BVwG W101 2246191-1

Spruch:

W101 2246191-1/13E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Christine AMANN als Vorsitzende und die fachkundige Laienrichterin Mag. Viktoria HAIDINGER als Beisitzerin sowie den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer über die Beschwerde der XXXX , vertreten durch die Schönherr Rechtsanwälte GmbH, gegen den Spruchteil 1. b) des Bescheides der Datenschutzbehörde vom 04.08.2021, Zl. D205.423 2020-0.685.799, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

Mit Schreiben vom 18.11.2019 brachte Herr XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) ein, weil er in seinem Recht auf Geheimhaltung verletzt worden sei. Er begründete seine Datenschutzbeschwerde im Wesentlichen damit, dass die Beschwerdeführerin u.a. die Daten der mitbeteiligten Partei zu den „Sinus-Geo-Milieus“ unrechtmäßig verarbeitet und somit gegen Art. 5, 6 und 9 DSGVO verstoßen habe.

Mit Stellungnahme vom 14.01.2020 führte die Beschwerdeführerin zur Datenschutzbeschwerde der mitbeteiligten Partei im Wesentlichen Folgendes aus:

Die Beschwerdeführerin beziehe die sogenannten „Sinus-Geo-Milieus“ gemäß § 151 Abs. 3 und Abs. 6 GewO im Rahmen ihrer Gewerbeberechtigung als Adressverlag vom Adressverlag XXXX . Falls einzelne „Sinus-Geo-Milieus“ tatsächlich rechtswidrig berechnet worden seien, sei hierfür jener Adressverlag verantwortlich, der sie erstmals rechtswidrig verwendet habe. Jedoch sei von einer Rechtwidrigkeit der „Sinus-Geo-Milieus“ nicht auszugehen.

Die Beschwerdeführerin verfüge über die gewerbliche Befugnis eines Adressverlags- und Direktmarketingunternehmens und übe ihre Adressverlags- und Marketingtätigkeiten auf Grundlage des § 151 GewO aus. Aus diesem Grund sei sie berechtigt, personenbezogene Daten sowie Marketinginformationen und -klassifikationen aus dem Marketingdateisystem anderer Adressverlage und Direktmarketingunternehmen zu ermitteln (§ 151 Abs. 3 und Abs. 6 GewO). Ebenfalls sei sie berechtigt, die so ermittelten Daten mittels Marketinganalyseverfahren mit Marketinginformationen und -klassifikationen anzureichern (§ 151 Abs. 6 GewO). Die gegenständlichen „Sinus-Geo-Milieus“ seien von der XXXX zugekauft worden und sohin in rechtlich unbedenklicher Weise aus dem Marketingdateisystem eines anderen Adressverlages bezogen worden.

Zudem seien „Sinus-Geo-Milieus“ Marketingklassifikationen iSd § 151 Abs. 6 GewO und würden keine personenbezogenen Daten iSd Art. 4 Z 1 DSGVO bilden.

Außerdem seien von der mitbeteiligten Partei sämtliche „Sinus-Geo-Milieus“ und sonstige Marketingklassifikationen bereits gelöscht worden. Eine allfällige Verletzung des Rechts auf Geheimhaltung könne sohin nicht mehr stattfinden. Ein Recht auf vermeintlicher in der Vergangenheit liegender Rechtsverletzungen bestehe nicht.

Im Zuge des Verwaltungsverfahrens holte die Datenschutzbehörde von beiden Parteien weitere schriftliche Stellungnahmen ein.

Mit Bescheid vom 04.08.2021, Zl. D205.423 2020-0.685.799, gab die Datenschutzbehörde der Datenschutzbeschwerde vom 18.11.2019 teilweise statt und stellte im Spruchteil 1. b) fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem sie Daten der mitbeteiligten Partei betreffend „Sinus-Geo-Milieus“, somit Daten besonderer Kategorie (Art. 9 DSGVO), bis zum 13.11.2019 ohne Einwilligung verarbeitet habe, konkret:

- „Konservative“;

- „Traditionelle“;

- „Etablierte“;

- „Performer“;

- „Postmaterielle“;

- „Digitale Individualisten“;

- „Bürgerliche Mitte“;

- „Adaptiv Pragmatische“;

- „Konsumorientierte Basis“;

- „Hedonisten“.

Hinsichtlich des Spruchteils 1. b) des o.a. Bescheides traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen:

Die Beschwerdeführerin verfüge seit 03.04.2001 über eine aufrechte Gewerbeberechtigung zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen.

Infolge eines entsprechenden Antrages der mitbeteiligten Partei habe die Beschwerdeführerin am 09.05.2019 eine datenschutzrechtliche Auskunft erteilt, die u.a. folgende Datensätze beinhaltet hätten:

Gespeicherte Daten

Datenquelle: XXXX

​

Zu welchem Zeitpunkt die oben angeführten Datensätze erstmalig erhoben bzw. ermittelt oder berechnet worden seien, sei nicht festzustellen gewesen. Die Datensätze der „Sinus-Geo-Milieus“ würden seit dem 13.11.2019 nicht mehr verarbeitet werden.

Die Datensätze betreffend „Sinus-Geo-Milieus“ würden von der XXXX errechnet werden. Die Beschwerdeführerin beziehe die ihr bekannten Daten der „Sinus-Geo-Milieus“ im Rahmen ihrer Gewerbeberechtigung als Adressverlag vom Datenlieferanten XXXX .

Die Beschwerdeführerin habe der mitbeteiligten Partei sowohl die „Sinus-Geo-Milieus samt prozentuell ausgedrückter Zustimmungsraten als auch ein „Mindestjahreseinkommen/Person in Euro“ samt des Wertes „ XXXX “ zugeordnet und im Rahmen einer Auskunft gemäß Art. 15 DSGVO beauskunftet.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde hinsichtlich des Spruchteils 1. b) des o.a. Bescheides in rechtlicher Hinsicht im Wesentlichen Folgendes:

Zur Auffassung der Beschwerdeführerin, es bestehe kein Recht auf Feststellung vermeintlicher in der Vergangenheit liegender Rechtsverletzungen, werde auf die diesbezüglich herrschende Spruchpraxis der Datenschutzbehörde verwiesen, wonach das DSG und die DSGVO unzweifelhaft eine Möglichkeit zur Feststellung der Verletzungen von Betroffenenrechten nach dem DSG und der DSGVO normieren würden.

Bei den der mitbeteiligten Partei zugeordneten Datensätze der „Sinus-Geo-Milieus“ handle es sich um personenbezogene Daten nach Art. 4 Z 1 DSGVO. Dies ergebe sich schon daraus, dass die „Sinus-Geo-Milieus“ im Zuge einer Auskunft nach Art. 15 DSGVO beauskunftet worden seien. Wenn – wie die Beschwerdeführerin vermeine – überhaupt keine personenbezogenen Daten vorlägen, so wäre die DSGVO nicht anwendbar und hätten diese Datenkategorien auch nicht beauskunftet werden müssen. Abgesehen davon wäre die von der Beschwerdeführerin erwähnte personalisierte bzw. zielgerichtete Werbung ohne Zuordnung zur mitbeteiligten Partei nicht möglich. Dass personenbezogene Daten vorliegen würden, ergebe sich aber auch aus der Rechtsprechung des EuGH und des Bundesverwaltungsgerichtes, wonach der Begriff „personenbezogene Daten“ weit auszulegen sei. Auch nach der Literatur seien die „Sinus-Geo-Milieus“ als personenbezogene Daten zu qualifizieren. Hinzuweisen sei darauf, dass die seinerzeitige Datenschutzkommission Einschätzungen mit Hilfe statistischer Hochrechnungen betreffend eine wahrscheinliche Zugehörigkeit einer Person zu einer bestimmten Ziel- oder Altersgruppe als personenbezogene Daten qualifiziert habe. Vor dem Hintergrund der zitierten Judikatur und Literatur handle es sich bei den „Sinus-Geo-Milieus“ – unabhängig davon, ob diese eine „Durchschnittswahrscheinlichkeit für eine Marketinggruppe“ darstellen würden, jedenfalls um personenbezogene Daten iSv Art. 4 Z 1 DSGVO.

Die von der Beschwerdeführerin ermittelten „Sinus-Geo-Milieus“ seien auch als besondere Kategorie von personenbezogenen Daten iSd Art. 9 DSGVO zu qualifizieren, da es sowohl begrifflich als auch teleologisch genüge, dass der Inhalt des Datums die in Art. 9 Abs. 1 DSGVO genannte Eigenschaft für einen durchschnittlichen, objektiven Dritten zumindest mittelbar erkennen lasse, dass also die Eigenschaft aus dem Datum bzw. den Daten produziert werden könne und sie weltanschauliche Überzeugungen zum Ausdruck bringen würden.

Eine Verarbeitung von Daten nach Art. 9 Abs. 1 DSGVO sei nur rechtmäßig, wenn einer der in Abs. 2 taxativ aufgezählten Eingriffstatbestände vorliege. Das Verarbeitungsverbot gemäß Art. 9 Abs. 1 DSGVO werde u.a. durchbrochen, wenn die betroffene Person in die Verarbeitung ausdrücklich einwillige. Gegenständlich liege aber keine Einwilligung der mitbeteiligten Partei vor und dies sei auch nicht von der Beschwerdeführerin behauptet worden. Ein anderer Erlaubnistatbestand als die Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO komme nicht in Frage, auch gemäß § 151 Abs. 4 GewO werde zur Verarbeitung besonderer Kategorien von Daten iSv Art. 9 Abs. 1 DSGVO im Zuge der Ausübung des Gewerbes für Adressverlage und Direktmarketingunternehmen ein ausdrückliches Einverständnis der betroffenen Person vorausgesetzt, welches jedoch – wie ausgeführt – nicht vorliege. Die Beschwerdeführerin habe im Ergebnis die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt, indem sie deren weltanschauliche Überzeugungen („Sinus-Geo-Milieus“) mangels Erlaubnistatbestands gemäß Art. 9 Abs. 2 DSGVO unrechtmäßig verarbeitet habe. Demgegenüber sei es im vorliegenden Fall nicht geboten, einen amtswegigen Leistungsauftrag zur Löschung der verfahrensgegenständlichen Datensätze zu erteilen. Wie den Feststellungen zu entnehmen sei, seien die fraglichen Datensätze bereits gelöscht bzw. würden diese von der Beschwerdeführerin nicht mehr verarbeitet werden.

In der gegen den Spruchteil 1. b) dieses Bescheides fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor:

Bis zum 13.11.2019 seien sämtliche Marketingklassifikationen, darunter auch die „Sinus-Geo-Milieus“, nicht wiederherstellbar zur Gänze gelöscht und nicht mehr für den Adresshandel bzw. Marketingzwecke verarbeitet worden. Da dem Datensatz der mitbeteiligten Partei zugeschriebenen „Sinus-Geo-Milieus“ gelöscht worden seien, seien Feststellungs- und Rechtsschutzinteresse der mitbeteiligten Partei weggefallen.

Zudem habe die Beschwerdeführerin der mitbeteiligten Partei keine „Sinus-Geo-Milieus“ zugeordnet. Vielmehr sei es so gewesen, dass sie Adressdaten, so auch jene der mitbeteiligten Partei, von der XXXX erhalten habe.

Des Weiteren habe die belangte Behörde eine unrichtige Qualifikation der „Sinus-Geo-Milieus“ vorgenommen, denn „Sinus-Geo-Milieus“ seien statistisch berechnete Wahrscheinlichkeitswerte auf Gebäudeebene, d.h. alle einem Gebäude zugeordnete Bewohner würden denselben statistisch berechneten Wahrscheinlichkeitswerten zugeschrieben werden. Diese Daten seien anonyme Informationen über Bevölkerungsstrukturen und dabei würde es nie um Einzelpersonen gehen. Unter Betrachtung des § 151 GewO seien die „Sinus-Geo-Milieus“ Marketingklassifikationen iSd § 151 Abs. 6 GewO und würden als solche keine personenbezogenen Daten iSd Art. 4 Z 1 DSGVO bilden.

Verglichen mit einer Entscheidung des Bundesverwaltungsgerichtes in Bezug zu den Parteiaffinitäten einer Person, Zl. W258 2217446-1, zeige, dass die darin enthaltenen Erwägungen auf die „Sinus-Geo-Milieus“ nicht zutreffen würden, denn das Bundesverwaltungsgericht lege seiner Rechtsansicht im Wesentlichen den Gedanken zugrunde, dass sensible Informationen „über“ eine Person dadurch ausgedrückt werden könnten, indem mehrere Wahrscheinlichkeitswerte zueinander in Gewichtung gebracht würden und solcherart ein „dominanter“ Wahrscheinlichkeitswert ausgedrückt werde. Diese dominante Wahrscheinlichkeit begründe den sensiblen Personenbezug des Datums und auch die politische Meinung einer Person. Im Zusammenhang mit den Parteiaffinitäten habe das Bundesverwaltungsgericht klargestellt, dass aus einem niedrigen Wahrscheinlichkeitswert nicht auf eine politische Meinung geschlossen werden könne. Dasselbe müsse auch für weltanschauliche Überzeugungen gelten. Im gegenständlichen Fall hätten die im Spruch des Bescheides der Datenschutzbehörde bezeichneten Marketingklassifikationen allesamt nur einen niedrigen Wahrscheinlichkeitswert von unter 20%. Die im Sinne der Rechtsprechung des Bundesverwaltungsgerichtes geforderte hinreichende Wahrscheinlichkeit, um auf die weltanschauliche Überzeugung der mitbeteiligten Partei zu schließen, sei somit nicht gegeben. Selbst wenn man die zu den Parteiaffinitäten ausgedrückte rechtliche Wertung des Bundesverwaltungsgerichtes auf die „Sinus-Geo-Milieus“ übertragen möge, so könne hieraus keine gemäß Art. 9 DSGVO zu schützende Weltanschauung der mitbeteiligten Partei abgeleitet werden.

Die Beschwerdeführerin stellte sohin die Anträge, das Bundesverwaltungsgericht möge

1. eine mündliche Verhandlung durchführen;

2. der Beschwerde stattgeben und den Spruchteil 1. b) des angefochtenen Bescheides aufheben und

3. in eventu den Spruchteil 1. b) des angefochtenen Bescheides aufheben und die Sache zur neuerlichen Entscheidung an die belangte Behörde zurückverweisen.

Mit Schreiben der Datenschutzbehörde vom 02.09.2021, eingelangt am 09.09.2021, war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden.

Auf Grund der Verfügung des Geschäftsverteilungsausschusses vom 21.10.2021 war die gegenständliche Rechtssache der Gerichtsabteilung W214 abgenommen und der Gerichtsabteilung W253 zugewiesen worden.

Auf Grund der Verfügung des Geschäftsverteilungsausschusses vom 23.03.2022 war die gegenständliche Rechtssache in die nunmehr zuständige Gerichtsabteilung W101 zugewiesen worden, wo sie am 01.04.2022 einlangte.

Mit Stellungnahme vom 19.04.2021 führte die Beschwerdeführerin in Ergänzung ihrer Beschwerde im Wesentlichen Folgendes aus:

Die belangte Behörde habe festgestellt, dass die „Sinus-Geo-Milieus“ spätestens am 13.11.2019 gelöscht worden seien, weswegen das Feststellungs- und Rechtsschutzinteresse der mitbeteiligten Partei weggefallen sei, weil weder die DSGVO noch das DSG einen Anspruch auf Feststellung in der Vergangenheit liegender Rechtsverletzungen kenne.

Außerdem habe die Beschwerdeführerin die Adressdaten und die „Sinus-Geo-Milieus“ von XXXX in zwei separaten Dateien erhalten. Sofern man einen Personenbezug in der Bezugnahme eines „Sinus-Geo-Milieus“ auf alle in einem Haushalt lebenden Personen erkennen wolle, dann sei dieser Personenbezug bereits durch die XXXX hergestellt worden und zwar dadurch, dass die separaten Dateien mit einer spezifischen „Arvato-ID“ verknüpft worden seien. Es sei nicht nachvollziehbar, dass (vermeintliche) personenbezogene Daten keinen Personenbezug aufweisen sollten, wenn sie in zwei oder mehreren Dateien aufgesplittet seien, obwohl die Dateien mit ein und derselben spezifischen ID versehen und jederzeit eindeutig verknüpfbar seien. Die Verknüpfung mit einer bestimmten Person – gegenständlich der mitbeteiligten Partei – sei nicht durch die Beschwerdeführerin erfolgt und daher sei diese Feststellung der belangten Behörde unzutreffend.

Die Beschwerdeführerin sei aber trotzdem weiterhin der Meinung, dass es sich bei den „Sinus-Geo-Milieus“ um keine personenbezogenen Daten handle, weil sie sich nicht auf konkrete Personen, sondern auf Gebäude und Straßenabschnitte beziehe und nur statistisch berechnete Aussagen über die dort lebenden Personengruppen treffen würden.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die mitbeteiligte Partei hat in ihrer Datenschutzbeschwerde vom 18.11.2019 geltend gemacht, sie sei in ihrem Recht auf Geheimhaltung verletzt worden, weil die Beschwerdeführerin u.a. die Daten der mitbeteiligten Partei zu den „Sinus-Geo-Milieus“ unrechtmäßig verarbeitet und somit gegen Art. 5, 6 und 9 DSGVO verstoßen habe.

Die Beschwerdeführerin betreibt u.a. seit 03.04.2001 das Gewerbe „Adressenverlag und Direktwerbeunternehmen“ und eine Datenanwendung „DAM-Zielgruppenadressen“, um werbetreibenden Kunden personenbezogene Daten für zielgerichtete Marketingmaßnahmen entgeltlich zur Verfügung zu stellen.

In diesem Zusammenhang verarbeitete die Beschwerdeführerin Marketingklassifikationen, sogenannte „Sinus-Geo-Milieus“, bei welchen eine auf einer Wahrscheinlichkeitsrechnung basierende Einstufung nach den „Geo-Milieus“ der XXXX , welche diese auf den geografischen Raum umlegt, erfolgt. Entwickelt wurden diese Wahrscheinlichkeitsdaten durch eine Verknüpfung repräsentativer Befragungsdaten aus der Sinus-Milieuforschung mit Adressdaten. Mit den aus sozialwissenschaftlichen Umfragen gewonnen Daten wird eine inhaltlich und räumlich repräsentative Analysestichprobe erstellt. Diese Stichprobe wird mit XXXX Daten und Informationen aus amtlichen Quellen angereichert. Für diese Analyse werden durchschnittlich sechs Haushalte zu einer Mikrozelle zusammengefasst. Mittels mathematisch-statistischer Verfahren werden die Wahrscheinlichkeitswerte dann für an bestimmten Adressen befindlichen Gebäuden errechnet und diesen zugeordnet und für jeden Haushalt in Österreich die statistische Wahrscheinlichkeit berechnet, mit der die einzelnen „Sinus-Milieus“ vorkommen, und zusätzlich das dominante „Sinus-Geo-Milieu“ bestimmt.

Die „Sinus-Geo-Milieus“ bilden Wahrscheinlichkeitsaussagen im positiven und negativen Sinne über eine bestimmte Lebensauffassung bzw. Lebensweise, welche eine lange Liste von Alltagsbereichen, wie Gesundheit, Tradition, Politik, Status, Mode, Geschmack, Familie, Technologie, Neugierde, Sport, Veränderungsbereitschaft, Vorlieben, Religion, Kunst und Kultur, Bildung, Ethik, Ästhetik, Ziele, Interessen, Einkommen und Geld sowie Ängste und Befürchtungen umfasst. Es geht um die Ermittlung grundlegender Wertorientierungen und Einstellungen zu Arbeit und Freizeit, zu Familie und Partnerschaft, Konsum und Politik. Diese werden in Kontext mit demografischen Eigenschaften wie Bildung, Beruf oder Einkommen gestellt.

Die „Sinus-Geo-Milieus“ gliedern die Gesellschaft im Wesentlichen in drei Schichten: Oberschicht/obere Mittelschicht, Mittlere Mittelschicht und Untere Mittelschicht/Unterschicht. Den Gesellschaftsschichten werden in Österreich die Milieus „Konservative“, „Traditionelle“, „Etablierte“, „Performer“, „Postmaterielle“, „Digitale Individualisten“, „Bürgerliche Mitte“, „Adaptiv Pragmatische“, „Konsumorientierte Basis“ und „Hedonisten“ (teilweise überlappend) zugeordnet.

Die einzelnen „Sinus-Geo-Milieus“ werden für Österreich von der XXXX ges.m.b.H bzw. der XXXX GmbH wie folgt beschrieben:

„Traditionelle Milieus“

Konservative: Leitmilieu im traditionellen Bereich mit einer hohen Verantwortungsethik: Stark von christlichen Wertvorstellungen geprägt, hohe Wertschätzung von Bildung und Kultur, kritisch gegenüber aktuellen gesellschaftlichen Entwicklungen

Traditionelle: Das auf Sicherheit, Ordnung und Stabilität fokussierte Milieu: Verwurzelt in der alten kleinbürgerlichen Welt, in der traditionellen Arbeiterkultur und im traditionell ländlichen Milieu

„Gehobene Milieus“

Etablierte: Die leistungsorientierte Elite mit starkem Traditionsbewusstsein: Deutliche Exklusivitäts- und Führungsansprüche, hohes Standesbewusstsein und ausgeprägtes Verantwortungsethos

Performer: Die flexible und global orientierte moderne Elite: Effizienz, Eigenverantwortung und individueller Erfolg haben oberste Priorität; Hohe Business- und IT-Kompetenz

Postmaterielle: Weltoffene Gesellschaftskritiker: Gebildetes, vielfältig kulturinteressiertes Milieu; kosmopolitisch orientiert, aber kritisch gegenüber Globalisierung; sozial engagiert

Digitale Individualisten: Die individualistische und vernetzte Lifestyle-Avantgarde: Mental und geographisch mobil, online und offline vernetzt, ständig auf der Suche nach neuen Erfahrungen

„Die neue Mitte“

Bürgerliche Mitte: Der leistungs- und anpassungsbereite Mainstream: Streben nach beruflicher und sozialer Etablierung, gesicherten und harmonischen Verhältnissen, Halt und Orientierung, Ruhe und Entschleunigung

Adaptiv-Pragmatische: Die neue flexible Mitte: Ausgeprägter Lebenspragmatismus, Streben nach Verankerung, Zugehörigkeit, Sicherheit; Grundsätzliche Leistungsbereitschaft, aber auch Wunsch nach Spaß und Unterhaltung

„Moderne Unterschicht“

Konsumorientierte Basis: Die um Teilhabe bemühte, konsumorientierte Unterschicht: Ausgeprägte Gefühle der Benachteiligung, Zukunftsängste und Ressentiments; bemüht, Anschluss zu halten an den Lebensstil und die Konsumstandards der Mitte

Hedonisten: Die momentbezogene, erlebnishungrige untere Mitte: Leben im Hier und Jetzt, Suche nach Spaß und Unterhaltung; Verweigerung von Konventionen der Mehrheitsgesellschaft

Die Beschwerdeführerin bezog die „Sinus-Geo-Milieus“ im Rahmen ihrer Gewerbeberechtigung als Adressverlag vom Datenlieferanten XXXX und verarbeitete sie in ihren Datenbanken. Die Verwendung der „Sinus-Geo-Milieus“ hatte den Zweck, Streuverluste in der Werbung zu verringern. Die Beschwerdeführerin hat für die Verarbeitung der „Sinus-Geo-Milieus“ keine Zustimmung von den Personen eingeholt, bei denen Wahrscheinlichkeitswerte zugeordnet wurden.

Der Person der mitbeteiligten Partei wurden folgende Wahrscheinlichkeitswerte zu den einzelnen „Sinus-Geo-Milieus“ zugeordnet:

Dominantes Geo Milieu: Performer

Wahrscheinlichkeitswert Konservative: 0,91%

Wahrscheinlichkeitswert Traditionelle: 0,43%

Wahrscheinlichkeitswert Etablierte: 9,03%

Wahrscheinlichkeitswert Performer: 16,53%

Wahrscheinlichkeitswert Postmaterielle: 11,39%

Wahrscheinlichkeitswert Digitale Individualisten: 19,33%

Wahrscheinlichkeitswert Bürgerliche Mitte: 10,01%

Wahrscheinlichkeitswert Adaptiv Pragmatische: 16,49%

Wahrscheinlichkeitswert Konsumorientierte Basis: 4,2%

Wahrscheinlichkeitswert Hedonisten: 11,67%

Sämtliche „Sinus-Geo-Milieus“ sind spätestens zum 13.11.2019 aus den Marketingdatenbanken der Beschwerdeführerin nicht wiederherstellbar, zur Gänze physisch gelöscht worden. Die Beschwerdeführerin verarbeitet spätestens seit dem 13.11.2019 sämtliche „Sinus-Geo-Milieus“ nicht mehr für den Adresshandel bzw. Marketingzwecke.

Fest steht, dass die Beschwerdeführerin weder schriftlich noch konkludent eine Einwilligung der mitbeteiligten Partei zur vorgenommenen Verarbeitung der personenbezogenen Daten eingeholt hat.

Als maßgeblich ist folglich festzustellen, dass die Beschwerdeführerin die mitbeteiligte Partei durch die Verarbeitung (hier: Speicherung und Verwendung) von deren personenbezogenen Daten betreffend „Sinus-Geo-Milieus“ in ihrem Recht auf Geheimhaltung verletzt hat.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt.

Für den zuständigen Senat ist unstrittig, dass die personenbezogenen Daten der mitbeteiligten Partei ohne deren Einwilligung von der Beschwerdeführerin in Rahmen der durchgeführten Marketinganalyse betreffend „Sinus-Geo-Milieus“ verarbeitet wurden.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg. cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Gegenständlich liegt somit Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.3. Zu A)

3.3.1. Die maßgeblichen Bestimmungen der DSGVO

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3.-6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8.-10. (…)

11. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;

12.- 26. (…)

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderliche, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstatten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitung gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welche Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogen Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

Artikel 9

Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,

b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,

c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,

d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,

e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,

h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,

i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder

j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.

(3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

(4) Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.

3.3.2. Die maßgeblichen Bestimmungen des DSG

Artikel 1

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(…)

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.

3.3.3. Die maßgeblichen Bestimmungen der Gewerbeordnung 1994

2. Freie Gewerbe

Adressverlage und Direktmarketingunternehmen

§ 151. (1) Auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden sind die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 199 vom 4.5.2016 S 1, (im Folgenden: DSGVO), sowie des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I. Nr. 165/1999, in der Fassung des Bundesgesetzes BGBl. I. Nr. 120/2017, anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

(2) Die Tätigkeit als Mittler zwischen Inhabern und Nutzern von Kunden- und Interessentendateisystemen (Listbroking) ist den in Abs. 1 genannten Gewerbetreibenden vorbehalten.

(3) Die in Abs. 1 genannten Gewerbetreibenden sind berechtigt, für ihre Tätigkeiten gemäß Abs. 1 und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für

1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder

2. das Listbroking

erforderlich und gemäß Abs. 4 und 5 zulässig ist.

(4) Soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO betroffen sind, dürfen diese von den in Abs. 1 genannten Gewerbetreibenden verarbeitet werden, sofern ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung dieser Daten für Marketingzwecke Dritter vorliegt. Die Ermittlung und Weiterverarbeitung besonderer Kategorien personenbezogener Daten aus Kunden- und Interessentendateisystemen Dritter auf Grund eines solchen Einverständnisses ist nur im Umfang des Abs. 5 und nur soweit zulässig, als der Inhaber des Dateisystems gegenüber dem Gewerbetreibenden nach Abs. 1 schriftlich unbedenklich erklärt hat, dass die betroffenen Personen mit der Verarbeitung ihrer Daten für Marketingzwecke Dritter ausdrücklich einverstanden waren. Strafrechtlich relevante Daten im Sinne des Art. 10 DSGVO dürfen von Gewerbetreibenden nach Abs. 1 für Marketingzwecke nur gemäß § 4 Abs. 3 DSG oder bei Vorliegen einer ausdrücklichen Einwilligung verarbeitet werden.

(5) Soweit keine Einwilligung der betroffenen Personen gemäß Art. 4 Z 11 DSGVO zur Übermittlung ihrer Daten für Marketingzwecke Dritter vorliegt, dürfen die in Abs. 1 genannten Gewerbetreibenden aus einem Kunden- und Interessentendateisystem eines Dritten nur die Daten

1. Namen,

2. Geschlecht,

3. Titel,

4. akademischer Grad,

5. Anschrift,

6. Geburtsdatum,

7. Berufs-, Branchen- oder Geschäftsbezeichnung und

8. Zugehörigkeit der betroffenen Person zu diesem Kunden- und Interessentendateisystem

ermitteln. Voraussetzung hiefür ist – soweit nicht die strengeren Bestimmungen des Abs. 4 Anwendung finden –, dass der Inhaber des Dateisystems dem Gewerbetreibenden nach Abs. 1 gegenüber schriftlich unbedenklich erklärt hat, dass die betroffenen Personen in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen, und dass keine Untersagung erfolgt ist.

(6) Gewerbetreibende nach Abs. 1 dürfen für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte nur dann übermitteln, wenn diese unbedenklich erklären, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden werden.

(7) Gewerbetreibende nach Abs. 1 haben Aussendungen im Zuge von Marketingaktionen, die sie mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten personenbezogenen Daten durchführen, so zu gestalten, dass durch entsprechende Kennzeichnung des ausgesendeten Werbematerials die Identität der Verantwortlichen jener Dateisysteme, mit deren Daten die Werbeaussendung adressiert wurde (Ursprungsdateisysteme), nachvollziehbar ist; soweit Gewerbetreibende nach Abs. 1 an Werbeaussendungen nur durch Zurverfügungstellung oder Vermittlung von Daten mitwirken, haben sie durch entsprechenden Hinweis an die für die Werbeaussendung Verantwortlichen darauf hinzuwirken, dass die Identität der Verantwortlichen der benutzten Ursprungsdateisysteme nachvollziehbar ist. Für Gewerbetreibende nach Abs. 1 gilt, wenn sie die Aussendung mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten Daten selbst durchgeführt haben, – unbeschadet ihrer allfälligen Auskunftsverpflichtungen als Verantwortliche –, Art. 15 DSGVO mit der Maßgabe, dass sie auf Grund eines innerhalb von drei Monaten nach der Werbeaussendung gestellten Auskunftsbegehrens anhand der von der betroffenen Person zur Verfügung gestellten Informationen über die Werbeaussendung zur Auskunftserteilung nur über die Verantwortlichen der Ursprungsdateisysteme verpflichtet sind; haben sie an der Aussendung nur durch Zurverfügungstellung oder Vermittlung von Daten mitgewirkt, so haben sie nach Möglichkeit zur Auffindung der Verantwortlichen der Ursprungsdateisysteme beizutragen. Bei nicht ordnungsgemäßer Erfüllung der Kennzeichnungspflicht durch Gewerbetreibende nach Abs. 1 genügt die Stellung eines fristgerechten Auskunftsbegehrens an den Werbenden zur Wahrung des Auskunftsrechts gegenüber dem Gewerbetreibenden nach Abs. 1.

(8) Stellt die betroffene Person an einen Gewerbetreibenden nach Abs. 1 ein Begehren auf Löschung von Daten, die dieser für Zwecke von Marketingaktionen über sie gespeichert hat, so hat dieser dem Begehren der betroffenen Person unverzüglich, in jedem Fall innerhalb von einem Monat kostenlos zu entsprechen (Art. 12 Abs. 3 DSGVO). Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Soweit die betroffene Person – nach entsprechender Information über die möglichen Folgen einer physischen Löschung ihrer Daten – auf der physischen Löschung ihrer Daten nicht besteht, hat die Löschung in Form einer Sperrung der Verwendung dieser Daten für Marketingaussendungen zu erfolgen.

(9) Der Fachverband Werbung und Marktkommunikation der Wirtschaftskammer Österreich hat eine Liste zu führen, in welcher Personen kostenlos einzutragen sind, die die Zustellung von Werbematerial für sich ausschließen wollen. Die Liste ist mindestens monatlich zu aktualisieren und den Gewerbetreibenden nach Abs. 1 zur Verfügung zu stellen. Gewerbetreibende nach Abs. 1 dürfen an die in dieser Liste eingetragenen Personen keine adressierten Werbemittel versenden oder verteilen und deren Daten auch nicht vermitteln. Die in der Liste enthaltenen Daten dürfen ausschließlich zum Zweck des Unterbindens der Zusendung von Werbemitteln verwendet werden.

(10) Inhaber von Kunden- und Interessentendateisystemen dürfen personenbezogene Daten aus diesen Dateisystemen an Gewerbetreibende nach Abs. 1 für Marketingzwecke Dritter nur übermitteln und insbesondere auch für Listbroking nur zur Verfügung stellen, wenn sie die betroffenen Personen in geeigneter Weise darüber informiert haben, dass sie die Verarbeitung dieser Daten für Marketingzwecke Dritter untersagen können, und wenn keine Untersagung erfolgt ist; besondere Kategorien personenbezogener Daten und strafrechtlich relevante Daten dürfen unter den in Abs. 4 genannten Voraussetzungen an Gewerbetreibende nach Abs. 1 übermittelt und für Listbroking zur Verfügung gestellt werden. Auf die Möglichkeit der Untersagung ist ausdrücklich und schriftlich hinzuweisen, wenn Daten schriftlich von der betroffenen Person ermittelt werden. Die Untersagung der Übermittlung hat auf ein Vertragsverhältnis zwischen der betroffenen Person und dem Inhaber des Kunden- und Interessentendateisystems keinen Einfluss.

(11) Das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO kann gegenüber den in Abs. 1 genannten Gewerbetreibenden auch durch Eintragung in die im Abs. 9 bezeichnete Liste erfolgen.

3.3.4. Die – soweit relevanten – Erwägungsgründe zu Art. 9 DSGVO lauten:

„(46) Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person oder einer anderen natürlichen Person zu schützen. […] Einige Arten der Verarbeitung können sowohl wichtigen Gründen des öffentlichen Interesses als auch lebenswichtigen Interessen der betroffenen Person dienen; so kann beispielsweise die Verarbeitung für humanitäre Zwecke einschließlich der Überwachung von Epidemien und deren Ausbreitung oder in humanitären Notfällen insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen erforderlich sein.

(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. […] Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.

(51) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Diese personenbezogenen Daten sollten personenbezogene Daten umfassen, aus denen die rassische oder ethnische Herkunft hervorgeht, wobei die Verwendung des Begriffs ‚rassische Herkunft‘ in dieser Verordnung nicht bedeutet, dass die Union Theorien, mit denen versucht wird, die Existenz verschiedener menschlicher Rassen zu belegen, gutheißt. Die Verarbeitung von Lichtbildern sollte nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden, da Lichtbilder nur dann von der Definition des Begriffs ‚biometrische Daten‘ erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Derartige personenbezogene Daten sollten nicht verarbeitet werden, es sei denn, die Verarbeitung ist in den in dieser Verordnung dargelegten besonderen Fällen zulässig, wobei zu berücksichtigen ist, dass im Recht der Mitgliedstaaten besondere Datenschutzbestimmungen festgelegt sein können, um die Anwendung der Bestimmungen dieser Verordnung anzupassen, damit die Einhaltung einer rechtlichen Verpflichtung oder die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, möglich ist. Zusätzlich zu den speziellen Anforderungen an eine derartige Verarbeitung sollten die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten. Ausnahmen von dem allgemeinen Verbot der Verarbeitung dieser besonderen Kategorien personenbezogener Daten sollten ausdrücklich vorgesehen werden, unter anderem bei ausdrücklicher Einwilligung der betroffenen Person oder bei bestimmten Notwendigkeiten, insbesondere wenn die Verarbeitung im Rahmen rechtmäßiger Tätigkeiten bestimmter Vereinigungen oder Stiftungen vorgenommen wird, die sich für die Ausübung von Grundfreiheiten einsetzen.

(52) Ausnahmen vom Verbot der Verarbeitung besonderer Kategorien von personenbezogenen Daten sollten auch erlaubt sein, wenn sie im Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen sind, und — vorbehaltlich angemessener Garantien zum Schutz der personenbezogenen Daten und anderer Grundrechte — wenn dies durch das öffentliche Interesse gerechtfertigt ist, insbesondere für die Verarbeitung von personenbezogenen Daten auf dem Gebiet des Arbeitsrechts und des Rechts der sozialen Sicherheit einschließlich Renten und zwecks Sicherstellung und Überwachung der Gesundheit und Gesundheitswarnungen, Prävention oder Kontrolle ansteckender Krankheiten und anderer schwerwiegender Gesundheitsgefahren. Eine solche Ausnahme kann zu gesundheitlichen Zwecken gemacht werden, wie der Gewährleistung der öffentlichen Gesundheit und der Verwaltung von Leistungen der Gesundheitsversorgung, insbesondere wenn dadurch die Qualität und Wirtschaftlichkeit der Verfahren zur Abrechnung von Leistungen in den sozialen Krankenversicherungssystemen sichergestellt werden soll, oder wenn die Verarbeitung im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken dient. Die Verarbeitung solcher personenbezogenen Daten sollte zudem ausnahmsweise erlaubt sein, wenn sie erforderlich ist, um rechtliche Ansprüche, sei es in einem Gerichtsverfahren oder in einem Verwaltungsverfahren oder einem außergerichtlichen Verfahren, geltend zu machen, auszuüben oder zu verteidigen.

(55) Auch die Verarbeitung personenbezogener Daten durch staatliche Stellen zu verfassungsrechtlich oder völkerrechtlich verankerten Zielen von staatlich anerkannten Religionsgemeinschaften erfolgt aus Gründen des öffentlichen Interesses.“

3.3.5. Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Unter schutzwürdigen personenbezogenen Daten sind in diesem Zusammenhang nicht nur unschwer als personenbezogene erkennbare Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen, sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt als auch manuell verarbeitete Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig.

Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß § 1 Abs. 1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen.

Die mitbeteiligte Partei hat in der gegenständlichen Datenschutzbeschwerde geltend gemacht, sie sei in ihrem Recht auf Geheimhaltung personenbezogener Daten verletzt worden, weil die Beschwerdeführerin die Daten der mitbeteiligten Partei betreffend „Sinus-Geo-Milieus“ unrechtmäßig verarbeitet habe.

Die belangte Behörde sprach daraufhin im Spruchteil 1. b) des o.a. Bescheides aus, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem sie Daten der mitbeteiligten Partei betreffend „Sinus-Geo-Milieus“, somit Daten besonderer Kategorie iSd Art. 9 DSGVO, bis zum 13.11.2019 ohne Einwilligung verarbeitet hat und zwar in konkret aufgezählten Kategorien.

In ihrer dagegen erhobenen Beschwerde verneint die Beschwerdeführerin eine Feststellungskompetenz der belangten Behörde bzw. des Bundesverwaltungsgerichtes mit der Begründung, aus Art. 77 DSGVO und § 24 DSG sei kein eigenständiges Recht auf Feststellung vergangener Rechtsverletzungen ableitbar.

Den Einwänden der Beschwerdeführerin ist aus folgenden Gründen nicht zu folgen:

Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 14.12.2021, Ro 2020/04/0032, ausdrücklich festgehalten, dass im Datenschutzrecht (bei Antragsverfahren) die Möglichkeit der rechtsverbindlichen Feststellung einer datenschutzrechtlichen Rechtsverletzung gemäß § 24 DSG besteht. Er hat diesbezüglich ausgeführt, dass § 24 DSG einer in ihrem persönlichen Grundrecht verletzten Person die Möglichkeit einräume, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen. Der Feststellungsanspruch betreffe die Rechtsposition einer konkreten in ihren Rechten verletzten Person und sei dogmatisch in seinem Rechtskraftumfang auf diese Rechtsverletzung beschränkt. Basierend auf dieser Feststellung solle es der betroffenen Person möglich sein, weitere individuelle Ansprüche – etwa Schadenersatzansprüche – zu verfolgen.

Inwiefern der Zeitpunkt der Einbringung der Datenschutzbeschwerde (vor oder nach Löschung der Daten zu den „Sinus-Geo-Milieus“) zu einer anderen rechtlichen Beurteilung führen sollte, wurde von der Beschwerdeführerin nicht konkret vorgebracht und ist auch sonst nicht ersichtlich geworden. Auch das Vorbringen, dass die Beschwerdeführerin sämtlichen Betroffenen nunmehr anbiete, eine individualisierte, als vollstreckbarer Notariatsakt ausgestellte, Unterlassungs- und Verpflichtungserklärung abzugeben, in der sie zusichere, von der Verarbeitung der Marketingklassifikationen „Sinus-Geo-Milieus“ […] Abstand zu nehmen, vermag der Beschwerde nicht zum Erfolg verhelfen, zumal die Beschwerdeführerin auch hier ein konkretes Vorbringen vermissen lässt, weshalb dieser Umstand eine andere rechtliche Beurteilung erforderlich machen würde, und die Beschwerdeführerin darüber hinaus weder behauptet noch bescheinigt hat, dass gegenüber der mitbeteiligten Partei eine solche Unterlassungs- und Verpflichtungserklärung abgegeben worden wäre.

Nach dem soeben Ausgeführten hat die mitbeteiligte Partei zudem einen Rechtsanspruch auf Feststellung der Verletzung im Recht auf Geheimhaltung in der Vergangenheit, sodass die belangte Behörde bzw. das Bundesverwaltungsgericht auch darüber abzusprechen hat, selbst wenn die verfahrensgegenständlichen Daten betreffend die „Sinus-Geo-Milieus“ bereits durch die Beschwerdeführerin gelöscht wurden.

Die Beschwerde wendet sich weiters gegen die Begründung der belangten Behörde, dass die Verarbeitung von Daten zu den „Sinus-Geo-Milieus“ durch die Beschwerdeführerin als Verarbeitung personenbezogener Daten, aus denen die weltanschauliche Überzeugung hervorgehe, zu qualifizieren sei, die mangels Einwilligung der mitbeteiligten Partei bzw. Vorliegens eines Erlaubnistatbestandes rechtswidrig gewesen sei.

Die Beschwerdeführerin hält dem im Wesentlichen entgegen, dass Art. 9 DSGVO nicht anwendbar sei, weil es sich bei den „Sinus-Geo-Milieus“ um Wahrscheinlichkeitswerte gehandelt habe, die weder personenbezogene Daten noch Informationen seien, aus denen weltanschauliche Überzeugungen hervorgehen würden.

Dem kann aus nachstehenden Gründen nicht beigetreten werden. Entgegen der Ansicht der Beschwerdeführerin wurden die Daten zu den „Sinus-Geo-Milieus“ von der belangten Behörde nämlich zu Recht als „personenbezogene Daten“ im Sinne des Art. 4 Z 1 DSGVO eingestuft und zwar auf folgenden Erwägungen:

Der Begriff der „personenbezogenen Daten“ umfasst alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt.

Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten oder bestimmbaren Person verknüpft ist.

Wie der Verwaltungsgerichtshof in seiner Entscheidung vom 14.12.2021, Ro 2021/04/0007, betreffend die Datenart „Parteiaffinitäten“ ausgeführt hat, definiert Art. 4 Z 1 DSGVO personenbezogene Daten als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Nach dieser Bestimmung wird als „identifizierbar“ eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Der Begriff ist weit zu verstehen. Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf, ebenso persönliche Überzeugungen, Vorlieben, Verhaltensweisen oder Einstellungen. Damit umfasst der Begriff der „Information“ nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa „X ist ein zuverlässiger Mitarbeiter“. In diesem Sinne sind Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend sind; der Wahrheitsgehalt ist für die Betrachtung unerheblich. Wahrscheinlichkeitsangaben haben Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen (vgl. VwGH 14.12.2021, Ro 2021/04/0007).

Die Beschwerdeführerin verarbeitete Daten, die die Person der mitbeteiligten Partei mit der Wahrscheinlichkeit, mit der diese eine bestimmte Lebensauffassung bzw. Lebensweise hat und damit mit der Wahrscheinlichkeit, mit der sie einem bestimmten „Sinus-Geo-Milieu“ angehört, verknüpften. Dazu zählten unter anderem grundlegende Wertorientierungen und Einstellungen zu Arbeit und Freizeit, zu Familie und Partnerschaft, Konsum und Politik. Diese werden in Kontext mit demografischen Eigenschaften wie Bildung, Beruf oder Einkommen gestellt. Auf diese Weise wird das Interesse der mitbeteiligten Partei an bestimmter Werbung ermittelt. Die Beschwerdeführerin nutzte diese Daten insbesondere dazu, Streuverluste in der Werbung gering zu halten, d.h. Personen wie die mitbeteiligte Partei zielgerichtet bewerben zu können. „Zielgerichtet bewerben zu können“ bedeutet in diesem Zusammenhang auch, dass die mitbeteiligte Partei keine Werbung erhalten soll, die zugeschnitten ist auf eine Personengruppe eines/einer bestimmten Milieus bzw. Kategorie, in der sie einen geringen Wahrscheinlichkeitswert aufweist.

Die Verknüpfung aller abgefragten „Sinus-Geo-Milieus“ mit den personenbezogenen Daten einer einzelnen Person erfüllt dabei das Inhaltselement. So enthalten, auch wenn die tatsächliche Lebensauffassung bzw. tatsächliche weltanschauliche Überzeugung der mitbeteiligten Partei nicht bekannt ist, die „Sinus-Geo-Milieus“ – entgegen den Ausführungen der Beschwerdeführerin – unmittelbare Aussagen über die konkrete Person der mitbeteiligten Partei, nämlich, mit welcher Wahrscheinlichkeit sie einem der zehn gebildeten „Milieus“ zugehörig ist oder nicht und daran anknüpfend, welche Art von Werbung für die mitbeteiligten Partei interessant sein könnte oder nicht. Diese Aussagen sind, auch wenn sie auf Grund der Ermittlungsmethode einer statistischen Schwankungsbreite unterliegen, nicht völlig zufällig, sondern leiten sich aus Korrelationen ab, die im Zusammenhang mit dem geografischen Raum bzw. Wohnadressen gewonnen worden sind. Andernfalls wären sie für den Zweck, Streuverluste in der Werbung zu verhindern, ungeeignet. Es handelt sich um statistisch fundierte Einschätzungen der Person der mitbeteiligten Partei in Bezug auf seine Lebensauffassung bzw. Lebensweise, welche eine lange Liste von Alltagsbereichen, wie Gesundheit, Tradition, Politik, Status, Mode, Geschmack, Familie, Technologie, Neugierde, Sport, Veränderungsbereitschaft, Vorlieben, Religion, Kunst und Kultur, Bildung, Ethik, Ästhetik, Ziele, Interessen, Einkommen und Geld sowie Ängste und Befürchtungen, umfasst und ihr Interesse an bestimmter Werbung, das an diese Faktoren anknüpft. Entgegen den Ausführungen der Beschwerdeführerin hängt vor diesem Hintergrund die Frage, ob das Inhaltselement erfüllt bzw. ein personenbezogenes Datum vorliegt, nicht davon ab, ob die Einschätzung der betroffenen Person (auch) auf Parametern gründet, die im Verhalten der einzuschätzenden Person gelegen sind.

Auch das „Zweckelement“ ist erfüllt, denn die Informationen aus den „Sinus-Geo-Milieus“ sollten und konnten dazu verwendet werden, Streuverluste in der Werbung zu vermeiden, d.h. Personen wie die mitbeteiligte Partei auf bestimmte Weise zu behandeln, die je nach den ermittelten Wahrscheinlichkeiten für die einzelnen „Milieus“ bestimmte Werbung erhalten oder nicht erhalten.

Damit ist auch das „Auswirkungserfordernis“ gegeben. Die betroffenen Personen könnten je nach den ihnen jeweils zugeordneten „Milieus“ anders behandelt werden, indem sie bestimmte Werbung erhalten oder nicht erhalten.

Daher enthielten die der mitbeteiligten Partei zugeordneten Daten betreffend die „Sinus-Geo-Milieus“ Wahrscheinlichkeitsaussagen über ihre Vorlieben oder Abneigungen.

Der Ansicht der Beschwerdeführerin, dass die „Sinus-Geo-Milieus“ anonyme Gruppendaten (auf Gebäudeebene) seien, die keine Aussagen über Einzelne in sich tragen würden und nicht direkt den Betroffenen zugeordnet werden könnten, sondern sich diese Zuordnungen aus zwei verschiedenen Dateien, welche über eine sogenannte „Arvato-ID“ aufgeschlüsselt werden könnten, ergeben würden, ist Folgendes entgegen zu halten:

Verfahrensgegenständlich ist die Anwendung der – nicht personenbezogenen – Zusammenhänge zwischen geografischen Elementen bzw. Gebäudeadressen und dem Interesse/Desinteresse an bestimmter Werbung auf die mitbeteiligte Partei und die Verknüpfung der sich ergebenden „Sinus-Geo-Milieus“ in konkreten Prozentsätzen oder dem dominanten „Sinus-Geo-Milieu“ mit dieser. Es reicht nach der Rechtsprechung des EuGH für die Annahme eines personenbezogenen Datums aus, wenn zwischen der betroffenen Person und der Information eine qualifizierte Verknüpfung besteht (EuGH 22.06.2017, C-434/16, NOWAK Rz 33). In welcher „Richtung“ die Verknüpfung erfolgt, ob also die Person der Information zugeordnet oder die Information der Person zugeordnet wird, ist dabei ohne Bedeutung.

Es kann – entgegen dem Vorbringen der Beschwerdeführerin – auch dahingestellt bleiben, ob die erstmalige Verknüpfung dieser Daten bei ihr selbst oder der XXXX erfolgt ist, weil selbst unter der Annahme, dass die Beschwerdeführerin die Daten von der XXXX rechtmäßig bezogen hat, dies nichts daran ändert, dass die Beschwerdeführerin diese Daten in ihren Systemen iSd Art. 4 Z 2 DSGVO verarbeitet hat und daher von ihr auch die Grundsätze in Bezug auf die (Rechtmäßigkeit) der Verarbeitung personenbezogener Daten iSd Art. 5 und 6 DSGVO einzuhalten waren. Wenn sich die Beschwerdeführerin diesbezüglich auf die genehmigten Verhaltensregeln iSd Art. 40 DSGVO beruft, wonach die Verarbeitung rechtmäßig sei, weil die Beschwerdeführerin die „Sinus-Geo-Milieus“ rechtmäßig – den Verhaltensregeln entsprechend – erhoben habe, ist sie darauf hinzuweisen, dass solche genehmigten Verhaltensregeln ein Instrument der Selbstbindung sind und die Rechte der betroffenen Personen aus der DSGVO nicht beschneiden können („code of conduct“; vgl. dazu etwa Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 40 DSGVO Rz 1-4 [Stand 1.12.2020, rdb.at]). Die Einhaltung der genehmigten Verhaltensregeln kann nur dazu dienen, die Erfüllung von Pflichten nach der DSGVO nachzuweisen, jedoch eine fehlende Einwilligung einer betroffenen Person nicht ersetzen. Ebenso irrelevant ist der Umstand, dass die belangte Behörde die Verarbeitung der „Sinus-Geo-Milieus“ bei der XXXX für rechtmäßig empfunden hat und daher ihr amtswegiges Prüfverfahren gegen diese formlos einstellt hat. Eine Bindungswirkung in Bezug auf den vorliegenden Fall ergibt sich daraus jedenfalls nicht.

Auch dem Vorbringen der Beschwerdeführerin, dass personalisierte Werbung mit dem Anbringen von Werbetafeln vergleichbar sei, kann nicht gefolgt werden. Werbetafeln werden nicht individuell für einzelne Personen aufgestellt und sind allein schon deshalb nicht mit der Zustellung personalisierter Werbung vergleichbar. Es mag zwar sein, dass sich die von der Beschwerdeführerin verarbeiteten „Sinus-Geo-Milieus“ auch für das Aufstellen von Werbetafeln eignen, jedoch ist es für das – von der Beschwerdeführerin angezweifelte – „Zweckelement“ bzw. „Auswirkungserfordernis“ bereits ausreichend, wenn sich Daten dazu eignen, Personen zu beurteilen, in einer bestimmten Weise zu behandeln, oder ihre Stellung bzw. ihr Verhalten zu beeinflussen und sich diese auf deren Rechte und Interessen auswirken können. Da dies, wie bereits ausgeführt, auf die „Sinus-Geo-Milieus“ zutrifft, ist die Beurteilung von Werbetafeln für den gegenständlichen Fall irrelevant.

Entgegen der Ansicht der Beschwerdeführerin gelangt im vorliegenden Fall auch das in Art. 9 Abs. 1 DSGVO normierte Verarbeitungsverbot zur Anwendung und zwar aus folgenden Erwägungen:

Das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO gilt für besondere Kategorien von Daten, zu denen u.a. personenbezogene Daten gehören, aus denen religiöse oder weltanschauliche Überzeugungen hervorgehen. Strittig ist, ob durch die Daten, dass eine Person mit einer gewissen Wahrscheinlichkeit einem bestimmten „Sinus-Geo-Milieu“ angehört bzw. sich für bestimmte Werbung interessiert oder nicht, die weltanschaulichen Überzeugungen dieser Person im Sinne des Art. 9 Abs. 1 DSGVO ersichtlich werden.

Ob aus personenbezogenen Daten religiöse oder weltanschauliche Überzeugungen der betroffenen Person mit hinreichender Wahrscheinlichkeit hervorgehen, ist aus dem Umständen des Einzelfalls unter Berücksichtigung des Schutzzwecks der Norm zu beurteilen (in diesem Sinne auch Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art. 9 Rz 22).

Art. 9 DSGVO will vor den Gefahren schützen, die mit bestimmten Arten von personenbezogenen Daten üblicherweise verbunden sind.

Anzuknüpfen ist an der abstrakten Eignung bestimmter personenbezogener Daten, besonders nachteilige Folgen für betroffene Personen – im vorliegenden Fall die mitbeteiligte Partei – auslösen zu können.

Welche Arten von personenbezogenen Daten das sind, bestimmt Art. 9 Abs. 1 DSGVO. Es muss sich u.a. um personenbezogene Daten handeln, aus denen „religiöse oder weltanschauliche Überzeugungen“ der betroffenen Person hervorgehen.

Da bereits eine vermutete „religiöse oder weltanschauliche Überzeugung“ jene negativen Folgen für die betroffene Person auslösen kann, vor der Art. 9 DSGVO schützen möchte, ist es für die Annahme einer religiösen oder weltanschaulichen Überzeugung ausreichend, wenn aus der Information eine solche Meinung mit hinreichender Wahrscheinlichkeit hervorgeht (Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art. 9 Rz 21). Gewissheit ist nicht erforderlich. Irrelevant ist auch, ob die Merkmalsangaben inhaltlich zutreffen (Weichert in Kühling/Buchner [Hrsg], DSGVO³ Art. 9 Rz 24).

Aus dem Schutzzweck des Art. 9 DSGVO, d.h. betroffene Personen vor jedweder Diskriminierung auf Grund einer (unterstellten oder nicht unterstellten) religiösen oder weltanschaulichen Überzeugung zu schützen, folgt im vorliegenden Fall die hinreichende Wahrscheinlichkeit des Hervorgehens der weltanschaulichen Überzeugung.

Im gegenständlichen Fall wurde die Person der mitbeteiligten Partei mit den Wahrscheinlichkeiten verknüpft, Interesse bzw. Desinteresse an bestimmter Werbung im Zusammenhang mit den ihr zugeordneten Milieus zu haben. Zwischen der Lebensauffassung bzw. Lebensweise der mitbeteiligten Partei, einem diesbezüglichen Interesse bzw. Desinteresse an bestimmter Werbung und damit an einer religiösen oder weltanschaulichen Überzeugung besteht ein relevanter Zusammenhang:

Eine exakte Definition des Begriffs der Weltanschauung ist schwierig, jedoch haben Judikatur und Lehre zahlreiche Annäherungen und Abgrenzungen herausgearbeitet. Der Begriff der Weltanschauung bezeichnet demnach die Gesamtheit von Anschauungen, die die Welt und die Stellung des Menschen in der Welt betreffen. Laut dem EGMR bedarf eine Weltanschauung einer zusammenhängenden Sichtweise grundsätzlicher Lebensfragen, wie dies etwa beim Pazifismus (EGMR 16.05.1977, 7050/75, Arrowsmith) oder einer gewaltfreien Erziehung (EGMR 25.02.1982, 7511/76, 7743/76, Campbell und Cosans) der Fall ist (siehe hierzu auch Budischowsky in Jaeger/Stöger [Hrsg], EUV/AEUV Art. 17 AEUV Rz 13). Nach der Rechtsprechung des OGH ist der Begriff Weltanschauung eine Sammelbezeichnung für Leitauffassungen vom Leben und von der Welt als eine im Sinnganzen sowie zur Deutung des persönlichen und gemeinschaftlichen Standorts für das individuelle Lebensverständnis. Weltanschauungen sind Deutungsauffassungen in der Form persönlicher Überzeugungen von der Grundstruktur, Modalität und Funktion des Weltganzen (OGH 24.02.2009, 9 Ob A 122/07t). Der OGH orientiert sich mit seiner Definition der Weltanschauung an den Gesetzesmaterialien zum Bundes-Gleichbehandlungsgesetz – B-GlBG (ErläutRV 285 BlgNR 22. GP , 11). Obwohl die Materialien eine nationale Norm betreffen, kann diese Definition dennoch in den europarechtlichen Kontext der DSGVO übernommen werden, da das B-GlBG vor allem in Umsetzung der Richtlinie 2000/43/EG (Gleichbehandlungsrichtlinie Rasse oder ethnische Herkunft), der Richtlinie 2000/78/EG (Gleichbehandlungsrahmenrichtlinie) und der Richtlinie 2002/73/EG (Änderung der Gleichbehandlungsrichtlinie) ergangen ist. Zwar gibt es bislang keine europarechtliche Definition des Begriffs der Weltanschauung, dennoch kann die obige Definition (OGH 24.02.2009, 9 Ob A 122/07t) für den gegenständlichen Fall – unter Berücksichtigung der Judikatur des EGMR – übernommen werden.

Bei den Marketingklassifikationen „Sinus-Milieus“ werden Menschen nach ihren Lebensauffassungen und Lebensweisen gruppiert. Sie beziehen sich auf die grundlegenden Wertorientierungen und Einstellungen zu verschiedensten Lebensbereichen, wie Arbeit und Freizeit, Familie und Partnerschaft, Konsum und Politik. Sie klassifizieren die ganzheitliche Wahrnehmung der Menschen in Relation zu alldem, was für das Leben der Menschen Bedeutung hat. Dies wird in Kontext mit demografischen Eigenschaften wie Bildung, Beruf oder Einkommen gestellt. Da für die Erstellung der „Sinus-Milieus“ ein möglichst umfassendes Spektrum von Alltagsbereichen (insb. Politik, Religion, Ethik, etc.) herangezogen wird, können anschließend „Gruppen Gleichgesinnter“ erstellt werden.

Die Einteilung der Betroffenen in verschiedene Grundorientierungen, wie „Traditionelle Werte“, „Modernisierung“ und „Neuorientierung“ entspricht im Wesentlichen der Definition des OGH, welcher von Leitauffassungen vom Leben und von der Welt als einem Sinnganzen spricht. So stellen die Parameter der „Sinus-Geo-Milieus“ Pflichterfüllung, Individualisierung/ Selbstverwirklichung, Pragmatismus, Refokussierung etc. gerade solche Leitauffassungen vom Leben dar, anhand derer man das individuelle Lebensverständnis der Menschen kategorisieren kann. Insbesondere durch die Verknüpfung mit der sozialen Lage wird auch die Genauigkeit hinsichtlich einer zusammenhängenden Sichtweise auf grundsätzliche Lebensfragen erhöht. Gerade weil zur Erstellung der „Sinus-Geo-Milieus“ derart viele Lebensbereiche erfasst werden, haben die zusammengetragenen Einstellungen zu diversesten Alltagsbereichen im Zusammenspiel mit der exakten geografischen Zuordnung auch einen umfassenden Einfluss auf das Handeln der Menschen sowie ein hohes Maß an Treffsicherheit (siehe zum Merkmal der Treffsicherheit auch Egger, Die Begriffe "Religion" und "Weltanschauung" im Antidiskriminierungsrecht, ASoK 2018, 346 [353]).

Selbst wenn die Definitionen der einzelnen „Sinus-Geo-Milieus“ alleine nicht immer eindeutig auf eine konkrete Weltanschauung schließen lassen, wird unter Gliederung der Gesellschaft in – im Wesentlichen – drei Schichten, nämlich Oberschicht/obere Mittelschicht, Mittlere Mittelschicht und Untere Mittelschicht/Unterschicht, wobei diesen Schichten die einzelnen Milieus, nämlich „Konservative“, „Traditionelle“, „Etablierte“, „Performer“, „Postmaterielle“, „Digitale Individualisten“, „Bürgerliche Mitte“, „Adaptiv Pragmatische“, „Konsumorientierte Basis“ und „Hedonisten“ (teilweise auch überlappend) zugeordnet sind, ersichtlich, dass diese unter den Begriff der Weltanschauung zu subsumieren sind. Denn schließlich liegt der Anspruch der „Sinus-Geo-Milieus“ gerade in der Unterteilung der Menschen anhand ihrer ganzheitlichen Wahrnehmung vom Leben und der Welt. Wenn bereits eine punktuelle Einstellung wie „Pazifist“ unter den Begriff der Weltanschauung subsumiert werden kann (EGMR 16.05.1977, 7050/75, Arrowsmith), dann sind die weitreichende Lebensbereiche und Lebenseinstellungen erfassenden „Sinus-Geo-Milieus“ umso mehr als weltanschauliche Überzeugungen einzustufen. Teile der Lehre gehen davon aus, dass eine Weltanschauung weitreichende Lebenseinstellungen beeinflussen muss und sehen daher – nach einer teleologischen Reduktion – ethische Bündnisse, wie beispielsweise die Freimaurer, als Weltanschauungen an (siehe Schulz in Gola, DS-GVO2 Art. 9 Rz 14). Aufgrund des umfassenden Ausmaßes der „Sinus-Geo-Milieus“ werden sie auch diesem Kriterium gerecht. Aus dem Zusammenspiel zwischen höheren Wahrscheinlichkeitswerten für die Zuordnung zu einem bestimmten Milieu und niedrigen Wahrscheinlichkeitswerten für andere bestimmte Milieus ergibt sich die Wahrscheinlichkeit für die Zugehörigkeit zu einer bestimmten Gesellschaftsschicht und daraus, ob der Betroffene grundsätzlich die Grundorientierung, Mentalität und Werte eines bestimmten Milieus teilt oder diese ablehnt.

Der Verwaltungsgerichtshof hat in seiner Entscheidung vom 14.12.2021, Ro 2021/04/0007, zu den ausgewerteten Vorlieben oder Abneigungen einer betroffenen Person im Besonderen ausgeführt: „Dem Revisionsvorbringen, dass sich ausgehend von der Argumentation des Bundesverwaltungsgerichts nur bei bestimmten zugeordneten Wahrscheinlichkeitswerten eine Vorliebe oder Abneigung einer Person gegenüber einer bestimmten politischen Partei ableiten lasse, ist Folgendes zu entgegnen: Nicht nur die Unterstellung eines gesteigerten Interesses für eine bestimmte Partei, sondern ebenso die sich aus den Daten allenfalls ergebende Ablehnung oder auch die Gleichgültigkeit gegenüber einer oder allen erlaubt die Schlussfolgerung auf eine bestimmte politische Haltung. Die Frage der konkreten Aussage über die Parteiaffinität im Einzelfall ist kein Kriterium für die Klärung der Rechtsfrage, ob es sich hier um Daten handelt, denen - ex ante betrachtet - mit hinreichender Deutlichkeit eine wie immer sich darstellende politische Meinung zu entnehmen ist. Jede politische Haltung ist nämlich abstrakt geeignet, die Gefahr einer Diskriminierung oder auch Andersbehandlung mit sich zu bringen, und es ist gerade das Ziel der Bestimmungen der DSGVO im Zusammenhang mit der Verarbeitung sensibler Daten, die Betroffenen vor den mit einer Bewertung durch Rezipienten einer solchen Information zusammenhängenden möglichen Folgen zu schützen. Auf die konkrete Bewertung einer politischen Meinung, die - wie hier - im Ergebnis hinreichend deutlich aus der verarbeiteten Information hervorgeht, kann es daher nicht ankommen.“

Die Angaben über die Wahrscheinlichkeitswerte in Prozentsätzen über die „Sinus-Geo-Milieus“, die gewisse Vorlieben und Abneigungen widerspiegeln, und über das dominante „Sinus-Geo-Milieu“ sind im Sinne dieser Judikatur des VwGH im vorliegenden Fall sehr wohl geeignet, einem objektiven Dritten hinreichend deutlich weltanschauliche Haltungen der mitbeteiligten Partei zu vermitteln.

Bei der Datenart der „Sinus-Geo-Milieus“ handelt es sich somit um eine „besondere Kategorie personenbezogener Daten“ im Sinne des Art. 9 DSGVO, für die das Verarbeitungsverbot gilt.

Daran vermögen auch die Ausführungen der Beschwerdeführerin nichts zu ändern:

Die Beschwerdeführerin wehrt sich gegen die Einstufung der „Sinus-Geo-Milieus“ als besondere Kategorie personenbezogener Daten im Wesentlichen mit dem Argument, dass eine weltanschauliche Überzeugung im Sinne des Art. 9 Abs. 1 DSGVO nur aus einem Handeln des Betroffenen hervorgehen könne.

Diese Ansicht übersieht, dass die Gefahren, die mit der Verarbeitung von weltanschaulichen Überzeugungen üblicherweise verbunden sind und vor denen Art. 9 DSGVO schützen möchte, bereits dann drohen können, wenn die weltanschaulichen Überzeugungen einer betroffenen Person aus den vorhandenen Daten hervorgehen oder nicht. Es macht aber keinen Unterschied, ob die Wahrscheinlichkeitswerte oder das dominante „Sinus-Geo-Milieu“ in einem tatsächlichen Verhalten der betroffenen Person oder in statistischen Methoden gründet. Dass die verwendete Methode zur Ermittlung der Wahrscheinlichkeitswerte keinerlei statistische Relevanz hätte, lässt sich weder aus der festgestellten Ermittlungsmethode noch aus dem Verwendungszweck, d.h. die zielgerichtete Bewerbung natürlicher Personen, ableiten.

Wenn die Beschwerdeführerin vorbringt, dass die „Sinus-Geo-Milieus“ nur auf das Konsumverhalten, den Lebensstil oder das Wohnumfeld, nicht aber auf die weltanschauliche Überzeugung abstellen, so verkennt sie, dass die zur Berechnung der „Sinus-Geo-Milieus“ herangezogenen Daten noch weit über eine konsumbezogene Grundorientierung hinausgehen. In die Erstellung fließen nämlich – wie festgestellt – auch Einstellungen zu Politik, Ethik und Religion ein. Aufgrund der Fülle dieser erfassten Alltagsbereiche lässt sich jedenfalls auf die ganzheitliche Wahrnehmung, im Bezugssystem all dessen, was für das Leben der Betroffenen Bedeutung hat oder nicht, somit auf deren weltanschauliche Überzeugungen, schließen.

Die Bestimmung des Art. 9 DSGVO kennt im Abs. 1 verankerten vom Verarbeitungsverbot besonderer Kategorien personenbezogener Daten mehrere in Abs. 2 DSGVO abschließend aufgezählte Ausnahmen. Die Verarbeitung ist insbesondere gemäß Art. 9 Abs. 2 lit. a DSGVO zulässig, wenn die betreffende Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte ausdrücklich eingewilligt hat (…).

Die Beschwerdeführerin beruft sich auf § 151 GewO, dessen Struktur dafür spreche, dass es sich bei Marketingklassifikationen nicht um personenbezogene Daten handle. Demnach werde in § 151 Abs. 4 und 5 die Zulässigkeit der Verwendung von personenbezogenen Daten für Zwecke des Adresshandels und Direktmarketings geregelt, während in § 151 Abs. 6 GewO die Zulässigkeit der Verwendung von Marketingklassifikationen geregelt werde. Weil in Abs. 6 von Marketingklassifikationen und nicht von personenbezogenen Daten gesprochen werde und sich Abs. 6 nicht auf die Abs. 4 und 5 beziehe, sehe der Gesetzgeber Marketingklassifikationen nicht als personenbezogene Daten an. Andernfalls bliebe für die Anwendung des Abs. 6 kein Raum, was dem Gesetzgeber nicht unterstellt werden könne.

Eine Regelung, wonach Adressenverlag- und Direktwerbeunternehmen auch ohne Einwilligung der Betroffenen Marketinginformationen verarbeiten dürfen, die gleichzeitig besondere Kategorien personenbezogener Daten sind, erleichtert zwar die Tätigkeit dieser Gewerbe, ihr Fehlen stellt das Bestehen der Gewerbe aber nicht in Frage. So ist es ihnen möglich, Marketinginformationen ohne Einwilligung der betroffenen Personen zu verarbeiten, solange sie keiner der in Art. 9 Abs. 1 DSGVO genannten besonderen Kategorien personenbezogener Daten entsprechen, womit regelmäßig das Auslangen gefunden werden kann. Dass die Allgemeinheit ohne eine derartige Regelung ernsthaft beeinträchtigt sein könnte, ist nicht ersichtlich.

Eine dahingehende Interpretation des § 151 Abs. 6 GewO, dass entgegen § 151 Abs. 4 GewO bei der Verarbeitung von für Marketingzwecke erhobenen Marketinginformationen und -klassifikationen auch dann keine Einwilligung der betroffenen Person erforderlich ist, wenn es sich bei den Marketinginformationen und -klassifikationen um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO handelt, scheidet demzufolge aus. Aus Sicht des zuständigen Senats steht bereits aufgrund des eindeutigen Gesetzeswortlauts des § 151 GewO fest, dass im vorliegenden Fall das Erfordernis der in Abs. 4 normierten Einwilligung einer betroffenen Person zum Tragen kommt.

Daher konnte die Beschwerdeführerin die Verarbeitung der Datenarten zu den „Sinus-Geo-Milieus“ nicht auf Art. 9 Abs. 2 lit. a DSGVO stützen.

Die Beschwerdeführerin kann sich auch auf keine der anderen Ausnahmebestimmungen des Art. 9 Abs. 2 DSGVO vom Verarbeitungsverbot besonderer Kategorien von Daten des Art. 9 Abs. 1 DSGVO berufen.

Somit ist festzuhalten, dass die in Rede stehenden Daten betreffend die „Sinus-Geo-Milieus“ unter den Begriff der besonderen Kategorien personenbezogener Daten (sensible Daten) des Art. 9 Abs. 1 DSGVO unter Berücksichtigung der diesbezüglichen Erwägungsgründe (siehe oben 3.3.4.) zu subsumieren sind, deren Verarbeitung untersagt war, da ein Ausnahmetatbestand nicht vorlag. Die Verarbeitung der jeweiligen Datenarten zu den „Sinus-Geo-Milieus“ durch die Beschwerdeführerin war daher rechtswidrig und die belangte Behörde hat diese Rechtswidrigkeit zu Recht im Spruchteil 1. b) des angefochtenen Bescheides festgestellt.

Der zuständige Senat gelangt daher zu dem Ergebnis, dass die Beschwerdeführerin als Verantwortliche die personenbezogenen Daten der mitbeteiligten Partei zu den „Sinus-Geo-Milieus“ unzulässiger Weise verarbeitet hat (hier: Speicherung und Verwendung) und dadurch die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt hat.

Da dem angefochtenen Spruchteil 1. b) des Bescheides aus diesen Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und 5 DSG idgF abzuweisen.

3.4. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Die Beschwerdeführerin hat zwar gegenständlich einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt, jedoch kann im gegenständlichen Fall das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 und Abs. 4 VwGVG abzusehen.

3.5. Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.