Daraus ergibt sich, dass ein Datentransfer in ein Drittland primär durch einen Angemessenheitsbeschluss (Artikel 45, DSGVO) legitimiert sein soll. Liegt ein derartiger Beschluss für das betroffene Drittland nicht vor, kann auf die Garantien des Artikel 46, DSGVO zurückgegriffen werden. Schließlich sieht Artikel 49, DSGVO als ultima ratio Ausnahmetatbestände vor, bei deren Vorliegen auch ohne die Garantien des Artikel 46, DSGVO personenbezogene Daten in Drittländer übermittelt werden dürfen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 44, DSGVO Rz 2 (Stand 1.12.2020, rdb.at).\nSomit ist nachfolgend zu prüfen, ob die Übermittlung von personenbezogenen Daten der BF in die Empfängerländer (USA und Volksrepublik China) entweder auf einen Angemessenheitsbeschluss oder auf geeignete Garantien oder auf Ausnahmen für bestimmte Fälle gestützt werden kann.\n4. In der Sache\n4.1. Zur Übermittlung von personenbezogenen Daten der BF in die USA\nWie unter Punkt II.5 festgestellt, wurden die personenbezogenen Daten der BF in die USA übermittelt. Empfänger waren hierbei die K***search LLC sowie die U*** Inc. als Betreiber des Dienstes „P***grid“. Wie unter Punkt römisch zwei.5 festgestellt, wurden die personenbezogenen Daten der BF in die USA übermittelt. Empfänger waren hierbei die K***search LLC sowie die U*** Inc. als Betreiber des Dienstes „P***grid“.\nGemäß Art. 45 Abs. 3 DSGVO kann die Kommission im Wege eines Durchführungsrechtsakts beschließen, dass ein Drittland ein angemessenes Schutzniveau für personenbezogene Daten bietet. Mit Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 hat die Kommission den USA ein solches angemessenes Schutzniveau bescheinigt. Gemäß Artikel 45, Absatz 3, DSGVO kann die Kommission im Wege eines Durchführungsrechtsakts beschließen, dass ein Drittland ein angemessenes Schutzniveau für personenbezogene Daten bietet. Mit Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 hat die Kommission den USA ein solches angemessenes Schutzniveau bescheinigt.\nDabei ist aber zu beachten, dass dieser Angemessenheitsbeschluss nur partiell gilt und nur jene Datenimporteure abdeckt, die in der sogenannten „Data Privacy Framework List“ aufscheinen.\nWie ebenfalls unter Punkt II.5 angeführt, scheinen beide Datenempfänger auf der erwähnten „Data Privacy Framework List“ auf, weshalb sie vom Anwendungsbereich des Angemessenheitsbeschlusses umfasst sind. Wie ebenfalls unter Punkt römisch zwei.5 angeführt, scheinen beide Datenempfänger auf der erwähnten „Data Privacy Framework List“ auf, weshalb sie vom Anwendungsbereich des Angemessenheitsbeschlusses umfasst sind.\nFerner wurde festgestellt, dass die BF ihr Konto bei der BG am 19. August 2024 und somit ohne Zweifel erst nach Erlassung des zuvor genannten Angemessenheitsbeschlusses erstellt hat, woraus folgt, dass damit verbundene Übermittlung ihrer Daten an die Empfänger in den USA auch in zeitlicher Hinsicht vom Angemessenheitsbeschluss für die USA gedeckt war und sich auch sonst keine Anhaltspunkte ergeben haben, die gegenständlich auf eine Nichtanwendbarkeit des Angemessenheitsbeschlusses hindeuten würden, weswegen die Beschwerde in diesem Punkt spruchgemäß abzuweisen war.\nErgänzend ist darauf hinzuweisen, dass ein Angemessenheitsbeschluss der Europäischen Kommission - soweit darin festgestellt wird, dass das betreffende Drittland ein angemessenes Schutzniveau gewährleistet und die Übermittlung personenbezogener Daten im Ergebnis genehmigt wird - alle Mitgliedstaaten nach Art. 288 Abs. 4 AEUV in allen seinen Teilen bindet und damit auch für alle ihre Organe verbindlich ist. Solange der Angemessenheitsbeschluss vom Europäischen Gerichtshof nicht für ungültig erklärt wird, können die Datenschutz-Aufsichtsbehörden keine diesem Beschluss zuwiderlaufenden Maßnahmen treffen (wie etwa Rechtsakte, mit denen verbindlich festgestellt wird, dass das Drittland, auf das sich der Beschluss bezieht, kein angemessenes Schutzniveau gewährleistet), wenngleich dadurch die den Datenschutz-Aufsichtsbehörden zuerkannten Befugnisse weder beseitigt noch beschränkt werden und sie in völliger Unabhängigkeit prüfen können, ob bei der Übermittlung personenbezogener Daten die in der DSGVO aufgestellten Anforderungen gewahrt werden (vgl. EuGH 16.07.2020, C‑311/18, Rz. 117 ff). Ergänzend ist darauf hinzuweisen, dass ein Angemessenheitsbeschluss der Europäischen Kommission - soweit darin festgestellt wird, dass das betreffende Drittland ein angemessenes Schutzniveau gewährleistet und die Übermittlung personenbezogener Daten im Ergebnis genehmigt wird - alle Mitgliedstaaten nach Artikel 288, Absatz 4, AEUV in allen seinen Teilen bindet und damit auch für alle ihre Organe verbindlich ist. Solange der Angemessenheitsbeschluss vom Europäischen Gerichtshof nicht für ungültig erklärt wird, können die Datenschutz-Aufsichtsbehörden keine diesem Beschluss zuwiderlaufenden Maßnahmen treffen (wie etwa Rechtsakte, mit denen verbindlich festgestellt wird, dass das Drittland, auf das sich der Beschluss bezieht, kein angemessenes Schutzniveau gewährleistet), wenngleich dadurch die den Datenschutz-Aufsichtsbehörden zuerkannten Befugnisse weder beseitigt noch beschränkt werden und sie in völliger Unabhängigkeit prüfen können, ob bei der Übermittlung personenbezogener Daten die in der DSGVO aufgestellten Anforderungen gewahrt werden vergleiche EuGH 16.07.2020, C‑311/18, Rz. 117 ff).\n4.2. Zur Übermittlung von personenbezogenen Daten der BF in die Volksrepublik China\n4.2.1 Zur (Vor-)Frage der Ablehnung der Beschwerde aufgrund Rechtsmissbräuchlichkeit\nDie gegenständliche Beschwerde war Teil einer größeren Welle an Beschwerden, die von der Vertreterin der BF in ganz Europa gegen chinesische Unternehmen bzw. gegen Unternehmen, von denen angenommen wird, dass sie personenbezogene Daten nach China übermitteln, eingereicht wurden (vgl. dazu: https://m***.at/***/de/***-surrender-europeans-data-authoritarian-china, abgerufen am 28. Juli 2026). Als Intention der Kampagne kann somit das Vorgehen gegen solche Unternehmen bzw. generell gegen die Praxis, dass personenbezogene Daten in die Volksrepublik China übermittelt werden, angenommen werden. Die gegenständliche Beschwerde war Teil einer größeren Welle an Beschwerden, die von der Vertreterin der BF in ganz Europa gegen chinesische Unternehmen bzw. gegen Unternehmen, von denen angenommen wird, dass sie personenbezogene Daten nach China übermitteln, eingereicht wurden vergleiche dazu: https://m***.at/***/de/***-surrender-europeans-data-authoritarian-china, abgerufen am 28. Juli 2026). Als Intention der Kampagne kann somit das Vorgehen gegen solche Unternehmen bzw. generell gegen die Praxis, dass personenbezogene Daten in die Volksrepublik China übermittelt werden, angenommen werden.\nObwohl eine solche Motivation für sich alleine und in allen Fällen noch keine Rechtsmissbräuchlichkeit der Beschwerde indiziert, ist dennoch wie unter Punkt II.4 angeführt festzuhalten, dass die BF erst kurz vor Abschluss des gegenständlichen Verfahrens die Übermittlung ihrer Daten in die Volksrepublik China selbst ausgelöst hat, indem sie kurz vor Beendigung des gegenständlichen Verfahrens eine Bestellung auf der Plattform der BG getätigt und somit ein für sie günstiges Sachverhaltselement geschaffen hat. Obwohl eine solche Motivation für sich alleine und in allen Fällen noch keine Rechtsmissbräuchlichkeit der Beschwerde indiziert, ist dennoch wie unter Punkt römisch zwei.4 angeführt festzuhalten, dass die BF erst kurz vor Abschluss des gegenständlichen Verfahrens die Übermittlung ihrer Daten in die Volksrepublik China selbst ausgelöst hat, indem sie kurz vor Beendigung des gegenständlichen Verfahrens eine Bestellung auf der Plattform der BG getätigt und somit ein für sie günstiges Sachverhaltselement geschaffen hat.\nDie Datenschutzbehörde hatte daher zu prüfen, ob diesfalls nicht auf eine Ablehnung der Beschwerde wegen sachfremder Motive zu entscheiden gewesen wäre (vgl. dazu das Erkenntnis des BVwG vom 3. September 2025, W292 2248134-1). Wiewohl der gegenständliche Fall einige Aspekte des im genannten Erkenntnis aufgezeigten „Aktivismus“ , der letztendlich zurecht zu einer Ablehnung der Behandlung der Beschwerde durch die Datenschutzbeschwerde geführt hat, aufweist, war beweiswürdigend nach Abwägen aller Argumente nicht festzustellen, dass der BF seine Beschwerde überwiegend oder ausschließlich aus sachfremden Motiven und damit rechtsmissbräuchlich eingebracht hat. Die Datenschutzbehörde hatte daher zu prüfen, ob diesfalls nicht auf eine Ablehnung der Beschwerde wegen sachfremder Motive zu entscheiden gewesen wäre vergleiche dazu das Erkenntnis des BVwG vom 3. September 2025, W292 2248134-1). Wiewohl der gegenständliche Fall einige Aspekte des im genannten Erkenntnis aufgezeigten „Aktivismus“, der letztendlich zurecht zu einer Ablehnung der Behandlung der Beschwerde durch die Datenschutzbeschwerde geführt hat, aufweist, war beweiswürdigend nach Abwägen aller Argumente nicht festzustellen, dass der BF seine Beschwerde überwiegend oder ausschließlich aus sachfremden Motiven und damit rechtsmissbräuchlich eingebracht hat.\nSomit erwies sich die Beschwerde als gerade noch zulässig, weshalb die Datenschutzbehörde verpflichtet war, sie in Behandlung zu nehmen und zu entscheiden.\n4.2.2. Zur Frage der Rechtmäßigkeit der Übermittlung der personenbezogenen Daten der BF in die Volksrepublik China\nAnders als im Falle der oben dargelegten Übermittlung in die USA ist die Situation der Übermittlung der personenbezogenen Daten der BF in die Volksrepublik China zu beurteilen, da für dieses Land, wie unter Punkt II.5 festgestellt, kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt. Anders als im Falle der oben dargelegten Übermittlung in die USA ist die Situation der Übermittlung der personenbezogenen Daten der BF in die Volksrepublik China zu beurteilen, da für dieses Land, wie unter Punkt römisch zwei.5 festgestellt, kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt.\nDie BG stützt die Datenübermittlung in die Volksrepublik (sowie auch in andere Drittländer) vorrangig auf Standardvertragsklauseln iSd. Art. 46 Abs. 2 lit. c DSGVO und somit auf geeignete Garantien (siehe oben Punkt III.3). Die BG stützt die Datenübermittlung in die Volksrepublik (sowie auch in andere Drittländer) vorrangig auf Standardvertragsklauseln iSd. Artikel 46, Absatz 2, Litera c, DSGVO und somit auf geeignete Garantien (siehe oben Punkt römisch drei.3).\nJedoch müssen nach der Rechtsprechung des EuGH die geeigneten Garantien so beschaffen sein, dass sie für Personen, deren personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln in ein Drittland übermittelt werden, ein Schutzniveau gewährleisten, das dem in der Union garantierten Schutzniveau der Sache nach gleichwertig ist (vgl. EuGH vom 16. Juli 2020, C-311/18, Rz 96). Der Gerichtshof führte weiter aus, dass ein Verantwortlicher, der seine Datenübermittlung in ein Drittland auf Standardvertragsklauseln iSd. Art. 46 Abs. 2 lit. c DSGVO stützt bei der Beurteilung, ob im Drittland ein angemessenes Schutzniveau herrscht, nicht nur die vertraglichen Regelungen zwischen dem Datenimporteur und dem Datenexporteur, sondern auch die Möglichkeit des Zugriffs von Behörden auf die personenbezogenen sowie generell die maßgeblichen Elemente der Rechtsordnung dieses Landes ins Kalkül zu ziehen hat (a.a.O. Rz 105). Jedoch müssen nach der Rechtsprechung des EuGH die geeigneten Garantien so beschaffen sein, dass sie für Personen, deren personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln in ein Drittland übermittelt werden, ein Schutzniveau gewährleisten, das dem in der Union garantierten Schutzniveau der Sache nach gleichwertig ist vergleiche EuGH vom 16. Juli 2020, C-311/18, Rz 96). Der Gerichtshof führte weiter aus, dass ein Verantwortlicher, der seine Datenübermittlung in ein Drittland auf Standardvertragsklauseln iSd. Artikel 46, Absatz 2, Litera c, DSGVO stützt bei der Beurteilung, ob im Drittland ein angemessenes Schutzniveau herrscht, nicht nur die vertraglichen Regelungen zwischen dem Datenimporteur und dem Datenexporteur, sondern auch die Möglichkeit des Zugriffs von Behörden auf die personenbezogenen sowie generell die maßgeblichen Elemente der Rechtsordnung dieses Landes ins Kalkül zu ziehen hat (a.a.O. Rz 105).\nDie BF konnte im verfahrenseinleitenden Schriftsatz schlüssig und nachvollziehbar darlegen, dass im Falle der Volksrepublik China große Zweifel daran bestehen müssen, ob in diesem Land bei Verwendung des oben dargelegten Maßstabs ein angemessenes Schutzniveau herrscht. Hingegen hat die BG trotz mehrfacher Möglichkeit zur Stellungnahme diesbezüglich lediglich auf die besagten Standardvertragsklauseln hingewiesen bzw. eine kurze Übersicht über die technisch-organisatorischen Maßnahmen (TOMs) übermittelt, welche aber kein über das ohnehin zu erwartende Ausmaß hinausgehendes Sicherheitsniveau festschreiben. Das Thema Zugriff von Behörden bzw. wie im Falle von unberechtigten Behördenanfragen zu verfahren sei, findet sich in den TOMs ebenso wenig wie genauere Vorschriften zur Verschlüsselung bzw. zum sogenannten „Schlüsselmanagement“ (dh wer hat die Kontrolle über die Entschlüsselung von Daten). Der Datenimporteur muss lediglich einen nicht näher definierten im Handel erhältlichen Industriestandard (Anm. Übersetzung der DSB, engl. Original : commercially available industry standard ) anwenden, wobei auf Grund dieser unpräzisen Beschreibung nicht annähernd nachvollzogen werden kann, welche Standards angewendet werden (müssen) und wie sicher diese sind. Die BF konnte im verfahrenseinleitenden Schriftsatz schlüssig und nachvollziehbar darlegen, dass im Falle der Volksrepublik China große Zweifel daran bestehen müssen, ob in diesem Land bei Verwendung des oben dargelegten Maßstabs ein angemessenes Schutzniveau herrscht. Hingegen hat die BG trotz mehrfacher Möglichkeit zur Stellungnahme diesbezüglich lediglich auf die besagten Standardvertragsklauseln hingewiesen bzw. eine kurze Übersicht über die technisch-organisatorischen Maßnahmen (TOMs) übermittelt, welche aber kein über das ohnehin zu erwartende Ausmaß hinausgehendes Sicherheitsniveau festschreiben. Das Thema Zugriff von Behörden bzw. wie im Falle von unberechtigten Behördenanfragen zu verfahren sei, findet sich in den TOMs ebenso wenig wie genauere Vorschriften zur Verschlüsselung bzw. zum sogenannten „Schlüsselmanagement“ (dh wer hat die Kontrolle über die Entschlüsselung von Daten). Der Datenimporteur muss lediglich einen nicht näher definierten im Handel erhältlichen Industriestandard Anmerkung Übersetzung der DSB, engl. Original: commercially available industry standard) anwenden, wobei auf Grund dieser unpräzisen Beschreibung nicht annähernd nachvollzogen werden kann, welche Standards angewendet werden (müssen) und wie sicher diese sind.\nIm Lichte der oben getätigten Ausführungen ist es somit äußerst zweifelhaft, ob im Falle der verfahrensgegenständlichen Datenübermittlung eine Rechtfertigung mit Hilfe von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c möglich ist, da fraglich ist, ob allein dadurch ein hinreichendes Schutzniveau im Empfängerland sichergestellt werden kann. Im Lichte der oben getätigten Ausführungen ist es somit äußerst zweifelhaft, ob im Falle der verfahrensgegenständlichen Datenübermittlung eine Rechtfertigung mit Hilfe von Standardvertragsklauseln nach Artikel 46, Absatz 2, Litera c, möglich ist, da fraglich ist, ob allein dadurch ein hinreichendes Schutzniveau im Empfängerland sichergestellt werden kann.\nJedoch bedeutet dies nicht zwangsläufig, dass im gegenständlichen Verfahren auf eine Stattgabe der Beschwerde zu entscheiden ist, da der BG wie unter Punkt III.3 dargelegt noch die Möglichkeit der Ausnahmen für bestimmte Fälle gem. Art. 9 DSGVO [Anmerkung Bearbeiter/in: offenkundiges Redaktionsversehen, gemeint wohl Art. 49 DSGVO.] offen steht. Jedoch bedeutet dies nicht zwangsläufig, dass im gegenständlichen Verfahren auf eine Stattgabe der Beschwerde zu entscheiden ist, da der BG wie unter Punkt römisch drei.3 dargelegt noch die Möglichkeit der Ausnahmen für bestimmte Fälle gem. Artikel 9, DSGVO [Anmerkung Bearbeiter/in: offenkundiges Redaktionsversehen, gemeint wohl Artikel 49, DSGVO.] offen steht.\nBei den Regelungen nach Artikel 49 DSGVO handelt es sich um Ausnahmen (vgl. etwa die deutsche oder die spanische [„ excepciones “] Sprachfassung) bzw. Abweichungen (vgl. etwa die englische [„ derogations “] oder die französische [“ dérogations “] Sprachfassung) von dem allgemeinen Grundsatz, dass personenbezogene Daten nur dann an Drittländer übermittelt werden dürfen, wenn in diesem Drittland ein angemessenes Schutzniveau besteht oder geeignete Garantien vorgesehen wurden und den betroffenen Personen durchsetzbare und wirksame Rechte eingeräumt werden, damit sie ihre Grundrechte und Garantien weiterhin in Anspruch nehmen können (Leitlinien 2/2018 zu den Ausnahmen nach Artikel 49 der Verordnung 2016/679, Seite 4). Bei den Regelungen nach Artikel 49 DSGVO handelt es sich um Ausnahmen vergleiche etwa die deutsche oder die spanische [„excepciones“] Sprachfassung) bzw. Abweichungen vergleiche etwa die englische [„derogations“] oder die französische [“dérogations“] Sprachfassung) von dem allgemeinen Grundsatz, dass personenbezogene Daten nur dann an Drittländer übermittelt werden dürfen, wenn in diesem Drittland ein angemessenes Schutzniveau besteht oder geeignete Garantien vorgesehen wurden und den betroffenen Personen durchsetzbare und wirksame Rechte eingeräumt werden, damit sie ihre Grundrechte und Garantien weiterhin in Anspruch nehmen können (Leitlinien 2 aus 2018, zu den Ausnahmen nach Artikel 49 der Verordnung 2016/679, Seite 4).\nDies hält auch der EuGH in seinem oben zitierten Urteil fest, indem er nach Aufhebung eines früheren Angemessenheitsbeschluss für die USA ausführt, dass dadurch kein rechtliches Vakuum entsteht, da in Art. 49 DSGVO klar geregelt ist, unter welchen Voraussetzungen personenbezogene Daten in Drittländer übermittelt werden können, falls weder ein Angemessenheitsbeschluss noch geeignete Garantien bestehen (a.a.O. Rz 202). Dies hält auch der EuGH in seinem oben zitierten Urteil fest, indem er nach Aufhebung eines früheren Angemessenheitsbeschluss für die USA ausführt, dass dadurch kein rechtliches Vakuum entsteht, da in Artikel 49, DSGVO klar geregelt ist, unter welchen Voraussetzungen personenbezogene Daten in Drittländer übermittelt werden können, falls weder ein Angemessenheitsbeschluss noch geeignete Garantien bestehen (a.a.O. Rz 202).\nSomit ist auch bei Nicht-Vorliegen von geeigneten Garantien iSd. Art. 46 Abs. 2 lit. c DSGVO eine Übermittlung von personenbezogenen Daten in ein Drittland möglich , wenn die Voraussetzungen des Art. 49 vorliegen. Somit ist auch bei Nicht-Vorliegen von geeigneten Garantien iSd. Artikel 46, Absatz 2, Litera c, DSGVO eine Übermittlung von personenbezogenen Daten in ein Drittland möglich, wenn die Voraussetzungen des Artikel 49, vorliegen.\nArt. 49 Abs. 1 lit. b DSGVO erlaubt die Datenübermittlung, wenn sie für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich ist. Genau eine solche Konstellation liegt im gegenständlichen Fall vor. Wie unter Punkt II festgestellt hat die BF ein Konto auf der Plattform der BG angelegt und kurz vor Abschluss des Verfahrens noch eine Bestellung getätigt, welche eine Datenübermittlung in ein Drittland (VR China) ausgelöst hat. Das Wesen des Vertrags zwischen der BG und dem BF besteht in der Bereitstellung eines Zugangs zu einer Plattform, auf der unabhängige Händler ihre Waren an Konsumenten anbieten und verkaufen können. Sollte ein solcher Kauf tatsächlich zu Stande kommen, liegt es in der Natur der Sache, dass es erforderlich ist, dass die personenbezogenen Daten des Käufers an den Verkäufer übermittelt werden, damit die BG ihre Pflichten aus dem Nutzungsvertrag der Plattform gegenüber der BF erfüllen kann. Ebenso kann der Vorgang als vorvertragliche Maßnahme auf Antrag der betroffenen Person angesehen werden, da die BF wie bereits erwähnt, den Kauf aktiv und ohne dazu gezwungen zu sein angestoßen hat und die Ermöglichung der Abwicklung durch die Übermittlung der notwendigen Daten als vorvertragliche Maßnahme charakterisiert werden kann. Letztendlich ist eine Bestellung bei einem Händler aus einem Drittland unmöglich, wenn keine dazugehörige Datenübermittlung in dieses Drittland stattfinden darf. Artikel 49, Absatz eins, Litera b, DSGVO erlaubt die Datenübermittlung, wenn sie für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich ist. Genau eine solche Konstellation liegt im gegenständlichen Fall vor. Wie unter Punkt römisch zwei festgestellt hat die BF ein Konto auf der Plattform der BG angelegt und kurz vor Abschluss des Verfahrens noch eine Bestellung getätigt, welche eine Datenübermittlung in ein Drittland (VR China) ausgelöst hat. Das Wesen des Vertrags zwischen der BG und dem BF besteht in der Bereitstellung eines Zugangs zu einer Plattform, auf der unabhängige Händler ihre Waren an Konsumenten anbieten und verkaufen können. Sollte ein solcher Kauf tatsächlich zu Stande kommen, liegt es in der Natur der Sache, dass es erforderlich ist, dass die personenbezogenen Daten des Käufers an den Verkäufer übermittelt werden, damit die BG ihre Pflichten aus dem Nutzungsvertrag der Plattform gegenüber der BF erfüllen kann. Ebenso kann der Vorgang als vorvertragliche Maßnahme auf Antrag der betroffenen Person angesehen werden, da die BF wie bereits erwähnt, den Kauf aktiv und ohne dazu gezwungen zu sein angestoßen hat und die Ermöglichung der Abwicklung durch die Übermittlung der notwendigen Daten als vorvertragliche Maßnahme charakterisiert werden kann. Letztendlich ist eine Bestellung bei einem Händler aus einem Drittland unmöglich, wenn keine dazugehörige Datenübermittlung in dieses Drittland stattfinden darf.\nSoweit die BF in ihrer Beschwerde ausführt, dass dieser Ausnahmetatbestand nicht anwendbar ist, weil er restriktiv ausgelegt werden muss und die Übermittlung nur gelegentlich erfolgen darf, ist ihr wie folgt entgegen zu halten:\nDas Erfordernis der bloß gelegentlichen Übermittlung findet sich nicht im Wortlaut des Gesetzes, sondern nur in Erwägungsgrund 101, welcher aber keine Definition des Begriffs „ gelegentlich “ im Sinne einer maximalen Anzahl aufweist. Somit kann „ gelegentlich “ durchaus auch als „ im Falle einer Bestellung“ verstanden werden, was im Falle der BF genau eine einzige Übermittlung ausgelöst hat. Somit liegt im gegenständlichen Fall nicht einmal eine wiederholte oder gar regelmäßige Übermittlung vor.\nIm Ergebnis ist also festzuhalten, dass die Übermittlung der personenbezogenen Daten der BF im gegenständlichen Fall auf den Ausnahmetatbestand des Art. 49 Abs. 1 lit. b DSGVO gestützt werden kann, da sie im vorliegenden Einzelfall nur einmal anlässlich einer Bestellung erfolgt ist und auch erforderlich für die Erfüllung eines Vertrages bzw. von vorvertraglichen Maßnahmen auf Veranlassung der BF hin war. Im Ergebnis ist also festzuhalten, dass die Übermittlung der personenbezogenen Daten der BF im gegenständlichen Fall auf den Ausnahmetatbestand des Artikel 49, Absatz eins, Litera b, DSGVO gestützt werden kann, da sie im vorliegenden Einzelfall nur einmal anlässlich einer Bestellung erfolgt ist und auch erforderlich für die Erfüllung eines Vertrages bzw. von vorvertraglichen Maßnahmen auf Veranlassung der BF hin war.\nHilfsweise ist auf die Rsp. deutscher Zivilgerichte hinzuweisen, wonach gerade bei Online-Plattformen, die auf eine permanente Vernetzung von Nutzer:innen ausgelegt sind, auch eine wiederholte Drittlandsübermittlung auf den Ausnahmetatbestand des Art. 49 Abs. 1 lit. b DSGVO gestützt werden kann, sofern dies für die dahinterliegende Vertragserfüllung notwendig ist (vgl. LG Trier 29.09.2025, 2 O 94/24 mwN.; LG Passau 16.02.2024, 1 O 616/23; LG Traunstein 08.07.2024, 9 O 173/24). Hilfsweise ist auf die Rsp. deutscher Zivilgerichte hinzuweisen, wonach gerade bei Online-Plattformen, die auf eine permanente Vernetzung von Nutzer:innen ausgelegt sind, auch eine wiederholte Drittlandsübermittlung auf den Ausnahmetatbestand des Artikel 49, Absatz eins, Litera b, DSGVO gestützt werden kann, sofern dies für die dahinterliegende Vertragserfüllung notwendig ist vergleiche LG Trier 29.09.2025, 2 O 94/24 mwN.; LG Passau 16.02.2024, 1 O 616/23; LG Traunstein 08.07.2024, 9 O 173/24).\nGleichwohl diese Überlegungen unter Bezugnahme auf Social-Media-Plattformen angestellt wurden, können sie auf den gegenständlichen Fall übertragen werden, da die BF ihren Nutzervertrag mit der BG gerade deswegen abgeschlossen hat, um über die auf der Handelsplattform der BG registrierte Verkäufer Waren zu beziehen. Insofern ist es dem Nutzervertrag zwischen der BF und der BG aufgrund seines Inhalts und Zwecks immanent, dass die BG im Falle einer Warenbestellung durch die BF die zur Abwicklung der Bestellung erforderlichen Daten an die jeweiligen Verkäufer im Drittland übermittelt.\nDie Beschwerde war somit spruchgemäß abzuweisen.\nSoweit die BF beantragt, die DSB möge der BG die Aussetzung des Datenflusses von allen europäischen Nutzern auftragen und die BG dazu auffordern, ihre Datenverarbeitungen mit Kapitel V der DSGVO in Einklang bringen, ist festzuhalten, dass dies einerseits den Rahmen des vorliegenden Verfahrens sprengen würde (siehe dazu auch die Ausführungen zum Beschwerdegegenstand) und andererseits zuerst der Feststellung bedürfe, dass die Datenübermittlung in jedem einzelnen Falle unzulässig ist. Eine solche Feststellung kann aber zum gegenwärtigen Zeitpunkt nicht pauschal getroffen werden. Die BG wird aber dennoch im Lichte der oben getätigten Ausführungen zu den verwendeten Standardvertragsklauseln ihre Datenübermittlungen in Drittländer und die dafür herangezogenen Instrumente der Art 45 bis 49 DSGVO regelmäßig zu überprüfen und gegebenenfalls anzupassen haben, da es der zuständigen Aufsichtsbehörde jederzeit möglich ist, Datenübermittlungen der BG in Drittländer im Rahmen eines amtswegigen Prüfverfahren zu untersuchen und gegebenenfalls von ihren Befugnissen Gebrauch zu machen. Soweit die BF beantragt, die DSB möge der BG die Aussetzung des Datenflusses von allen europäischen Nutzern auftragen und die BG dazu auffordern, ihre Datenverarbeitungen mit Kapitel römisch fünf der DSGVO in Einklang bringen, ist festzuhalten, dass dies einerseits den Rahmen des vorliegenden Verfahrens sprengen würde (siehe dazu auch die Ausführungen zum Beschwerdegegenstand) und andererseits zuerst der Feststellung bedürfe, dass die Datenübermittlung in jedem einzelnen Falle unzulässig ist. Eine solche Feststellung kann aber zum gegenwärtigen Zeitpunkt nicht pauschal getroffen werden. Die BG wird aber dennoch im Lichte der oben getätigten Ausführungen zu den verwendeten Standardvertragsklauseln ihre Datenübermittlungen in Drittländer und die dafür herangezogenen Instrumente der Artikel 45, bis 49 DSGVO regelmäßig zu überprüfen und gegebenenfalls anzupassen haben, da es der zuständigen Aufsichtsbehörde jederzeit möglich ist, Datenübermittlungen der BG in Drittländer im Rahmen eines amtswegigen Prüfverfahren zu untersuchen und gegebenenfalls von ihren Befugnissen Gebrauch zu machen.\n\nEuropean Case Law Identifier\nECLI:AT:DSB:2026:2026.0.617.893","changes":[]}