TE Bvwg Erkenntnis 2021/10/15 W211 2233114-1

W211 2233114-1/9E

I.       IM NAMEN DER REPUBLIK!

TEILERKENNTNIS

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, gegen die Spruchpunkte 2. b und c des Bescheids der Datenschutzbehörde vom XXXX , in nichtöffentlicher Sitzung zu Recht:

A)

Die Spruchpunkte 2.b und c des Bescheids vom XXXX werden ersatzlos behoben.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

II.      BESCHLUSS

Das Bundesverwaltungsgericht beschließt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte, gegen die Spruchpunkte 1. und 2. a des Bescheids der Datenschutzbehörde vom XXXX , Zl. XXXX in einer datenschutzrechtlichen Angelegenheit:

A)

Das Verfahren wird gemäß § 17 VwGVG iVm § 38 AVG bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union über die mit Beschluss des Obersten Gerichtshofs vom 18.02.2021, 6Ob159/20f, vorgelegte Frage ausgesetzt.

B)

Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

Die XXXX (idF die BF) ist eine Logistik- und Postdienstleisterin. Sie verfügt über die gewerbliche Befugnis eines Adressverlags- und Direktmarketingunternehmens. Das gegenständliche Beschwerdeverfahren betrifft die Frage nach der Vollständigkeit einer erteilten Auskunft durch die BF an die mitbeteiligte Partei (mP) nach Art. 15 DSGVO.

1. Mit Datenschutzbeschwerde monierte die mP, dass ihr von der BF keine konkreten Empfänger_innen ihrer personenbezogenen Daten beauskunftet worden seien und dass die Auskunft nach Art. 15 DSGVO zu spät erteilt worden sei.

2. In ihrer Stellungnahme vom XXXX 2019 führte die BF dazu zusammengefasst aus, dass aus Art. 12 DSGVO kein individuelles Betroffenenrecht auf Feststellung, dass eine Auskunft zu spät erteilt worden sei, abgeleitet werden könne. Eine Detailierung auf individueller Empfänger_innenebene würde die Offenlegung der Vertriebswege der BF und ihrer individuellen Kundebeziehungen bedeuten. Aus Art. 15 DSGVO sei kein Zwang zur Offenlegung individueller Empfänger_innen ableitbar, auch würde dies die Offenlegung von Geschäfts- und Betriebsgeheimnissen bedeuten.

3. Die mP replizierte daraufhin soweit wesentlich, dass, wenn sie keinen Zugriff auf die Käufer_innen der falschen Daten über sie bekommen könne, wie könne sie dann ihre Rechte auf Löschung dieser Daten wahrnehmen?

4. Mit Bescheid vom XXXX 2020 gab die Datenschutzbehörde der Beschwerde der mP teilweise Folge und stellte fest, dass die BF die mP dadurch im Recht auf Auskunft verletzt habe, indem sie am XXXX 2019 eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.). Der BF wurde – im Spruchpunkt 2. - aufgetragen, der mP innerhalb einer Frist von 4 Wochen bei sonstiger Exekution:

2. a die konkreten Empfänger_innen der personenbezogenen Daten zu bezeichnen,

2. b eine allgemein verständliche Auskunft über

- die Begriffe der möglichen Werbezielgruppen „Werbung bio“, „Werbung Garten“, „Werbung Investment“ und „Werbung Umzug“,

- der Begriffe „mögliche Zielgruppe karriereorientiert“ und „Mögliche Zielgruppe Business Entscheider“

- die Begriffe der „Zielgruppen Charakteristik“ und „mögliche Lebensphase“ insbesondere über die Bedeutung der verwendeten Schlüsselbegriffe „bodenständig“ und „Paar ohne Kinder“ zu erteilen sowie Informationen über die maßgeblichen Parameter für die Bewertung und Zuordnung zur mP zur Verfügung zu stellen sowie

2. c eine allgemein verständliche Auskunft über die Begriffe der „möglichen Zielgruppe Akademiker“ und „mögliche Zielgruppe für Werbung Distanzhandel“ sowie über die Wahrscheinlichkeitswerte und das dominante Geo-Milieu zu erteilen, insbesondere über die verwendeten Schlüsselbegriffe „Konservative, Traditionelle, Etablierte, Performer, Postmaterielle, Digitale Individualisten, Bürgerliche Mitte, Adaptiv Pragmatische, Konsumentenorientierte Basis, Hedonisten“.

Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.).

Begründend würde zusammengefasst ausgeführt, dass die Literatur zur Frage, ob der Nennung konkreter Empfänger_innen oder lediglich von Empfänger_innenkategorien ein Vorrang einzuräumen sei, zu unterschiedlichen Ergebnissen komme. Gegenständlich stehe das nicht weiter begründungsbedürftige Auskunftsinteresse der mP an einer möglichst vollständigen Auskunft einem Geheimhaltungsinteresse der BF gegenüber, wobei diese nicht weiter ausführe, weshalb die Offenlegung der konkreten Empfänger_innen ihr Geheimhaltungsinteresse als Adressverlag berühren könnte. Es lägen daher keine schützenswerten Interessen der BF vor.

Zur Auskunft betreffend mögliche Werbezielgruppen werde vorangestellt, dass gegenständlich die Voraussetzungen dafür, dass es sich dabei um personenbezogene Daten handle, gegeben seien, weil Affinitäten auf eine identifizierte natürliche Person rekurrieren würden.

Die Daten der „Werbezielgruppen“, der „möglichen Lebensphase“ sowie der „Zielgruppen-Charakteristik“ würden mittels Profiling ermittelt werden. Entsprechende Marketingklassifikationen seien Daten gemäß Art. 4 Abs. 4 DSGVO. Art. 15 Abs. 1 lit h DSGVO sei einschlägig, wobei gegenständlich nicht Auskunft über die involvierte Logik selbst zu erteilen sei, aber aussagekräftige Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen der Verarbeitung bereitzustellen seien. Die BF als für das Profiling Verantwortliche habe weder eine vollständige Aufzählung sonstiger Werbezielgruppen, unter welche die mP eingeordnet worden sei, verständlich erläutert, noch die zugrundeliegenden Eingabewerte offengelegt bzw. aussagekräftige Informationen über die involvierte Logik beauskunftet, obwohl eine eindeutige rechtliche Verpflichtung dazu bestehe.

Bei den Sinus-Geo-Milieus handle es sich um personenbezogene Daten der mP iSd DSGVO. Die dazugehörenden Datensätze würden von der BF von anderen Unternehmen zugekauft bzw. erworben. Damit betriebe sie nicht selbst Profiling, sie sei aber sehr wohl Verantwortliche iSd DSGVO, da sie über die Zwecke und Mittel der Verarbeitung gegenständlicher Wahrscheinlichkeitswerte entscheide. Die hier vorliegende Marketingklassifikation sei zwar Profiling iSd Art 4 Z 4 DSGVO, aber mangels erheblicher Auswirkungen keine automatisierte Entscheidung, weshalb die BF nicht unabhängig von der Datenquelle in der Lage sein müsse, die zugrundeliegenden Daten bereitzustellen, sprich erklären zu können, wie es zur vorliegenden Einordnung als „Performer“ gekommen sei. Allerdings befreie dies die BF nicht davon, über den bei ihr verarbeiteten Datenbestand akkurat und verständlich Auskunft zu erteilen: Es mangle konkret an einer verständlichen Erklärung, was der Begriff „Perfomer“ bedeute.

Hingegen werde die Beschwerde betreffend die nicht fristgerecht erteilte Auskunft abgewiesen, da Art. 77 DSGVO iVm § 24 DSG kein Recht auf Feststellung, dass eine Auskunft zu spät erteilt worden sei, entnommen werden könne.

5. Mit rechtzeitiger Beschwerde gegen die Spruchpunkte 1. und 2. des Bescheids brachte die BF zusammengefasst vor, dass ihr im Laufe des behördlichen Verfahrens nie mitgeteilt worden sei, dass das Fehlen einer allgemein verständlichen Auskunft über Marketingklassifikationen moniert werde.

In der Sache gehe die BF davon aus, dass es sich bei Marketingklassifikationen keinesfalls um personenbezogene Daten iSd Art 4 Z 1 DSGVO handle. Erst recht würden diese nicht mittels Profiling ermittelt werden.

Die mP habe ihr betreffend die Empfänger_innen nur pauschales Vorbringen nicht substantiiert. Es sei für die BF nicht ersichtlich gewesen, dass die erteilte Auskunft diesbezüglich als unvollständig angesehen worden sei. Die belangte Behörde sei damit vom Beschwerdevorbringen abgewichen. Eine Auskunftserteilung konkreter Empfänger_innen sei mit einem unverhältnismäßigen Aufwand verbunden, rechtlich nicht erforderlich und würde Geschäfts- und Betriebsgeheimnisse offenlegen.

Zur allgemein verständlichen Auskunft sei zu sagen, dass Spruch und Begründung des Bescheids diesbezüglich nicht zusammenpassen würden. Außerdem stünden Marketingklassifikationen nicht im Zusammenhang mit einer automatisierten Entscheidungsfindung inklusive Profiling; sie seien keine personenbezogenen Daten; würden jedenfalls nicht unter Profiling fallen; könnten keinesfalls unter Art. 22 Abs. 1 DSGVO subsumiert werden, bzw. würde diese Bestimmung jedenfalls nicht für sie gelten. Es würde kein Profiling vorliegen. Weiter machte die BF Angaben dazu, dass die Schlüsselbegriffe „Werbung bio“, „Werbung Garten“, Werbung Investment“, „Werbung Umzug“, „karriereorientiert“, „Business Entscheider“, „Zielgruppen-Charakteristik“, „mögliche Lebensphase“, „Akademiker“ und „Werbung Distanzhandel“ plakativ, selbsterklärend und daher ausreichend verständlich seien. Auf die Generierung dieser Werte sei hingewiesen worden.

Weiter würden die Sinus-Geo-Milieus keinen Personenbezug aufweisen, weshalb die DSGVO auf sie keine Anwendung finden würde. Überdies sei dazu verständlich Auskunft erteilt worden. Die Sinus-Milieus seien gedankliche Gruppierungen der Gesamtgesellschaft, die entlang zweier Achsen, nämlich der sozialen Lage und der Grundorientierung anhand ähnlicher Auffassungen, Lebens-, Konsum- und Arbeitsgewohnheiten aufgespannt seien und anhand derer die Gesellschaft in Archetypen eingeteilt werde.

Beigelegt war eine Präsentation des „Sinus-Geo-Milieus“.

6. Mit ergänzender Stellungnahme vom XXXX 2020 gab die Datenschutzbehörde soweit hier wesentlich zusammengefasst an, dass Beschwerdegegenstand vor der Behörde die Frage gewesen sei, ob die mP in ihrem Recht auf Auskunft iSd Art. 12 bzw. Art. 15 Abs. 1 DSGVO durch die Erteilung eine mangelhaften Auskunft verletzt worden sei, weswegen sich weitere Ausführungen zur diesbezüglichen Beschwerde der BF erübrigen würden. Die Annahme des Nichtvorliegens eines Geschäftsgeheimnisses sei eine Interessenabwägung im Einzelfall. Verfahrensmängel lägen daher nicht vor und seien jedenfalls nicht wesentlich. Weiter wurden Ausführungen zu den inhaltlichen Vorbringen der BF gemacht.

7. Mit Schreiben vom XXXX 2021 brachte die BF einen Aussetzungsantrag ein, da der Oberste Gerichtshof mit Beschluss vom 18.02.2021 zur GZ 6 Ob 159/20f eine Frage zur Vorabentscheidung gemäß Art 267 AEUV zur Auslegung des Art. 15 Abs. 1 lit c DSGVO gestellt habe.

8. Mit Replik vom XXXX 2021 nahm die BF zur Stellungnahme der Behörde vom XXXX 2020 Stellung und führte soweit hier relevant zusammengefasst aus, dass die BF das Erteilen einer Auskunft über konkrete Empfänger_innen für nicht geschuldet halte, aber ergänzend anführe, dass ihr die konkreten Datenempfänger_innen nicht bekannt seien, weil sie im Datensatz nicht gespeichert würden. Die Empfänger_innen würden daher gespeichert werden, aber nicht im Datensatz der mP und nicht mit einer Angabe, welche Datensätze im Einzelnen an diese tatsächlich übermittelt worden seien. Die Kundenliste der BF sei ein Geschäftsgeheimnis. Auch würden von der Behörde genehmigte Verhaltensregeln für Adressverlage anerkennen, dass die Bekanntgabe von werbetreibenden Unternehmen als Empfänger_innenkategorie den Vorgaben der DSGVO entspreche.

Die mP habe die Unvollständigkeit der Auskunft hinsichtlich der beauskunfteten Marketingklassifikationen nicht behauptet; es habe daher kein Rechtsschutzinteresse bestanden, weshalb die Spruchpunkte 2b und 2c schon aus diesem Grund zu beheben seien. Es sei für eine_n Verantwortliche_n nicht möglich zu erkennen, dass die von ihm/ihr erteilte Auskunft als mangelhaft befunden werde, wenn es nicht vorgehalten werde. Die Erteilung einer Auskunft nach Art. 15 Abs. 1 lit h DSGVO sei keineswegs geschuldet. Außerdem seien unpräjudiziell und freiwillig umfassende Informationen in der Beschwerde und der Beilage erteilt worden, weshalb die mP diesbezüglich klaglos gestellt sei.

Beigelegt war ein Schreiben vom XXXX 2021 an die mP direkt, worin beispielhaft werbetreibende Unternehmen genannt wurden. Die „Parteiaffinitäten“, die der mP zugeschrieben worden seien, seien gelöscht worden. Ob und an welche Datenempfänger_innen die „Parteiaffinitäten“ weitergegeben worden seien, könne nicht mehr mit Sicherheit festgestellt werden, weil diese Informationen im Datensatz der mP nicht gespeichert worden seien. Sofern die mP der Datenweitergabe vor dem XXXX 2019 nicht widersprochen habe und sie seit 2015 an ihrem beauskunfteten Wohnort wohnhaft gewesen sei, sei mit hoher Wahrscheinlichkeit anzunehmen, dass die „Parteiaffinitäten“ an die Bundesorganisation der SPÖ Österreich und der Volkspartei, Wirtschaftsbund NÖ weitergegeben worden seien. Diese Parteien hätten nach Vertragsbeendigung bereits im Jahr 2019 die Löschung sämtlicher „Parteiaffinitäten“ bestätigt.

9. Am XXXX 2021 langte eine weitere Stellungnahme der BF ein, wonach sie sämtliche Marketingklassifikationen, auch jene in den Spruchpunkten des angefochtenen Bescheids, im Jahr 2019 schrittweise bis spätestens XXXX 2019 gelöscht habe. Damit seien auch sämtliche Informationen über die Berechnung der Marketingklassifikationen zu Spruchpunkt 2. b gelöscht worden. Die Berechnung sei über einen anonymisierten Datenbestand erfolgt, der ebenfalls gelöscht worden sei. Die in Spruchpunkt 2. c genannten Marketingklassifikationen seien bis auf „Mögliche Zielgruppe Akademiker“ und „Mögliche Zielgruppe für Werbung Distanzhandel“ zugekauft gewesen, weshalb die BF nie über Informationen über die Berechnung verfügt habe. Für die „Mögliche Zielgruppe für Werbung Distanzhandel“ gelte das vorhin gesagte; die „Mögliche Zielgruppe Akademiker“ sei nie berechnet worden. Ihr seien Betroffene zugeordnet worden, die über einen akademischen Grad verfügt hätten. Über weitere Informationen verfüge die BF nicht.

Beigelegt war das Schreiben der BF an die mP vom XXXX 2021, das bereits im vorigen Punkt wiedergegeben wurde.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Mit Email vom XXXX 2019 ersuchte die mP die BF um Auskunft gemäß DSGVO, welche Daten über die mP bei der BF gespeichert würden. Sie gab an „lückenlos“ wissen zu wollen, an wen welche Daten weitergegeben worden seien.

Die BF erteilte am XXXX 2019 eine Auskunft.

1.2. Die mP informierte die BF mit Email vom selben Tag darüber, dass eine Auskunft darüber, an wen die Daten weitergegeben worden seien, komplett fehle. Sie wolle diese Information sofort erhalten.

1.3. Mit Email vom XXXX 2019 machte die mP die folgende Eingabe bei der Datenschutzbehörde:

„Sg. Datenschutzbehörde,

es ist richtig, dass die XXXX mir am XXXX 2019 die Informationen über meine gespeicherten Daten mitgeteilt hat – allerdings wollte ich noch 2 Fragen beantwortet haben, die die XXXX nicht beantwortet hatte:

1. Warum darf die XXXX am XXXX 2019 auf meine Auskunftserteilung vom XXXX 2019 antworten, wenn doch innerhalb von 3 Monaten zu antworten ist? Gelten die Fristen für die XXXX nicht? Wieso akzeptiert die Datenschutzbehörde eine Fristüberschreitung?

2. Ich habe auch angefragt, wem die XXXX aller meine willkürlichen, nicht richtigen Daten weitergeleitet hat bzw sogar verkauft hat – hier hat die XXXX bewusst einfach nicht geantwortet.

Solange die beiden Fragen nicht beantwortet sind ist die Sache für mich nicht erledigt.“

Mit Email vom XXXX 2019 ergänzte die mP wie folgt:

„Sg. Datenschutzbehörde,

die XXXX hat mir nun auf meine Frage, an wen die XXXX meine Daten weitergeleitet hat, mit einer generellen Antwort der Empfängergruppen beantwortet. Dadurch habe ich keine Chance festzustellen, wer aller meine Daten hat – und ich kann diese auch nicht löschen lassen.

Ist die generelle Nennung von Abnehmergruppen ohne konkrete Unternehmen korrekt und gesetzeskonform? Ich denke da gibt es bereits ( nicht rechtskräftige ) Urteile die das anders bewerten.

Welche Möglichkeiten habe ich meine Daten bei all den angesprochenen Empfängergruppen löschen zu lassen – ohne diese zu kennen?

Zusätzlich warte ich noch auf eine Antwort der Datenschutzbehörde selbst – siehe unten meine 1. Frage zu den Fristen.

Bekommen ich hier noch eine Antwort/Stellungnahme der DSB?

mfG“

1.4. Unter dem Stichwort „Adressverlag“ gab die BF der mP am XXXX 2019 folgende Auskunft: „Die Adressen werden werbetreibenden Unternehmen ausschließlich zu Marketingzwecken übergeben. Werbetreibende Unternehmen sind zum Beispiel Versandhandel und stationärer Handel, Finanzdienstleister und Versicherungen, IT- und Telekommunikationsunternehmen oder Energieversorger. Auch Vereine wie Spendenorganisationen, NGO´s oder Parteien können Daten erhalten. Auch Ihre Adresse verarbeiten wir für diesen Zweck.“

Am XXXX 2021 und am XXXX 2021 gab die BF der mP bekannt, dass ihre Parteiaffinitäten mit hoher Wahrscheinlichkeit an die Sozialdemokratische Partei Österreichs, Bundesorganisation, und die Volkspartei/Wirtschaftsbund NÖ weitergegeben worden sind.

2. Beweiswürdigung:

Die Feststellungen beruhen auf dem Verwaltungsakt und sind nicht weiter strittig.

3. Rechtliche Beurteilung:

3.1. Zu I.

Zu A)

3.1.1. Auszüge aus der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) – DSGVO:

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. […]

3.1.2. Mit ihrem Ausspruch in den Spruchpunkten 2.b und 2.c des angefochtenen Bescheids überschritt die Datenschutzbehörde den Gegenstand des bei ihr anhängigen Verfahrens:

Die mP machte in ihren beiden Eingaben bei der Datenschutzbehörde geltend, dass die BF erstens ihre Auskunft nicht fristgerecht und zweitens insoferne nicht vollständig erteilt habe, weil nicht bekannt gegeben worden sei, an wen die Daten weitergeleitet bzw. verkauft worden seien.

Dass daher Verfahrensgegenstand vor der Datenschutzbehörde gewesen sein soll, ob die mP - ganz allgemein und über das ausdrückliche Vorbringen hinaus - in ihrem Recht auf Auskunft iSd Art. 12 und Art. 15 Abs. 1 DSGVO durch die Erteilung einer „mangelhaften Auskunft“ verletzt worden sei, lässt sich dem diesbezüglich deutlichen und unzweifelhaften Parteienanbringen nicht entnehmen.

In antragsgebundenen Fällen verhält der Antrag die Behörde nicht nur zur Durchführung des Verwaltungsverfahrens, sondern er ist gleichzeitig Voraussetzung für die Entscheidung und schafft zugleich die materiellrechtliche Grundlage für die Erlassung des Bescheides. Dementsprechend konstituiert und begrenzt der Inhalt eines solchen Antrags den Prozessgegenstand des Verwaltungsverfahrens, also die (Verwaltungs-)„Sache“ iSd §§ 8, 66 Abs 4 und § 68 Abs 1 AVG.

Die Erlassung eines antragsbedürftigen Bescheides von Amts wegen, also ohne einen eindeutigen diesbezüglichen Antrag (bzw nach dessen Zurückziehung), belastet diesen Bescheid jedenfalls mit Rechtswidrigkeit. Während der VwGH in zahlreichen Fällen einen solchen Bescheid wegen inhaltlicher Rechtswidrigkeit aufgehoben hat, hat er in der jüngeren Rechtsprechung auch häufig eine Verletzung der Partei im Recht auf Einhaltung der Zuständigkeitsordnung angenommen. Auf verfassungsgesetzlicher Ebene verstößt die Behörde bei amtswegiger Erlassung eines antragsbedürftigen Bescheides gegen das Recht auf ein Verfahren vor dem gesetzlichen Richter nach Art. 83 Abs 2 B-VG, weil sie (auch) nach Ansicht des VfGH damit eine Zuständigkeit in Anspruch nimmt, die ihr nicht zukommt (vgl. zu den beiden vorstehenden Absätzen mit dort näheren Nachweisen Hengstschläger/Leeb, AVG § 13 (Stand 1.1.2014, rdb.at).

Bei der Ermittlung von Rechtsqualität und Inhalt eines Anbringens kommt es nach der Rechtsprechung nicht auf die Bezeichnung durch den Einschreiter bzw auf „zufällige Verbalformen“, sondern auf den Inhalt der Eingabe an, also auf das daraus erkenn- und erschließbare Ziel des Einschreiters.

Bei antragsbedürftigen Verwaltungsakten ist es unzulässig, entgegen dem erklärten Willen der Partei ihrem Begehren eine Deutung zu geben, die aus dem Wortlaut des Begehrens nicht unmittelbar erschlossen werden kann […] [vgl. erneut zu diesen beiden Absätzen mit dort näheren Nachweisen Hengstschläger/Leeb, AVG § 13 (Stand 1.1.2014, rdb.at)].

Im gegenständlichen Fall machte die mP klare Angaben dazu, weshalb sie der Meinung war, dass die ihr zustehende Auskunft nicht ausreichend gewesen sein soll: zum einen sei sie zu spät erfolgt und zum anderen seien ihr die Empfänger_innen der Daten nicht beauskunftet worden. Damit umriss die mP sehr deutlich und wiederholt (1. Email vom XXXX 2019 und 2. Email vom XXXX 2019) ihren Beschwerdegrund, womit der Beschwerdegegenstand und damit der Antrag – nämlich auf Feststellung betreffend die vorgebrachten Rechtsverletzungen – klar umgrenzt war. Nicht hingegen wurde durch die mP im hier zu behandelnden Verfahren moniert, dass sie in irgendeiner Form allgemein in ihren Rechten nach Art. 12 und 15 DSGVO verletzt worden sei.

Das in Art. 77 DSGVO normierte Beschwerderecht an die Aufsichtsbehörden erlaubt zwar keine formalen Einschränkungen, wie sie zB in § 24 DSG teilweise vorgesehen sind, sieht aber dennoch nach der Literatur vor, dass eine betroffene Person in einer Beschwerde ausreichende Angaben zu machen hat, die die Aufsichtsbehörde in die Lage versetzen, die Art und Weise der Verarbeitung der personenbezogenen Daten und den Verstoß gegen die Bestimmungen zumindest nachzuvollziehen (vgl. Schweiger in Knyrim, DatKomm Art 77 DSGVO (Stand 1.12.2018, rdb.at)). Diesen Vorgaben kam die mP im gegenständlichen Fall jedenfalls nach, wenn sie unzweifelhaft und soweit hier noch wesentlich monierte, dass ihr keine Empfänger_innen ihrer Daten beauskunftet wurden. Damit war im Sinne der genannten Bestimmung die Datenschutzbehörde in der Lage, den Beschwerdegegenstand zu definieren (nämlich die fehlende Auskunft über Empfänger_innen) und die vorgebrachte Rüge zu untersuchen. Für eine weitergehende Untersuchung lässt auch Art. 77 DSGVO keinen Raum.

Schließlich spricht auch der Wortlaut des § 24 Abs. 6 DSG dafür, dass der Beschwerdegegenstand durch das konkrete Vorbringen der (hier) mP begrenzt zu sein hat, wenn daraus hervorgeht, dass ein_e Gegner_in einer Beschwerde vor der Datenschutzbehörde bis zum Abschluss des Verfahrens vor dieser die behauptete Rechtsverletzung nachträglich beseitigen kann, indem sie bzw. er den Anträgen einer betroffenen Person entspricht. Eine solche Beseitigung von vorgebrachten Rechtsverletzungen ist allerdings nur dann möglich, wenn sie sich aus den Eingaben bzw. Anträgen eines Beschwerdeführers, einer Beschwerdeführerin vor der Datenschutzbehörde ergibt. Weiter muss sie einem/einer Gegner_in einer solchen Beschwerde auch zur Kenntnis gebracht werden, da andernfalls eine Beseitigung wohl ebenfalls nicht erwartbar ist. Der Sinn wie auch der Wortlaut dieser Bestimmung deuten demnach auch darauf hin, dass Beschwerdegegenstand vor der Datenschutzbehörde in Fällen wie dem gegenständlichen jene Vorbringen zu sein haben, die von der (hier) mP auch tatsächlich erstattet wurden.

Die mP machte keinerlei Vorbringen betreffend eine angeblich fehlende Auskunft iSd Art. 15 Abs. 1 lit h DSGVO oder zur Verständlichkeit (Art. 12 DSGVO) der erteilten Auskunft betreffend einige oder alle von der BF genannten Marketingklassifikationen. Sie stellte dazu weiter keine Anträge noch lassen sich solche aus ihrer Beschwerde an die Datenschutzbehörde ableiten.

Damit überschritt die Datenschutzbehörde mit ihren Aussprüchen zu den Spruchpunkten 2.b und 2.c den Beschwerdegegenstand im bei ihr anhängigen Verfahren und damit ihre Zuständigkeit, weshalb diese Spruchpunkte ersatzlos zu beheben sind.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung (vgl. dazu VwGH 30.06.2004, 2004/04/0014; VwGH 21.03.2001, 98/10/0376; VwGH 25.02.2004, 2003/12/0105; VwGH 06.11.2006, 2006/09/0094; VwGH 20.10.2011, 2009/11/0269); weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

3.2. Zu II.

Zu A)

3.2.1. Gemäß § 38 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei ua dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.

3.2.2. Eine Hauptfrage in diesem Sinne kann auch eine Vorlagefrage eines beim EuGH anhängigen Vorabentscheidungsverfahren sein. Sie berechtigt zur Aussetzung nach § 38 AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist (vgl zB VwGH 13.12.2011, 2011/22/0316). Präjudiziell ist eine Rechtsfrage dabei auch zu einer „bloß“ ähnlichen Rechtsfrage, und zwar auch dann, wenn nicht dieselbe gesetzliche Regelung desselben Gesetzgebers betroffen ist (vgl jüngst VwGH 13.9.2017, Ra 2017/12/0068).

3.2.3. Im gegenständlichen Fall moniert die mP, dass es einer Auskunft durch die BF an Informationen über Empfänger_innen bzw. konkreter Kategorien von Empfänger_innen fehle.

3.2.4. Zur Frage, ob der Nennung von Empfänger_innen oder lediglich von Kategorien von Empfänger_innen im Rahmen des Art. 15 Abs. 1 lit c DSGVO der Vorrang einzuräumen ist, liegen unterschiedliche Literaturmeinung vor.

3.2.5. Zu dieser Frage ist außerdem bereits ein Vorabentscheidungsersuchen des Obersten Gerichtshofs vom 18.02.2021 beim Gerichtshof der Europäischen Union mit der folgenden Begründung anhängig:

„Zur ersten Frage liegen in Österreich und Deutschland verschiedene Lehrmeinungen vor:
1.1.1. Für ein Wahlrecht des Verantwortlichen:
Nach Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 39 ist aus dem Wort „oder“ zu schließen, dass der Verantwortliche das Wahlrecht hat, Empfänger oder lediglich Kategorien von Empfängern bekanntzugeben.
Paal in Paal/Pauly, DS-GVO/BDSG2 Art 15 DSGVO Rz 6 steht auf dem Standpunkt, zwischen „Empfängern“ und „Kategorien von Empfängern“ bestehe ein Wahlrecht zugunsten des Verantwortlichen; dieser könne sich demnach stets auf die Angabe von Kategorien von Empfängern beschränken.
1.1.2. Gegen ein Wahlrecht des Verantwortlichen:
Gegen ein Wahlrecht des Verantwortlichen, soweit künftige Offenlegungen von Daten des Betroffenen an konkrete Empfänger bereits feststehen, und für eine „zwingende“ Erstreckung des Auskunftsanspruchs auf die Namen der Empfänger, wenn eine Offenlegung bereits erfolgt ist, spricht sich etwa Dix in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht [2019] Art 15 Rz 20 aus.

Auch Bäcker in Kühling/Buchner, DS-GVO/BDSG2 Art 15 DSGVO Rz 16 f vertritt den Standpunkt, der Verantwortliche habe grundsätzlich kein Wahlrecht: Soweit er die Empfänger der Daten noch oder schon kenne, müsse er sie auf Verlangen benennen. Komme es dadurch zu einer Kollision zwischen dem Datenschutzrecht der betroffenen Person auf Auskunft und gegenläufigen Geheimhaltungsinteressen der Datenempfänger, so setze sich nach Art 15 DSGVO das Recht der betroffenen Person durch. Der Betroffene könne diesfalls noch zusätzlich eine Auskunft über die Kategorien der Empfänger verlangen.

Ehmann in Ehmann/Selmayr, DSGVO2 Art 15 Rz 20 argumentiert zunächst, ein Vergleich mit Art 30 Abs 1 lit d DSGVO zeige, dass im Rahmen des Auskunftsanspruchs die Nennung der dort nicht genannten (konkreten) Empfänger von personenbezogenen Daten Vorrang vor der dort ausschließlich genannten Nennung der Kategorien von Empfängern habe, und stellt dann auf den Zweck des Auskunftsanspruchs ab: Nur die Nennung der konkreten Empfänger ermögliche es, die Rechtmäßigkeit der Verarbeitung zu überprüfen.

Schantz in Schantz/Wolff, Das neue Datenschutzrecht [2017] Rz 1198 mwN geht davon aus, der Betroffene könne wählen, ob er vom Verantwortlichen die Namen der Empfänger oder lediglich die Kategorien der verschiedenen Empfänger erfahren möchte. Überließe man dem Verantwortlichen die Entscheidung über den Inhalt der Auskunft, würde dies die praktische Wirksamkeit des Auskunftsrechts erheblich beeinträchtigen, weil die Kenntnis der konkreten Empfänger häufig für den Betroffenen große Bedeutung habe.

Schmidt-Wudy in Wolff/Brink, BeckOK Datenschutzrecht32 (Stand 1. 5. 2020) Art 15 DSGVO Rz 58 vertritt die Auffassung, es sei fraglich, ob das „oder“ zwischen „Empfänger“ und „Kategorien von Empfängern“ eine Tatbestandsalternativität impliziere oder als „und“ zu verstehen sei. Die Wortlautauslegung überlasse dem Verantwortlichen die Auswahl, ob er die Empfänger oder die Kategorien von Empfängern beauskunftet; ErwGr 63 scheine eher die Ansicht zu stützen, dass in jedem Fall die „Empfänger“ zu beauskunften sind und die Kategorien von Empfängern fakultativ beauskunftet werden können. Es erscheine sachgerecht, in jedem Fall eine Pflicht zur Auskunft über Empfänger, eine solche hinsichtlich der Kategorien von Empfängern aber nur dann anzunehmen, wenn Daten mehrfach beauskunftet worden sind bzw werden sollen, da nur dann „Kategorien von Empfängern“ vorlägen.

1.2. Erwägungen des Obersten Gerichtshofs:

Der Wortlaut von Art 15 Abs 1 lit c DSGVO lässt keine abschließende Beurteilung der Frage zu.

Die deutsche Fassung deutet, indem sie in Art 15 Abs 1 zweiter Halbsatz DSGVO auf die Reichweite des Auskunftsrechts des Betroffenen und nicht etwa der korrelierenden Auskunftsverpflichtung des Verantwortlichen abstellt, eher auf ein Wahlrecht des Betroffenen hin.

Nichts anderes ergibt sich aus der Formulierung des entsprechenden Textabschnitts in der englischen (arg: „[…] the right to obtain […] access to […] the following information: […] the recipients or categories of recipient to whom the personal data have been or will be disclosed“) und der französischen Sprachfassung (arg: „[…] le droit d'obtenir […] les informations suivantes: les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées […]“).

Anders als in Art 15 DSGVO wird in Art 13 Abs 1 lit e und Art 14 Abs 1 lit e DSGVO kein (Auskunfts-)Recht des Betroffenen auf Informationen über „Empfänger oder Kategorien von Empfängern“ statuiert, sondern vielmehr eine Informationspflicht des Verantwortlichen.

Dazu kommt, dass die in Art 13 und 14 DSGVO vorgesehene Informationspflicht am – zwangsläufig der Datenverarbeitung vorgelagerten – Zeitpunkt der Datenerhebung anknüpft, sodass die Informationen stets vorab, also in einem Stadium zu erteilen sind, in dem es noch zu keiner tatsächlichen Offenlegung von Daten gegenüber Dritten gekommen sein kann. Der Auskunftsanspruch nach Art 15 DSGVO erstreckt sich dagegen nicht bloß auf die aktuell verarbeiteten Daten des Betroffenen, sondern schon nach seiner Zweckrichtung auch auf den in der Vergangenheit verarbeiteten Datenbestand (grundlegend EuGH Rs C-553/07, Rijkeboer, ECLI:EU:C:2009:293, Rz 51 ff; die überzeugenden auf das Telos des Auskunftsanspruchs abstellenden Erwägungen dieser Entscheidung sind auch auf den Auskunftsanspruch nach Art 15 DSGVO zu übertragen, zumal sich aus ErwGr 9 und 10 der DSGVO ableiten lässt, dass der Europäische Gesetzgeber eine Herabsetzung des Schutzniveaus gegenüber der RL 95/46/EG ganz allgemein nicht intendiert hat).

ErwGr 63 der DSGVO spricht davon, „jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, … wer die Empfänger der personenbezogenen Daten sind, …“. Hier wird also nicht bloß von „Kategorien von Empfängern“ gesprochen, was ebenfalls dafür spricht, dass der Verantwortliche die einzelnen Empfänger namentlich nennen muss.

Vor diesem Hintergrund hat sich die Auslegung des Art 15 Abs 1 lit c DSGVO in erster Linie am Normzweck zu orientieren: Dabei ist zunächst auf das bereits dargelegte Telos des Auskunftsrechts als Hilfsanspruch zur effektiven Rechtsdurchsetzung, insbesondere der Betroffenenrechte nach Art 16 ?ff DSGVO, zu verweisen. Dieser Regelungszweck spricht klar für ein – vom Wortlaut der Bestimmung durchaus gedecktes – Verständnis dahingehend, dass nicht dem Verantwortlichen ein Auswahlermessen hinsichtlich der Frage zukommt, wie konkret er dem Ersuchen um Auskunft über die Empfänger personenbezogener Daten nachkommen will; vielmehr soll grundsätzlich der Betroffene die Wahl haben, ob er Auskunft nur über abstrakte Empfängerkategorien oder über die konkreten Empfänger seiner Daten begehrt. Das gegenteilige Normverständnis, aufgrund dessen sich der Verantwortliche letztlich immer darauf zurückziehen könnte, bloß über die Empfängerkategorie zu informieren, führte zu einer erheblichen Beeinträchtigung der vom Europäischen Gesetzgeber angestrebten Effektivität der dem Betroffenen zum Schutz seiner Daten zur Verfügung stehenden Rechtsbehelfe: Hat nämlich der Verantwortliche – wie das Berufungsgericht und die Beklagte meinen – die freie Wahl, wird kaum jemals ein Verantwortlicher die mit erheblichem Mehraufwand verbundene Detailauskunft über konkrete Empfänger erteilen. Diesfalls wird der Betroffene in aller Regel nur über abstrakte Empfängerkategorien informiert werden.

1.3. Wird die Frage bejaht, hätte die Beklagte die Auskunftspflicht nach Art 15 DSGVO mangels namentlicher Nennung der konkreten Empfänger noch nicht vollständig erfüllt und wäre dem Klagebegehren stattzugeben.“

3.2.6. Die Frage, die dem Gerichtshof der Europäischen Union vorgelegt wurde, ist der im gegenständlichen Verfahren zu lösenden Rechtsfrage im Sinne der oben angeführten Judikatur ähnlich; sie ist auch präjudiziell: die Frage, ob konkrete Empfänger_innen im Rahmen des Art. 15 Abs. 1 lit c DSGVO zu beauskunften sind, oder ob ein Wahlrecht des/der Verantwortlichen besteht, konkrete Empfänger_innen oder Kategorien von Empfänger_innen zu beauskunften, ist Gegenstand des anhängigen Beschwerdeverfahrens.

3.2.7. Es wird daher die Aussetzung des Beschwerdeverfahrens – mit nicht bloß verfahrensleitenden Beschluss (vgl VwGH 20.12.2017, Ra 2017/12/0019) - bis zur Vorabentscheidung durch den EuGH über die mit Beschluss des Obersten Gerichtshofs vom 18.02.2021, 6 Ob 159/20f, vorgelegte Frage beschlossen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützten. Eine – wie hier – im Rahmen dieser vom Verwaltungsgerichtshof aufgestellten Grundsätze vorgenommene Beurteilung einer bei einem anderen Gericht anhängigen Rechtsfrage als für das gegenständliche Verfahren präjudiziell ist nicht reversibel (vgl VwGH 13.9.2017, Ra 2017/12/0068).