TE Bvwg Erkenntnis 2021/10/15 W211 2233706-1

W211 2233706-1/5E

Im namen der republik!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, gegen Spruchpunkt 1. des Bescheids der Datenschutzbehörde vom XXXX , Zl. XXXX , in nichtöffentlicher Sitzung zu Recht:

A)

Die Beschwerde wird als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

Im gegenständlichen Verfahren geht es um die Verarbeitung von Daten hinsichtlich einer sog. „Parteiaffinität“ von Personen durch die nunmehrige Beschwerdeführerin, die XXXX (idF BF), im Rahmen ihrer Tätigkeiten im Bereich Adressverlag und Direktmarketing.

1. Die nunmehrige mitbeteiligte Partei (idF mP) stellte ein Auskunftsersuchen an die BF gemäß Art. 15 DSGVO.

Mit Nachricht vom XXXX 2019 gab die BF der mP ua bekannt, welche Daten über die mP von der BF verarbeitet werden. Darunter fanden sich ua die Angaben zum Namen, Geburtsdatum, Adresse, sowie auch zur „möglichen Zielgruppe für Wahlwerbung SPÖ, ÖVP, Neos, Grüne, FPÖ“ mit dem Vermerk „statistisch hochgerechnet“ und jeweils „sehr niedrig“, „niedrig“ oder „hoch“.

Mit Beschwerde an die Datenschutzbehörde (idF DSB) vom XXXX 2019 machte die mP eine Verletzung ihres Grundrechts auf Geheimhaltung geltend sowie, dass bei der Verarbeitung ihrer Daten durch die BF gegen die Art. 5, 6 und 9 DSGVO verstoßen worden sei.

2. Mit Stellungnahme vom XXXX 2020 führte die BF aus, dass die medial so bezeichneten „Parteiaffinitäten“ Marketingklassifikationen iSd § 151 Abs. 6 GewO seien und keine personenbezogenen Daten iSd Art. 4 Z 1 DSGVO bilden würden. Es handle sich dabei um keine personenbezogenen Daten, sondern es werde schlicht berechnet, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemographischen und regionalen Eigenschaften für bestimmte politische Parteien von Werbeinteresse seien. Mangels Qualifikation als personenbezogenes Datum verbiete sich auch die Annahme, dass es sich dabei um die Verarbeitung „besonderer Kategorien von Daten“ iSd Art. 9 Abs. 1 DSGVO handle. Es sei amtsbekannt, dass zur rechtlichen Qualifikationen der „Parteiaffinitäten“ ein Verfahren vor dem BVwG anhängig sei, weshalb das gegenständliche Verfahren auszusetzen sei.

3. Mit dem angefochtenen Bescheid gab die DSB der Beschwerde der mP teilweise statt und stellte fest, dass die BF die mP dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem sie zumindest bis zum XXXX 2019 Daten betreffend deren „Parteiaffinität“ verarbeitet habe (Spruchpunkt 1.). Der außerdem gestellte Antrag, das gegenständliche Verfahren bis zur Entscheidung des BVwG über eine vergleichbare Beschwerde auszusetzen, wurde zurückgewiesen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.).

Begründend führte die DSB soweit wesentlich aus, dass gegenständlich mit näherer Begründung personenbezogene Daten nach Art. 4 Z 1 DSGVO vorliegen würden, die außerdem als besondere Kategorie von personenbezogenen Daten zu qualifizieren seien. Die von der BF angeführten statistisch hochgerechneten Wahrscheinlichkeitswerte seien faktisch bei einer Person gespeichert worden, wobei die politische Affinität damit auch einer Person konkret zugeordnet worden sei. Eine ausdrückliche Einwilligung zur Verarbeitung der besonderen Kategorie von personenbezogenen Daten habe nicht bestanden. Demnach habe die BF im Ergebnis durch die Verarbeitung von Daten betreffend die politische Affinität der mP besondere Kategorien personenbezogener Daten iSv Art. 9 Abs. 1 DSGVO mangels Erlaubnistatbestands unrechtmäßig verarbeitet, wobei auch die nunmehrige Löschung der Daten an der in der Vergangenheit stattgefunden habendenden Verletzung des Rechts der mP nicht zu ändern vermöge. Eine Aussetzung nach § 38 AVG käme nicht in Betracht, weil die bei der DSB und beim BVwG zu lösende Rechtsfrage jedenfalls durch diese Einrichtungen als Hauptfragen (und nicht als Vorfragen) zu lösen seien. Der Antrag sei demnach zurückzuweisen gewesen. Soweit sich die mP neben der Verarbeitung ihrer Daten hinsichtlich „Parteiaffinitäten“ auch anhand „diverser statistischer Berechnungen“ im Recht auf Geheimhaltung verletzt erachtet habe, sei festzuhalten, dass dazu kein anspruchsbegründendes substantiiertes Vorbringen erstattet worden sei. Eine etwaige Unmöglichkeit, den Sachverhalt festzustellen, gehe zu Lasten der Antragstellerin.

4. Gegen diesen Bescheid brachte die BF rechtzeitig eine Beschwerde in jenem Umfang ein, in dem der Beschwerde stattgegeben wurde, und führte dazu zusammengefasst aus, dass die „Parteiaffinitäten“ - mit näherer, ausführlicher Begründung – keine personenbezogenen Daten darstellen würden; es handle sich dabei um Statistiken bzw. Marketingklassifikationen. Sie seien weiter anonymisierte Daten, wobei durch ihre spätere Zuordnung zu bestimmten Personen nicht wieder personenbezogene Daten daraus werden würden. Die behördliche Qualifikation von Marketingklassifikationen könne auch deshalb nicht stimmen, weil sie nicht „richtig“ oder „unrichtig“ sein könnten; sie seien nicht berichtigungsfähig, weshalb ihnen, wenn sie als personenbezogene Daten angesehen würden, ein Recht aus der DSGVO – nämlich das Recht auf Berichtigung - nicht zukommen könnte, was systemwidrig wäre. § 151 Abs. 6 GewO sehe ein eigenes Regelungsregime vor. Aus der „Parteiaffinität“ könne weiter nicht auf die politische Meinung geschlossen werden. § 151 GewO beinhalte außerdem bereits Schutzbestimmungen gegen eine missbräuchliche Verwendung von Marketingklassifikationen. Weiters verkenne die DSB den Zweck von zielgruppenorientierter Werbung. Adressaten von Direktmarketingmaterialien seien einer datenbasierenden Diskriminierung – was der Schutzzweck von Art. 9 DSGVO sei – nicht ausgesetzt. Weiter sehe sich die BF über 10.000 Auskunftsbegehren gegenüber. Es seien dazu etliche Verfahren bei der DSB wegen der Qualifikation von „Parteiaffinität“ als personenbezogenes Datum, sowie eines beim BVwG selbst anhängig. Es werde ersucht, das BVwG solle das gegenständliche Verfahren aus Gründen der Prozessökonomie aussetzen. Falls dieser Anregung nicht gefolgt werde, werde beantragt, eine mündliche Verhandlung durchzuführen und der Beschwerde stattzugeben, in der Sache selbst zu erkennen und den Bescheid aufzuheben, in eventu den Bescheid aufzuheben, und die Sache zur neuerlichen Entscheidung an die DSB zurückzuverweisen.

5. Mit Schreiben vom XXXX 2020 legte die DSB die Beschwerde vor und verwies auf einen Schriftsatz in einem anderen beim BVwG anhängigen Verfahren. In einem Schriftsatz vom XXXX 2020 zu einer vergleichbaren Angelegenheit führte die DSB erneut aus, dass es sich bei den „Parteiaffinitäten“ um personenbezogen Daten sowie solche iSd Art. 9 DSGVO handle. Weiter wurden Ausführungen zur Berichtigungsfähigkeit der Parteiaffinität, zur Systematik des § 151 GewO und zu Profiling gemacht.

6. Mit Schreiben vom XXXX 2021 replizierte die BF auf die Stellungnahme der DSB und gab dazu zusammengefasst an, dass ihrer Ansicht nach kein Feststellungsanspruch bestehe, da sämtliche Parteiaffinitäten am XXXX 2019 von der BF gelöscht worden seien. Die mP habe erst danach beantragt, eine Verletzung ihres Rechts auf Geheimhaltung festzustellen. Es bestehe kein eigenständiges Recht auf Feststellung vergangener Rechtsverletzungen. Ein Sachverhalt, der vom BVwG mit der Zl W214 2226349-1 am 20.05.2021 entschieden worden sei, unterscheide sich vom gegenständlichen in zwei Punkten: zum einen sei dort die Beschwerde noch vor Löschung der monierten Daten eingebracht worden, und zweitens böte die BF nun allen Betroffenen eine individualisierte Unterlassungs- und Verpflichtungserklärung an, in der zugesichert werde, von der Verarbeitung der Marketingklassifikationen „Parteiaffinitäten“ und einer weiteren hier nicht gegenständlichen Abstand zu nehmen. Weiter sei das vom BVwG (in der gerade zitierten Entscheidung) herangezogene Judikat des VwGH vom 23.02.2021, Ra 2019/04/0054, nicht einschlägig, weil darin beurteilt worden sei, welche Rechtsnormen anzuwenden seien, wenn eine Handlung bereits vor Inkrafttreten der DSGVO abgeschlossen worden sei. Die Rechtsverletzung habe im vom VwGH behandelten Fall fortgewirkt, und seien dort inkriminierte Daten weiterverarbeitet worden. Einen Wegfall der Beschwer habe man dort daher nicht feststellen können. Demnach sei mit der Löschung der Parteiaffinitäten die Beschwer und damit jegliches Rechtschutzinteresse weggefallen. Weiter wiederholte die BF, dass aus der „Parteiaffinität“ nicht auf eine politische Meinung geschlossen werden könne.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die XXXX (die BF) ist eine Logistik- und Postdienstleisterin. Sie verfügt über die gewerbliche Befugnis eines Adressverlags- und Direktmarketingunternehmens. Sie übt ihre Adressverlags- und Marketingaktivitäten auf Grundlage des § 151 GewO aus.

Die BF verarbeitete zumindest bis zum XXXX 2019 ua die folgenden Daten der mP: Name, Adresse, Geburtsdatum, sowie:

Die BF verwendete die Daten im Rahmen ihrer Tätigkeit als Adressverlag und bot diese Geschäftskunden für Marketingzwecke an.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Akt in Verbindung mit dem Vorbringen der Parteien und sind nicht strittig.

3. Rechtliche Beurteilung:

Zu A)

3.1. Rechtsgrundlagen

3.1.1. Die gesetzlichen Grundlagen nach der DSGVO lauten auszugsweise wie folgt:

Art. 4 Z 1 DSGVO:

Artikel 4: Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann […]

Art. 6 DSGVO:

Artikel 6: Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

Art. 9 DSGVO:

Artikel 9: Verarbeitung besonderer Kategorien personenbezogener Daten:

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,

b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,

c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,

d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,

e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,

h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,

i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder

j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.

(3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

(4) Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.

3.1.2. Die gesetzlichen Grundlagen nach dem DSG lauten auszugsweise wie folgt:

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

3.2. In der Sache:

3.2.1. Sind die von der BF verarbeiteten Daten, die eine „Parteiaffinität“ skizzieren, personenbezogene Daten iSd Art. 4 Z 1 DSGVO?

Zwischenzeitlich führte der OGH mit rezentem Urteil vom 18.02.2021 zur Zl 6 Ob 127/20z zu dieser Frage aus, wie folgt:

„ […] 2. Art 4 Nr 1 DSGVO definiert „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Begriff ist weit zu verstehen (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 9; Eßer in Eßer/Kramer/von Lewinski, DSGVO BDSG6 Art 4 DSGVO Rz 7).

2.1. Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf (Hödl aaO; Klar/Kühling in Kühling/Buchner, DS GVO Art 4 Nr 1 Rz 10; ebenso persönliche Überzeugungen, Vorlieben, Verhaltensweisen oder Einstellungen nennend Ernst in Paal/Pauly, DSGVO BDSG² Art 4 DSGVO Rz 14). Damit umfasst der Begriff der „Information“ nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa „X ist ein zuverlässiger Mitarbeiter“ (Klabunde in Ehmann/Selmayer, DS GVO² Art 4 Rz 9; vgl auch Gola in Gola, DSGVO² Art 4 Rz 13). In diesem Sinne sind Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend sind (Reimer in Sydow, DSGVO² Art 4 Rz 41); der Wahrheitsgehalt ist für die Betrachtung unerheblich (Klabunde aaO). Wahrscheinlichkeitsangaben haben Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen (Ernst aaO).

Aggregierte oder statistische Daten sind hingegen dann nicht personenbezogen, wenn sie keine Rückschlüsse mehr auf eine einzelne Person zulassen, was im Einzelfall anhand der gewählten Gruppengröße, des Aggregationsniveaus oder der in der Statistik ausgewiesenen Merkmale zu beurteilen ist (Eßer in Eßer/Kramer/von Lewinski, DSGVO BDSG6 Art 4 DSGVO Rz 31; Klar/Kühling in Kühling/Buchner, DSGVO BDSG³ Art 4 Nr 1 DSGVO Rz 15). Es kommt daher darauf an, ob eine Sammelangabe über eine Personengruppe gemacht oder ob eine Einzelperson als Mitglied einer Personengruppe gekennzeichnet wird, so etwa bei der Klassifizierung von zu Werbezwecken gespeicherten Daten, wenn Bewohner einer Straße aufgrund der Bevölkerungsstruktur einer bestimmten Käufergruppe oder Kaufkraftklasse zugeordnet werden (Gola in Gola, DSGVO² Art 4 Rz 8); anderes würde hingegen etwa bei der Aussage gelten, dass der Krankenstand der Mitarbeiter des Unternehmens A um X % zugenommen hat, wenn das Unternehmen eine Vielzahl von Mitarbeitern beschäftigt (Klar/Kühling aaO).

Knyrim (Zur Zulässigkeit des Adresshandels der Ö***** AG, ecolex 2019, 715), dem sich das Erstgericht angeschlossen hatte, vertritt die Auffassung, dass die von der XXXX ermittelten Wahrscheinlichkeitsangaben keine Aussagen über spezifische Personen, sondern vielmehr anonyme, abstrakte Durchschnittswerte von Marketinggruppen darstellten, die einer Person lediglich „zugeschrieben“ würden. Es mangle daher schon am Kriterium der Information über eine bestimmte Person, weshalb „fraglich“ sei, ob die gegenständlichen Wahrscheinlichkeitsangaben als personenbezogene Daten einzustufen seien und daher unter die DSGVO fielen. Dem vermag sich der erkennende Senat nicht anzuschließen:

2.2. Im Sinn des unter 2.1. wiedergegebenen Meinungsstands unterliegen die hier zu beurteilenden Informationen dem Regime der DSGVO, sind sie doch dem Kläger direkt zugeordnet und enthalten Aussagen etwa über seine Vorlieben und Einstellungen; ob die Einschätzungen tatsächlich zutreffend sind, ist dabei hingegen unerheblich. Auch dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet sind, ändert nichts am Vorliegen personenbezogener Daten. Die „Affinitäten“ enthalten eine Wahrscheinlichkeitsaussage über bestimmte Interessen und Vorlieben des Klägers. Dem steht auch nicht die Entscheidung des Gerichtshofs der Europäischen Union (EuGH) entgegen (Rs C 141/12 und C 372/12 [ECLI:EU:C:2014:2081]), auf die sich die Beklagte in ihrer Revision beruft, ist doch dort ausdrücklich festgehalten, dass es sich bei den in der Analyse über den Aufenthaltstitel verwendeten Daten sehr wohl um personenbezogene Daten handelt.

Zum selben Ergebnis gelangte im Übrigen erst jüngst das Bundesverwaltungsgericht (W 258 2217446 1) im Verfahren über einen die Beklagte betreffenden Bescheid der Datenschutzbehörde, der ebenfalls die „besondere[n] Kategorien personenbezogener Daten im Rahmen der Ausübung des Gewerbes 'Adressverlage und Direktmarketingunternehmen' mangels Einwilligung der betroffenen Personen“ zum Gegenstand hatte. Das Bundesverwaltungsgericht hielt dabei fest (ErwGr 3.2.3), dass die Verknüpfung der Parteiaffinität mit einer einzelnen Person das Inhaltselement einer personenbezogenen Information erfüllte; so enthalte, auch wenn die tatsächliche politische Meinung des Betroffenen nicht bekannt ist, die Parteiaffinität eine unmittelbare Aussage über die konkrete Person, nämlich mit welcher Wahrscheinlichkeit sie sich für Werbung von einer bestimmten politischen Partei interessiert; diese Aussage sei, auch wenn sie auf Grund der Ermittlungsmethode einer statistischen Schwankungsbreite unterliegt, nicht völlig zufällig, sondern leite sich aus Korrelationen ab, die aus Meinungsumfragen und Wahlergebnissen gewonnen worden seien; es handle sich um eine statistisch fundierte Einschätzung der Person in Bezug auf ihr Interesse an Werbung für eine bestimmte politische Partei. [….]“

Der erkennende Senat schließt sich der Rechtsansicht des OGH und des BVwG zur Zl. W 258 2217446-1 dahingehend an, dass es sich bei den gegenständlich verarbeiteten Daten betreffend eine „Parteiaffinität“ um personenbezogene Daten gemäß Art. 4 Z 1 DSGVO handelt. Ebenso wird den weiteren Ausführungen im zitierten Urteil gefolgt, dass § 151 Abs. 6 GewO zwar die Verwendung entsprechender Marketinginformationen und –klassifikationen regelt, aber nichts daran ändern kann, dass es sich dabei um von der DSGVO erfasste personenbezogene Daten handelt. Insbesondere steht es dem nationalen Gesetzgeber nicht zu, den Anwendungsbereich der DSGVO entsprechend einzuschränken. An der Qualität der verarbeiteten Daten als personenbezogene, die der DSGVO unterliegen, gibt es daher keinen Zweifel.

3.2.2. Handelt es sich dabei um eine besondere Kategorie von personenbezogenen Daten iSd Art. 9 DSGVO?

Auch diese Frage ist zu bejahen: wie das BVwG bereits im Teilerkenntnis vom 20.08.2020, Zl W 258 2217446-1, ausführte ist „[…]für die Interpretation des Art 9 DSGVO sein Schutzzweck [maßgeblich] (vgl auch Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 19). Es ist zu fragen, wovor die Bestimmung die betroffenen Personen schützen möchte. Die Interpretation findet ihre Grenze im äußersten Wortsinn der Bestimmung.

Hintergrund des Art 9 Abs 1 DSGVO ist, dass personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, einen besonderen Schutz verdienen, weil im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können (ErwGr 51 der DSGVO). Die genannten Datenarten weisen in der Regel ein hohes Schadens- und Diskriminierungspotential auf, welches sich immer wieder realisiert (vgl Paal/Pauly Datenschutzgrundverordnung Bundesdatenschutzgesetz ² Art 9 DSGVO Rz 6).

Art 9 DSGVO will daher vor den Gefahren schützen, die mit bestimmten Arten von personenbezogenen Daten üblicherweise verbunden sind.

Auf Grund des Wortlauts des Art 9 Abs 1 DSGVO, wonach das Verbot die Verarbeitung als solche betrifft, kommt es dabei lediglich auf die grundsätzliche Eignung der Datenarten an, diese Gefahren auszulösen. Der konkrete Verarbeitungskontext, wie Zweck der Verarbeitung oder konkrete Verarbeitungsschritte, sind damit zur Beurteilung der Frage, ob ein personenbezogenes Datum unter eine der besonderen Kategorien von Daten einzuordnen ist, nicht zu berücksichtigen (bei mittelbar sensiblen Daten strittig; Verwendungszusammenhang verneinend bspw Petri in Simitis/Hornug/Spiecker (Hrsg) Datenschutzrecht (2019) Art 9 Rz 12 unter Verweis auf Bergauer in Knyrim Das neue Datenschutzrecht in Österreich und wohl auch Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 2 f; aA Schulz in Gola Art 9 Rz 13; Weichert in Kühling/Buchner (Hrsg), DSGVO² Art 9 Rz 22).

Anzuknüpfen ist somit an der abstrakten Eignung bestimmter personenbezogener Daten, besonders nachteilige Folgen für betroffene Personen auslösen zu können.

Welche Arten von personenbezogenen Daten das sind, bestimmt Art 9 Abs 1 DSGVO. Es muss sich ua um personenbezogene Daten handeln, aus denen die „politische Meinung“ der betroffenen Person hervorgeht.

Da bereits eine vermutete politische Meinung jene negativen Folgen für die betroffene Person auslösen kann, vor der Art 9 DSGVO schützen möchte, ist es für die Annahme einer politischen Meinung ausreichend, wenn aus der Information eine solche Meinung mit hinreichender Wahrscheinlichkeit hervorgeht (Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 21). Gewissheit ist nicht erforderlich. Irrelevant ist auch, ob die Merkmalsangaben inhaltlich zutreffen (Weichert in Kühling/Buchner (Hrsg), DSGVO² Art 9 Rz 24).

Ob aus personenbezogenen Daten die politische Meinung der betroffenen Person mit hinreichender Wahrscheinlichkeit hervorgeht, ist aus dem Umständen des Einzelfalls unter Berücksichtigung des Schutzzwecks der Norm zu beurteilen (in diesem Sinne auch Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 22).

Angewendet auf den Sachverhalt bedeutet das:

Im gegenständlichen Fall werden natürliche Personen mit der Wahrscheinlichkeit verknüpft, Interesse an Werbung über bestimmte politische Parteien zu haben. Zwischen dem (wahrscheinlichen) Interesse an Werbung von einer bestimmten Partei und einem Interesse für diese politische Partei und damit an einer politischen Meinung besteht ein relevanter Zusammenhang:

Zwar kann aus einem niedrigen Wahrscheinlichkeitswert nicht auf eine politische Meinung geschlossen werden, kann sie doch in einem grundsätzlichen Desinteresse an Politik oder in der Ablehnung von Werbematerial gründen. Ähnliches gilt für einen hohen Wahrscheinlichkeitswert, der lediglich an einem generellen politischen Interesse liegen kann. Da aber „Parteiaffinitäten“ mehreren politischen Parteien zugeordnet werden, folgen aus dem Zusammenspiel zwischen hohen Wahrscheinlichkeitswerten für bestimmte Parteien und niedrigen Wahrscheinlichkeitswerten für andere Parteien ein besonderes Werbeinteresse für die einen und ein reduziertes Werbeinteresse gegenüber den anderen Parteien. Die Werbeinteressen lassen in dieser Konstellation darauf schließen, ob der Betroffene grundsätzlich die Meinungen einer bestimmten politischen Partei vertritt, sich ihr nahe fühlt oder in Erwägung zieht, die Partei zu wählen, oder sie ablehnt.

Berücksichtigt man den Schutzzweck des Art 9 DSGVO, dh betroffene Personen vor Diskriminierungen auf Grund einer (unterstellten) politischen Meinung zu schützen, ergibt sich ebenfalls die hinreichende Wahrscheinlichkeit des Hervorgehens der politischen Meinung: werden – wie hier – Personen mit einer hohen „Parteiaffinität“, als für Werbung – und damit für eine bestimmte politische Meinung – empfänglich angesehen und sollen deshalb gezielt mit Werbung über bestimmte politische Parteien beworben werden, stehen dazu spiegelbildlich die Gefahren, die Art 9 DSGVO vermeiden möchte: Derartige Personen zu benachteiligen oder gar zu verfolgen, weil eine gewisse Nähe zu einer Partei vermutet wird.

Zu den Argumenten der Beschwerdeführerin:

Die Beschwerdeführerin wehrt sich gegen die Einstufung der „Parteiaffinitäten“ als besondere Kategorie personenbezogener Daten im Wesentlichen mit dem Argument, dass eine politische Meinung im Sinne des Art 9 Abs 1 DSGVO nur hervorgehen könne, wenn die betroffene Person selbst gehandelt habe oder eine (zumindest mittelbar politische) Informationskomponente über die betroffene Person (wie eine Parteimitgliedschaft oder Veranstaltungsteilnahmen) vorhanden sei. Beides sei im gegenständlichen Fall nicht gegeben.

Diese Ansicht übersieht, dass die Gefahren, die mit der Verarbeitung der politischen Meinung üblicherweise verbunden sind und vor denen Art 9 DSGVO schützen möchte, bereits dann drohen, wenn die politische Meinung einer betroffenen Person mit hinreichender Wahrscheinlichkeit hervorgeht. Es macht für das Vorliegen einer bestimmten Wahrscheinlichkeit aber keinen Unterschied, ob die Wahrscheinlichkeit in einem tatsächlichen Verhalten der betroffenen Person, einer (zumindest mittelbar politischen) Information über die betroffene Person oder in statistischen Methoden gründet. Dass die von der Beschwerdeführerin verwendete Methode zur Ermittlung der Wahrscheinlichkeitswerte keinerlei statistische Relevanz hätte, lässt sich weder aus der festgestellten Ermittlungsmethode, noch aus dem Verwendungszweck, dh die zielgerichtete Bewerbung natürlicher Personen, ableiten.

Im Endergebnis sind die Datenarten zur „Parteiaffinität“ daher als besondere Kategorien personenbezogener Daten im Sinne des Art 9 Abs 1 DSGVO zu subsumieren und unterliegen dem darin normierten Verarbeitungsverbot. […]“.

Im kürzlichen Urteil des OGH vom 15.04.2021, 6 Ob 35/21x, kommt dieser zum selben Ergebnis.

Ein Erlaubnistatbestand für die Verarbeitung von dieser besonderen Kategorie personenbezogener Daten liegt nicht vor: während zwar § 151 Abs. 6 GewO eine nationale Rechtsnorm iSd Art. 9 Abs. 2 lit g DSGVO, die eine Verarbeitung bei Erfüllung weiterer Voraussetzungen zulässig machen könnte, darstellen kann, muss ein solcher unionsrechtlicher oder nationaler Rechtsakt aus Gründen eines erheblichen öffentlichen Interesses erforderlich sein, was auf § 151 Abs. 6 GewO nicht zutrifft:

„ […] Eine Regelung, wonach Adressenverlag- und Direktwerbeunternehmen auch ohne Zustimmung der Betroffenen Marketinginformationen verarbeiten dürfen, die gleichzeitig besondere Kategorien personenbezogener Daten sind, erleichtert zwar die Tätigkeit dieser Gewerbe, ihr Fehlen stellt das Bestehen der Gewerbe aber nicht in Frage. So ist es ihnen möglich, Marketinginformationen ohne Zustimmung der betroffenen Personen zu verarbeiten, solange sie keiner der in Art 9 Abs 1 DSGVO genannten besonderen Kategorien personenbezogener Daten entsprechen, womit regelmäßig das Auslangen gefunden werden kann. Dass die Allgemeinheit ohne eine derartige Regelung ernsthaft beeinträchtigt sein könnte, ist nicht ersichtlich. Eine derartige Regelung liegt daher nicht im erheblichen öffentlichen Interesse.

Eine Interpretation des § 151 Abs 6 GewO, wonach entgegen § 151 Abs 4 GewO bei der Verarbeitung von für Marketingzwecke erhobenen Marketinginformationen und - klassifikationen auch dann keine Zustimmung der betroffenen Person erforderlich ist, wenn es sich bei den Marketinginformationen und –klassifikationen um besondere Kategorien personenbezogener Daten im Sinne des Art 9 Abs 1 DSGVO handelt, scheidet demnach bei europarechtskonformer Auslegung aus. […]“ (vgl. wieder BVwG, 20.08.2020, ZL W258 2217446-1).

Andere mögliche Sachverhalte, die eine Verarbeitung der als „Parteiaffinitäten“ bezeichneten besonderen Kategorien personenbezogener Daten zulässig machen würden, wurden nicht vorgebracht und ergeben sich auch sonst nicht aus dem Verfahren.

3.2.3. Zur Feststellungskompetenz wegen Verletzung im Recht auf Geheimhaltung und zur Beschwer:

Die BF bringt in ihren Eingaben vor, es bestehe kein Anspruch mehr auf Feststellung, da die Daten betreffend die Parteiaffinität von der BF gelöscht worden seien.

Dem ist entgegen zu halten, dass ein Eingriff in das Recht auf Geheimhaltung wie der gegenständliche nicht durch eine nachträgliche Löschung der Daten geheilt werden kann; er steht einer Heilung durch Nachholung, wie zB im Falle einer Verletzung des Rechts auf Auskunft, nicht offen.

Dazu ist weiter auf die Ausführungen im Erkenntnis des BVwG, 20.05.2021, Zl W214 2226349-1, zu einem vergleichbaren Sachverhalt zu verweisen, wonach aus der aktuellen Rechtsprechung des VwGH hervorgeht, dass im Allgemeinen das im Zeitpunkt der Erlassung des Erkenntnisses geltende Recht anzuwenden ist, eine andere Betrachtungsweise [aber] dann geboten ist, wenn der Gesetzgeber in einer Übergangsbestimmung zum Ausdruck bringt, dass auf anhängige Verfahren noch das bisher geltende Gesetz anzuwenden ist, oder wenn darüber abzusprechen ist, was an einem bestimmten Stichtag oder einem konkreten Zeitraum rechtens gewesen ist. In dem dem Verwaltungsgerichtshof vorgelegten Fall ging es um eine (behauptete) Verletzung im Recht auf Geheimhaltung durch eine mehr als vier Jahre vor Inkrafttreten der DSGVO und des DSG erfolgte Übermittlung von Daten. Der Verwaltungsgerichtshof hielt dazu fest, dass es daher um die Frage gehe, ob ein zu einem bestimmten Zeitpunkt erfolgter, bei Inkrafttreten der DSGVO abgeschlossener Vorgang rechtens gewesen sei (siehe VwGH 23.02.2021, Ra 2019/04/0054-8 Rz 25f.). Daraus folgt aber zwingend, dass im Falle einer (behaupteten) Verletzung im Recht auf Geheimhaltung (auch für die Vergangenheit) im Gegensatz zu den von der BF genannten Leistungsrechten (Recht auf Auskunft und Löschung) ein Feststellungsanspruch besteht.

Die BF bringt in ihrer Stellungnahme vom XXXX 2021 vor, das gerade zitierte Erkenntnis des VwGH sei gegenständlich nicht einschlägig, weil der VwGH darin darüber entschieden habe, welche Rechtsnormen anzuwenden seien, wenn eine Handlung bereits vor Inkrafttreten der DSGVO abgeschlossen gewesen sei. Mit der Frage, ob nach Wegfall der Beschwer eine behauptete Rechtsverletzung festgestellt werden dürfe, habe dies alles nichts zu tun.

Dem ist zuerst entgegenzuhalten, dass sich der im Erkenntnis des BVwG vom 20.05.2021, Zl W214 2226349-1, gezogene Rückschluss auf die Rechtsmeinung des VwGH, dass ein Feststellungsanspruch auch im Falle einer (behaupteten) Verletzung im Recht auf Geheimhaltung (auch für die Vergangenheit) besteht, dem Erkenntnis des VwGH dennoch entnehmen lässt.

Darüber hinaus kann jedoch auch nicht davon ausgegangen werden, dass die mP durch die rechtswidrige Verarbeitung der sie betreffenden Daten zur „Parteiaffinität“ bis zu deren Löschung keine nach wie vor bestehende Beschwer haben würde: Die BF gibt selbst in ihrer Auskunft an, die Daten im Rahmen ihrer Tätigkeit als Adressverlag zu verwenden bzw. verwendet zu haben und diese Geschäftskunden für Marketingzwecke anzubieten bzw. angeboten zu haben. Dass gerade die mP von einer solchen Weiterleitung der Daten im Zuge des Adressverlags sowie für Geschäftskunden nicht betroffen gewesen sein sollte, wird nicht behauptet. Demnach unterlagen jedoch ihre – unrechtmäßig durch die BF verarbeiteten – Daten betreffend ihre „Parteiaffinität“ einer Weiterverarbeitung im Rahmen der Tätigkeit der BF, weshalb vom Fehlen einer Beschwer auch nach Löschung durch die BF nicht die Rede sein kann.

Wenn außerdem der erkennende Senat davon ausgeht, dass der Feststellungsanspruch über die (behauptete) Verletzung im Recht auf Geheimhaltung auch für die Vergangenheit besteht, da eine entsprechende Heilung durch eine nachträgliche Löschung nicht eingetreten sein kann, kann es auch keinen Unterschied machen, ob die Löschung der Daten durch die BF vor der Beschwerdeeinbringung der mP bei der DSB stattgefunden hat.

Und schließlich kann es sich ebenso wenig auf einen Feststellungsanspruch auswirken, dass die BF nunmehr betroffenen Personen eine Erklärung anbietet, zukünftig von der Verarbeitung der Marketingklassifikationen „Parteiaffinitäten“ sowie einer weiteren abzusehen.

Im Ergebnis stellte die belangte Behörde daher zu Recht in Spruchpunkt 1. des angefochtenen Bescheids die Rechtswidrigkeit der Verarbeitung der Datenarten „Parteiaffinität“ fest, weshalb die dagegen gerichtete Beschwerde abzuweisen war.

4. Zum Entfall der mündlichen Verhandlung

Da der Sachverhalt feststeht und im Verfahren ausschließlich Rechtsfragen zu klären waren, konnte gemäß § 24 Abs. 4 VwGVG auf die Durchführung einer mündlichen Verhandlung verzichtet werden (VwGH, 19.09.2017, Ra 2017/01/0276).

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist zulässig, weil Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Art 133 Abs. 4 B-VG zukommen. So fehlt es an Rechtsprechung des Verwaltungsgerichtshofs zur Frage, ob aus Durchschnittswerten ermittelte Einschätzungen des Interesses natürlicher Personen, um sie in bestimmter Weise behandeln zu können, personenbezogene Daten bzw. besondere Kategorien personenbezogener Daten im Sinne des Art 9 DSGVO über diese Person darstellen können, obwohl die Einschätzung der natürlichen Person weder auf ein Verhalten gründet, dass sie selbst gesetzt hat, noch auf eine (zumindest mittelbar) die Einschätzung betreffende Information (hier, ihre politische Meinung) über sie selbst.

Es war daher spruchgemäß zu entscheiden.