TE Bvwg Erkenntnis 2021/8/31 W256 2227693-1

W256 2227693-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline Kimm als Vorsitzende, der fachkundigen Laienrichterin Dr. Claudia Rosenmayr-Klemenz und dem fachkundigen Laienrichter Dr. Michael Gogola als Beisitzer über die Beschwerde der XXXX GmbH, vertreten durch CMS Reich-Rohrwig Hainz Rechtsanwälte GmbH, gegen den Bescheid der Datenschutzbehörde vom 23. Oktober 2019, GZ: DSB-D213.895/0003-DSB/2019, aufgrund des Vorlageantrages der XXXX GmbH zu Recht erkannt:

A)       Der Beschwerde wird gemäß § 28 Abs 1 und 2 VwGVG Folge gegeben und die Beschwerdevorentscheidung vom 11. Dezember 2019, GZ: DSB-D062.297/0001-DSB/2019 ersatzlos behoben.

B)       Die Revision ist gemäß Art 133 Abs 4 B-VG zulässig.

Entscheidungsgründe:

I.       Verfahrensgang und Sachverhalt:

Mit Schreiben vom 5. September 2019 teilte die belangte Behörde der XXXX GmbH (im Folgenden: Beschwerdeführerin) mit, dass sie ein amtswegiges Prüfverfahren gemäß Art 58 Abs 2 lit b DSGVO iVm § 22 Abs 1 DSG gegen sie einleite. In einem ersten Teil werde allgemein die Einhaltung der Bestimmungen der DSGVO und des DSG überprüft, weshalb um Übermittlung diverser Unterlagen, wie z.B. eines Verarbeitungsverzeichnisses ersucht werde. In einem zweiten Teil werde der Umgang mit personenbezogenen Daten der Teilnehmer am „ XXXX “ überprüft und die Beschwerdeführerin in diesem Zusammenhang u.a. aufgefordert, darzulegen, auf welche Weise die Einwilligung einer betroffenen Person für den Erhalt von personalisierter Werbung durch Profiling im Rahmen der Anmeldung zum XXXX eingeholt werde und auf welche Weise die Informationspflichten nach Art 13 DSGVO im Rahmen einer solchen Anmeldung zum XXXX umgesetzt werden würden. Im Übrigen wurde um Vorlage eines Muster-Einwilligungsformulars ersucht.

Dieser Aufforderung ist die Beschwerdeführerin mit Schreiben vom 16. September 2019 und vom 7. Oktober 2019 unter gleichzeitiger Vorlage diverser Unterlagen nachgekommen.

Mit dem Bescheid vom 23. Oktober 2019, GZ: DSB-D213.895/0003-DSB/2019 (Ausgangsbescheid) entschied die belangte Behörde im amtswegigen Prüfverfahren gegen die Beschwerdeführerin wie folgt:

„1. Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den am „ XXXX “ registrierten betroffenen Personen zum Zweck des Profiling durch die XXXX GmbH mit dem Wortlaut

„Einwilligungserklärung: Ich erkläre mich [..] damit einverstanden, dass die XXXX GmbH sowie die XXXX Partner, bei denen ich meine XXXX Karte verwendet habe, (1) meine Teilnahmedaten und Einkaufsdaten zusammenführen und analysieren, um mir für mich relevante und auf meine Interessen zugeschnittene, individualisierte Informationen zum XXXX Programm zukommen zu lassen und Angebote zum Sammeln und Einlösen von XXXX auf meine Bedürfnisse anzupassen (sog. „Profiling“ für Zielgruppenselektion, Werbemaßnahmen [..], um (2) mir Werbung mit personalisierten Angeboten über Produkte und Dienstleistungen des Betreibers und der XXXX Partner [..] zuzusenden, und (3) dass meine auf diese Weise gewonnenen personenbezogenen Daten bei Widerruf meiner Einwilligung, spätestens nach Ende meiner Mitgliedschaft gelöscht werden. [..].“

unter Verwendung folgender Methoden:

i)       Webseite www. XXXX .at

ii)       XXXX App

iii)     XXXX in der Filiale eines Partners und

iv)      Anmeldebroschüre („Flyer“)

nicht den Anforderungen an eine Einwilligung gemäß Art 4 Z 11 DSGVO und Art 7 DSGVO entspricht und dass folglich die Verarbeitung von personenbezogenen Daten von den am „ XXXX “ registrierten betroffenen Personen zum Zweck des Profiling durch die XXXX GmbH mangels gültiger Einwilligung unzulässig ist.

2.       Die Beschwerdeführerin wird angewiesen, innerhalb einer Frist von drei Monaten bei sonstiger Exekution, das in Spruchpunkt 1. genannte Ersuchen um Einwilligung unter Verwendung der in Spruchpunkt 1. i) bis iv) genannten Methoden gemäß Art 4 Z 11 DSGVO und Art 7 DSGVO anzupassen.

3.       Der XXXX GmbH wird untersagt und die XXXX GmbH wird angewiesen, die gemäß Spruchpunkt 1. eingeholten Einwilligungen ab 1. Mai 2020 zum Zweck des Profiling nicht mehr zu verwenden. Dies gilt nicht, sofern von den betroffenen Personen innerhalb derselben Frist eine gültige Einwilligung, unter Einhaltung der Anforderungen an eine Einwilligung gemäß Spruchpunkt 2. eingeholt wird.

Rechtsgrundlagen: Art. 4 Z 4 und Z 11, Art. 5 Abs. 1 lit. a. Art. 6 Abs. 1 lit. a, Art 7 Abs. 1 und Abs. 2, Art 12 Abs 1, Art 13 Abs. 1 lit. c, Art 57 Abs. 1 lit. a und lit. h, Art 58 Abs. 1 b und Abs. 2 lit. d und lit. f [..] DSGVO [..]“

Dazu stellte die belangte Behörde u.a. fest, dass die Beschwerdeführerin Betreiberin des XXXX sei. Bei diesem XXXX handle es sich um ein unternehmens- und branchenübergreifendes Kundenbindungsprogramm. Unterschiedliche Unternehmen würden daran teilnehmen. Dazu schließe die Beschwerdeführerin als Betreiberin mit den Unternehmen einen Vertrag ab. Kunden, die in den Filialen der teilnehmenden Partner Produkte erwerben und einkaufen, könnten sich als Mitglied für den XXXX registrieren. Die Mitglieder könnten bei jedem Einkauf die XXXX Karte vorzeigen, die vor Bezahlung durch den jeweiligen Partner gescannt werde. Im Rahmen des Kundenbindungsprogramms würden die Mitglieder Punkte sammeln. Diese könnten u.a. dazu verwendet werden, um Rabatte zu erhalten. Die Beschwerdeführerin weise in ihrer Datenschutzerklärung in Punkt 3. darauf hin, dass sie näher dargestellte Mitgliederstammdaten und Einkaufsdaten verarbeite. In Punkt 4.4. der Datenschutzerklärung werde unter der Überschrift „automationsunterstützte Verarbeitung und Analyse (Profiling für Zielgruppenselektionen, […]“ darauf hingewiesen, dass nur sofern das Mitglied einwillige, der Betreiber als alleiniger Verantwortlicher die beim Betreiber und bei den Partnern verarbeiteten Mitgliederstammdaten und Einkaufsdaten des Mitglieds zur automationsunterstützten Personalisierung von Werbe- und Marketinsmaßnahmen für den Betreiber und die Partner zur Durchführung von Marktforschungsmaßnahmen weiterverwende, analysiere und so neue Marketing-Profilingdaten gewinne. Rechtsgrundlage für die Verarbeitung sei laut Punkt 4.4.5. die Einwilligung nach Art 6 Abs 1 lit a DSGVO. Laut Punkt 4.4.6. sei die Einwilligung freiwillig und könne jederzeit widerrufen werden.

Weiters stellte die belangte Behörde fest, dass die gegenständliche Einwilligung zum Profiling nach Punkt 4.4. der Datenschutzerklärung durch die in Spruchpunkt 1 i) bis iv) dargestellten Methoden eingeholt werde. Dabei wurde die Art und Weise der Einholung der Einwilligungen zum Profiling von der belangten Behörde betreffend jede Methode näher dargestellt. Im Wesentlichen werde bei sämtlichen Methoden, wenn auch in unterschiedlicher Form, zunächst die Datenschutzerklärung den Betroffenen zur Kenntnis gebracht und anschließend unter der Überschrift „Genießen Sie Ihre persönlichen Vorteile“ der Betroffene um die im Spruch ausgeführte Einwilligung zum in Punkt 4.4. der Datenschutzerklärung dargestellten Profiling ersucht.

Prüfgegenstand sei nunmehr die Frage, ob dieses Ersuchen um Einwilligung den in der DSGVO normierten Anforderungen entspreche. Werde dies verneint, sei weiters zu prüfen, welche Auswirkungen dies auf die Zulässigkeit der Verarbeitung von personenbezogenen Daten zum Zweck des Profiling habe und ob im Falle einer Unzulässigkeit ein Verbot der Datenverarbeitung auszusprechen sei. Die Datenschutzbehörde habe bereits in einem ähnlich gelagerten Fall ausgesprochen, dass eine Einwilligung den Anforderungen des Art 4 Z 11 DSGVO und Art 7 DSGVO entsprechend und insbesondere in verständlicher Form erfolgen müsse. Diesen Anforderungen entspreche die vorliegende Einwilligung bei jeder der vier Anmeldearten nicht. Die damit verbundenen Informationen über Profiling würden nicht in einer leicht zugänglichen Form verfügbar sowie in keiner klaren und einfachen Sprache formuliert werden. Die Einwilligung könne daher nicht als Rechtsgrundlage gemäß Art 6 Abs 1 lit. a DSGVO herangezogen werden. Die Beschwerdeführerin habe sich zu keinem Zeitpunkt auf berechtigte Interessen iSd Art 6 Abs. 1 lit f DSGVO als Rechtsgrundlage für die Verarbeitung zum Zweck des Profiling gestützt, wobei zu bemerken sei, dass eine solche Interessensabwägung ohnedies gegen die Betreiberin ausfallen würde. Nach Erwägungsgrund 47 erster Satz DSGVO seien im Rahmen einer solchen Interessensabwägung nämlich die „vernünftigen Erwartungen“ der betroffenen Personen einzubeziehen und könne ein Durchschnittsbenutzer eben gerade nicht erwarten, dass eine „Einwilligung zum Profiling“ gegeben werde. Schließlich weise auch die Art 29 Datenschutzgruppe in ihren Leitlinien darauf hin, dass es nicht gestattet sei, rückwirkend berechtigte Interessen als Grundlage für die Rechtfertigung der Verarbeitung zu wählen, wenn Probleme mit der Gültigkeit der Einwilligung aufgetreten seien. Verantwortliche müssten sich vielmehr im Vorfeld entscheiden, welche Rechtsgrundlage für eine Verarbeitung anwendbar sei. Da somit weder die Einwilligung nach Art 6 Abs 1 lit a DSGVO, noch ein weiterer Tatbestand als Rechtsgrundlage für die Verarbeitung in Betracht komme, sei in Spruchpunkt 1. festzustellen gewesen, dass die Verarbeitung von personenbezogenen Daten von dem am „ XXXX “ registrierten Personen zum Zweck des Profiling mangels gültiger Einwilligung unzulässig sei. Da sohin ein Verstoß gegen Art 7 Abs 2 DSGVO festgestellt worden sei und es insofern an einer Rechtsgrundlage für die gegenständliche Verarbeitung mangle, seien die in Rede stehenden Abhilfebefugnisse zu erteilen gewesen. Es stehe der Beschwerdeführerin jedoch frei, durch Einholung neuer Einwilligungserklärungen eine rechtmäßige Datenverarbeitung zu erwirken.

Gegen diese Entscheidung erhob die Beschwerdeführerin Beschwerde an das Bundesverwaltungsgericht. Darin führte diese – sofern hier wesentlich – aus, die belangte Behörde habe im amtswegigen Prüfverfahren anhand einer Aufforderung zur Stellungnahme Fragen an die Beschwerdeführerin zur Art der Einholung der Einwilligung einer betroffenen Person, insbesondere im Hinblick auf personalisierte Werbung und Profiling gerichtet, eine weitere Möglichkeit zur Stellungnahme sei der Beschwerdeführerin jedoch nicht mehr eingeräumt worden. Abgesehen davon, dass die belangte Behörde aus näher dargestellten Gründen zu Unrecht von der Ungültigkeit der vorliegenden Einwilligungserklärungen ausgehe, habe sie unter Verweis auf die Rechtsprechung des Bundesverwaltungsgerichts mit der Prüfung der Einwilligungserklärungen einen zu engen Prüfmaßstab gelegt und nicht (ausreichend) die Zulässigkeit der Datenverarbeitung auf einer anderen Rechtsgrundlage geprüft, weshalb der angefochtene Bescheid schon aus diesen Gründen rechtswidrig sei. Als Rechtsgrundlage für die Verarbeitung komme nämlich nicht nur die Einwilligung nach Art 6 Abs 1 lit a DSGVO, sondern auch das berechtigte Interesse der Beschwerdeführerin nach Art 6 Abs 1 lit f DSGVO in Betracht. Das Zusammenführen verschiedener Daten und Selektionskriterien mit dem Ziel, Werbemaßnahmen möglichst nahe an den tatsächlichen Interessen der Betroffenen zu orientieren, diene nämlich dem berechtigten Interesse beider Parteien. Während die Beschwerdeführerin damit eine Fehlallokation der eingesetzten Mittel so gering wie möglich halten könne, werde dem Betroffenen nur solche Werbung übermittelt, die dessen (mutmaßlichem) Interesse entspreche und werde der Betroffene somit nicht mit unnötiger Werbung belästigt. Darüber hinaus könne die Datenverarbeitung aber auch auf Art 6 Abs. 4 DSGVO und die Möglichkeit der Weiterverarbeitung gestützt werden.

Nach der Judikatur des Bundesverwaltungsgerichts führe die fehlende Auseinandersetzung der belangten Behörde mit alternativen Rechtsgrundlagen der Datenverarbeitung in einem amtswegigen Prüfverfahren dazu, dass der Prüfgegenstand zu eng sei und insofern der Bescheid ersatzlos zu beheben sei. In Verkennung der Rechtslage habe sich die belangte Behörde ausschließlich auf die Prüfung der Rechtsgrundlage der Einwilligung beschränkt. Andere alternative Rechtsgrundlagen seien überhaupt nicht geprüft, sondern lediglich konstatiert worden, dass kein weiterer Tatbestand als Rechtsgrundlage in Betracht komme. Die Rechtsgrundlage des Art 6 Abs 4 DSGVO sei von der belangten Behörde nicht einmal ansatzweise in Betracht gezogen worden, weshalb der Bescheid nach der Rechtsprechung des Bundesverwaltungsgerichts schon deshalb ersatzlos zu beheben sei. Aber auch die lediglich in der Begründung erfolgte Bezugnahme zu Art 6 Abs 1 lit f DSGVO sei unzureichend erfolgt. So habe sich die belangte Behörde in keiner Weise mit den Interessen der Beschwerdeführerin und jener der betroffenen Personen auseinandergesetzt und dazu auch keine Feststellungen getroffen, sondern ausschließlich auf die „vernünftigen Erwartungen“ der betroffenen Person abgestellt.

Mit der Beschwerdevorentscheidung der belangten Behörde vom 11. Dezember 2019, GZ: DSB-D062.297/0001-DSB/2019 wurde der Beschwerde der Beschwerdeführerin teilweise stattgegeben und der Spruch dahingehend abgeändert, dass er insgesamt zu lauten hat:

„1. Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass

a)       das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den am „ XXXX “ registrierten betroffenen Personen zum Zweck des Profiling durch die Beschwerdeführerin mit dem Wortlaut […]

unter Verwendung der Methoden i) Webseite XXXX und ii) Anmeldebroschüre („Flyer“) nicht den Anforderungen an eine Einwilligung gemäß Art 4 Z 11 DSGVO und Art 7 DSGVO entspricht und dass

b)       für die bisherige Verarbeitung von personenbezogenen Daten von den am XXXX “ registrierten betroffenen Personen zum Zweck des Profiling durch die XXXX GmbH neben der Einwilligung, die unter Verwendung der Methoden i) Webseite XXXX und ii) Anmeldebroschüre („Flyer“) eingeholt wurden, keine andere Rechtsgrundlage nach Art. 6 DSGVO in Betracht kommt und die genannte bisherige Verarbeitung daher unrechtmäßig ist.

2)       Der XXXX GmbH wird die Verarbeitung von personenbezogenen Daten von den am „ XXXX “ registrierten betroffenen Personen zum Zweck des Profiling im Umfang von Spruchpunkt 1 untersagt.

3)       Für die Umsetzung von Spruchpunkt 2. wird der Beschwerdeführerin eine Frist von sechs Monaten eingeräumt.

Rechtsgrundlagen: [..] Art. 4 Z 4 und Z 11, Art. 5 Abs. 1 lit. a. Art. 6 Abs. 1 lit. a, Art 7, Art 12 Abs 1, Art 13 Abs. 1 lit. c, Art 57 Abs. 1 lit. a, lit. d und lit. h, Art 58 Abs. 1 b und lit d sowie Abs. 2 lit. d und lit. f [..] DSGVO [..]“

Begründend führte die belangte Behörde aus, aus dem Beschwerdevorbringen gehe hervor, dass es sich beim Anmeldeprozess bei den Methoden XXXX App“ und „ XXXX “ um einen Screen-für Screen Anmeldeprozess handle und damit sichergestellt sei, dass das Ersuchen um Einwilligung vom übrigen Anmeldeprozess deutlich abgehoben sei. Dies habe zur Folge, dass die volle Aufmerksamkeit des Betroffenen auf den gegenwärtigen Anmeldeschritt gerichtet sei. Es sei daher von einem ausreichenden Transparenzniveau und somit von einer ausreichenden Einwilligung auszugehen, weshalb der Spruchpunkt dementsprechend anzupassen gewesen sei. Die Einwilligung bei den Methoden Webseite und Flyer entspreche jedoch – wie bereits im Ausgangsbescheid ausgeführt – nach wie vor nicht den Anforderungen an eine transparente und gut sichtbare Einholung einer Einwilligung, weshalb diese nicht als gültige Rechtsgrundlage gemäß Art 6 Abs 1 lit a DSGVO für eine Verarbeitung herangezogen werden könne. Die Beschwerdeführerin habe sich im gesamten Verfahren allein auf diese Rechtsgrundlage gestützt, weshalb andere, nunmehr erstmals von der Beschwerdeführerin ins Treffen geführte Rechtsgrundlagen gar nicht in Betracht zu ziehen seien. Das Konzept der DSGVO sei derart angelegt, dass die Aufsichtsbehörde die Verarbeitungsvorgänge anhand des Verarbeitungsverzeichnisses zu überprüfen habe und führe die Beschwerdeführerin darin allein als Rechtsgrundlage die Einwilligung für die gegenständliche Verarbeitung an. Abgesehen davon sei es aber auch nicht Aufgabe der Aufsichtsbehörde nach Art 57 DSGVO einen Ersatzerlaubnistatbestand für einen Verantwortlichen heranzuziehen und stünde dies einer Aufsichtsbehörde auch gar nicht zu. Vielmehr sei es Sache des Verantwortlichen nachzuweisen, dass er die Grundsätze der DSGVO einhalte, wie Art 5 Abs 2 DSGVO erhelle. Doch selbst wenn den Ausführungen der Beschwerdeführerin gefolgt werde, sei zu bemerken, dass eine Interessensabwägung gegen die Beschwerdeführerin ausfallen würde und eine Weiterverarbeitung unzulässig wäre. So weise die Art. 29 Datenschutzgruppe ausdrücklich darauf hin, dass es nicht gestattet sei, rückwirkend berechtigte Interessen als Grundlage für eine Rechtfertigung einer Verarbeitung zu wählen, wenn Probleme mit der Gültigkeit der Einwilligung auftreten würden. Der Verantwortliche müsse sich im Vorfeld entscheiden, auf welche Rechtsgrundlage er seine Verarbeitung stütze. Die Beschwerdeführerin habe ihr gesamtes Konzept der Verarbeitung von personenbezogenen Daten auf die Rechtsgrundlage der Einwilligung gestützt und nicht auf zusätzliche Rechtsgrundlage oder die Weiterverarbeitung nach Art 6 Abs 4 DSGVO hingewiesen. Die Rechtsgrundlage des Art 6 Abs 1 lit f DSGVO und des Art 6 Abs 4 DSGVO komme deshalb nicht in Betracht, weil es dem Grundsatz von Treu und Glauben und dem Transparenzgebot widerspreche, wenn sich ein Verantwortlicher, nachdem sich eine Einwilligung als ungültig herausgestellt habe, nachträglich auf einen anderen Erlaubnistatbestand stütze. Abgesehen von diesen (bereits ausreichenden) Gründen würde eine Interessenabwägung aber auch nicht zugunsten der Beschwerdeführerin ausfallen, weil auf Grundlage des Profiling ein genaues Bild über die wirtschaftliche und soziale Situation erstellt werde und dies nicht als harmloser Eingriff in die Privatsphäre zu qualifizieren sei. Der wirtschaftliche Vorteil könne den Eingriff in die Privatsphäre nicht rechtfertigen. Art 6 Abs 4 DSGVO stelle keine eigenständige Rechtsgrundlage dar, sondern setze eine gültige Rechtsgrundlage nach Abs 1 DSGVO voraus. Da die herangezogene Rechtsgrundlage nach Abs 1 schon scheitere, käme auch eine Weiterverarbeitung für andere Zwecke nicht in Betracht. Da es insofern im vorliegenden Fall für die gegenständliche Verarbeitung an einer Rechtsgrundlage nach Art 6 Abs 4 DSGVO mangle, sei ein entsprechendes Verbot zu verhängen.

Mit Schreiben vom 27. Dezember 2019 stellte die Beschwerdeführerin einen Vorlageantrag. Darin verwies die Beschwerdeführerin – sofern hier wesentlich - darauf, dass die belangte Behörde den Spruch des angefochtenen Bescheids abgeändert und damit ihre Prüfbefugnis überschritten habe. Die Beschwerdevorentscheidung gehe betreffend die Feststellung, dass für die Verarbeitung zum Zweck des Profiling keine andere Rechtsgrundlage nach Art 6 DSGVO in Betracht komme über die Sache des Beschwerdeverfahrens hinaus. Im Übrigen seien die eingeholten Einwilligungen – wie bereits in der Beschwerde ausgeführt – rechtsgültig. Aber auch der von der belangten Behörde ausgeführten „Sperrwirkung“ der Einwilligung könne nicht gefolgt werden. Ein gesetzlicher Erlaubnistatbestand entfalle nicht deshalb, weil zusätzlich eine Einwilligung eingeholt werde. Nach Art 17 Abs 1 lit b DSGVO würde eine Löschverpflichtung im Falle eines Widerrufes nur dann greifen, wenn keine anderweitige Rechtsgrundlage vorliege. Daraus folge, dass ein Widerruf der Einwilligung schon nach der Systematik der DSGVO nicht zu einer unzulässigen Datenverarbeitung führen könne. Auch hänge die Anwendbarkeit der gesetzlichen Erlaubnistatbestände nicht davon ab, dass sich der Verantwortliche darauf berufen habe. Letztlich werde von der belangten Behörde auch übersehen, dass die für das Profiling verwendeten Teilnahmedaten und Einkaufsdaten gemäß Punkt 4.1. und 4.2. der Datenschutzerklärung auf der Rechtsgrundlage nach Art 6 Abs 1 lit b DSGVO (Vertragserfüllung) zur Verwaltung der Mitgliedschaft sowie zur Abwicklung des Kundenbindungsprogrammes verwendet würden. Entgegen der Ansicht der belangten Behörde käme daher Art 6 Abs 4 DSGVO in Bezug auf die Weiterverarbeitung dieser Daten sehr wohl in Betracht. Auch könne die Ansicht der belangten Behörde eine Verletzung des Grundsatzes von Treu und Glauben schließe von vornherein eine Interessensabwägung nach Art 6 Abs 1 lit f DSGVO aus, nicht nachempfunden werden.

Die belangte Behörde hat die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vorgelegt und eine Gegenschrift erstattet. Darin führte die belangte Behörde aus, Gegenstand des Ausgangsbescheids sei die Frage der Zulässigkeit der in Rede stehenden Verarbeitung gewesen. Aufgrund des durchgeführten Ermittlungsverfahrens habe sich aus Sicht der belangten Behörde aber ergeben, dass die Beschwerdeführerin die Verarbeitung allein auf die Rechtsgrundlage der Einwilligung stütze. Insofern sei im Ausgangsbescheid ausgesprochen worden, dass die Einwilligung nicht der DSGVO entspreche und die Verarbeitung dementsprechend unzulässig sei. Aus der Begründung gehe hervor, dass eine Ersatzrechtsgrundlage wie etwa in Form des berechtigten Interesses nach Art 6 Abs 1 lit f DSGVO nicht in Betracht komme. Zur Sperrwirkung der Einwilligung werde ergänzend ausgeführt, dass auch in der Literatur die Ansicht vertreten werde, dass mehrere Rechtsgrundlagen nur dann nebeneinander hergezogen werden könnten, wenn der Betroffene darüber informiert worden sei. Im gegenständlichen Fall habe die Beschwerdeführerin ihre Verarbeitung ausschließlich auf die Einwilligung gestützt.

II. Das Bundesverwaltungsgericht hat erwogen:

2. Beweiswürdigung:

Der oben wiedergegebene Verfahrensgang und Sachverhalt ergibt sich aus dem vorgelegten Verwaltungsakt.

3. Rechtliche Beurteilung:

Die hier maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten wie folgt:

„Art 5 Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

[….]

Art 6 Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

[..]

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

[..]

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem

a)

jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b)

den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c)

die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d)

die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e)

das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

[…]

Art 7 Bedingungen für die Einwilligung

(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.

(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.

(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.

(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.

Art 13 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person

Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

a)

den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b)

gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

c)

die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d)

wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

[..]

Art 17 Recht auf Löschung [..]

Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a)

Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b)

Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

[…]

Art 58

"(1) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Untersuchungsbefugnisse, die es ihr gestatten,

[..]

b) Untersuchungen in Form von Datenschutzüberprüfungen durchzuführen,

[..]

(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

a)- einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,

b)- einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,

c)- den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,

d)- den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,

e)- den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person entsprechend zu benachrichtigen,

f)- eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,

g)- die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung gemäß den Artikeln 16, 17 und 18 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gemäß Artikel 17 Absatz 2 und Artikel 19 offengelegt wurden, über solche Maßnahmen anzuordnen,

h)- eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine gemäß den Artikel 42 und 43 erteilte Zertifizierung zu widerrufen, oder die Zertifizierungsstelle anzuweisen, keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden,

[...]."

Daraus folgt in rechtlicher Hinsicht:

Nach der Rechtsprechung des Verwaltungsgerichtshofes tritt die Beschwerdevorentscheidung aufgrund eines zulässigen Vorlageantrages nicht außer Kraft. Das Rechtsmittel, über welches das Verwaltungsgericht zu entscheiden hat, bleibt aber im Fall eines zulässigen Vorlageantrages dennoch die Beschwerde: Der Vorlageantrag - auch ein solcher von anderen Parteien als dem Beschwerdeführer - richtet sich nach dem VwGVG nämlich (nur) darauf, dass die Beschwerde dem Verwaltungsgericht vorgelegt wird, mag er auch eine (zusätzliche) Begründung enthalten. Da sich die Beschwerde gegen den Ausgangsbescheid richtet (und sich ihre Begründung auf diesen beziehen muss), bleibt der Ausgangsbescheid auch Maßstab dafür, ob die Beschwerde berechtigt ist oder nicht. Aufgehoben, abgeändert oder bestätigt werden kann aber nur die an die Stelle des Ausgangsbescheides getretene Beschwerdevorentscheidung (siehe dazu ausführlich VwGH, 17.12.2015, Ro 2015/08/0026).

Es entspricht der Rechtsprechung des Verwaltungsgerichtshofes, dass die Beschwerdevorentscheidung gemäß § 14 VwGVG - nicht anders als die Entscheidung des Verwaltungsgerichts gemäß §§ 28 und 31 VwGVG - eine Entscheidung über die Beschwerde ist, die diese, soweit kein Vorlageantrag gestellt wird, auch endgültig erledigt. Schon daraus folgt, dass die Sache des Verfahrens in diesem Stadium nicht anders begrenzt werden kann als im Verfahren vor dem Verwaltungsgericht selbst. § 14 VwGVG verweist zudem (auch) ausdrücklich auf § 27 VwGVG, der den zulässigen Prüfungsumfang für das Verwaltungsgericht festlegt. Zur Sache des Verfahrens vor dem Verwaltungsgericht und dem äußersten Rahmen seiner Prüfbefugnis hat der Verwaltungsgerichtshof schon wiederholt ausgeführt, dass es sich dabei jedenfalls nur um jene Angelegenheit handelt, die den Inhalt des Spruchs des Ausgangsbescheides gebildet hat (vgl. VwGH 6.5.2020, Ra 2019/08/0114; VwGH 8.5.2018, Ro 2018/08/0011).

Im konkreten Fall hat die belangte Behörde laut ihren eigenen Ausführungen im Ausgangsbescheid den Prüfgegenstand allein auf die Überprüfung der Einwilligungserklärungen als Rechtsgrundlage für eine Datenverarbeitung zum Zweck des Profiling beschränkt und wurde dementsprechend auch im Spruch und in den herangezogenen Rechtsgrundlagen des Ausgangsbescheids ausschließlich auf das Fehlen einer der DSGVO entsprechenden Einwilligungserklärung als Rechtsgrundlage für eine solche Datenverarbeitung Bezug genommen („ [..] es wird festgestellt, dass das Ersuchen um Einwilligung […] nicht den Anforderungen an eine Einwilligung gemäß Art 4 Z 11 DSGVO und Art 7 DSGVO entspricht und dass folglich die Verarbeitung [..] mangels gültiger Einwilligung unzulässig ist“ [..] Rechtsgrundlagen: [..] Art. 6 Abs. 1 lit a, Art 7 Abs. 1 und Abs. 2, [..]“).

Eine Prüfung der sonstigen allenfalls nach Art 6 DSGVO in Frage kommenden Rechtsgrundlagen fand jedoch nicht statt und war dies offensichtlich auch gar nicht Gegenstand des von Amts wegen durchgeführten Prüf- und Ermittlungsverfahrens. So hat die belangte Behörde nicht nur ihr gesamtes Prüfverfahren ausschließlich auf die Rechtsgrundlage der Einwilligung für die gegenständliche Datenverarbeitung reduziert und auch nur dazu in ihrer Aufforderung zur Stellungnahme Fragen an die Beschwerdeführerin gerichtet, sondern führte sie unter Bezugnahme auf die Leitlinien der Art 29 Datenschutzgruppe im Ausgangsbescheid (und auch im weiteren Verfahren) sogar selbst dezidiert und begründend aus, dass eine andere Rechtsgrundlage, wie z.B. jene der berechtigten Interessen nach Art 6 Abs 1 lit f DSGVO, bei Problemen mit einer Einwilligungserklärung rückwirkend eben nicht in Betracht zu ziehen und eine solche Interessensabwägung aufgrund der „vernünftigen Erwartungen“ der Betroffenen auch gar nicht geboten bzw. von der Beschwerdeführerin auch nie geltend gemacht worden sei. Sie habe daher (allein) aufgrund der Rechtsverletzung nach Art 7 Abs 2 DSGVO entsprechende Maßnahmen nach Art 58 Abs 2 DSGVO erteilt.

Auch in ihrer Beschwerdevorentscheidung und in ihrer an das Bundesverwaltungsgericht erstatteten Gegenschrift führte die belangte Behörde dazu aus, die Beschwerdeführerin habe sich ausschließlich auf die Rechtsgrundlage der Einwilligung gestützt und sei es nicht Aufgabe einer Aufsichtsbehörde, einen Ersatzerlaubnistatbestand für einen Verantwortlichen heranzuziehen.

Angesichts dieser Ausführungen und Erwägungen ist – wie im Übrigen schon allein der Spruch im Ausgangsbescheid unzweifelhaft und hinreichend klar deutlich macht – davon auszugehen, dass der Gegenstand des von der belangten Behörde von Amts wegen ergangenen Ausgangsbescheids ausschließlich auf das Vorliegen einer rechtsgültigen Einwilligungserklärung als (mögliche) Rechtsgrundlage für die in Rede stehende Datenverarbeitung beschränkt war (siehe dazu auch die in Hengstschläger/Leeb, AVG § 59 (Stand 1.7.2005, rdb.at), Rn 111 angeführte ständige Rechtsprechung des VwGH, wonach nur bei Zweifeln über den Inhalt des Spruches zu dessen Auslegung auch die Begründung heranzuziehen ist.).

Eine darüber hinaus gehende Überprüfung sonstiger nach Art 6 DSGVO allenfalls in Betracht kommender Erlaubnistatbestände war somit – wie auch den eigenen Ausführungen der belangten Behörde zu entnehmen ist, willentlich – nicht vom (von der belangten Behörde amtswegig eigens festgelegten) Prüfgegenstand des Ausgangsbescheids umfasst und kann eine solche damit auch keinesfalls Gegenstand eines gegen diesen Bescheid gerichteten Beschwerdeverfahrens sein.

Da die belangte Behörde aufgrund der Beschwerde der Beschwerdeführerin dennoch darüber in ihrer Beschwerdevorentscheidung abgesprochen hat, hat sie die Sache ihres ursprünglichen Bescheids überschritten. Die Beschwerdevorentscheidung war daher – sofern sie eine nicht nur auf die Einwilligungserklärungen beschränkte Überprüfung der Rechtmäßigkeit der Datenverarbeitung beinhaltete – schon aus diesem Grund (mangels Zuständigkeit) ersatzlos zu beheben.

Aber auch ansonsten kommt der belangten Behörde keine Berechtigung zur vorliegenden (Beschwerdevor)Entscheidung zu (vgl. zur Prüfbefugnis des Verwaltungsgerichts bei Überschreitung der Sache durch die Beschwerdevorentscheidung VwGH 08.05.2018, Ro 2018/08/0011, wonach das Bundesverwaltungsgericht diesfalls selbst über die Beschwerde - innerhalb der durch den Ausgangsbescheid begrenzten Sache des Verfahrens - zu entscheiden hat).

Die belangte Behörde hat sich bei der Bescheiderlassung auf ihre Befugnisse nach Art 58 Abs Abs 2 lit d und f DSGVO berufen.

Sowohl die in Art 58 Abs 2 lit d DSGVO normierte Abhilfebefugnis der Anweisung, als auch des Verbotes nach Art 58 Abs 2 lit f DSGVO setzt aber voraus, dass ein (festgestellter) Verstoß gegen die DSGVO vorliegt (vgl. dazu Polenz in Simitis, Hornung, Spiecker (Hrsg.), Datenschutzrecht, Art. 58 Rz 33 und 38).

Im vorliegenden Fall hat die belangte Behörde – wie bereits oben dargelegt – in ihrem die Sache bestimmenden (Ausgangs)Bescheid (ausschließlich) geprüft und festgestellt, dass die Datenverarbeitung zum Profiling mangels gültiger Einwilligung nach Art 6 Abs 1 lit a DSGVO unrechtmäßig erfolgt sei. Eine Prüfung der sonstigen allenfalls nach Art 6 DSGVO in Betracht kommenden Rechtsgrundlagen fand nicht statt.

Dazu führte die belangte Behörde unter Verweis auf die Leitlinien der Artikel 29 Datenschutz Gruppe begründend aus, dass eine rückwirkende Heranziehung einer anderen Rechtsgrundlage für eine Verarbeitung bei Problemen mit der Einwilligungserklärung (dem Verantwortlichen) im Hinblick auf Art 13 Abs 1 lit c DSGVO nicht gestattet sei und sich die Beschwerdeführerin im Übrigen auch nie auf eine andere Rechtsgrundlage bezogen habe.

Damit verkennt die belangte Behörde aber zum einen, dass die Prüfung der Rechtmäßigkeit einer Datenverarbeitung allein ihr selbst obliegt und sie dabei nur an das Gesetz gebunden und nicht von einem geäußerten Normanwendungsanspruch des Verantwortlichen abhängig ist (siehe dazu Klement in Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Artikel 7, Rz 34).

Zum anderen vermischt die belangte Behörde damit aber auch die in Art 5 Abs 1 lit a DSGVO normierten Grundsätze der „Rechtmäßigkeit“, der „Verarbeitung nach Treu und Glauben“ und der „Transparenz“, die zwar insgesamt eine zulässige Datenverarbeitung ausmachen, dennoch aber getrennt voneinander zu betrachten sind (vgl. Jahnel, Kommentar zur DSGVO, Art. 5 Rz 9 und Art 13 Rz 40; Herbst in Kühling/Buchner (Hrsg), DSGVO² Art 5 Rz 11; Frenzel in Paal/Pauly, DS-GVO/BDSG², Art 6 DS-GVO Rz 7; Roßnagel in Simitis, Hornung, Spiecker (Hrsg.), Datenschutzrecht, Art. 5 Abs. 1 Rz 39).

So kann z.B. eine nicht entsprechende Information nach Art 13 Abs 1 lit c DSGVO einen Verstoß gegen den Grundsatz der Transparenz oder allfällig auch der Verarbeitung nach Treu und Glauben darstellen und als solcher von der belangten Behörde auch geahndet werden (vgl. Heberlein in Ehmann/Selmayr, DSG-VO2, Art 5 Rz 35; Roßnagel aaO).

Eine fehlende Berechtigung zur Datenverarbeitung an sich und damit ein Verstoß gegen den in Art 6 DSGVO näher ausgestalteten Grundsatz der Rechtmäßigkeit kann daraus aber per se nicht abgeleitet werden (vgl. Jahnel, aaO, Art 5 Rz 9; Roßnagel, aaO).

Dabei wird auch nicht verkannt, dass die in Art 5 Abs 1 lit a DSGVO normierten Grundsätze wechselseitige inhaltliche Bezüge zueinander aufweisen und z.B. der Grundsatz von Treu und Glauben im Rahmen einer nach Art 6 Abs 1 lit f DSGVO notwendigen Güterabwägung zwischen den Interessen des Verantwortlichen und jenen der betroffenen Personen Berücksichtigung finden kann (siehe ErwGr 47 der DSGVO; Jahnel, aaO, Rn 12; Schantz in Simitis, Hornung, Spiecker (Hrsg.), Datenschutzrecht, Art. 6 Abs 1 Rz 11).

Dennoch ist festzuhalten, dass der die Berechtigung oder sogar auch Verpflichtung zur Verarbeitung regelnde Grundsatz der Rechtmäßigkeit mit den die Art und Weise der Verarbeitung regelnden Grundsätzen der „Transparenz“ und der „Verarbeitung nach Treu und Glauben“ nicht in einem notwendigen Zusammenhang steht und insofern auch unabhängig von diesen zu betrachten ist (vgl. dazu Herbst aaO Rz 7; Frenzel aaO Art 5 Rz 13 ff).

Eine andere Sichtweise hätte nämlich zur Folge, dass jeder Verstoß gegen die Art und Weise der Verarbeitung auch eine unrechtmäßige Datenverarbeitung nach sich ziehen würde und es damit selbst im Falle einer berechtigten oder sogar allenfalls verpflichtenden Datenverarbeitung in diesem Fall uneingeschränkt u.a. zu einer Löschung kommen müsste. Eine solche ausnahmslose Löschungsverpflichtung kann der DSGVO aber nicht entnommen werden. Vielmehr ordnet Art 17 Abs 1 lit d DSGVO DSGVO sogar explizit an, dass bei Widerruf einer Einwilligung, die Daten nur dann zu löschen sind, wenn es an einer anderweitigen Rechtsgrundlage fehlt (vgl. dazu Herbst aaO Rn 10; Jahnel, aaO Art 17 Rz 26).

Im Übrigen geht aber auch schon aus dem Wortlaut des Art 6 Abs 1 DSGVO („[..] wenn mindestens [..]“) deutlich hervor, dass die Rechtmäßigkeit einer Datenverarbeitung nicht nur auf einen, sondern eben auf mehrere gleichrangig nebeneinanderstehende Rechtsgrundlagen gestützt werden kann (vgl. Buchner/Petri, in Kühling/Buchner (Hrsg), DSGVO² Art 6 Rz 22; Jahnel aaO Art 6 Rz 5 ff).

Dass im Falle einer ungültigen Einwilligung generell ein Rückgriff auf sonstige Erlaubnistatbestände des Art 6 DSGVO bei fehlender vorangehender Information der betroffenen Person nicht möglich wäre, kann letztlich aber auch den von der belangten Behörde zitierten Leitlinien der Art 29 Datenschutzgruppe und auch der dazu ergangenen Literatur nicht entnommen werden (u.a. Buchner/Kühling, in Kühling/Buchner (Hrsg), DSGVO² Art 7 Rz 18; Schantz in Simitis, Hornung, Spiecker (Hrsg.), Datenschutzrecht, Art. 6 Abs. 1 Rz 12).

Vielmehr wird darin ausschließlich auf die Konstellation des Widerrufes einer Einwilligungserklärung und den daraus (allein) auf die Interessensabwägung des Art 6 Abs 1 lit f DSGVO ausschlagenden Umstand, dass sich der Betroffene in diesem Fall eine weitere Verarbeitung seiner Daten aufgrund der ihm mit seiner Einwilligungserklärung suggerierten Entscheidungsgewalt eben nicht (mehr) erwarte, Bezug genommen.

Damit wird aber weder eine Aussage für die sonstigen allenfalls in Betracht kommenden Erlaubnistatbestände des Art 6 DSGVO, noch für den – hier vorliegenden – Fall einer (vermeintlich) dem Betroffenen nicht einmal ausreichend bewusst gemachten und damit auch gar keine Erwartungen auslösenden Einwilligungserklärung getroffen.

Schließlich kann aber auch dem von der belangten Behörde in diesem Zusammenhang ausschließlich in Bezug auf Art 6 Abs 1 lit f DSGVO zitierten Erwägungsgrund 47 der DSGVO nicht entnommen werden, dass das Fehlen einer Einwilligungserklärung jegliche Abwägung mit möglichen berechtigten Interessen eines Verantwortlichen an der Verarbeitung von vornherein überflüssig mache. Vielmehr wird darin eben gerade angeführt, dass in jedem Fall eine Interessensabwägung vorzunehmen sei, die vernünftigen Erwartungen eines Betroffenen in Bezug auf eine seine Daten betreffende Verarbeitung dabei jedoch entsprechend zu berücksichtigen seien („Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen ... begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, … zu berücksichtigen.“).

Der Ansicht der belangten Behörde, eine ungültige Einwilligungserklärung bewirke bei mangelnder Information der betroffenen Person über weitere Rechtsgrundlagen in jedem Fall eine unrechtmäßige Datenverarbeitung und mache eine Überprüfung der sonstigen Rechtsgrundlagen entbehrlich, kann daher nicht gefolgt werden.

Die bloße Auseinandersetzung mit der Rechtsgrundlage der Einwilligung kann daher nicht ohne weiteres einen Verstoß gegen den Grundsatz der Rechtmäßigkeit und damit auch keine darauf gestützte Berechtigung zur Abhilfebefugnis nach Art 58 Abs. 2 lit d und f DSGVO begründen (siehe dazu auch ausdrücklich das Erkenntnis des Bundesverwaltungsgerichts, BVwG, 04.04.2019, W214 2207491-1/14E).

Die Beschwerdevorentscheidung war daher insgesamt ersatzlos zu beheben, wobei der Vollständigkeit halber hingewiesen wird, dass es damit der belangten Behörde obliegt und es ihr auch nicht verwehrt ist, in einem (neuerlichen) amtswegigen Verfahren mit geändertem (etwa erweitertem) Verfahrensgegenstand etwaige Anweisungen nach Art 58 Abs. 2 DSGVO zu tätigen.

Abschließend wird auch angemerkt, dass bei diesem Ergebnis – da selbst bei Vorliegen einer allfällig ungültigen Einwilligungserklärung nicht ohne weiteres von einem Verstoß gegen die Rechtmäßigkeit und damit von einer Berechtigung zur Abhilfebefugnis nach Art 58 Abs 1 lit b und lit f DSGVO auszugehen war – eine Auseinandersetzung mit der (Un)Gültigkeit der vorliegenden Einwilligungserklärung, aber auch der in Anspruch genommenen Abhilfebefugnis an sich von Seiten des Gerichts unterbleiben konnte.

zum Entfall einer mündlichen Verhandlung:

Eine mündliche Verhandlung konnte im vorliegenden Fall gemäß § 24 Abs 2 Z 1 VwGVG unterbleiben, weil bereits aufgrund der Aktenlage feststand, dass der angefochtene Bescheid "aufzuheben" war (vgl zur gleichartigen früheren Rechtslage Hengstschläger/Leeb, AVG § 67d [Stand 1.7.2007, rdb.at] Rz 22, wonach mit „Aufhebung“ die vollständige Beseitigung, also jedenfalls die ersatzlose Behebung des angefochtenen Bescheids gemeint ist).

zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art 133 Abs 4 zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. So fehlt es an höchstgerichtlicher Rechtsprechung zur Frage, ob zur Beurteilung der Rechtmäßigkeit einer Datenverarbeitung im Falle einer ungültigen Einwilligung nach Art 6 Abs 1 lit a DSGVO ein nachträglicher Rückgriff auf sonstige Erlaubnistatbestände des Art 6 DSGVO zulässig ist.

Es war daher spruchgemäß durch Senat zu entscheiden.