TE Bvwg Erkenntnis 2021/5/20 W214 2226349-1

W214 2226349-1/12E

W214 2226350-1/17E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerden von 1. XXXX (Erstbeschwerdeführerin), vertreten durch XXXX , und 2. XXXX (Zweitbeschwerdeführerin), gegen den Bescheid der Datenschutzbehörde vom 06.09.2019, Zl. DSB-D205.179/0001-DSB/2019:

A)

I. beschlossen:

I.1. Die Beschwerde der Zweitbeschwerdeführerin gegen Spruchpunkt 1. des angefochtenen Bescheides wird gemäß § 28 Abs. 2 VwGVG iVm § 31 Abs. 1 VwGVG als unzulässig zurückgewiesen.

II. zu Recht erkannt:

II.1. Der Beschwerde der Erstbeschwerdeführerin wird teilweise Folge gegeben und Spruchpunkt 2. des angefochtenen Bescheides ersatzlos behoben.

II.2. Im Übrigen wird die Beschwerde der Erstbeschwerdeführerin gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

II.3. Die Beschwerde der Zweitbeschwerdeführerin gegen die Spruchpunkte 4. und 5. des angefochtenen Bescheides wird gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

B)

1. Die Revision gegen die Spruchpunkte II.1 und II. 2 ist gemäß Art. 133 Abs. 4 B-VG jeweils zulässig.

2. Die Revision gegen die Spruchpunkte I.1 und II.3. ist gemäß Art. 133 Abs. 4 B-VG jeweils nicht zulässig.

Entscheidungsgründe/Begründung:

I. Verfahrensgang:

1. In ihrer an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 15.12.2018 machte die Zweitbeschwerdeführerin (ursprüngliche Beschwerdeführerin im Verfahren vor der belangten Behörde) eine Verletzung im Recht auf Geheimhaltung geltend. Dazu wurde vorgebracht, dass die Erstbeschwerdeführerin (ursprüngliche Beschwerdegegnerin im Verfahren vor der belangten Behörde) sensible personenbezogene Daten ohne hinreichende Rechtsfertigungsgründe – insbesondere ohne Einwilligung - gemäß Art. 9 DSGVO verarbeitet habe, welche Auswertungen zur (möglichen) politischen Affinität enthalten würden. Weiters wurde vorgebracht, dass gemäß § 151 Abs. 6 GewO Gewerbetreibende nach Abs. 1 für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben würden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte nur dann übermitteln dürften, wenn diese unbedenklich erklären würden, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden werden. § 151 GewO sei keine gültige Rechtsgrundlage für die Verwendung personenbezogener Daten für Marketingzwecke, sondern es könnte nur noch Artikel 6 lit. f DSGVO als Rechtsgrundlage herangezogen werden.

Der Datenschutzbeschwerde wurde das Antwortschreiben der Erstbeschwerdeführerin auf den gestellten Antrag auf Auskunft nach Art. 15 DSGVO der Zweitbeschwerdeführerin vom 14.12.2018 samt Beilagen beigefügt

2. Über Aufforderung der belangten Behörde erstattete die Erstbeschwerdeführerin am 13.05.2019 eine Stellungnahme und führte aus, dass es sich bei der Verarbeitung der „Parteiaffinitäten“ nicht um die Verarbeitung (sensibler) personenbezogener Daten handle. Die Erstbeschwerdeführerin verarbeite Marketingklassifikationen, die auf anonym durchgeführten Meinungsumfragen fußen würden. Mit Hilfe dieser Umfragen seien soziodemographische Kriterien erhoben und in der Folge Marketinggruppen innerhalb eines Rasters gebildet worden. Für diese Marketinggruppen seien Durchschnittswahrscheinlichkeiten errechnet worden, auf deren Basis ein Algorithmus entwickelt worden sei. Auf dessen Basis sei berechnet worden, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemografischen Eigenschaften in bestimmten Regionen Werbeinteresse an bestimmten Parteien hätten. Die solcherart errechneten Prozentsätze seien als "Parteiaffinitäten" der jeweiligen Marketinggruppen bezeichnet worden. Diese Marketingklassifikation bilde aber keinesfalls ein personenbezogenes Datum iSd Art 4 Z 1 DSGVO, da es ihr an der Information über eine bestimmte Person mangle. Die Parteiaffinität spiegle einen durchschnittlichen Berechnungswert wider, der weder eine Charakterisierung einzelner Personen innerhalb einer Marketinggruppe vornehme, noch sich nach diesem Wert Rechtsansprüche der Person richten würden. Selbst für den Fall, dass man die geschilderten Prozentsätze der Marketingklassifikationen als personenbezogene Daten verstehen wollen würde, würde jedenfalls keine "besondere Kategorie" personenbezogener Daten vorliegen, da im gegenständlichen Fall nichts anderes als ein Algorithmus entwickelt worden sei, der berechne, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemografischen und regionalen Eigenschaften für bestimmte politische Parteien von Werbeinteresse seien. Weder werde dadurch eine Aussage über politische Anschauungen oder politische Mitgliedschaften erzeugt, noch werde eine Aussage über ein "Meinen" oder eine damit verbundene "Tätigkeit" generiert, welche theoretisch als "politische Meinung" im Sinn der Literatur qualifiziert werden könnte. Zum Vorbringen der Zweitbeschwerdeführerin, dass die Heranziehung von § 151 GewO als Rechtsgrundlage nicht zulässig sei, weil die DSGVO hierfür keine Öffnungsklausel vorsehe und die Gewerbeordnungsnorm somit keine gültige Rechtsgrundlage bilde, werde ausgeführt, dass § 151 GewO geltender Rechtsbestand sei und im Zuge des Inkrafttretens der DSGVO vom Gesetzgeber auch im Hinblick auf die DSGVO novelliert worden sei. Die Erstbeschwerdeführerin habe keine Zweifel an der Gültigkeit der Norm und stehe ihr eine Überprüfung der Rechtskraft der sich in Geltung befindenden Normen auch nicht zu. Im Übrigen entspreche die Verarbeitungstätigkeit der Post (soweit überhaupt ein Personenbezug vorliege) auch Art 6 Abs. 1 lit. f DSGVO, was der Zweitbeschwerdeführerin auch mitgeteilt worden sei.

3. Die Zweitbeschwerdeführerin erstattete zur Stellungnahme der Erstbeschwerdeführerin am 04.06.2019 ebenfalls eine Stellungnahme und führte aus, dass anerkannt sei, dass auch jene Daten personenbezogen seien, die nur wahrscheinlich auf eine bestimmte Person zutreffen würden. Auch statistische Wahrscheinlichkeitsaussagen und nicht lediglich völlig abstrakte Prognose- oder Planungswerte, die eine subjektive und/oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern würden, würden einen Personenbezug aufweisen. Vom besonderen Schutz für besondere Datenkategorien würden auch Daten erfasst, aus denen nur mit einer statistischen Wahrscheinlichkeit auf Angaben sensitiven Inhalts geschlossen werden könne. Ein Hervorgehen (der politischen Meinung) liege etwa bereits dann vor, wenn „in Ansehung des betroffenen Datums die politische Meinung mit hinreichender Wahrscheinlichkeit abgeleitet werden“ könne. Hier sei zu bemerken, dass die Affinität zu den XXXX sogar als „sehr hoch“ eingestuft worden sei. Bei Abstellen auf den Schutzzweck (Diskriminierungsschutz), dürfe nicht entscheidend sein, ob letztendlich ein gesichertes Wissen über die politische Meinung vorliege. Es würden somit besondere Datenkategorien verarbeitet und liege für diese Verarbeitungstätigkeiten keine gültige Rechtsgrundlage (insbesondere keine gültige Einwilligung) vor. Zum Verstoß gegen § 151 GewO sei auszuführen, dass die von der Erstbeschwerdeführerin verarbeiteten Adressdaten wohl aus den Dienstleistungen der Post als Zusteller von Briefen und/oder Paketen stammen würden und dafür keine der in § 151 Abs. 3 GewO genannten Quellen verwendet worden sei. Die restlichen Daten (Zuschreibungen von “Wahrscheinlichkeiten”) scheinen aus statistischen Hochrechnungen/Auswertungen auf Basis der von der Post als Paket- und Briefzusteller erhobenen Daten erfolgt zu sein. Die Erstbeschwerdeführerin habe durch die Art wie sie ihre Profilingaktivitäten betreibe (Zeitspanne, Art der Zuschreibungen, Dauer der Zuschreibungen, Verwendung der Daten aus der Post und Paketzustellung) und die unzureichende Information darüber gegen § 151 Abs. 3 GewO durch die Verwendung von unzulässigen Datenquellen und gegen den Grundsatz der Verhältnismäßigkeit verstoßen. Zudem entspreche § 151 GewO an mehreren Stellen nicht der DSGVO und bilde keine gültige Rechtsgrundlage für die Verarbeitungstätigkeiten der Erstbeschwerdeführerin. Die Erstbeschwerdeführerin könne ihre Profilingaktivitäten auch nicht auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen. Es sei eine Interessenabwägung erforderlich, einige der über sie verarbeiteten Marketingdaten, wie etwa frühere Wohnadressen, seien stark veraltet, Zuschreibungen der „Lebensphase“ sowie Affinitäten wie „Nachtschwärmer“ oder „sportaffin“ über einen Zeitraum von mindestens 15 Jahren seien als invasiver Eingriff in ihre Privatsphäre zu betrachten. Die dazu erforderlichen Basisdaten/Adressdaten würden klar aus den Zustellserviceleistungen oder Nachsendeaufträgen stammen, da sie sonst der Erstbeschwerdeführerin weder wissentlich noch willentlich Informationen darüber erteilt habe. Dass ein Unternehmen, das die Zustellung von Briefen, Paketen, behördlichen Schriftstücken vornimmt, Informationen aus der mit diesen Zustellservices verbunden sind, verarbeite und um andere Daten angereichert (sogar politische Affinitäten), für Werbezwecke anderer zur Verfügung stelle, reiche weit über die vernünftigen Erwartungen der durchschnittlichen Betroffenen hinaus, hier handle es sich um gänzlich unterschiedliche Erhebungs- und Nutzungszwecke. Die Interessen der Zweitbeschwerdeführerin würden daher jedenfalls überwiegen. Die Erstbeschwerdeführerin habe durch die Art wie sie ihre Profilingaktivitäten betreibe (Zeitspanne, Art der Zuschreibungen, Dauer der Zuschreibungen, Verwendung der Daten aus der Post- und Paketzustellung) auch gegen Artikel 5 Abs. 1 lit a DSGVO verstoßen. Die Erstbeschwerdeführerin habe über die durchgeführten Verarbeitungstätigkeiten nicht informiert und somit ihre Informationspflichten nach Artikel 13 und 14 DSGVO nicht erfüllt. Artikel 23 DSGVO komme nicht zur Anwendung, da keiner der in Artikel 23 Abs. 1 DSGVO aufgezählten Tatbestände zum Tragen komme und auch keine spezifische Vorschrift im Sinne des Artikels 23 Abs. 2 DSGVO vorliege. Zudem liege ein Verstoß gegen das Koppelungsverbot betreffend die Einwilligung für Marketingzwecke im Zusammenhang mit Nachsendeaufträgen vor.

4. Mit Bescheid der belangten Behörde vom 06.09.2019, Zl. DSB-D205.179/0001-DSB/2019 wurde der Beschwerde der Zweitbeschwerdeführerin teilweise stattgegeben und festgestellt, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt habe, indem sie Daten betreffend deren „Parteiaffinität“ verarbeite (Spruchpunkt 1.) sowie der Erstbeschwerdeführerin bei sonstiger Exekution aufgetragen, die Daten zur „Parteiaffinität“ unverzüglich aber längstens binnen zwei Wochen zu löschen (Spruchpunkt 2.). Der Antrag der Erstbeschwerdeführerin, das gegenständliche Verfahren bis zu einer Entscheidung des Bundesverwaltungsgerichtes auszusetzen, wurde zurückgewiesen (Spruchpunkt 3.), in den Punkten der begehrten Feststellung, § 151 GewO sei rechtswidrig, unionsrechtswidrig sowie unverhältnismäßig wurde die Beschwerde mangels Zuständigkeit zurückgewiesen (Spruchpunkt 4.). Das Vorbringen, die belangte Behörde möge feststellen, die Erstbeschwerdeführerin habe gegen ihre Informationspflichten verstoßen, wurde abgewiesen (Spruchpunkt 5.).

Die belangte Behörde führte zunächst aus, dass Beschwerdegegenstand die Frage sei, ob die Erstbeschwerdeführerin durch die Verarbeitung der vermeintlichen „Parteiaffinität“ im Rahmen der Datenkategorie „mögliche Zielgruppe für Wahlwerbung“ die Zweitbeschwerdeführerin im Recht auf Geheimhaltung verletzt habe.

In rechtlicher Hinsicht hielt die belangte Behörde (sofern für die gegenständlichen Beschwerdeverfahren relevant) fest, dass es sich bei den statistisch hochgerechneten und der Zweitbeschwerdeführerin zugeordneten Daten hinsichtlich einer vermeintlichen Parteiaffinität um personenbezogene Daten nach Art. 4 Z 1 DSGVO handeln würde. Dies ergebe sich schon daraus, dass die verfahrensgegenständlichen Datenkategorien im Zuge einer Auskunft nach Art. 15 DSGVO beauskunftet worden seien. Wenn – wie die Erstbeschwerdeführerin vermeine – überhaupt keine personenbezogenen Daten vorlägen, so wäre die DSGVO nicht anwendbar und hätten diese Datenkategorien auch nicht beauskunftet werden müssen. Abgesehen davon wäre die von der Erstbeschwerdeführerin erwähnte Personalisierung der Werbung nicht möglich, wenn nicht diese statistisch errechneten Daten einen eindeutigen Personenbezug aufweisen würden. Dass personenbezogene Daten vorliegen würden, ergebe sich aber auch aus der Rechtsprechung des EuGH und des Bundesverwaltungsgerichtes, wonach der Begriff „personenbezogene Daten“ weit auszulegen sei. In diesem Zusammenhang sei auch auf die gefestigte Literaturmeinung hinzuweisen, wonach unter Verweis auf die Rechtsprechung der DSK ausgeführt werde, dass auch mit Hilfe statistischer Hochrechnungen ermittelte Einschätzungen einer wahrscheinlichen Zugehörigkeit einer Person zu einer bestimmten Ziel- oder Altersgruppe als personenbezogene Daten zu qualifizieren seien. Auch geschätzte und prognostizierte Daten seien personenbezogene Daten, wenn sie einer realen Person zugeordnet werden können, auch wenn sie unzutreffend seien. Der Begriff der Informationen erfasse nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen, Vermutungen und Werturteile über sie. Für das Vorliegen eines personenbezogenen Datums spreche auch ein Vergleich mit Art. 22 DSGVO, Marketinganalyseverfahren würden sich im Ergebnis nicht von „herkömmlichen“ Profiling-Vorgängen bzw. sonstigen automatisierten Entscheidungsfindungen, etwa durch Kreditauskunfteien unterscheiden. Lägen diesfalls keine personenbezogenen Daten vor, liefe Art. 22 DSGVO gänzlich ins Leere, was dem Unionsgesetzgeber aber nicht unterstellt werden könne. Die von der Erstbeschwerdeführerin ermittelte Parteiaffinität sei auch als besondere Kategorie von personenbezogenen Daten im Sinne des Art. 9 DSGVO zu qualifizieren, da es sowohl begrifflich als auch teleologisch genüge, dass der Inhalt des Datums die in Art. 9 Abs. 1 DSGVO genannte Eigenschaft für einen durchschnittlichen, objektiven Dritten zumindest mittelbar erkennen lasse, dass also die Eigenschaft aus dem Datum bzw. den Daten produziert werden könne. Die Erstbeschwerdeführerin übersehe bei ihrer Argumentation, es handle sich bei den Affinitätswerten um keine Aussagen im datenschutzrechtlichen Sinn, sondern um eine „Durchschnittswahrscheinlichkeit für eine Marketinggruppe“, dass sie die berechneten Werte im Datensatz der betroffenen Person faktisch abspeichere und die politische Affinität einer Person somit zuordenbar sei und auch konkret zugeordnet werde. Eine Verarbeitung von Daten nach Art. 9 Abs. 1 DSGVO sei nur rechtmäßig, wenn einer der in Abs. 2 taxativ aufgezählten Eingriffstatbestände vorliege. Das Verarbeitungsverbot gemäß Art. 9 Abs. 1 DSGVO werde u.a. durchbrochen, wenn die betroffene Person in die Verarbeitung ausdrücklich einwilligte, gegenständlich liege keine Einwilligung vor. Ein anderer Erlaubnistatbestand als die Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO komme nicht in Frage, auch gemäß § 151 Abs. 4 GewO 1994 werde zur Verarbeitung besonderer Kategorien von Daten iSv Art. 9 Abs. 1 DSGVO im Zuge der Ausübung des Gewerbes für Adressverlage und Direktmarketingunternehmen ein ausdrückliches Einverständnis der betroffenen Person vorausgesetzt, welches jedoch – wie ausgeführt – nicht vorliege. Die Erstbeschwerdeführerin habe im Ergebnis durch die Verarbeitung von Daten betreffend die politische Affinität der Zweitbeschwerdeführerin besondere Kategorien personenbezogener Daten iSv Art. 9 Abs. 1 DSGVO mangels Erlaubnistatbestands unrechtmäßig verarbeitet.

Zu Spruchpunkt 4. sei auszuführen, dass auf Ausführungen der Zweitbeschwerdeführerin zur Unionsrechtswidrigkeit des § 151 GewO in Ermangelung einer Zuständigkeit der belangten Behörde als Normenkontrollinstanz nicht näher einzugehen sei. Im Falle eines offenkundigen Normenkonflikts mit Unionsrecht wären die nationalen Bestimmungen nicht anzuwenden gewesen, ein derart offenkundiger Normenkonflikt könne jedoch nicht erkannt werden, zumal Art. 9 Abs. 2 lit. g DSGVO die Verarbeitung auf Basis einer qualifizierten Rechtsgrundlage ermögliche und Art. 6 Abs. 1 lit. f DSGVO die Verarbeitung auf Basis berechtigter Interessen vorsehe. Dass das Gewerbe „Adressverlage und Direktmarketingunternehmen“ nach § 151 GewO grundsätzlich durch berechtigte Interessen gedeckt sei, ergebe sich bereits aus der Normierung in der GewO selbst, da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar sei und daher auch angenommen werden müsse, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten zu diesen Zwecken als gegeben erachtet habe. Die Anträge der Zweitbeschwerdeführerin seien dahingehend daher spruchgemäß zurückzuweisen gewesen.

Zur gerügten Verletzung von Informationspflichten gemäß Art. 13 und 14 DSGVO werde ausgeführt, dass die Erstbeschwerdeführerin die von der Zweitbeschwerdeführerin behauptete Verletzung im Recht auf Information bis zum Abschluss des gegenständlichen Verfahrens beseitigt habe, indem sie in ihrer Stellungnahme die erforderlichen Informationen gemäß Art. 13 und 14 DSGVO zur Verfügung gestellt habe. Die Beschwerde sei daher auch diesbezüglich zurückzuweisen gewesen.

5. Gegen diesen Bescheid erhoben beide Beschwerdeführerinnen fristgerecht Beschwerde an das Bundesverwaltungsgericht.

Die Erstbeschwerdeführerin hielt zunächst fest, den Bescheid nur hinsichtlich seiner Spruchpunkte 1. und 2. anzufechten und brachte vor, dass die belangte Behörde Art. 4 und 9 DSGVO sowie § 151 GewO unrichtig angewendet habe. Den von der Erstbeschwerdeführerin berechneten Marketingklassifikationen (verfahrensgegenständlich: Parteiaffinitäten) mangle es an der Information über eine bestimmte Person, weshalb diese nicht als personenbezogene Daten anzusehen seien. Es werde einer Person (und anderen Personen mit denselben soziodemographischen und regionalen Merkmalen) vielmehr eine Information (über eine Marketingzielgruppe) zugeschrieben. Dieses Verfahren sei mit anonymisierenden Durchschnittberechnungen der Statistik Austria bei der Berechnung mikrogeographischer Raster vergleichbar. Die Systematik der Erstbeschwerdeführerin sei Branchenstandard, finde im Adress- und Direktmarketing seit jeher statt und sei 40 Jahre lang datenschutzrechtlich als nicht relevant erachtet worden. Der Gesetzgeber habe mit der Bestimmung des § 151 Abs. 6 GewO für potentielle Verarbeitung von Marketingklassifikationen vorgesorgt und adäquate Garantien für die Abwendung von negativen Folgen von Betroffenen vorgesehen. Auch ein Blick auf die Gesamtsystematik der DSGVO verdeutliche, dass die behördliche Qualifikation der Parteiaffinität nicht richtig sein könne, da nämlich die Parteiaffinität weder am Zutun des Betroffenen hänge, noch von diesem beeinflussbar sei und der Betroffene so auch nicht die (Un-)richtigkeit dieses Wertes reklamieren könne. Nicht berichtigbare Daten seien jedoch nicht dem Anwendungsbereich der DSGVO zu unterstellen, weil ansonsten innerhalb des Anwendungsbereichs der DSGVO eine Teilmenge an Daten geschaffen würde, welche nicht allen Betroffenenrechte zugänglich sei. Ein solches Konzept sei der DSGVO aber fremd. Auch die Zuordnung bzw. die Zuordenbarkeit einer natürlichen Person zu einem Ergebnis eines statistischen Analyseverfahren (wie beispielsweise der Parteiaffinität) mache dieses statistische Ergebnis nicht zu einem personenbezogenen Datum, so habe der EUGH in der Rechtssache „YS u.a.“. ausgesprochen, dass rechtliche Analysen (obwohl diese den Betroffenen offenkundig zugeordnet gewesen seien) keine personenbezogenen Daten seien. Die Zuordnung alleine genüge daher nicht, um ein personenbezogenes Datum zu generieren. Die statistischen Hochrechnungen der Erstbeschwerdeführerin seien noch weiter von „Informationen über“ Betroffene entfernt, personenbezogene Daten des Betroffen würden zwar auch diesen statistischen Hochrechnungen zu Grunde gelegt, allerdings wäre nur auf Grund dieser Daten die Hochrechnung nicht möglich, denn über die tatsächliche politische Meinung des Betroffenen würden keine Informationen verarbeitet. Die Hochrechnung erfolge über Marketinggruppen, der Betroffene werde diesen Marketinggruppen zugeordnet. Dessen eigene politische Meinung spiele keine Rolle und sei diese Marketinggruppe einer Nachprüfung durch den Betroffenen nicht zugänglich. Auch im Lichte der Literatur ergebe sich, dass der für ein personenbezogenes Datum erforderliche Informationsgehalt nicht stattfinde. Es handle sich um Durchschnittswerte der Marketinggruppe. So könne auch bei einer Wahlanalyse kein vernünftiges Geheimhaltungsinteresse beispielsweise jedes männlichen Staatsbürgers unter 44 Jahre angenommen werden, nur, weil gemäß der Wahlanalyse dieser zu einem bestimmten Prozentsatz „ÖVP-affin“ sei. Könne jeder Dritte ein Datum generieren bzw. eine Schlussfolgerung ziehen, könne daran kein Geheimhaltungsinteresse bestehen und von keinem sensiblen Datum gesprochen werden, da das Datum keine (sensible) Information „über“ eine Person in sich trage. Alleine aufgrund des Umstandes, dass zu unterschiedlichen Adressen unterschiedliche Affinitäten erzeugt würden, verdeutliche den Umstand, dass diese Affinitäten keine Aussage „über“ die einzelne Person, sondern nur um die jeweilige Marketinggruppe treffen würde. Ein Rückschluss auf die einzelne Person sei daher nicht möglich. Aus der Parteiaffinität könne die politische Meinung des Betroffenen nicht logisch abgeleitet werden, sie folge nicht aus einem „Handeln“ des Betroffenen. Die Argumentation der belangten Behörde, die Datenkategorien hätten nicht beauskunftet werden müssen, wenn es sich um keine personenbezogenen Daten handle, greife zu kurz und ziehe einen unzulässigen Schluss vom Sein auf das Sollen. Der Erstbeschwerdeführerin stehe es frei, weitergehende Auskünfte zu erteilen als vom Gesetzgeber vorgesehen. Art. 22 DSGVO laufe auch nicht ins Leere, wenn man Parteiaffinitäten nicht als personenbezogene Daten qualifiziere, dieser regle nämlich „herkömmliche“ Profiling-Vorgänge, welche Personen anhand ihres Verhaltens bewerten würden, wie dies etwa bei Kreditauskunfteien der Fall sei. Die extensive Auslegung des Art. 9 DSGVO durch die belangte Behörde stehe zudem im krassen Widerspruch mit dem Grundsatz „nulla poene sine lege“

Selbst wenn man Parteiaffinitäten als personenbezogene Daten qualifiziere, ändere dies nichts an der Zulässigkeit der Verarbeitung im verfahrensgegenständlichen Zusammenhang. Der Gesetzgeber habe im Zusammenhang mit der 3. Gewerberechtsnovelle 2002 zum Ausdruck gebracht, dass Adressverlage und Direktmarketingunternehmen zum Zwecke des Marketings personenbezogene Daten für politische Parteien aufbereiten dürften. Der Wortlaut des § 151 GewO sei an den einschlägigen Stellen unverändert belassen worden, weshalb der gesetzgeberische Wille auch unter der DSGVO fortgelte. Zudem unterscheide § 151 GewO zwischen (besonderen Kategorien) personenbezogener Daten und Marketinginformationen und -klassifikationen.

Zusammengefasst sei festzuhalten, dass die belangte Behörde die Rechtsnatur der Parteiaffinität verkannt habe und daher zu Unrecht zur Feststellung gelangt sei, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin in ihrem Recht auf Geheimhaltung verletzt habe.

Die Zweitbeschwerdeführerin brachte (nach Wiederholung des Sachverhaltes und ihres Vorbringens bei der belangten Behörde) vor, dass die belangte Behörde mit § 151 GewO eine unionsrechtswidrige Bestimmung angewendet habe und somit eine materielle Rechtswidrigkeit bestehe. Art. 9 Abs. 2 lit. f DSGVO beinhalte keine Öffnungsklausel für die Verarbeitung von „sensiblen“ personenbezogenen Daten für Adresshändler/Direktmarketingunternehmen. Das in Art. 9 Abs. 2 lit. g DSGVO geforderte erhebliche öffentliche Interesse sei bei der Verarbeitung von sensiblen personenbezogenen Daten durch Adresshändler offenkundig nicht vorhanden. Folglich müsste eine ausdrückliche Einwilligung nach der DSGVO erfolgen, das „Einverständnis“ nach § 151 Abs. 4 GewO für Marketingzwecke sei nicht ausreichend. Art. 6 Abs. 1 lit. f ermögliche keine gesetzlichen Interessenabwägungen, durch § 151 GewO könne daher keine gesetzliche Konkretisierung der berechtigten Interessen erfolgen. Die Normierung, dass Gewerbetreibende nach § 151 GewO für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben würden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte bereits dann übermitteln, wenn diese unbedenklich erklären, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden würden, sei keine geeignete Sicherstellung, welche insgesamt eine Verhältnismäßigkeit der Regelung herstellen könnte.

Auch der von der belangten Behörde ins Treffen geführte § 24 Abs. 6 DSG, mit welchem die nachträgliche Sanierung des Verstoßes gegen die Informationspflichten nach Art. 13 und 14 DSGVO begründet worden sei, scheine sich mit der DSGVO in Widerspruch zu befinden, weshalb der Anwendungsvorrang zum Tragen komme. § 151 GewO befinde sich zudem offenkundig im Widerspruch zu den Informationspflichten nach Art. 13 und 14 DSGVO, da in diesem keine Informationspflichten bei Zuschreibung einer neuen Marketinginformation vorgesehen seien. Die berechtigten Interessen der betroffenen Person würden infolge der mangelnden Information nicht ausreichend geschützt und würde § 151 GewO ein erhebliches Gefährdungspotential in sich bergen, dass es zu einer nicht limitierten Verbreitung von personenbezogenen Daten komme. Die belangte Behörde hätte die Bestimmung des § 151 GewO unangewendet lassen müssen und sei durch die Anwendung einer generellen rechtswidrigen Norm ihr Grundrecht auf informationelle Selbstbestimmung und Schutz der Privatsphäre nach Art. 8 EMRK verletzt.

6. Mit Schreiben vom 26.11.2020 (eingelangt beim Bundesverwaltungsgericht am 10.12.2020) legte die belangte Behörde die Beschwerden sowie die Verwaltungsakten dem Bundesverwaltungsgericht zur Entscheidung vor und gab bezüglich der Beschwerde der Zweitbeschwerdeführerin eine Stellungnahme ab.

Darin wurde ausgeführt, dass sich das Vorbringen der Zweitbeschwerdeführerin, sie sei im Grundrecht auf Datenschutz verletzt, indem die belangte Behörde den Anwendungsvorrang von Unionsrecht nicht beachtet habe und es unterlassen habe festzustellen, dass § 151 GewO unionsrechtswidrig sei, mangels Beschwer als nicht verfahrensrelevant darstelle, da der Datenschutzbeschwerde der Zweitbeschwerdeführerin wegen Verletzung im Recht auf Geheimhaltung von der belangten Behörde stattgegeben worden sei. Zudem sei ausdrücklich festgestellt worden, dass die Verarbeitung dieser Daten in Art. 9 DSGVO keine Deckung finde, weshalb es dahingestellt bleiben könne, ob § 151 GewO unionsrechtswidrig sei oder nicht. Hinsichtlich des behaupteten Verstoßes gegen die Informationspflichten sei auszuführen, dass § 24 Abs. 6 DSGVO der Norm des Art. 77 DSGVO nicht widerspreche, da Voraussetzung für die Einstellung des Verfahrens die Beseitigung der Rechtswidrigkeit sei. Dazu sei auszuführen, dass das in Art. 77 DSGVO normierte Beschwerderecht nach einhelliger Literaturmeinung und den Erwägungsgründen 129 ff. DSGVO dem Ausgestaltungsrecht der Mitgliedstaaten durch das Verfahrensrecht unterliege. Auch nach der einschlägigen Rechtsprechung des EuGH sei es Sache der Mitgliedstaaten, verfahrensrechtliche Aspekte zu regeln, wenn der betreffende Unionsrechtsakt nicht selbst Verfahrensbestimmungen enthalte. Österreich habe in § 24 DSG von dieser Möglichkeit Gebrauch gemacht. Der Möglichkeit der Einstellung, wenn die Rechtsverletzung geheilt ist, stehe eine wirksame Abhilfe nicht entgegen. Die Zweitbeschwerdeführerin vermeine einen Verfahrensmangel darin zu erkennen, dass die belangte Behörde ausgesprochen habe, nicht zur Normenkontrolle zuständig zu sein. Hierzu werde abermals auf die mangelnde Beschwer der Zweitbeschwerdeführerin verwiesen, es liege auch kein Verfahrensmangel vor, die Zweitbeschwerdeführerin habe beantragt, die belangte Behörde möge eine Unionsrechtswidrigkeit verschiedener Bestimmungen, u.a. des § 151 GewO, aussprechen. Die dahingehende Zurückweisung sei zurecht ergangen, da die belangte Behörde zur Normenkontrolle weder durch Unionsrecht noch durch nationale Vorschriften berufen sei. Die dahingehenden Anträge seien aufgrund von Unzuständigkeit zurückzuweisen gewesen, die jetzigen Ausführungen über den Anwendungsvorrang von Unionsrecht würden ins Leere gehen. Weiters führe die Zweitbeschwerdeführerin aus, die belangte Behörde habe Anträge unerledigt gelassen, dazu sei auszuführen, dass kein Verfahrensmangel vorliege, da die belangte Behörde ausgesprochen habe, dass die Erstbeschwerdeführerin gegen Grundsätze der Datenverarbeitung verstoßen habe. Die von der Beschwerdeführerin ins Treffen geführten Gründe hätten allesamt zu der in Spruchpunkt 1 des angefochtenen Bescheids ausgesprochenen Feststellung der Verletzung des Rechts auf Geheimhaltung geführt, weshalb keine Beschwer gegeben sei. Jedenfalls bleibe zu konstatieren, dass keine selbstständigen Anträge vorliegen würden, die unerledigt geblieben seien, und daher denkmöglich auch kein Verfahrensmangel vorliege.

7. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 17.07.2020 wurde die gegenständliche Rechtssache in die nunmehr zuständige Gerichtsabteilung W214 zugewiesen, wo sie am 24.07.2020 einlangte.

8. Am 07.04.2021 übermittelte das Bundesverwaltungsgericht die Beschwerden der Beschwerdeführerinnen der jeweils anderen Partei sowie die Stellungnahme der belangten Behörde vom 26.11.2020 zur Kenntnis und gab ihnen Gelegenheit zur Abgabe einer Stellungnahme.

9. Die Erstbeschwerdeführerin erstattete am 26.04.2021 eine Stellungnahme zur Beschwerde der Zweitbeschwerdeführerin und führte zunächst aus, dass sämtliche sogenannte Parteiaffinitäten unabhängig vom Individualverfahren der Zweitbeschwerdeführerin von der Erstbeschwerdeführerin am 22.02.2019 physisch gelöscht worden seien. Für die Erstbeschwerdeführerin sei nicht erkennbar, in welchem subjektiven Recht sich die Zweitbeschwerdeführerin für verletzt erachte. Die Beschwerde sei daher mangels Beschwer zurückzuweisen. Zudem liege auch inhaltlich kein Verstoß gegen Geheimhaltungs- und/oder Informationspflichten vor. Weiters erstattete die Erstbeschwerdeführerin ein ergänzendes Vorbringen zu ihrer Beschwerde und brachte vor, dass aufgrund der Löschung der dem Datensatz der Zweitbeschwerdeführerin zugeschriebenen Parteiaffinitäten und sämtlichen sonstigen Marketingklassifikationen das Feststellung- und Rechtschutzinteresse der Zweitbeschwerdeführerin weggefallen sei. Die DSGVO sehe ein geschlossenes System von Betroffenenrechten (Art. 12ff DSGVO) und möglicher behördlicher Abhilfebefugnisse gegen Datenschutzverstöße (Art. 58 Abs. 2 DSGVO) vor. Einen eigenständigen Feststellungsanspruch kenne die DSGVO dagegen nicht, insbesondere keinen Anspruch auf Feststellung in der Vergangenheit liegender Rechtsverletzungen. Dies stimme auch mit der bisherigen Rechtsprechung des Verwaltungsgerichtshofes zu Löschungs- und Auskunftsbegehren nach dem DSG 2000 überein, wonach ein Recht auf Feststellung über eine in der Vergangenheit erfolgte Verletzung des Rechtes auf Löschung von Daten bzw. auf Auskunft aus § 31 Abs. 2 DSG 2000 nicht ableitbar sei. Dies gelte auch nach aktueller Rechtslage unverändert, die belangte Behörde vertrete selbst die Ansicht, dass aus Art. 77 DSGVO (iVm § 24 DSG) ein Recht auf Feststellung, dass die Auskunft zu spät erteilt worden sei, nicht entnommen werden könne. Aufgrund des Vorrangs des Unionsrechts könne ein solcher Feststellungsanspruch im Übrigen auch nicht aus nationalen Bestimmungen oder Verfahrensgrundsätzen konstruiert werden. Das Bundesverwaltungsgericht habe seine Entscheidung am maßgeblichen Sachverhalt zum Zeitpunkt der Entscheidung auszurichten und seien die Spruchpunkte 1 und 2 des angefochtenen Bescheides ersatzlos zu beheben, da die Beschwer spätestens am 22.02.2019 weggefallen sei. Zudem sei die Zweitbeschwerdeführerin zu keinem Zeitpunkt beschwert gewesen, da aus der „Parteiaffinität“ nicht auf die politische Meinung geschlossen werden könne, sodass die Parteiaffinitäten, selbst wenn sie als personenbezogene Daten qualifiziert hätten werden müssen, keine besondere Kategorie personenbezogener Daten seien.

Die Zweitbeschwerdeführerin erstattete keine weitere Stellungnahme.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.

Zum Beschwerdeverfahren der Erstbeschwerdeführerin:

Die Erstbeschwerdeführerin betreibt ua. seit 03.04.2001 das Gewerbe „Adressenverlag und Direktwerbeunternehmen“.

In diesem Zusammenhang verarbeitete die Erstbeschwerdeführerin Marketingklassifikationen, die auf anonym durchgeführten Meinungsumfragen fußen. Mit Hilfe dieser Umfragen wurden soziodemographische Kriterien erhoben und in der Folge Marketinggruppen innerhalb eines Rasters gebildet. Für diese Marketinggruppen wurden Durchschnittswahrscheinlichkeiten errechnet, auf deren Basis ein Algorithmus entwickelt wurde. Auf dessen Basis wurde berechnet, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemografischen Eigenschaften in bestimmten Regionen Werbeinteresse an bestimmten Parteien haben. Die solcherart errechneten Prozentsätze sind als "Parteiaffinitäten" der jeweiligen Marketinggruppen bezeichnet worden.

Die „Parteiaffinität“ setzte sich dabei aus den Datenfeldern „ÖVP AFFIN“, „SPÖ AFFIN“, „FPÖ AFFIN“, „NEOS AFFIN“ und „GRÜN AFFIN“ zusammen, denen jeweils ein einzelner Wert, nämlich „sehr niedrig“, „niedrig“, „hoch“ oder „sehr hoch“, zugeordnet sein kann.

Die Berechnung der „Parteiaffinität“ hatte den Zweck, Streuverluste in der Werbung zu verringern.

Die Erstbeschwerdeführerin hat für die Verarbeitung der „Parteiaffinität“ keine Zustimmung von den Personen eingeholt, von denen der Wert ermittelt oder zugeordnet worden ist.

Mit Bescheid der belangten Behörde vom 06.09.2019 wurde unter anderem festgestellt, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat, indem sie Daten betreffend deren „Parteiaffinität“ verarbeitet (Spruchpunkt 1.). Der Erstbeschwerdeführerin wurde bei sonstiger Exekution aufgetragen, die Daten zur „Parteiaffinität“ unverzüglich aber längstens binnen zwei Wochen zu löschen (Spruchpunkt 2.).

Gegen diese beiden Spruchpunkte erhob die Erstbeschwerdeführerin mit Schriftsatz vom 16.10.2019 fristgerecht Bescheidbeschwerde an das Bundesverwaltungsgericht und regte unter anderem die Aussetzung des Beschwerdeverfahrens an.

Die Erstbeschwerdeführerin hat sämtliche „Parteiaffinitäten“ am 22.02.2019 physisch gelöscht. Darüber hinaus hat die Erstbeschwerdeführerin sämtliche sonstige, dem Datensatz der Zweitbeschwerdeführerin zugeschriebenen Marketingklassifikationen gelöscht.

Zum Beschwerdeverfahren der Zweitbeschwerdeführerin:

Die Zweitbeschwerdeführerin machte mit Datenschutzbeschwerde vom 15.12.2018 eine Verletzung im Recht auf Geheimhaltung durch die mitbeteiligte Partei geltend. In einem weiteren Schriftsatz vom 04.06.2019 brachte die Beschwerdeführerin auch eine Verletzung der in Art. 13 und 14 DSGVO normierten Informationspflichten durch die Erstbeschwerdeführerin vor und stellte die auf S. 13 des Schriftsatzes genannten bzw. S. 4 des angefochtenen Bescheides wiedergegebenen Anträge.

Mit Bescheid der belangten Behörde vom 06.09.2019, Zl. DSB-D205.179/0001-DSB/2019 wurde der Datenschutzbeschwerde der Zweitbeschwerdeführerin teilweise stattgegeben und festgestellt, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt habe, indem sie Daten betreffend deren „Parteiaffinität“ verarbeite (Spruchpunkt 1.) sowie der Erstbeschwerdeführerin bei sonstiger Exekution aufgetragen, die Daten zur „Parteiaffinität“ unverzüglich aber längstens binnen zwei Wochen zu löschen (Spruchpunkt 2.). Der Antrag der Erstbeschwerdeführerin, das gegenständliche Verfahren bis zu einer Entscheidung des Bundesverwaltungsgerichtes auszusetzen, wurde zurückgewiesen (Spruchpunkt 3.), in den Punkten der von der Zweitbeschwerdeführerin begehrten Feststellung, § 151 GewO sei rechtswidrig, unionsrechtswidrig sowie unverhältnismäßig wurde die Beschwerde mangels Zuständigkeit zurückgewiesen (Spruchpunkt 4.). Das Vorbringen der Zweitbeschwerdeführerin, die belangte Behörde möge feststellen, die Erstbeschwerdeführerin habe gegen ihre Informationspflichten verstoßen, wurde abgewiesen (Spruchpunkt 5.).

Gegen diesen Bescheid erhob die Zweitbeschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht.

Festgestellt wird, dass die Erstbeschwerdeführerin verspätet, aber noch vor dem Ende des Verfahrens vor der belangten Behörde, ihren Informationspflichten gemäß Art. 13 und 14 DSGVO nachgekommen ist.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt, dem gegenständlichen Gerichtsakt und aus dem Gerichtsakt W258 2217446-1 (dessen Gegenstand ebenfalls die Verarbeitung von Parteiaffinitäten durch die Erstbeschwerdeführerin war) und sind unstrittig.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerden wurden fristwahrend erhoben und es liegen hinsichtlich der Erstbeschwerdeführerin auch die sonstigen Prozessvoraussetzungen vor.

Hinsichtlich der Zweitbeschwerdeführerin ist auszuführen, dass Prozessvoraussetzung für die Führung von Verfahren vor Verwaltungsgerichten unter anderem das Bestehen eines Rechtsschutzinteresses ist. Dieses besteht im objektiven Interesse des Beschwerdeführers an der Beseitigung des angefochtenen, ihn beschwerenden Verwaltungsaktes. Es wird immer dann zu verneinen sein, wenn es für die Rechtsstellung des Beschwerdeführers keinen Unterschied mehr macht, ob der angefochtene Bescheid aufrecht bleibt oder aufgehoben wird bzw. wenn die Erreichung des Verfahrenszieles für den Beschwerdeführer keinen objektiven Nutzen hat, die aufgeworfenen Rechtsfragen soweit nur (mehr) theoretische Bedeutung besitzen. Im Falle des Fehlens des Rechtsschutzinteresses ist die Beschwerde zurückzuweisen (VwGH 27.7.2017, Ra 2017/07/0014).

Mit Bescheid der belangten Behörde vom 06.09.2019, Zl. DSB-D205.179/0001-DSB/2019 wurde der Beschwerde der Zweitbeschwerdeführerin teilweise stattgegeben und festgestellt, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt habe, indem sie Daten betreffend deren „Parteiaffinität“ verarbeite (Spruchpunkt 1.) sowie der Erstbeschwerdeführerin bei sonstiger Exekution aufgetragen, die Daten zur „Parteiaffinität“ unverzüglich aber längstens binnen zwei Wochen zu löschen (Spruchpunkt 2.). Der Antrag der Erstbeschwerdeführerin, das gegenständliche Verfahren bis zu einer Entscheidung des Bundesverwaltungsgerichtes auszusetzen, wurde zurückgewiesen (Spruchpunkt 3.), in den Punkten der begehrten Feststellung, § 151 GewO sei rechtswidrig, unionsrechtswidrig sowie unverhältnismäßig, wurde die Beschwerde mangels Zuständigkeit zurückgewiesen (Spruchpunkt 4.). Das Vorbringen, die belangte Behörde möge feststellen, die Erstbeschwerdeführerin habe gegen ihre Informationspflichten verstoßen, wurde abgewiesen (Spruchpunkt 5.).

Hierzu ist vorweg festzuhalten, dass Sache des gegenständlichen Verwaltungsverfahrens nur jene Angelegenheit ist, die den Inhalt des Spruchs der belangten Behörde gebildet hat. Die Sache des Verwaltungsverfahrens begrenzt jedenfalls die Prüfungsbefugnis des Verwaltungsgerichtes (VwGH 17.12.2014, Ra 2014/03/0038). Im vorliegenden Fall hat die belangte Behörde nur über die Verletzung des Rechtes auf Geheimhaltung der Zweitbeschwerdeführerin in Bezug auf die Verarbeitung der „Parteiaffinität“ abgesprochen. Es ist dem Bundesverwaltungsgericht daher – bei sonstiger Rechtswidrigkeit des Erkenntnisses (VwGH 30.6.2016, Ra 2016/11/0044) - jedenfalls verwehrt, darüber abzusprechen, ob die Zweitbeschwerdeführerin – soweit von ihr allenfalls vorgebracht - durch die Verarbeitung anderer Marketingklassifikation ebenfalls in ihrem Recht auf Geheimhaltung verletzt ist. Diesbezüglich wäre die Zweitbeschwerdeführerin wiederum an die belangte Behörde zu verweisen.

Im vorliegenden Fall erhob die Zweitbeschwerdeführerin trotz der stattgebenden Entscheidung der belangten Behörde in Bezug auf die festgestellte Verletzung im Recht auf Geheimhaltung durch die mitbeteiligte Partei (Spruchpunkt 1.) Bescheidbeschwerde an das Bundesverwaltungsgericht und führte aus, dass sie sich als in ihren Rechten verletzt erachte. Die Zweitbeschwerdeführerin stellte in ihrer Bescheidbeschwerde den Antrag, das Bundesverwaltungsgericht möge den angefochtenen Bescheid abändern und feststellen, dass ihre personenbezogenen Daten durch die mitbeteiligte Partei iSd § 151 GewO ausschließlich auf Grundlage von Art. 6 bzw. 9 DSGVO verarbeitet werden dürften und wandte sich mit diesem Antrag erkennbar gegen Spruchpunkt 1. des angefochtenen Bescheides. Voraussetzung für die Zulässigkeit der Beschwerde ist jedoch – wie oben ausgeführt – das Bestehen eines Rechtsschutzinteresses. Wie die belangte Behörde zutreffend ausgeführt hat, ist die Zweitbeschwerdeführerin aber durch Spruchpunkt 1. des angefochtenen Bescheides nicht in ihrem Recht auf Geheimhaltung verletzt. Das mit der erhobenen Datenschutzbeschwerde vom 15.12.2018 angestrebte Ziel, nämlich die Feststellung der Verletzung des Rechtes auf Geheimhaltung der Zweitbeschwerdeführerin durch die mitbeteiligte Partei, wurde (jedenfalls im Hinblick auf die Verarbeitung der Parteiaffinität) durch den stattgebenden Ausspruch der belangten Behörde in Spruchpunkt 1. des angefochtenen Bescheids bereits erreicht. Die Zweitbeschwerdeführerin kann daher kein objektives Interesse an der Beseitigung dieses Spruchpunktes haben, ein zusätzlicher Anspruch darauf, dass die von der Zweitbeschwerdeführerin aufgeworfene Rechtsfrage gelöst wird, indem festgestellt wird, dass ihre personenbezogenen Daten durch die mitbeteiligte Partei iSd § 151 GewO ausschließlich auf Grundlage von Art. 6 bzw. 9 DSGVO verarbeitet werden dürfen, besteht nicht, da diese Rechtsfrage soweit nur (mehr) theoretische Bedeutung besitzt (vgl. abermals VwGH 27.7.2017, Ra 2017/07/0014).

Insofern war auch der Anregung der Zweitbeschwerdeführerin, dem EuGH diesbezüglich Fragen zur Vorabentscheidung gemäß Art. 267 AEUV vorzulegen, nicht zu folgen. Auch die von der Beschwerdeführerin behauptete Nichtbehandlung von Anträgen durch die belangte Behörde geht vor diesem Hintergrund ins Leere, da die Anträge allesamt auf die Feststellung der Verletzung der Beschwerdeführerin im Recht auf Geheimhaltung durch die mitbeteiligte Partei abzielen, jedoch – wie bereits ausgeführt- das von der Beschwerdeführerin mit der erhobenen Datenschutzbeschwerde vom 15.12.2018 angestrebte Ziel, nämlich die Feststellung der Verletzung des Rechtes auf Geheimhaltung, durch den stattgebenden Ausspruch der belangten Behörde in Spruchpunkt 1. des angefochtenen Bescheids, bereits erreicht wurde.

Die Bescheidbeschwerde der Zweitbeschwerdeführerin war daher – soweit sie sich gegen Spruchpunkt 1. des angefochtenen Bescheides richtete - wegen Fehlen des Rechtsschutzinteresses als unzulässig zurückzuweisen.

Festzuhalten ist, dass die Zweitbeschwerdeführerin formell gegen den gesamten Bescheid Beschwerde an das Bundesverwaltungsgericht erhoben hat, die Beschwerde inhaltlich jedoch nur Ausführungen gegen die Spruchpunkte 1., 4. und 5. des angefochtenen Bescheides enthält und sich daher aus der Gesamtheit der Beschwerdeschrift ergibt, dass sich die Beschwerde nur gegen die Spruchpunkte 1., 4. und 5. richtet, zumal die Beschwerdeführerin durch die Spruchpunkte 2. und 3. des angefochtenen Bescheides nicht beschwert ist (vgl. dazu die obigen Ausführungen).

3.3. In der Sache

3.3.1 Rechtslage:

Die belangte Behörde hat ihrem Bescheid (sofern für die gegenständlichen Beschwerdeverfahren relevant) die folgenden Rechtsgrundlagen zugrunde gelegt: §§ 1 Abs. 1, und 4 Abs. 1 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 4 Z 1, 6 Abs. 1 lit. c, 9, 58 Abs. 2 lit. f und 77 Abs. 1 der Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung (DSGVO), ABl. L 119 vom 4.5.2016, S.1 sowie § 151 der Gewerbeordnung 1994 (GewO 1994), BGBl. Nr. 194/1994 idgF.

Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen, darüber hinaus sind die Bestimmungen des § 24 Abs. 1 und 6 DSG, Art. 6 Abs. 1 lit. f, 13, 14 und 57 Abs. 1 lit. f DSGVO, Art. 89 Abs. 1 und 2 B-VG und Art. 267 AEUV relevant.

§ 1 Abs. 1 DSG lautet:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.“

§ 4 Abs. 1 DSG lautet:

„§ 4. (1) Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.“

§ 24 Abs. 1, 5 und 6 DSG lauten:

„§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.“

Art. 4 Z 1 DSGVO lautet:

„Art. 4 DSGVO

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;“

Art. 6 Abs. 1 lit. a, c und f DSGVO lauten:

„Art. 6 DSGVO

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“

Art. 9 DSGVO lautet:

„Art. 9 DSGVO

Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,

b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,

c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,

d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,

e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,

h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,

i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder

j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.

(3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

(4) Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.“

Die – soweit relevanten – Erwägungsgründe, insbesondere zu Art 9 DSGVO der DSGVO, lauten:

„(46) Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person oder einer anderen natürlichen Person zu schützen. […] Einige Arten der Verarbeitung können sowohl wichtigen Gründen des öffentlichen Interesses als auch lebenswichtigen Interessen der betroffenen Person dienen; so kann beispielsweise die Verarbeitung für humanitäre Zwecke einschließlich der Überwachung von Epidemien und deren Ausbreitung oder in humanitären Notfällen insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen erforderlich sein.

(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. […] Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.

(51) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundre