BVwG W214 2226350-1

Spruch:

W214 2226349-1/12E

W214 2226350-1/17E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerden von 1. XXXX (Erstbeschwerdeführerin), vertreten durch XXXX , und 2. XXXX (Zweitbeschwerdeführerin), gegen den Bescheid der Datenschutzbehörde vom 06.09.2019, Zl. DSB-D205.179/0001-DSB/2019:

A)

I. beschlossen:

I.1. Die Beschwerde der Zweitbeschwerdeführerin gegen Spruchpunkt 1. des angefochtenen Bescheides wird gemäß § 28 Abs. 2 VwGVG iVm § 31 Abs. 1 VwGVG als unzulässig zurückgewiesen.

II. zu Recht erkannt:

II.1. Der Beschwerde der Erstbeschwerdeführerin wird teilweise Folge gegeben und Spruchpunkt 2. des angefochtenen Bescheides ersatzlos behoben.

II.2. Im Übrigen wird die Beschwerde der Erstbeschwerdeführerin gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

II.3. Die Beschwerde der Zweitbeschwerdeführerin gegen die Spruchpunkte 4. und 5. des angefochtenen Bescheides wird gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

B)

1. Die Revision gegen die Spruchpunkte II.1 und II. 2 ist gemäß Art. 133 Abs. 4 B-VG jeweils zulässig.

2. Die Revision gegen die Spruchpunkte I.1 und II.3. ist gemäß Art. 133 Abs. 4 B-VG jeweils nicht zulässig.

Entscheidungsgründe/Begründung:

I. Verfahrensgang:

1. In ihrer an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 15.12.2018 machte die Zweitbeschwerdeführerin (ursprüngliche Beschwerdeführerin im Verfahren vor der belangten Behörde) eine Verletzung im Recht auf Geheimhaltung geltend. Dazu wurde vorgebracht, dass die Erstbeschwerdeführerin (ursprüngliche Beschwerdegegnerin im Verfahren vor der belangten Behörde) sensible personenbezogene Daten ohne hinreichende Rechtsfertigungsgründe – insbesondere ohne Einwilligung - gemäß Art. 9 DSGVO verarbeitet habe, welche Auswertungen zur (möglichen) politischen Affinität enthalten würden. Weiters wurde vorgebracht, dass gemäß § 151 Abs. 6 GewO Gewerbetreibende nach Abs. 1 für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben würden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte nur dann übermitteln dürften, wenn diese unbedenklich erklären würden, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden werden. § 151 GewO sei keine gültige Rechtsgrundlage für die Verwendung personenbezogener Daten für Marketingzwecke, sondern es könnte nur noch Artikel 6 lit. f DSGVO als Rechtsgrundlage herangezogen werden.

Der Datenschutzbeschwerde wurde das Antwortschreiben der Erstbeschwerdeführerin auf den gestellten Antrag auf Auskunft nach Art. 15 DSGVO der Zweitbeschwerdeführerin vom 14.12.2018 samt Beilagen beigefügt

2. Über Aufforderung der belangten Behörde erstattete die Erstbeschwerdeführerin am 13.05.2019 eine Stellungnahme und führte aus, dass es sich bei der Verarbeitung der „Parteiaffinitäten“ nicht um die Verarbeitung (sensibler) personenbezogener Daten handle. Die Erstbeschwerdeführerin verarbeite Marketingklassifikationen, die auf anonym durchgeführten Meinungsumfragen fußen würden. Mit Hilfe dieser Umfragen seien soziodemographische Kriterien erhoben und in der Folge Marketinggruppen innerhalb eines Rasters gebildet worden. Für diese Marketinggruppen seien Durchschnittswahrscheinlichkeiten errechnet worden, auf deren Basis ein Algorithmus entwickelt worden sei. Auf dessen Basis sei berechnet worden, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemografischen Eigenschaften in bestimmten Regionen Werbeinteresse an bestimmten Parteien hätten. Die solcherart errechneten Prozentsätze seien als "Parteiaffinitäten" der jeweiligen Marketinggruppen bezeichnet worden. Diese Marketingklassifikation bilde aber keinesfalls ein personenbezogenes Datum iSd Art 4 Z 1 DSGVO, da es ihr an der Information über eine bestimmte Person mangle. Die Parteiaffinität spiegle einen durchschnittlichen Berechnungswert wider, der weder eine Charakterisierung einzelner Personen innerhalb einer Marketinggruppe vornehme, noch sich nach diesem Wert Rechtsansprüche der Person richten würden. Selbst für den Fall, dass man die geschilderten Prozentsätze der Marketingklassifikationen als personenbezogene Daten verstehen wollen würde, würde jedenfalls keine "besondere Kategorie" personenbezogener Daten vorliegen, da im gegenständlichen Fall nichts anderes als ein Algorithmus entwickelt worden sei, der berechne, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemografischen und regionalen Eigenschaften für bestimmte politische Parteien von Werbeinteresse seien. Weder werde dadurch eine Aussage über politische Anschauungen oder politische Mitgliedschaften erzeugt, noch werde eine Aussage über ein "Meinen" oder eine damit verbundene "Tätigkeit" generiert, welche theoretisch als "politische Meinung" im Sinn der Literatur qualifiziert werden könnte. Zum Vorbringen der Zweitbeschwerdeführerin, dass die Heranziehung von § 151 GewO als Rechtsgrundlage nicht zulässig sei, weil die DSGVO hierfür keine Öffnungsklausel vorsehe und die Gewerbeordnungsnorm somit keine gültige Rechtsgrundlage bilde, werde ausgeführt, dass § 151 GewO geltender Rechtsbestand sei und im Zuge des Inkrafttretens der DSGVO vom Gesetzgeber auch im Hinblick auf die DSGVO novelliert worden sei. Die Erstbeschwerdeführerin habe keine Zweifel an der Gültigkeit der Norm und stehe ihr eine Überprüfung der Rechtskraft der sich in Geltung befindenden Normen auch nicht zu. Im Übrigen entspreche die Verarbeitungstätigkeit der Post (soweit überhaupt ein Personenbezug vorliege) auch Art 6 Abs. 1 lit. f DSGVO, was der Zweitbeschwerdeführerin auch mitgeteilt worden sei.

3. Die Zweitbeschwerdeführerin erstattete zur Stellungnahme der Erstbeschwerdeführerin am 04.06.2019 ebenfalls eine Stellungnahme und führte aus, dass anerkannt sei, dass auch jene Daten personenbezogen seien, die nur wahrscheinlich auf eine bestimmte Person zutreffen würden. Auch statistische Wahrscheinlichkeitsaussagen und nicht lediglich völlig abstrakte Prognose- oder Planungswerte, die eine subjektive und/oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern würden, würden einen Personenbezug aufweisen. Vom besonderen Schutz für besondere Datenkategorien würden auch Daten erfasst, aus denen nur mit einer statistischen Wahrscheinlichkeit auf Angaben sensitiven Inhalts geschlossen werden könne. Ein Hervorgehen (der politischen Meinung) liege etwa bereits dann vor, wenn „in Ansehung des betroffenen Datums die politische Meinung mit hinreichender Wahrscheinlichkeit abgeleitet werden“ könne. Hier sei zu bemerken, dass die Affinität zu den XXXX sogar als „sehr hoch“ eingestuft worden sei. Bei Abstellen auf den Schutzzweck (Diskriminierungsschutz), dürfe nicht entscheidend sein, ob letztendlich ein gesichertes Wissen über die politische Meinung vorliege. Es würden somit besondere Datenkategorien verarbeitet und liege für diese Verarbeitungstätigkeiten keine gültige Rechtsgrundlage (insbesondere keine gültige Einwilligung) vor. Zum Verstoß gegen § 151 GewO sei auszuführen, dass die von der Erstbeschwerdeführerin verarbeiteten Adressdaten wohl aus den Dienstleistungen der Post als Zusteller von Briefen und/oder Paketen stammen würden und dafür keine der in § 151 Abs. 3 GewO genannten Quellen verwendet worden sei. Die restlichen Daten (Zuschreibungen von “Wahrscheinlichkeiten") scheinen aus statistischen Hochrechnungen/Auswertungen auf Basis der von der Post als Paket- und Briefzusteller erhobenen Daten erfolgt zu sein. Die Erstbeschwerdeführerin habe durch die Art wie sie ihre Profilingaktivitäten betreibe (Zeitspanne, Art der Zuschreibungen, Dauer der Zuschreibungen, Verwendung der Daten aus der Post und Paketzustellung) und die unzureichende Information darüber gegen § 151 Abs. 3 GewO durch die Verwendung von unzulässigen Datenquellen und gegen den Grundsatz der Verhältnismäßigkeit verstoßen. Zudem entspreche § 151 GewO an mehreren Stellen nicht der DSGVO und bilde keine gültige Rechtsgrundlage für die Verarbeitungstätigkeiten der Erstbeschwerdeführerin. Die Erstbeschwerdeführerin könne ihre Profilingaktivitäten auch nicht auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen. Es sei eine Interessenabwägung erforderlich, einige der über sie verarbeiteten Marketingdaten, wie etwa frühere Wohnadressen, seien stark veraltet, Zuschreibungen der „Lebensphase“ sowie Affinitäten wie „Nachtschwärmer“ oder „sportaffin“ über einen Zeitraum von mindestens 15 Jahren seien als invasiver Eingriff in ihre Privatsphäre zu betrachten. Die dazu erforderlichen Basisdaten/Adressdaten würden klar aus den Zustellserviceleistungen oder Nachsendeaufträgen stammen, da sie sonst der Erstbeschwerdeführerin weder wissentlich noch willentlich Informationen darüber erteilt habe. Dass ein Unternehmen, das die Zustellung von Briefen, Paketen, behördlichen Schriftstücken vornimmt, Informationen aus der mit diesen Zustellservices verbunden sind, verarbeite und um andere Daten angereichert (sogar politische Affinitäten), für Werbezwecke anderer zur Verfügung stelle, reiche weit über die vernünftigen Erwartungen der durchschnittlichen Betroffenen hinaus, hier handle es sich um gänzlich unterschiedliche Erhebungs- und Nutzungszwecke. Die Interessen der Zweitbeschwerdeführerin würden daher jedenfalls überwiegen. Die Erstbeschwerdeführerin habe durch die Art wie sie ihre Profilingaktivitäten betreibe (Zeitspanne, Art der Zuschreibungen, Dauer der Zuschreibungen, Verwendung der Daten aus der Post- und Paketzustellung) auch gegen Artikel 5 Abs. 1 lit a DSGVO verstoßen. Die Erstbeschwerdeführerin habe über die durchgeführten Verarbeitungstätigkeiten nicht informiert und somit ihre Informationspflichten nach Artikel 13 und 14 DSGVO nicht erfüllt. Artikel 23 DSGVO komme nicht zur Anwendung, da keiner der in Artikel 23 Abs. 1 DSGVO aufgezählten Tatbestände zum Tragen komme und auch keine spezifische Vorschrift im Sinne des Artikels 23 Abs. 2 DSGVO vorliege. Zudem liege ein Verstoß gegen das Koppelungsverbot betreffend die Einwilligung für Marketingzwecke im Zusammenhang mit Nachsendeaufträgen vor.

4. Mit Bescheid der belangten Behörde vom 06.09.2019, Zl. DSB-D205.179/0001-DSB/2019 wurde der Beschwerde der Zweitbeschwerdeführerin teilweise stattgegeben und festgestellt, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt habe, indem sie Daten betreffend deren „Parteiaffinität“ verarbeite (Spruchpunkt 1.) sowie der Erstbeschwerdeführerin bei sonstiger Exekution aufgetragen, die Daten zur „Parteiaffinität“ unverzüglich aber längstens binnen zwei Wochen zu löschen (Spruchpunkt 2.). Der Antrag der Erstbeschwerdeführerin, das gegenständliche Verfahren bis zu einer Entscheidung des Bundesverwaltungsgerichtes auszusetzen, wurde zurückgewiesen (Spruchpunkt 3.), in den Punkten der begehrten Feststellung, § 151 GewO sei rechtswidrig, unionsrechtswidrig sowie unverhältnismäßig wurde die Beschwerde mangels Zuständigkeit zurückgewiesen (Spruchpunkt 4.). Das Vorbringen, die belangte Behörde möge feststellen, die Erstbeschwerdeführerin habe gegen ihre Informationspflichten verstoßen, wurde abgewiesen (Spruchpunkt 5.).

Die belangte Behörde führte zunächst aus, dass Beschwerdegegenstand die Frage sei, ob die Erstbeschwerdeführerin durch die Verarbeitung der vermeintlichen „Parteiaffinität“ im Rahmen der Datenkategorie „mögliche Zielgruppe für Wahlwerbung“ die Zweitbeschwerdeführerin im Recht auf Geheimhaltung verletzt habe.

In rechtlicher Hinsicht hielt die belangte Behörde (sofern für die gegenständlichen Beschwerdeverfahren relevant) fest, dass es sich bei den statistisch hochgerechneten und der Zweitbeschwerdeführerin zugeordneten Daten hinsichtlich einer vermeintlichen Parteiaffinität um personenbezogene Daten nach Art. 4 Z 1 DSGVO handeln würde. Dies ergebe sich schon daraus, dass die verfahrensgegenständlichen Datenkategorien im Zuge einer Auskunft nach Art. 15 DSGVO beauskunftet worden seien. Wenn – wie die Erstbeschwerdeführerin vermeine – überhaupt keine personenbezogenen Daten vorlägen, so wäre die DSGVO nicht anwendbar und hätten diese Datenkategorien auch nicht beauskunftet werden müssen. Abgesehen davon wäre die von der Erstbeschwerdeführerin erwähnte Personalisierung der Werbung nicht möglich, wenn nicht diese statistisch errechneten Daten einen eindeutigen Personenbezug aufweisen würden. Dass personenbezogene Daten vorliegen würden, ergebe sich aber auch aus der Rechtsprechung des EuGH und des Bundesverwaltungsgerichtes, wonach der Begriff „personenbezogene Daten“ weit auszulegen sei. In diesem Zusammenhang sei auch auf die gefestigte Literaturmeinung hinzuweisen, wonach unter Verweis auf die Rechtsprechung der DSK ausgeführt werde, dass auch mit Hilfe statistischer Hochrechnungen ermittelte Einschätzungen einer wahrscheinlichen Zugehörigkeit einer Person zu einer bestimmten Ziel- oder Altersgruppe als personenbezogene Daten zu qualifizieren seien. Auch geschätzte und prognostizierte Daten seien personenbezogene Daten, wenn sie einer realen Person zugeordnet werden können, auch wenn sie unzutreffend seien. Der Begriff der Informationen erfasse nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen, Vermutungen und Werturteile über sie. Für das Vorliegen eines personenbezogenen Datums spreche auch ein Vergleich mit Art. 22 DSGVO, Marketinganalyseverfahren würden sich im Ergebnis nicht von „herkömmlichen“ Profiling-Vorgängen bzw. sonstigen automatisierten Entscheidungsfindungen, etwa durch Kreditauskunfteien unterscheiden. Lägen diesfalls keine personenbezogenen Daten vor, liefe Art. 22 DSGVO gänzlich ins Leere, was dem Unionsgesetzgeber aber nicht unterstellt werden könne. Die von der Erstbeschwerdeführerin ermittelte Parteiaffinität sei auch als besondere Kategorie von personenbezogenen Daten im Sinne des Art. 9 DSGVO zu qualifizieren, da es sowohl begrifflich als auch teleologisch genüge, dass der Inhalt des Datums die in Art. 9 Abs. 1 DSGVO genannte Eigenschaft für einen durchschnittlichen, objektiven Dritten zumindest mittelbar erkennen lasse, dass also die Eigenschaft aus dem Datum bzw. den Daten produziert werden könne. Die Erstbeschwerdeführerin übersehe bei ihrer Argumentation, es handle sich bei den Affinitätswerten um keine Aussagen im datenschutzrechtlichen Sinn, sondern um eine „Durchschnittswahrscheinlichkeit für eine Marketinggruppe“, dass sie die berechneten Werte im Datensatz der betroffenen Person faktisch abspeichere und die politische Affinität einer Person somit zuordenbar sei und auch konkret zugeordnet werde. Eine Verarbeitung von Daten nach Art. 9 Abs. 1 DSGVO sei nur rechtmäßig, wenn einer der in Abs. 2 taxativ aufgezählten Eingriffstatbestände vorliege. Das Verarbeitungsverbot gemäß Art. 9 Abs. 1 DSGVO werde u.a. durchbrochen, wenn die betroffene Person in die Verarbeitung ausdrücklich einwilligte, gegenständlich liege keine Einwilligung vor. Ein anderer Erlaubnistatbestand als die Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO komme nicht in Frage, auch gemäß § 151 Abs. 4 GewO 1994 werde zur Verarbeitung besonderer Kategorien von Daten iSv Art. 9 Abs. 1 DSGVO im Zuge der Ausübung des Gewerbes für Adressverlage und Direktmarketingunternehmen ein ausdrückliches Einverständnis der betroffenen Person vorausgesetzt, welches jedoch – wie ausgeführt – nicht vorliege. Die Erstbeschwerdeführerin habe im Ergebnis durch die Verarbeitung von Daten betreffend die politische Affinität der Zweitbeschwerdeführerin besondere Kategorien personenbezogener Daten iSv Art. 9 Abs. 1 DSGVO mangels Erlaubnistatbestands unrechtmäßig verarbeitet.

Zu Spruchpunkt 4. sei auszuführen, dass auf Ausführungen der Zweitbeschwerdeführerin zur Unionsrechtswidrigkeit des § 151 GewO in Ermangelung einer Zuständigkeit der belangten Behörde als Normenkontrollinstanz nicht näher einzugehen sei. Im Falle eines offenkundigen Normenkonflikts mit Unionsrecht wären die nationalen Bestimmungen nicht anzuwenden gewesen, ein derart offenkundiger Normenkonflikt könne jedoch nicht erkannt werden, zumal Art. 9 Abs. 2 lit. g DSGVO die Verarbeitung auf Basis einer qualifizierten Rechtsgrundlage ermögliche und Art. 6 Abs. 1 lit. f DSGVO die Verarbeitung auf Basis berechtigter Interessen vorsehe. Dass das Gewerbe „Adressverlage und Direktmarketingunternehmen“ nach § 151 GewO grundsätzlich durch berechtigte Interessen gedeckt sei, ergebe sich bereits aus der Normierung in der GewO selbst, da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar sei und daher auch angenommen werden müsse, dass der Gesetzgeber in bestimmten Fallkategorien ein die Betroffeneninteressen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten zu diesen Zwecken als gegeben erachtet habe. Die Anträge der Zweitbeschwerdeführerin seien dahingehend daher spruchgemäß zurückzuweisen gewesen.

Zur gerügten Verletzung von Informationspflichten gemäß Art. 13 und 14 DSGVO werde ausgeführt, dass die Erstbeschwerdeführerin die von der Zweitbeschwerdeführerin behauptete Verletzung im Recht auf Information bis zum Abschluss des gegenständlichen Verfahrens beseitigt habe, indem sie in ihrer Stellungnahme die erforderlichen Informationen gemäß Art. 13 und 14 DSGVO zur Verfügung gestellt habe. Die Beschwerde sei daher auch diesbezüglich zurückzuweisen gewesen.

5. Gegen diesen Bescheid erhoben beide Beschwerdeführerinnen fristgerecht Beschwerde an das Bundesverwaltungsgericht.

Die Erstbeschwerdeführerin hielt zunächst fest, den Bescheid nur hinsichtlich seiner Spruchpunkte 1. und 2. anzufechten und brachte vor, dass die belangte Behörde Art. 4 und 9 DSGVO sowie § 151 GewO unrichtig angewendet habe. Den von der Erstbeschwerdeführerin berechneten Marketingklassifikationen (verfahrensgegenständlich: Parteiaffinitäten) mangle es an der Information über eine bestimmte Person, weshalb diese nicht als personenbezogene Daten anzusehen seien. Es werde einer Person (und anderen Personen mit denselben soziodemographischen und regionalen Merkmalen) vielmehr eine Information (über eine Marketingzielgruppe) zugeschrieben. Dieses Verfahren sei mit anonymisierenden Durchschnittberechnungen der Statistik Austria bei der Berechnung mikrogeographischer Raster vergleichbar. Die Systematik der Erstbeschwerdeführerin sei Branchenstandard, finde im Adress- und Direktmarketing seit jeher statt und sei 40 Jahre lang datenschutzrechtlich als nicht relevant erachtet worden. Der Gesetzgeber habe mit der Bestimmung des § 151 Abs. 6 GewO für potentielle Verarbeitung von Marketingklassifikationen vorgesorgt und adäquate Garantien für die Abwendung von negativen Folgen von Betroffenen vorgesehen. Auch ein Blick auf die Gesamtsystematik der DSGVO verdeutliche, dass die behördliche Qualifikation der Parteiaffinität nicht richtig sein könne, da nämlich die Parteiaffinität weder am Zutun des Betroffenen hänge, noch von diesem beeinflussbar sei und der Betroffene so auch nicht die (Un-)richtigkeit dieses Wertes reklamieren könne. Nicht berichtigbare Daten seien jedoch nicht dem Anwendungsbereich der DSGVO zu unterstellen, weil ansonsten innerhalb des Anwendungsbereichs der DSGVO eine Teilmenge an Daten geschaffen würde, welche nicht allen Betroffenenrechte zugänglich sei. Ein solches Konzept sei der DSGVO aber fremd. Auch die Zuordnung bzw. die Zuordenbarkeit einer natürlichen Person zu einem Ergebnis eines statistischen Analyseverfahren (wie beispielsweise der Parteiaffinität) mache dieses statistische Ergebnis nicht zu einem personenbezogenen Datum, so habe der EUGH in der Rechtssache „YS u.a.“. ausgesprochen, dass rechtliche Analysen (obwohl diese den Betroffenen offenkundig zugeordnet gewesen seien) keine personenbezogenen Daten seien. Die Zuordnung alleine genüge daher nicht, um ein personenbezogenes Datum zu generieren. Die statistischen Hochrechnungen der Erstbeschwerdeführerin seien noch weiter von „Informationen über“ Betroffene entfernt, personenbezogene Daten des Betroffen würden zwar auch diesen statistischen Hochrechnungen zu Grunde gelegt, allerdings wäre nur auf Grund dieser Daten die Hochrechnung nicht möglich, denn über die tatsächliche politische Meinung des Betroffenen würden keine Informationen verarbeitet. Die Hochrechnung erfolge über Marketinggruppen, der Betroffene werde diesen Marketinggruppen zugeordnet. Dessen eigene politische Meinung spiele keine Rolle und sei diese Marketinggruppe einer Nachprüfung durch den Betroffenen nicht zugänglich. Auch im Lichte der Literatur ergebe sich, dass der für ein personenbezogenes Datum erforderliche Informationsgehalt nicht stattfinde. Es handle sich um Durchschnittswerte der Marketinggruppe. So könne auch bei einer Wahlanalyse kein vernünftiges Geheimhaltungsinteresse beispielsweise jedes männlichen Staatsbürgers unter 44 Jahre angenommen werden, nur, weil gemäß der Wahlanalyse dieser zu einem bestimmten Prozentsatz „ÖVP-affin“ sei. Könne jeder Dritte ein Datum generieren bzw. eine Schlussfolgerung ziehen, könne daran kein Geheimhaltungsinteresse bestehen und von keinem sensiblen Datum gesprochen werden, da das Datum keine (sensible) Information „über“ eine Person in sich trage. Alleine aufgrund des Umstandes, dass zu unterschiedlichen Adressen unterschiedliche Affinitäten erzeugt würden, verdeutliche den Umstand, dass diese Affinitäten keine Aussage „über“ die einzelne Person, sondern nur um die jeweilige Marketinggruppe treffen würde. Ein Rückschluss auf die einzelne Person sei daher nicht möglich. Aus der Parteiaffinität könne die politische Meinung des Betroffenen nicht logisch abgeleitet werden, sie folge nicht aus einem „Handeln“ des Betroffenen. Die Argumentation der belangten Behörde, die Datenkategorien hätten nicht beauskunftet werden müssen, wenn es sich um keine personenbezogenen Daten handle, greife zu kurz und ziehe einen unzulässigen Schluss vom Sein auf das Sollen. Der Erstbeschwerdeführerin stehe es frei, weitergehende Auskünfte zu erteilen als vom Gesetzgeber vorgesehen. Art. 22 DSGVO laufe auch nicht ins Leere, wenn man Parteiaffinitäten nicht als personenbezogene Daten qualifiziere, dieser regle nämlich „herkömmliche“ Profiling-Vorgänge, welche Personen anhand ihres Verhaltens bewerten würden, wie dies etwa bei Kreditauskunfteien der Fall sei. Die extensive Auslegung des Art. 9 DSGVO durch die belangte Behörde stehe zudem im krassen Widerspruch mit dem Grundsatz „nulla poene sine lege“

Selbst wenn man Parteiaffinitäten als personenbezogene Daten qualifiziere, ändere dies nichts an der Zulässigkeit der Verarbeitung im verfahrensgegenständlichen Zusammenhang. Der Gesetzgeber habe im Zusammenhang mit der 3. Gewerberechtsnovelle 2002 zum Ausdruck gebracht, dass Adressverlage und Direktmarketingunternehmen zum Zwecke des Marketings personenbezogene Daten für politische Parteien aufbereiten dürften. Der Wortlaut des § 151 GewO sei an den einschlägigen Stellen unverändert belassen worden, weshalb der gesetzgeberische Wille auch unter der DSGVO fortgelte. Zudem unterscheide § 151 GewO zwischen (besonderen Kategorien) personenbezogener Daten und Marketinginformationen und -klassifikationen.

Zusammengefasst sei festzuhalten, dass die belangte Behörde die Rechtsnatur der Parteiaffinität verkannt habe und daher zu Unrecht zur Feststellung gelangt sei, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin in ihrem Recht auf Geheimhaltung verletzt habe.

Die Zweitbeschwerdeführerin brachte (nach Wiederholung des Sachverhaltes und ihres Vorbringens bei der belangten Behörde) vor, dass die belangte Behörde mit § 151 GewO eine unionsrechtswidrige Bestimmung angewendet habe und somit eine materielle Rechtswidrigkeit bestehe. Art. 9 Abs. 2 lit. f DSGVO beinhalte keine Öffnungsklausel für die Verarbeitung von „sensiblen“ personenbezogenen Daten für Adresshändler/Direktmarketingunternehmen. Das in Art. 9 Abs. 2 lit. g DSGVO geforderte erhebliche öffentliche Interesse sei bei der Verarbeitung von sensiblen personenbezogenen Daten durch Adresshändler offenkundig nicht vorhanden. Folglich müsste eine ausdrückliche Einwilligung nach der DSGVO erfolgen, das „Einverständnis“ nach § 151 Abs. 4 GewO für Marketingzwecke sei nicht ausreichend. Art. 6 Abs. 1 lit. f ermögliche keine gesetzlichen Interessenabwägungen, durch § 151 GewO könne daher keine gesetzliche Konkretisierung der berechtigten Interessen erfolgen. Die Normierung, dass Gewerbetreibende nach § 151 GewO für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben würden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte bereits dann übermitteln, wenn diese unbedenklich erklären, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden würden, sei keine geeignete Sicherstellung, welche insgesamt eine Verhältnismäßigkeit der Regelung herstellen könnte.

Auch der von der belangten Behörde ins Treffen geführte § 24 Abs. 6 DSG, mit welchem die nachträgliche Sanierung des Verstoßes gegen die Informationspflichten nach Art. 13 und 14 DSGVO begründet worden sei, scheine sich mit der DSGVO in Widerspruch zu befinden, weshalb der Anwendungsvorrang zum Tragen komme. § 151 GewO befinde sich zudem offenkundig im Widerspruch zu den Informationspflichten nach Art. 13 und 14 DSGVO, da in diesem keine Informationspflichten bei Zuschreibung einer neuen Marketinginformation vorgesehen seien. Die berechtigten Interessen der betroffenen Person würden infolge der mangelnden Information nicht ausreichend geschützt und würde § 151 GewO ein erhebliches Gefährdungspotential in sich bergen, dass es zu einer nicht limitierten Verbreitung von personenbezogenen Daten komme. Die belangte Behörde hätte die Bestimmung des § 151 GewO unangewendet lassen müssen und sei durch die Anwendung einer generellen rechtswidrigen Norm ihr Grundrecht auf informationelle Selbstbestimmung und Schutz der Privatsphäre nach Art. 8 EMRK verletzt.

6. Mit Schreiben vom 26.11.2020 (eingelangt beim Bundesverwaltungsgericht am 10.12.2020) legte die belangte Behörde die Beschwerden sowie die Verwaltungsakten dem Bundesverwaltungsgericht zur Entscheidung vor und gab bezüglich der Beschwerde der Zweitbeschwerdeführerin eine Stellungnahme ab.

Darin wurde ausgeführt, dass sich das Vorbringen der Zweitbeschwerdeführerin, sie sei im Grundrecht auf Datenschutz verletzt, indem die belangte Behörde den Anwendungsvorrang von Unionsrecht nicht beachtet habe und es unterlassen habe festzustellen, dass § 151 GewO unionsrechtswidrig sei, mangels Beschwer als nicht verfahrensrelevant darstelle, da der Datenschutzbeschwerde der Zweitbeschwerdeführerin wegen Verletzung im Recht auf Geheimhaltung von der belangten Behörde stattgegeben worden sei. Zudem sei ausdrücklich festgestellt worden, dass die Verarbeitung dieser Daten in Art. 9 DSGVO keine Deckung finde, weshalb es dahingestellt bleiben könne, ob § 151 GewO unionsrechtswidrig sei oder nicht. Hinsichtlich des behaupteten Verstoßes gegen die Informationspflichten sei auszuführen, dass § 24 Abs. 6 DSGVO der Norm des Art. 77 DSGVO nicht widerspreche, da Voraussetzung für die Einstellung des Verfahrens die Beseitigung der Rechtswidrigkeit sei. Dazu sei auszuführen, dass das in Art. 77 DSGVO normierte Beschwerderecht nach einhelliger Literaturmeinung und den Erwägungsgründen 129 ff. DSGVO dem Ausgestaltungsrecht der Mitgliedstaaten durch das Verfahrensrecht unterliege. Auch nach der einschlägigen Rechtsprechung des EuGH sei es Sache der Mitgliedstaaten, verfahrensrechtliche Aspekte zu regeln, wenn der betreffende Unionsrechtsakt nicht selbst Verfahrensbestimmungen enthalte. Österreich habe in § 24 DSG von dieser Möglichkeit Gebrauch gemacht. Der Möglichkeit der Einstellung, wenn die Rechtsverletzung geheilt ist, stehe eine wirksame Abhilfe nicht entgegen. Die Zweitbeschwerdeführerin vermeine einen Verfahrensmangel darin zu erkennen, dass die belangte Behörde ausgesprochen habe, nicht zur Normenkontrolle zuständig zu sein. Hierzu werde abermals auf die mangelnde Beschwer der Zweitbeschwerdeführerin verwiesen, es liege auch kein Verfahrensmangel vor, die Zweitbeschwerdeführerin habe beantragt, die belangte Behörde möge eine Unionsrechtswidrigkeit verschiedener Bestimmungen, u.a. des § 151 GewO, aussprechen. Die dahingehende Zurückweisung sei zurecht ergangen, da die belangte Behörde zur Normenkontrolle weder durch Unionsrecht noch durch nationale Vorschriften berufen sei. Die dahingehenden Anträge seien aufgrund von Unzuständigkeit zurückzuweisen gewesen, die jetzigen Ausführungen über den Anwendungsvorrang von Unionsrecht würden ins Leere gehen. Weiters führe die Zweitbeschwerdeführerin aus, die belangte Behörde habe Anträge unerledigt gelassen, dazu sei auszuführen, dass kein Verfahrensmangel vorliege, da die belangte Behörde ausgesprochen habe, dass die Erstbeschwerdeführerin gegen Grundsätze der Datenverarbeitung verstoßen habe. Die von der Beschwerdeführerin ins Treffen geführten Gründe hätten allesamt zu der in Spruchpunkt 1 des angefochtenen Bescheids ausgesprochenen Feststellung der Verletzung des Rechts auf Geheimhaltung geführt, weshalb keine Beschwer gegeben sei. Jedenfalls bleibe zu konstatieren, dass keine selbstständigen Anträge vorliegen würden, die unerledigt geblieben seien, und daher denkmöglich auch kein Verfahrensmangel vorliege.

7. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 17.07.2020 wurde die gegenständliche Rechtssache in die nunmehr zuständige Gerichtsabteilung W214 zugewiesen, wo sie am 24.07.2020 einlangte.

8. Am 07.04.2021 übermittelte das Bundesverwaltungsgericht die Beschwerden der Beschwerdeführerinnen der jeweils anderen Partei sowie die Stellungnahme der belangten Behörde vom 26.11.2020 zur Kenntnis und gab ihnen Gelegenheit zur Abgabe einer Stellungnahme.

9. Die Erstbeschwerdeführerin erstattete am 26.04.2021 eine Stellungnahme zur Beschwerde der Zweitbeschwerdeführerin und führte zunächst aus, dass sämtliche sogenannte Parteiaffinitäten unabhängig vom Individualverfahren der Zweitbeschwerdeführerin von der Erstbeschwerdeführerin am 22.02.2019 physisch gelöscht worden seien. Für die Erstbeschwerdeführerin sei nicht erkennbar, in welchem subjektiven Recht sich die Zweitbeschwerdeführerin für verletzt erachte. Die Beschwerde sei daher mangels Beschwer zurückzuweisen. Zudem liege auch inhaltlich kein Verstoß gegen Geheimhaltungs- und/oder Informationspflichten vor. Weiters erstattete die Erstbeschwerdeführerin ein ergänzendes Vorbringen zu ihrer Beschwerde und brachte vor, dass aufgrund der Löschung der dem Datensatz der Zweitbeschwerdeführerin zugeschriebenen Parteiaffinitäten und sämtlichen sonstigen Marketingklassifikationen das Feststellung- und Rechtschutzinteresse der Zweitbeschwerdeführerin weggefallen sei. Die DSGVO sehe ein geschlossenes System von Betroffenenrechten (Art. 12ff DSGVO) und möglicher behördlicher Abhilfebefugnisse gegen Datenschutzverstöße (Art. 58 Abs. 2 DSGVO) vor. Einen eigenständigen Feststellungsanspruch kenne die DSGVO dagegen nicht, insbesondere keinen Anspruch auf Feststellung in der Vergangenheit liegender Rechtsverletzungen. Dies stimme auch mit der bisherigen Rechtsprechung des Verwaltungsgerichtshofes zu Löschungs- und Auskunftsbegehren nach dem DSG 2000 überein, wonach ein Recht auf Feststellung über eine in der Vergangenheit erfolgte Verletzung des Rechtes auf Löschung von Daten bzw. auf Auskunft aus § 31 Abs. 2 DSG 2000 nicht ableitbar sei. Dies gelte auch nach aktueller Rechtslage unverändert, die belangte Behörde vertrete selbst die Ansicht, dass aus Art. 77 DSGVO (iVm § 24 DSG) ein Recht auf Feststellung, dass die Auskunft zu spät erteilt worden sei, nicht entnommen werden könne. Aufgrund des Vorrangs des Unionsrechts könne ein solcher Feststellungsanspruch im Übrigen auch nicht aus nationalen Bestimmungen oder Verfahrensgrundsätzen konstruiert werden. Das Bundesverwaltungsgericht habe seine Entscheidung am maßgeblichen Sachverhalt zum Zeitpunkt der Entscheidung auszurichten und seien die Spruchpunkte 1 und 2 des angefochtenen Bescheides ersatzlos zu beheben, da die Beschwer spätestens am 22.02.2019 weggefallen sei. Zudem sei die Zweitbeschwerdeführerin zu keinem Zeitpunkt beschwert gewesen, da aus der „Parteiaffinität“ nicht auf die politische Meinung geschlossen werden könne, sodass die Parteiaffinitäten, selbst wenn sie als personenbezogene Daten qualifiziert hätten werden müssen, keine besondere Kategorie personenbezogener Daten seien.

Die Zweitbeschwerdeführerin erstattete keine weitere Stellungnahme.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.

Zum Beschwerdeverfahren der Erstbeschwerdeführerin:

Die Erstbeschwerdeführerin betreibt ua. seit 03.04.2001 das Gewerbe „Adressenverlag und Direktwerbeunternehmen“.

In diesem Zusammenhang verarbeitete die Erstbeschwerdeführerin Marketingklassifikationen, die auf anonym durchgeführten Meinungsumfragen fußen. Mit Hilfe dieser Umfragen wurden soziodemographische Kriterien erhoben und in der Folge Marketinggruppen innerhalb eines Rasters gebildet. Für diese Marketinggruppen wurden Durchschnittswahrscheinlichkeiten errechnet, auf deren Basis ein Algorithmus entwickelt wurde. Auf dessen Basis wurde berechnet, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemografischen Eigenschaften in bestimmten Regionen Werbeinteresse an bestimmten Parteien haben. Die solcherart errechneten Prozentsätze sind als "Parteiaffinitäten" der jeweiligen Marketinggruppen bezeichnet worden.

Die „Parteiaffinität“ setzte sich dabei aus den Datenfeldern „ÖVP AFFIN“, „SPÖ AFFIN“, „FPÖ AFFIN“, „NEOS AFFIN“ und „GRÜN AFFIN“ zusammen, denen jeweils ein einzelner Wert, nämlich „sehr niedrig“, „niedrig“, „hoch“ oder „sehr hoch“, zugeordnet sein kann.

Die Berechnung der „Parteiaffinität“ hatte den Zweck, Streuverluste in der Werbung zu verringern.

Die Erstbeschwerdeführerin hat für die Verarbeitung der „Parteiaffinität“ keine Zustimmung von den Personen eingeholt, von denen der Wert ermittelt oder zugeordnet worden ist.

Mit Bescheid der belangten Behörde vom 06.09.2019 wurde unter anderem festgestellt, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat, indem sie Daten betreffend deren „Parteiaffinität“ verarbeitet (Spruchpunkt 1.). Der Erstbeschwerdeführerin wurde bei sonstiger Exekution aufgetragen, die Daten zur „Parteiaffinität“ unverzüglich aber längstens binnen zwei Wochen zu löschen (Spruchpunkt 2.).

Gegen diese beiden Spruchpunkte erhob die Erstbeschwerdeführerin mit Schriftsatz vom 16.10.2019 fristgerecht Bescheidbeschwerde an das Bundesverwaltungsgericht und regte unter anderem die Aussetzung des Beschwerdeverfahrens an.

Die Erstbeschwerdeführerin hat sämtliche „Parteiaffinitäten“ am 22.02.2019 physisch gelöscht. Darüber hinaus hat die Erstbeschwerdeführerin sämtliche sonstige, dem Datensatz der Zweitbeschwerdeführerin zugeschriebenen Marketingklassifikationen gelöscht.

Zum Beschwerdeverfahren der Zweitbeschwerdeführerin:

Die Zweitbeschwerdeführerin machte mit Datenschutzbeschwerde vom 15.12.2018 eine Verletzung im Recht auf Geheimhaltung durch die mitbeteiligte Partei geltend. In einem weiteren Schriftsatz vom 04.06.2019 brachte die Beschwerdeführerin auch eine Verletzung der in Art. 13 und 14 DSGVO normierten Informationspflichten durch die Erstbeschwerdeführerin vor und stellte die auf S. 13 des Schriftsatzes genannten bzw. S. 4 des angefochtenen Bescheides wiedergegebenen Anträge.

Mit Bescheid der belangten Behörde vom 06.09.2019, Zl. DSB-D205.179/0001-DSB/2019 wurde der Datenschutzbeschwerde der Zweitbeschwerdeführerin teilweise stattgegeben und festgestellt, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt habe, indem sie Daten betreffend deren „Parteiaffinität“ verarbeite (Spruchpunkt 1.) sowie der Erstbeschwerdeführerin bei sonstiger Exekution aufgetragen, die Daten zur „Parteiaffinität“ unverzüglich aber längstens binnen zwei Wochen zu löschen (Spruchpunkt 2.). Der Antrag der Erstbeschwerdeführerin, das gegenständliche Verfahren bis zu einer Entscheidung des Bundesverwaltungsgerichtes auszusetzen, wurde zurückgewiesen (Spruchpunkt 3.), in den Punkten der von der Zweitbeschwerdeführerin begehrten Feststellung, § 151 GewO sei rechtswidrig, unionsrechtswidrig sowie unverhältnismäßig wurde die Beschwerde mangels Zuständigkeit zurückgewiesen (Spruchpunkt 4.). Das Vorbringen der Zweitbeschwerdeführerin, die belangte Behörde möge feststellen, die Erstbeschwerdeführerin habe gegen ihre Informationspflichten verstoßen, wurde abgewiesen (Spruchpunkt 5.).

Gegen diesen Bescheid erhob die Zweitbeschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht.

Festgestellt wird, dass die Erstbeschwerdeführerin verspätet, aber noch vor dem Ende des Verfahrens vor der belangten Behörde, ihren Informationspflichten gemäß Art. 13 und 14 DSGVO nachgekommen ist.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt, dem gegenständlichen Gerichtsakt und aus dem Gerichtsakt W258 2217446-1 (dessen Gegenstand ebenfalls die Verarbeitung von Parteiaffinitäten durch die Erstbeschwerdeführerin war) und sind unstrittig.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerden wurden fristwahrend erhoben und es liegen hinsichtlich der Erstbeschwerdeführerin auch die sonstigen Prozessvoraussetzungen vor.

Hinsichtlich der Zweitbeschwerdeführerin ist auszuführen, dass Prozessvoraussetzung für die Führung von Verfahren vor Verwaltungsgerichten unter anderem das Bestehen eines Rechtsschutzinteresses ist. Dieses besteht im objektiven Interesse des Beschwerdeführers an der Beseitigung des angefochtenen, ihn beschwerenden Verwaltungsaktes. Es wird immer dann zu verneinen sein, wenn es für die Rechtsstellung des Beschwerdeführers keinen Unterschied mehr macht, ob der angefochtene Bescheid aufrecht bleibt oder aufgehoben wird bzw. wenn die Erreichung des Verfahrenszieles für den Beschwerdeführer keinen objektiven Nutzen hat, die aufgeworfenen Rechtsfragen soweit nur (mehr) theoretische Bedeutung besitzen. Im Falle des Fehlens des Rechtsschutzinteresses ist die Beschwerde zurückzuweisen (VwGH 27.7.2017, Ra 2017/07/0014).

Mit Bescheid der belangten Behörde vom 06.09.2019, Zl. DSB-D205.179/0001-DSB/2019 wurde der Beschwerde der Zweitbeschwerdeführerin teilweise stattgegeben und festgestellt, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt habe, indem sie Daten betreffend deren „Parteiaffinität“ verarbeite (Spruchpunkt 1.) sowie der Erstbeschwerdeführerin bei sonstiger Exekution aufgetragen, die Daten zur „Parteiaffinität“ unverzüglich aber längstens binnen zwei Wochen zu löschen (Spruchpunkt 2.). Der Antrag der Erstbeschwerdeführerin, das gegenständliche Verfahren bis zu einer Entscheidung des Bundesverwaltungsgerichtes auszusetzen, wurde zurückgewiesen (Spruchpunkt 3.), in den Punkten der begehrten Feststellung, § 151 GewO sei rechtswidrig, unionsrechtswidrig sowie unverhältnismäßig, wurde die Beschwerde mangels Zuständigkeit zurückgewiesen (Spruchpunkt 4.). Das Vorbringen, die belangte Behörde möge feststellen, die Erstbeschwerdeführerin habe gegen ihre Informationspflichten verstoßen, wurde abgewiesen (Spruchpunkt 5.).

Hierzu ist vorweg festzuhalten, dass Sache des gegenständlichen Verwaltungsverfahrens nur jene Angelegenheit ist, die den Inhalt des Spruchs der belangten Behörde gebildet hat. Die Sache des Verwaltungsverfahrens begrenzt jedenfalls die Prüfungsbefugnis des Verwaltungsgerichtes (VwGH 17.12.2014, Ra 2014/03/0038). Im vorliegenden Fall hat die belangte Behörde nur über die Verletzung des Rechtes auf Geheimhaltung der Zweitbeschwerdeführerin in Bezug auf die Verarbeitung der „Parteiaffinität“ abgesprochen. Es ist dem Bundesverwaltungsgericht daher – bei sonstiger Rechtswidrigkeit des Erkenntnisses (VwGH 30.6.2016, Ra 2016/11/0044) - jedenfalls verwehrt, darüber abzusprechen, ob die Zweitbeschwerdeführerin – soweit von ihr allenfalls vorgebracht - durch die Verarbeitung anderer Marketingklassifikation ebenfalls in ihrem Recht auf Geheimhaltung verletzt ist. Diesbezüglich wäre die Zweitbeschwerdeführerin wiederum an die belangte Behörde zu verweisen.

Im vorliegenden Fall erhob die Zweitbeschwerdeführerin trotz der stattgebenden Entscheidung der belangten Behörde in Bezug auf die festgestellte Verletzung im Recht auf Geheimhaltung durch die mitbeteiligte Partei (Spruchpunkt 1.) Bescheidbeschwerde an das Bundesverwaltungsgericht und führte aus, dass sie sich als in ihren Rechten verletzt erachte. Die Zweitbeschwerdeführerin stellte in ihrer Bescheidbeschwerde den Antrag, das Bundesverwaltungsgericht möge den angefochtenen Bescheid abändern und feststellen, dass ihre personenbezogenen Daten durch die mitbeteiligte Partei iSd § 151 GewO ausschließlich auf Grundlage von Art. 6 bzw. 9 DSGVO verarbeitet werden dürften und wandte sich mit diesem Antrag erkennbar gegen Spruchpunkt 1. des angefochtenen Bescheides. Voraussetzung für die Zulässigkeit der Beschwerde ist jedoch – wie oben ausgeführt – das Bestehen eines Rechtsschutzinteresses. Wie die belangte Behörde zutreffend ausgeführt hat, ist die Zweitbeschwerdeführerin aber durch Spruchpunkt 1. des angefochtenen Bescheides nicht in ihrem Recht auf Geheimhaltung verletzt. Das mit der erhobenen Datenschutzbeschwerde vom 15.12.2018 angestrebte Ziel, nämlich die Feststellung der Verletzung des Rechtes auf Geheimhaltung der Zweitbeschwerdeführerin durch die mitbeteiligte Partei, wurde (jedenfalls im Hinblick auf die Verarbeitung der Parteiaffinität) durch den stattgebenden Ausspruch der belangten Behörde in Spruchpunkt 1. des angefochtenen Bescheids bereits erreicht. Die Zweitbeschwerdeführerin kann daher kein objektives Interesse an der Beseitigung dieses Spruchpunktes haben, ein zusätzlicher Anspruch darauf, dass die von der Zweitbeschwerdeführerin aufgeworfene Rechtsfrage gelöst wird, indem festgestellt wird, dass ihre personenbezogenen Daten durch die mitbeteiligte Partei iSd § 151 GewO ausschließlich auf Grundlage von Art. 6 bzw. 9 DSGVO verarbeitet werden dürfen, besteht nicht, da diese Rechtsfrage soweit nur (mehr) theoretische Bedeutung besitzt (vgl. abermals VwGH 27.7.2017, Ra 2017/07/0014).

Insofern war auch der Anregung der Zweitbeschwerdeführerin, dem EuGH diesbezüglich Fragen zur Vorabentscheidung gemäß Art. 267 AEUV vorzulegen, nicht zu folgen. Auch die von der Beschwerdeführerin behauptete Nichtbehandlung von Anträgen durch die belangte Behörde geht vor diesem Hintergrund ins Leere, da die Anträge allesamt auf die Feststellung der Verletzung der Beschwerdeführerin im Recht auf Geheimhaltung durch die mitbeteiligte Partei abzielen, jedoch – wie bereits ausgeführt- das von der Beschwerdeführerin mit der erhobenen Datenschutzbeschwerde vom 15.12.2018 angestrebte Ziel, nämlich die Feststellung der Verletzung des Rechtes auf Geheimhaltung, durch den stattgebenden Ausspruch der belangten Behörde in Spruchpunkt 1. des angefochtenen Bescheids, bereits erreicht wurde.

Die Bescheidbeschwerde der Zweitbeschwerdeführerin war daher – soweit sie sich gegen Spruchpunkt 1. des angefochtenen Bescheides richtete - wegen Fehlen des Rechtsschutzinteresses als unzulässig zurückzuweisen.

Festzuhalten ist, dass die Zweitbeschwerdeführerin formell gegen den gesamten Bescheid Beschwerde an das Bundesverwaltungsgericht erhoben hat, die Beschwerde inhaltlich jedoch nur Ausführungen gegen die Spruchpunkte 1., 4. und 5. des angefochtenen Bescheides enthält und sich daher aus der Gesamtheit der Beschwerdeschrift ergibt, dass sich die Beschwerde nur gegen die Spruchpunkte 1., 4. und 5. richtet, zumal die Beschwerdeführerin durch die Spruchpunkte 2. und 3. des angefochtenen Bescheides nicht beschwert ist (vgl. dazu die obigen Ausführungen).

3.3. In der Sache

3.3.1 Rechtslage:

Die belangte Behörde hat ihrem Bescheid (sofern für die gegenständlichen Beschwerdeverfahren relevant) die folgenden Rechtsgrundlagen zugrunde gelegt: §§ 1 Abs. 1, und 4 Abs. 1 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 4 Z 1, 6 Abs. 1 lit. c, 9, 58 Abs. 2 lit. f und 77 Abs. 1 der Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung (DSGVO), ABl. L 119 vom 4.5.2016, S.1 sowie § 151 der Gewerbeordnung 1994 (GewO 1994), BGBl. Nr. 194/1994 idgF.

Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen, darüber hinaus sind die Bestimmungen des § 24 Abs. 1 und 6 DSG, Art. 6 Abs. 1 lit. f, 13, 14 und 57 Abs. 1 lit. f DSGVO, Art. 89 Abs. 1 und 2 B-VG und Art. 267 AEUV relevant.

§ 1 Abs. 1 DSG lautet:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.“

§ 4 Abs. 1 DSG lautet:

„§ 4. (1) Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.“

§ 24 Abs. 1, 5 und 6 DSG lauten:

„§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.“

Art. 4 Z 1 DSGVO lautet:

„Art. 4 DSGVO

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;“

Art. 6 Abs. 1 lit. a, c und f DSGVO lauten:

„Art. 6 DSGVO

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“

Art. 9 DSGVO lautet:

„Art. 9 DSGVO

Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,

b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,

c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,

d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,

e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,

h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,

i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder

j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.

(3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

(4) Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.“

Die – soweit relevanten – Erwägungsgründe, insbesondere zu Art 9 DSGVO der DSGVO, lauten:

„(46) Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person oder einer anderen natürlichen Person zu schützen. […] Einige Arten der Verarbeitung können sowohl wichtigen Gründen des öffentlichen Interesses als auch lebenswichtigen Interessen der betroffenen Person dienen; so kann beispielsweise die Verarbeitung für humanitäre Zwecke einschließlich der Überwachung von Epidemien und deren Ausbreitung oder in humanitären Notfällen insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen erforderlich sein.

(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. […] Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.

(51) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Diese personenbezogenen Daten sollten personenbezogene Daten umfassen, aus denen die rassische oder ethnische Herkunft hervorgeht, wobei die Verwendung des Begriffs „rassische Herkunft“ in dieser Verordnung nicht bedeutet, dass die Union Theorien, mit denen versucht wird, die Existenz verschiedener menschlicher Rassen zu belegen, gutheißt. Die Verarbeitung von Lichtbildern sollte nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden, da Lichtbilder nur dann von der Definition des Begriffs „biometrische Daten“ erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Derartige personenbezogene Daten sollten nicht verarbeitet werden, es sei denn, die Verarbeitung ist in den in dieser Verordnung dargelegten besonderen Fällen zulässig, wobei zu berücksichtigen ist, dass im Recht der Mitgliedstaaten besondere Datenschutzbestimmungen festgelegt sein können, um die Anwendung der Bestimmungen dieser Verordnung anzupassen, damit die Einhaltung einer rechtlichen Verpflichtung oder die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, möglich ist. Zusätzlich zu den speziellen Anforderungen an eine derartige Verarbeitung sollten die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten. Ausnahmen von dem allgemeinen Verbot der Verarbeitung dieser besonderen Kategorien personenbezogener Daten sollten ausdrücklich vorgesehen werden, unter anderem bei ausdrücklicher Einwilligung der betroffenen Person oder bei bestimmten Notwendigkeiten, insbesondere wenn die Verarbeitung im Rahmen rechtmäßiger Tätigkeiten bestimmter Vereinigungen oder Stiftungen vorgenommen wird, die sich für die Ausübung von Grundfreiheiten einsetzen.

(52) Ausnahmen vom Verbot der Verarbeitung besonderer Kategorien von personenbezogenen Daten sollten auch erlaubt sein, wenn sie im Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen sind, und — vorbehaltlich angemessener Garantien zum Schutz der personenbezogenen Daten und anderer Grundrechte — wenn dies durch das öffentliche Interesse gerechtfertigt ist, insbesondere für die Verarbeitung von personenbezogenen Daten auf dem Gebiet des Arbeitsrechts und des Rechts der sozialen Sicherheit einschließlich Renten und zwecks Sicherstellung und Überwachung der Gesundheit und Gesundheitswarnungen, Prävention oder Kontrolle ansteckender Krankheiten und anderer schwerwiegender Gesundheitsgefahren. Eine solche Ausnahme kann zu gesundheitlichen Zwecken gemacht werden, wie der Gewährleistung der öffentlichen Gesundheit und der Verwaltung von Leistungen der Gesundheitsversorgung, insbesondere wenn dadurch die Qualität und Wirtschaftlichkeit der Verfahren zur Abrechnung von Leistungen in den sozialen Krankenversicherungssystemen sichergestellt werden soll, oder wenn die Verarbeitung im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken dient. Die Verarbeitung solcher personenbezogenen Daten sollte zudem ausnahmsweise erlaubt sein, wenn sie erforderlich ist, um rechtliche Ansprüche, sei es in einem Gerichtsverfahren oder in einem Verwaltungsverfahren oder einem außergerichtlichen Verfahren, geltend zu machen, auszuüben oder zu verteidigen.

(55) Auch die Verarbeitung personenbezogener Daten durch staatliche Stellen zu verfassungsrechtlich oder völkerrechtlich verankerten Zielen von staatlich anerkannten Religionsgemeinschaften erfolgt aus Gründen des öffentlichen Interesses.“

Art. 13 DSGVO lautet:

„Art. 13 DSGVO

Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person

(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und

f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.“

Art. 14 DSGVO lautet:

„Art. 14 DSGVO

Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden

(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) die Kategorien personenbezogener Daten, die verarbeitet werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;

g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2

a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,

b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,

c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.

(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

a) die betroffene Person bereits über die Informationen verfügt,

b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,

c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder

d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.“

Art. 57 Abs. 1 lit. f DSGVO lautet:

„Art. 57 DSGVO

Aufgaben

(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet

f) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 80 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;“

Art. 77 Abs. 1 DSGVO lautet:

„Art. 77 DSGVO

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

§ 151 GewO 1994 samt Überschrift lautet:

„2. Freie Gewerbe

Adressverlage und Direktmarketingunternehmen

§ 151. (1) Auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden sind die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 199 vom 4.5.2016 S 1, (im Folgenden: DSGVO), sowie des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I. Nr. 165/1999, in der Fassung des Bundesgesetzes BGBl. I. Nr. 120/2017, anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

(2) Die Tätigkeit als Mittler zwischen Inhabern und Nutzern von Kunden- und Interessentendateisystemen (Listbroking) ist den in Abs. 1 genannten Gewerbetreibenden vorbehalten.

(3) Die in Abs. 1 genannten Gewerbetreibenden sind berechtigt, für ihre Tätigkeiten gemäß Abs. 1 und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für

1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder

2. das Listbroking

erforderlich und gemäß Abs. 4 und 5 zulässig ist.

(4) Soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO betroffen sind, dürfen diese von den in Abs. 1 genannten Gewerbetreibenden verarbeitet werden, sofern ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung dieser Daten für Marketingzwecke Dritter vorliegt. Die Ermittlung und Weiterverarbeitung besonderer Kategorien personenbezogener Daten aus Kunden- und Interessentendateisystemen Dritter auf Grund eines solchen Einverständnisses ist nur im Umfang des Abs. 5 und nur soweit zulässig, als der Inhaber des Dateisystems gegenüber dem Gewerbetreibenden nach Abs. 1 schriftlich unbedenklich erklärt hat, dass die betroffenen Personen mit der Verarbeitung ihrer Daten für Marketingzwecke Dritter ausdrücklich einverstanden waren. Strafrechtlich relevante Daten im Sinne des Art. 10 DSGVO dürfen von Gewerbetreibenden nach Abs. 1 für Marketingzwecke nur gemäß § 4 Abs. 3 DSG oder bei Vorliegen einer ausdrücklichen Einwilligung verarbeitet werden.

(5) Soweit keine Einwilligung der betroffenen Personen gemäß Art. 4 Z 11 DSGVO zur Übermittlung ihrer Daten für Marketingzwecke Dritter vorliegt, dürfen die in Abs. 1 genannten Gewerbetreibenden aus einem Kunden- und Interessentendateisystem eines Dritten nur die Daten

1. Namen,

2. Geschlecht,

3. Titel,

4. akademischer Grad,

5. Anschrift,

6. Geburtsdatum,

7. Berufs-, Branchen- oder Geschäftsbezeichnung und

8. Zugehörigkeit der betroffenen Person zu diesem Kunden- und Interessentendateisystem

ermitteln. Voraussetzung hiefür ist – soweit nicht die strengeren Bestimmungen des Abs. 4 Anwendung finden –, dass der Inhaber des Dateisystems dem Gewerbetreibenden nach Abs. 1 gegenüber schriftlich unbedenklich erklärt hat, dass die betroffenen Personen in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen, und dass keine Untersagung erfolgt ist.

(6) Gewerbetreibende nach Abs. 1 dürfen für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte nur dann übermitteln, wenn diese unbedenklich erklären, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden werden.

(7) Gewerbetreibende nach Abs. 1 haben Aussendungen im Zuge von Marketingaktionen, die sie mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten personenbezogenen Daten durchführen, so zu gestalten, dass durch entsprechende Kennzeichnung des ausgesendeten Werbematerials die Identität der Verantwortlichen jener Dateisysteme, mit deren Daten die Werbeaussendung adressiert wurde (Ursprungsdateisysteme), nachvollziehbar ist; soweit Gewerbetreibende nach Abs. 1 an Werbeaussendungen nur durch Zurverfügungstellung oder Vermittlung von Daten mitwirken, haben sie durch entsprechenden Hinweis an die für die Werbeaussendung Verantwortlichen darauf hinzuwirken, dass die Identität der Verantwortlichen der benutzten Ursprungsdateisysteme nachvollziehbar ist. Für Gewerbetreibende nach Abs. 1 gilt, wenn sie die Aussendung mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten Daten selbst durchgeführt haben, – unbeschadet ihrer allfälligen Auskunftsverpflichtungen als Verantwortliche –, Art. 15 DSGVO mit der Maßgabe, dass sie auf Grund eines innerhalb von drei Monaten nach der Werbeaussendung gestellten Auskunftsbegehrens anhand der von der betroffenen Person zur Verfügung gestellten Informationen über die Werbeaussendung zur Auskunftserteilung nur über die Verantwortlichen der Ursprungsdateisysteme verpflichtet sind; haben sie an der Aussendung nur durch Zurverfügungstellung oder Vermittlung von Daten mitgewirkt, so haben sie nach Möglichkeit zur Auffindung der Verantwortlichen der Ursprungsdateisysteme beizutragen. Bei nicht ordnungsgemäßer Erfüllung der Kennzeichnungspflicht durch Gewerbetreibende nach Abs. 1 genügt die Stellung eines fristgerechten Auskunftsbegehrens an den Werbenden zur Wahrung des Auskunftsrechts gegenüber dem Gewerbetreibenden nach Abs. 1.

(8) Stellt die betroffene Person an einen Gewerbetreibenden nach Abs. 1 ein Begehren auf Löschung von Daten, die dieser für Zwecke von Marketingaktionen über sie gespeichert hat, so hat dieser dem Begehren der betroffenen Person unverzüglich, in jedem Fall innerhalb von einem Monat kostenlos zu entsprechen (Art. 12 Abs. 3 DSGVO). Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Soweit die betroffene Person – nach entsprechender Information über die möglichen Folgen einer physischen Löschung ihrer Daten – auf der physischen Löschung ihrer Daten nicht besteht, hat die Löschung in Form einer Sperrung der Verwendung dieser Daten für Marketingaussendungen zu erfolgen.

(9) Der Fachverband Werbung und Marktkommunikation der Wirtschaftskammer Österreich hat eine Liste zu führen, in welcher Personen kostenlos einzutragen sind, die die Zustellung von Werbematerial für sich ausschließen wollen. Die Liste ist mindestens monatlich zu aktualisieren und den Gewerbetreibenden nach Abs. 1 zur Verfügung zu stellen. Gewerbetreibende nach Abs. 1 dürfen an die in dieser Liste eingetragenen Personen keine adressierten Werbemittel versenden oder verteilen und deren Daten auch nicht vermitteln. Die in der Liste enthaltenen Daten dürfen ausschließlich zum Zweck des Unterbindens der Zusendung von Werbemitteln verwendet werden.

(10) Inhaber von Kunden- und Interessentendateisystemen dürfen personenbezogene Daten aus diesen Dateisystemen an Gewerbetreibende nach Abs. 1 für Marketingzwecke Dritter nur übermitteln und insbesondere auch für Listbroking nur zur Verfügung stellen, wenn sie die betroffenen Personen in geeigneter Weise darüber informiert haben, dass sie die Verarbeitung dieser Daten für Marketingzwecke Dritter untersagen können, und wenn keine Untersagung erfolgt ist; besondere Kategorien personenbezogener Daten und strafrechtlich relevante Daten dürfen unter den in Abs. 4 genannten Voraussetzungen an Gewerbetreibende nach Abs. 1 übermittelt und für Listbroking zur Verfügung gestellt werden. Auf die Möglichkeit der Untersagung ist ausdrücklich und schriftlich hinzuweisen, wenn Daten schriftlich von der betroffenen Person ermittelt werden. Die Untersagung der Übermittlung hat auf ein Vertragsverhältnis zwischen der betroffenen Person und dem Inhaber des Kunden- und Interessentendateisystems keinen Einfluss.

(11) Das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO kann gegenüber den in Abs. 1 genannten Gewerbetreibenden auch durch Eintragung in die im Abs. 9 bezeichnete Liste erfolgen.

Art. 267 AEUV lautet:

„Art. 267

(ex-Artikel 234 EGV)

Der Gerichtshof der Europäischen Union entscheidet im Wege der Vorabentscheidung

a) über die Auslegung der Verträge,

b) über die Gültigkeit und die Auslegung der Handlungen der Organe, Einrichtungen oder sonstigen Stellen der Union,

Wird eine derartige Frage einem Gericht eines Mitgliedstaats gestellt und hält dieses Gericht eine Entscheidung darüber zum Erlass seines Urteils für erforderlich, so kann es diese Frage dem Gerichtshof zur Entscheidung vorlegen.

Wird eine derartige Frage in einem schwebenden Verfahren bei einem einzelstaatlichen Gericht gestellt, dessen Entscheidungen selbst nicht mehr mit Rechtsmitteln des innerstaatlichen Rechts angefochten werden können, so ist dieses Gericht zur Anrufung des Gerichtshofs verpflichtet.

Wird eine derartige Frage in einem schwebenden Verfahren, das eine inhaftierte Person betrifft, bei einem einzelstaatlichen Gericht gestellt, so entscheidet der Gerichtshof innerhalb kürzester Zeit.“

Artikel 89 Abs. 1 und 2 B-VG lauten:

„Artikel 89. (1) Die Prüfung der Gültigkeit gehörig kundgemachter Verordnungen, Kundmachungen über die Wiederverlautbarung eines Gesetzes (Staatsvertrages), Gesetze und Staatsverträge steht, soweit in den folgenden Absätzen nicht anderes bestimmt ist, den ordentlichen Gerichten nicht zu.

(2) Hat ein ordentliches Gericht gegen die Anwendung einer Verordnung aus dem Grund der Gesetzwidrigkeit, einer Kundmachung über die Wiederverlautbarung eines Gesetzes (Staatsvertrages) aus dem Grund der Gesetzwidrigkeit, eines Gesetzes aus dem Grund der Verfassungswidrigkeit oder eines Staatsvertrages aus dem Grund der Rechtswidrigkeit Bedenken, so hat es den Antrag auf Aufhebung dieser Rechtsvorschrift beim Verfassungsgerichtshof zu stellen.“

3.3.2. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes:

3.3.2.1. Zur Beschwerde der Erstbeschwerdeführerin

Gemäß Art. 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen u.a. politische Meinungen hervorgehen, untersagt, sofern nicht eine der Ausnahmen des Abs. 2 vorliegt.

Die belangte Behörde hat in Spruchpunkt 1. des bekämpften Bescheides festgestellt, dass die Erstbeschwerdeführerin die Zweitbeschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat, indem sie Daten betreffend deren Parteiaffinität verarbeitet. Begründend hielt die belangte Behörde zusammengefasst und unter Berufung auf das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO fest, dass die Verarbeitung von Daten zur „Parteiaffinität“ durch die Erstbeschwerdeführerin als Verarbeitung personenbezogener Daten, aus denen die politische Meinung hervorgeht, zu qualifizieren sei, die mangels Einwilligung der Zweitbeschwerdeführerin, einer Ausnahme in Sinne des Abs 2 leg cit, rechtswidrig gewesen sei.

Die Erstbeschwerdeführerin hält dem zusammengefasst entgegen, dass Art. 9 DSGVO nicht anwendbar sei, weil es sich bei den von ihr generierten und (u.a.) der Zweitbeschwerdeführerin zugeschriebenen Angaben zur Parteiaffinität um Wahrscheinlichkeitswerte handle, die weder personenbezogene Daten noch Informationen seien, aus denen politische Meinungen hervorgehen würden.

Dem kann ausfolgenden Gründen nicht beigetreten werden, wobei sich das Bundesverwaltungsgericht im vorliegenden Fall den tragenden Erwägungen des Bundesverwaltungsgerichtes in den Teilerkenntnissen vom 20.08.2020, GZ W258 2217446-1/15E, und 26.11.2020, GZ W258 2217446-1/35E, anschließt:

Zur Qualifikation der Daten zur „Parteiaffinität“ als personenbezogene Daten:

Gemäß Art 4 Z 1 DSGVO handelt es sich bei „personenbezogenen Daten“ um alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen.

Der Anwendungsbereich der DSGVO ist dabei sehr weit und die von ihr erfassten personenbezogenen Daten sind vielfältig. In der Verwendung des Ausdrucks „alle Informationen“ kommt nämlich das Ziel des Unionsgesetzgebers zum Ausdruck, dem Begriff der „personenbezogenen Daten“ eine weite Bedeutung beizumessen. Er umfasst alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt.

Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten oder bestimmbaren Person verknüpft ist (siehe zum Ganzen das noch zur Datenschutzrichtlinie 95/46/EG („DS-RL“) ergangene Urteil EuGH 22.06.2017, C-434/16 , NOWAK Rz 33, dessen Aussagen auf Grund der im Englischen gleichlautenden Definition des Begriffs „personenbezogene Daten“ in Art 2 lit a DS-RL und in Art 4 Z 1 DSGVO auch für die DSGVO übernommen werden können (so auch Klar/Kühling in Kühling/Buchner (Hrsg), DSGVO² Art 4 Rz 2)).

Die Artikel-29-Datenschutzgruppe, der Vorläufer des Europäischen Datenschutzausschusses, definiert das vom EuGH genannte Inhalts-, Zweck- und Auswirkungserfordernis näher (Analyse der Definition für personenbezogene Daten nach der Stellungnahme 4/2007 zum Begriff „personenbezogene Daten“ der Artikel-29-Datenschutzgruppe, angenommen am 20.06.2007, 01248/07/DE WP 136; zur sinngemäßen Übertragbarkeit auf die DSGVO siehe – auch wenn die Stellungnahme nicht ausdrücklich vom Datenschutzausschuss als auf die DSGVO allgemein übertragbar anerkannt worden ist (Endorsement 1/2018 vom 25.05.2018 des Europäischer Datenschutzausschuss) – oben; vgl dazu auch Karg in Simitis/Hornug/Spiecker (Hrsg), Datenschutzrecht (2019) Art 4 Nr 1 Rz 33 ff und Klabunde in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 4 Rz 10 f):

Das „Inhaltselement“ ist immer dann vorhanden, wenn – nach dem allgemein üblichen Verständnis des Wortes „beziehen“ – Informationen über eine bestimmte Person gegeben werden, und zwar unabhängig vom Zweck aufseiten des für die Verarbeitung Verantwortlichen oder eines Dritten oder von den Auswirkungen dieser Information auf die betroffene Person. Informationen „beziehen“ sich auf eine Person, wenn es sich um Informationen „über“ diese Person handelt, was unter Berücksichtigung aller Begleitumstände zu beurteilen ist.

Das „Zweckelement“ gilt als gegeben, wenn die Daten unter Berücksichtigung aller Begleitumstände mit dem Zweck verwendet werden bzw verwendet werden könnten, eine Person zu beurteilen, in einer bestimmten Weise zu behandeln oder ihre Stellung oder ihr Verhalten zu beeinflussen.

Zum „Auswirkungserfordernis“ wird ausgeführt, dass Daten als „personenbezogen“ angesehen werden können, wenn sich ihre Verwendung unter Berücksichtigung aller jeweiligen Begleitumstände auf die Rechte und Interessen einer bestimmten Person auswirken könnte. Es muss sich bei dem möglichen Ergebnis nicht um nachhaltige Auswirkungen handeln. Es reicht aus, wenn die Person aufgrund der Verarbeitung solcher Daten anders als andere Personen behandelt werden könnte.

Die Erstbeschwerdeführerin verknüpfte nun im Ergebnis die Person der Zweitbeschwerdeführerin mit der Wahrscheinlichkeit, mit der diese ein Interesse an Werbung einer bestimmten Partei habe („Parteiaffinität“). Die Wahrscheinlichkeitswerte gründeten dabei auf – von der Erstbeschwerdeführerin mittels Meinungsumfragen ermittelten – statistischen Zusammenhängen zwischen bestimmten soziodemographischen und regionalen Eigenschaften einerseits und dem Interesse an Wahlwerbung bestimmter politischer Parteien andererseits.

Die Verknüpfung der Parteiaffinität mit einer einzelnen Person erfüllt dabei das Inhaltselement. So enthält, auch wenn die tatsächliche politische Meinung der Zweitbeschwerdeführerin nicht bekannt ist, die Parteiaffinität – entgegen den Ausführungen der Erstbeschwerdeführerin – eine unmittelbare Aussage über die konkrete Person der Zweitbeschwerdeführerin, nämlich, mit welcher Wahrscheinlichkeit sie sich für Werbung von einer bestimmten politischen Partei interessiert. Diese Aussage ist, auch wenn sie auf Grund der Ermittlungsmethode einer statistischen Schwankungsbreite unterliegt, nicht völlig zufällig, sondern leitet sich aus Korrelationen ab, die aus Meinungsumfragen gewonnen worden sind. Es handelt sich um eine statistisch fundierte Einschätzung der Person der Zweitbeschwerdeführerin in Bezug auf ihr Interesse an Werbung für eine bestimmte politische Partei.

Auch das „Zweckelement“ ist erfüllt: Die Information „Parteiaffinität“ sollte und konnte dazu verwendet werden, Streuverluste in der Werbung zu vermeiden, dh Personen wie die Zweitbeschwerdeführerin auf bestimmte Weise zu behandeln, die je nach der ermittelten Parteiaffinität Werbung für eine bestimmte Partei erhalten oder nicht erhalten.

Damit ist auch das „Auswirkungserfordernis“ erfüllt. Die betroffenen Personen könnten je nach der ihnen jeweils zugeordneten „Parteiaffinitäten“ anders behandelt werden, indem sie Werbung über eine bestimmte Partei erhalten oder nicht erhalten.

Diese Ansicht wird durch eine aktuelle Entscheidung des OGH gestützt, in welcher der erkennende Senat ebenfalls davon ausging, dass die „Parteiaffinitäten“ personenbezogene Daten sind und dem Regime der DSGVO unterliegen, da sie dem Betroffenen direkt zugeordnet sind und eine Wahrscheinlichkeitsaussage über bestimmte Interessen und Vorlieben des Betroffenen enthalten (siehe OGH vom 18.02.2021, 6 Ob 127/20z, Rz 19).

Bei der Datenart „Parteiaffinität“ handelt es sich somit um personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO.

Daran vermögen auch die Ausführungen der Erstbeschwerdeführerin nichts zu ändern:

Das Argument der Erstbeschwerdeführerin, wonach sie keine Informationen über eine bestimmte Person ermittle und die von ihr ermittelte „Parteiaffinität“ mit Auswertungen der Statistik Austria, wie Durchschnittseinkommen in einem bestimmten mikrogeografischen Raster, vergleichbar wäre, die nicht als personenbezogene Daten angesehen werden, kann nicht überzeugen. So richtete sich der bekämpfte Bescheid nicht gegen die Ermittlung der – nicht personenbezogenen – Zusammenhänge zwischen soziodemographischen Daten bzw. dem Wohnort und dem Interesse an Wahlwerbung von bestimmten Parteien. Verfahrensgegenständlich ist die Anwendung dieser Zusammenhänge auf die Zweitbeschwerdeführerin und die Verknüpfung der sich ergebenden „Parteiaffinitäten“ mit dieser. Die Statistik Austria nimmt gerade keine Verknüpfung der von ihr generierten Informationen mit bestimmten oder bestimmbaren natürlichen Personen vor und es sollen auf Grund dieser Informationen natürliche Personen weder unterschiedlich behandelt werden noch werden sie unterschiedlich behandelt.

Die Erstbeschwerdeführerin bringt weiters vor, die Daten seien dem Grunde nach nicht berichtigungsfähig, weshalb nicht alle Betroffenenrechte ausübbar wären. Sie könnten daher nicht der DSGVO unterstellt werden. Andernfalls würde eine Teilmenge von Datenarten geschaffen werden, die nicht allen Betroffenenrechten zugänglich wäre. Dieses Konzept sei der DSGVO fremd; es sei weder durch ihren Wortlaut noch durch ihre Erwägungsgründe gedeckt.

Die Erstbeschwerdeführerin schließt damit von der vermeintlichen Tatsache, dass die „Parteiaffinität“ – als Wahrscheinlichkeitswert – nicht berichtigungsfähig sei und damit einer Berichtigung nach Art 16 DGVO nicht zugänglich wäre, darauf, dass damit die „Parteiaffinität“ dem gesamten Anwendungsbereich der DSGVO entzogen wäre. Abgesehen davon, dass aus einer Nichtanwendbarkeit bestimmter Bestimmungen der DSGVO nicht der Schluss gezogen werden kann, dass damit die gesamte DSGVO nicht anwendbar ist, übersieht die Erstbeschwerdeführerin mit dieser Argumentation, dass die „Parteiaffinität“ sehr wohl einer Berichtigung zugänglich ist. Zwar kann sie nicht durch ein allfälliges tatsächlich anderes Interesse des Betroffenen an Werbung für bestimmte politische Parteien berichtigt werden. Das ist aber nicht erforderlich. Die Richtigkeit personenbezogener Daten ist nämlich im Hinblick auf den Zweck zu beurteilen, für den die Daten erhoben wurden (Art 5 Abs. 1 lit. d DSGVO arg „in Hinblick auf die Zwecke ihrer Verarbeitung“; EuGH 22.06.2017, C-434/16 , NOWAK Rz 53). Der Zweck der Ermittlung der „Parteiaffinität“ liegt nun gerade nicht darin, die Interessen betroffener Personen an Werbung von einer bestimmten Person konkret zu bestimmen, sondern lediglich darin, sie statistisch fundiert einzuschätzen. Es ist daher lediglich erforderlich, dass etwaige Fehler bei der Einschätzung, wie die Verwendung unrichtiger soziodemographischer Daten oder Fehler bei der Zuordnung des Betroffenen zu einer bestimmten Marketinggruppe, berichtigt werden können. Eine derartige Berichtigung ist durch eine neuerliche – korrekte – Bestimmung der „Parteiaffinität“ möglich. (siehe dazu auch den vergleichbaren Fall der Berichtigungsfähigkeit von Antworten auf Prüfungsfragen EuGH 22.06.2017, C-434/16 , NOWAK Rz 46 ff)

Die Erstbeschwerdeführerin beruft sich weiters auf § 151 GewO, dessen Struktur dafürspreche, dass es sich bei Marketingklassifikationen nicht um personenbezogene Daten handle. Demnach werde in § 151 Abs. 4 und 5 die Zulässigkeit der Verwendung von personenbezogenen Daten für Zwecke des Adresshandels und Direktmarketings geregelt während in § 151 Abs. 6 GewO die Zulässigkeit der Verwendung von Marketingklassifikationen geregelt werde. Weil in Abs. 6 von Marketingklassifikationen und nicht von personenbezogenen Daten gesprochen werde und sich Abs. 6 nicht auf die Abs. 4 und 5 beziehe, sehe der Gesetzgeber Marketingklassifikationen nicht als personenbezogene Daten an. Andernfalls bliebe für die Anwendung des Abs. 6 kein Raum, was dem Gesetzgeber nicht unterstellt werden könne.

Diese Argumentation übersieht, dass der Begriff „personenbezogene Daten“ in Art 4 Abs. 1 Z 1 DSGVO, d.h. einer europarechtlichen Norm, die unmittelbar in den Mitgliedstaaten anwendbar ist, definiert wird. Mangels einer entsprechenden Öffnungsklausel ist er europarechtlich autonom auszulegen und es kann zu seiner Definition bzw. Interpretation nicht auf Rechtsvorschriften der Mitgliedstaaten, hier § 151 GewO, zurückgegriffen werden.

Dem Einwand der Erstbeschwerdeführerin, wonach die Parteiaffinitäten nicht Betroffenen zugeordnet, sondern Betroffene in Marketinggruppen eingeordnet werden (woraus sich dann die Parteiaffinität ergibt), ist entgegen zu halten, dass es für die Annahme eines personenbezogenen Datums ausreicht, wenn zwischen der betroffenen Person und der Information eine qualifizierte Verknüpfung besteht (EuGH 22.06.2017, C-434/16 , NOWAK Rz 33). In welcher „Richtung“ die Verknüpfung erfolgt, ob also die Person der Information zugeordnet oder die Information der Person zugeordnet wird, ist dabei ebenso ohne Bedeutung wie die Frage, ob sich die Zuordnung erst mittelbar über die Einordnung in eine Marketinggruppe, deren Mitgliedern bestimmte Eigenschaften zugeschrieben werden, ergibt.

Der Einwand der Erstbeschwerdeführerin, verschiedene Adressen der Betroffenen würden zu verschiedenen Parteiaffinitäten führen, zeigt zwar die Grenzen des verwendeten Algorithmus auf; dass er generell nicht geeignet wäre, ein Interesse Betroffener für die Werbung von wahlwerbenden Parteien abzuschätzen, vermag sie damit aber nicht darzutun.

Letztlich übersieht das Argument der Erstbeschwerdeführerin, dass im Fall, dass die „Parteiaffinität“ als personenbezogenes Datum gesehen wird, jede Wahlanalyse personenbezogene Daten generieren würde, dass bei derartigen Wahlanalysen gerade keine Zuordnung zu bestimmten Personen vorgenommen wird.

Zur Qualifikation der Daten zur „Parteiaffinität“ als besondere Kategorie personenbezogener Daten:

Das Verarbeitungsverbot des Art 9 Abs. 1 DSGVO gilt für besondere Kategorien von Daten, zu denen ua personenbezogene Daten gehören, aus denen politische Meinungen hervorgehen. Strittig ist, ob aus dem Datum, dass sich eine Person mit einer gewissen Wahrscheinlichkeit für Werbung über eine bestimmte politische Partei interessiert, die politische Meinung dieser Person im Sinne des Art 9 Abs. 1 DSGVO hervorgeht.

Die Erstbeschwerdeführerin argumentiert unter Wiedergabe zahlreicher Literaturmeinungen und Judikaten im Wesentlichen, sie würde lediglich berechnen, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemografischen und regionalen Eigenschaften für bestimmte politische Parteien von Werbeinteresse sind, wodurch weder eine Aussage über politische Anschauungen oder politische Mitgliedschaften noch eine Aussage über eine politische Meinung oder eine damit verbundene Tätigkeit erzeugt wird, und die „Parteiaffinität“ daher nicht als „politische Meinung“ im Sinne der zitierten Literatur qualifiziert werden könne. Dem ist nicht zu folgen.

Maßgeblich für die Interpretation des Art 9 DSGVO ist sein Schutzzweck (vgl. auch Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 19). Es ist zu fragen, wovor die Bestimmung die betroffenen Personen schützen möchte. Die Interpretation findet ihre Grenze im äußersten Wortsinn der Bestimmung.

Hintergrund des Art 9 Abs. 1 DSGVO ist, dass personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, einen besonderen Schutz verdienen, weil im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können (ErwGr 51 der DSGVO). Die genannten Datenarten weisen in der Regel ein hohes Schadens- und Diskriminierungspotential auf, welches sich immer wieder realisiert (vgl. Paal/Pauly, Datenschutzgrundverordnung Bundesdatenschutzgesetz3 Art 9 DSGVO Rz 6).

Art 9 DSGVO will daher vor den Gefahren schützen, die mit bestimmten Arten von personenbezogenen Daten üblicherweise verbunden sind.

Auf Grund des Wortlauts des Art 9 Abs. 1 DSGVO, wonach das Verbot die Verarbeitung als solche betrifft, kommt es dabei lediglich auf die grundsätzliche Eignung der Datenarten an, diese Gefahren auszulösen. Der konkrete Verarbeitungskontext, wie Zweck der Verarbeitung oder konkrete Verarbeitungsschritte, sind damit zur Beurteilung der Frage, ob ein personenbezogenes Datum unter eine der besonderen Kategorien von Daten einzuordnen ist, nicht zu berücksichtigen (bei mittelbar sensiblen Daten strittig; Verwendungszusammenhang verneinend bspw. Petri in Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht (2019) Art 9 Rz 12 unter Verweis auf Bergauer in Knyrim, Das neue Datenschutzrecht in Österreich, und wohl auch Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung² Art 9 Rz 2 f; aA Schulz in Gola. Art 9 Rz 13; Weichert in Kühling/Buchner (Hrsg), DSGVO3 Art 9 Rz 22).

Anzuknüpfen ist somit an der abstrakten Eignung bestimmter personenbezogener Daten, besonders nachteilige Folgen für betroffene Personen – im vorliegenden Fall die Zweitbeschwerdeführerin - auslösen zu können.

Welche Arten von personenbezogenen Daten das sind, bestimmt Art. 9 Abs. 1 DSGVO. Es muss sich u.a. um personenbezogene Daten handeln, aus denen die „politische Meinung“ der betroffenen Person hervorgeht.

Da bereits eine vermutete politische Meinung jene negativen Folgen für die betroffene Person auslösen kann, vor der Art. 9 DSGVO schützen möchte, ist es für die Annahme einer politischen Meinung ausreichend, wenn aus der Information eine solche Meinung mit hinreichender Wahrscheinlichkeit hervorgeht (Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 21). Gewissheit ist nicht erforderlich. Irrelevant ist auch, ob die Merkmalsangaben inhaltlich zutreffen (Weichert in Kühling/Buchner (Hrsg), DSGVO3 Art 9 Rz 24).

Ob aus personenbezogenen Daten die politische Meinung der betroffenen Person mit hinreichender Wahrscheinlichkeit hervorgeht, ist aus dem Umständen des Einzelfalls unter Berücksichtigung des Schutzzwecks der Norm zu beurteilen (in diesem Sinne auch Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 22).

Im gegenständlichen Fall wurde die Person der Zweitbeschwerdeführerin mit der Wahrscheinlichkeit verknüpft, Interesse an Werbung über bestimmte politische Parteien zu haben. Zwischen dem (wahrscheinlichen) Interesse an Werbung von einer bestimmten Partei und einem Interesse für diese politische Partei und damit an einer politischen Meinung besteht ein relevanter Zusammenhang:

Zwar kann aus einem niedrigen Wahrscheinlichkeitswert nicht auf eine politische Meinung geschlossen werden, kann sie doch in einem grundsätzlichen Desinteresse an Politik oder in der Ablehnung von Werbematerial gründen. Ähnliches gilt für einen hohen Wahrscheinlichkeitswert, der lediglich an einem generellen politischen Interesse liegen kann. Da aber „Parteiaffinitäten“ mehreren politischen Parteien zugeordnet werden, folgen aus dem Zusammenspiel zwischen hohen Wahrscheinlichkeitswerten für bestimmte Parteien und niedrigen Wahrscheinlichkeitswerten für andere Parteien ein besonderes Werbeinteresse für die einen und ein reduziertes Werbeinteresse gegenüber den anderen Parteien. Die Werbeinteressen lassen in dieser Konstellation darauf schließen, ob der Betroffene grundsätzlich die Meinungen einer bestimmten politischen Partei vertritt, sich ihr nahe fühlt oder in Erwägung zieht, die Partei zu wählen, oder sie ablehnt.

Berücksichtigt man den Schutzzweck des Art 9 DSGVO, d.h., betroffene Personen vor Diskriminierungen auf Grund einer (unterstellten) politischen Meinung zu schützen, ergibt sich ebenfalls die hinreichende Wahrscheinlichkeit des Hervorgehens der politischen Meinung: werden – wie hier – Personen mit einer hohen „Parteiaffinität“, als für Werbung – und damit für eine bestimmte politische Meinung – empfänglich angesehen und sollen deshalb gezielt mit Werbung über bestimmte politische Parteien beworben werden, stehen dazu spiegelbildlich die Gefahren, die Art 9 DSGVO vermeiden möchte: Derartige Personen zu benachteiligen oder gar zu verfolgen, weil eine gewisse Nähe zu einer Partei vermutet wird.

Daran vermögen auch die Ausführungen der Erstbeschwerdeführerin nichts zu ändern:

Die Erstbeschwerdeführerin wehrt sich gegen die Einstufung der „Parteiaffinitäten“ als besondere Kategorie personenbezogener Daten im Wesentlichen mit dem Argument, dass eine politische Meinung im Sinne des Art. 9 Abs. 1 DSGVO nur aus einem Handeln des Betroffenen hervorgehen könne.

Diese Ansicht übersieht, dass die Gefahren, die mit der Verarbeitung der politischen Meinung üblicherweise verbunden sind und vor denen Art 9 DSGVO schützen möchte, bereits dann drohen, wenn die politische Meinung einer betroffenen Person mit hinreichender Wahrscheinlichkeit hervorgeht. Es macht für das Vorliegen einer bestimmten Wahrscheinlichkeit aber keinen Unterschied, ob die Wahrscheinlichkeit in einem tatsächlichen Verhalten der betroffenen Person, einer (zumindest mittelbar politischen) Information über die betroffene Person oder in statistischen Methoden gründet. Dass die von der Erstbeschwerdeführerin verwendete Methode zur Ermittlung der Wahrscheinlichkeitswerte keinerlei statistische Relevanz hätte, lässt sich weder aus der festgestellten Ermittlungsmethode, noch aus dem Verwendungszweck, dh die zielgerichtete Bewerbung natürlicher Personen, ableiten.

Im Endergebnis sind die Datenarten zur „Parteiaffinität“ daher als besondere Kategorien personenbezogener Daten im Sinne des Art 9 Abs. 1 DSGVO zu subsumieren und unterliegen dem darin normierten Verarbeitungsverbot.

Zu allfälligen Erlaubnistatbeständen:

Die DSGVO kennt vom Verarbeitungsverbot besonderer Kategorien personenbezogener Daten mehrere in Art 9 Abs. 2 DSGVO abschließend aufgezählte Ausnahmen. Die Verarbeitung ist u.a. dann zulässig, wenn sie – bei Erfüllung weiterer genannter Voraussetzungen – auf Grund von Unionsrecht oder des Rechts eines Mitgliedstaats zulässig ist (Art 9 Abs. 2 lit. g DSGVO).

§ 151 Abs. 6 GewO könnte eine derartige nationale Rechtsnorm darstellen. Demnach ist es den zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden erlaubt, für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden („Marketinginformationen“), nur für Marketingzwecke zu verwenden und – unter weiteren Voraussetzungen – an Dritte weiterzugeben.

Als speziellere Bestimmung könnte § 151 Abs. 6 GewO nach dem Grundsatz „lex specialis derogat legi generali“ der Regelung des § 151 Abs. 4 GewO vorgehen, wonach es für die Verwendung besonderer Kategorien von Daten der Zustimmung der Betroffenen bedarf. § 151 Abs. 6 GewO würde bei dieser Interpretation auch die Verarbeitung besonderer Kategorien von Daten umfassen und könnte die Verarbeitung der Datenarten zur „Parteiaffinität“ durch die Erstbeschwerdeführerin rechtfertigen.

Eine derartige Interpretation des § 151 Abs. 6 GewO scheitert vor dem Hintergrund des Art 9 Abs. 2 lit g DSGVO aber an einer europarechtskonformen Auslegung. Die Ausnahme vom Verarbeitungsverbot besonderer Kategorien personenbezogener Daten gemäß Art 9 Abs 2 lit g DSGVO, wonach die Verarbeitung auf Grund des Unionsrechts oder des Rechts eines Mitgliedstaats zulässig ist, erfährt nämlich eine wesentliche Einschränkung: Der Rechtsakt muss aus Gründen eines erheblichen öffentlichen Interesses erforderlich sein.

Das durch den Rechtsakt verfolgte Interesse muss daher der Allgemeinheit als solcher dienen. Durch das Erfordernis der „Erheblichkeit“ sollen überdies Maßnahmen ausgesondert werden, die zwar der Allgemeinheit dienen, die für diese jedoch nicht so erheblich sind, dass die Allgemeinheit ohne die in Rede stehende Maßnahme ernsthaft beeinträchtigt wäre (Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 52). Erfasst werden besonders schützenswerte Belange des Gemeinwohls bzw Gemeinschaftsgüter (Schulz in Gola DS-GVO² Art 9 Rz 30).

Ein öffentliches Interesse liegt ua nach den Erwägungsgründen 46, 52 und 55 der DSGVO insbesondere vor, wenn personenbezogene Daten auf dem Gebiet des Arbeitsrechts und des Rechts der sozialen Sicherheit einschließlich Renten sowie zwecks Sicherstellung und Überwachung der Gesundheit und Gesundheitswarnungen, Prävention oder Kontrolle ansteckender Krankheiten und anderer schwerwiegender Gesundheitsgefahren, für humanitäre Zwecke, einschließlich der Überwachung von Epidemien und deren Ausbreitung, oder in humanitären Notfällen, insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen, oder durch staatliche Stellen zu verfassungsrechtlich oder völkerrechtlich verankerten Zielen von staatlich anerkannten Religionsgemeinschaften verarbeitet werden.

Wirtschaftliche Interessen oder Adressverlage und Direktmarketingunternehmen werden nicht genannt. Lediglich an einer Stelle, die nicht besondere Kategorien von Daten oder öffentliche Interessen betrifft, bezieht sich der EU-Verordnungsgeber auf Datenverarbeitungen zum Zwecke der Direktwerbung, nämlich zur Frage, wann von einem berechtigten (Datenverarbeitungs-)Interesse im Sinne des Art. 6 Abs. 1 lit f DSGVO ausgegangen werden kann (Erwägungsgrund 47 der DSGVO).

Auch wenn in den Erwägungsgründen nicht ausdrücklich genannt, besteht an einem funktionierenden Wirtschaftssystem ein (erhebliches) öffentliches Interesse, hat es doch erhebliche Auswirkungen auf den öffentlichen und privaten Haushalt und damit mittelbare Auswirkungen auf die in den Erwägungsgründen genannten Beispiele für öffentliche Interessen, etwa durch die Finanzierbarkeit des öffentlichen Gesundheitssystems oder von Einsatzkräften für den Katastrophendienst. Auf das Bestehen bestimmter – nicht systemkritischer – Wirtschaftsbereiche lässt sich das vor dem Hintergrund der Erwägungsgründe nicht mehr verallgemeinern. Grundsätzlich kein erhebliches öffentliches Interesse im Sinne des Art. 9 Abs. 2 lit. g DSGVO wird anzunehmen sein, wenn durch die Rechtsnorm lediglich die Tätigkeit eines bestimmten Wirtschaftsbereichs erleichtert werden soll; die Allgemeinheit wäre in derartigen Fällen ohne die in Rede stehende Maßnahme regelmäßig nicht ernsthaft beeinträchtigt.

Eine Regelung, wonach Adressenverlag- und Direktwerbeunternehmen auch ohne Zustimmung der Betroffenen Marketinginformationen verarbeiten dürfen, die gleichzeitig besondere Kategorien personenbezogener Daten sind, erleichtert zwar die Tätigkeit dieser Gewerbe, ihr Fehlen stellt das Bestehen der Gewerbe aber nicht in Frage. So ist es ihnen möglich, Marketinginformationen ohne Zustimmung der betroffenen Personen zu verarbeiten, solange sie keiner der in Art. 9 Abs. 1 DSGVO genannten besonderen Kategorien personenbezogener Daten entsprechen, womit regelmäßig das Auslangen gefunden werden kann. Dass die Allgemeinheit ohne eine derartige Regelung ernsthaft beeinträchtigt sein könnte, ist nicht ersichtlich. Eine derartige Regelung liegt daher nicht im erheblichen öffentlichen Interesse.

Eine Interpretation des § 151 Abs. 6 GewO, wonach entgegen § 151 Abs. 4 GewO bei der Verarbeitung von für Marketingzwecke erhobenen Marketinginformationen und -klassifikationen auch dann keine Zustimmung der betroffenen Person erforderlich ist, wenn es sich bei den Marketinginformationen und -klassifikationen um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO handelt, scheidet demnach bei europarechtskonformer Auslegung aus.

Die Erstbeschwerdeführerin konnte die Verarbeitung der Datenarten zur „Parteiaffinität“ somit nicht auf Art. 9 Abs. 2 lit. g DSGVO iVm § 151 Abs. 6 GewO stützen.

Da sich die Erstbeschwerdeführerin auch auf keine der anderen Ausnahmebestimmungen des Art. 9 Abs. 2 DSGVO vom Verarbeitungsverbot besonderer Kategorien von Daten des Art. 9 Abs. 1 DSGVO berufen kann, insbesondere hat sie keine Zustimmung für die Verarbeitung von der Zweitbeschwerdeführerin eingeholt, erwies sich die Verarbeitung der jeweiligen Datenarten zur „Parteiaffinität“ als rechtswidrig.

Selbst wenn man die Ansicht verträte, dass es sich bei den „Parteiaffinitäten“ nicht um eine besondere Kategorie von Daten iSd Art. 9 Abs. 1 DSGVO handelt, wäre daraus für die Erstbeschwerdeführerin nichts gewonnen:

Nach dem Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO, auf den sich die Erstbeschwerdeführerin hilfsweise stützt, ist die Verarbeitung personenbezogener Daten u.a. zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG vgl EuGH 04.05.2017, C-13/16 , Rigas satiksme, Rz 31). Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (mögliche Geschäftspartner der Erstbeschwerdeführerin) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen (ErwG 47 DSGVO).

Zwar können Formen des Marketings und der Werbung – wie oben ausgeführt - berechtigte Interessen iSd zitierten Bestimmung darstellen, jedoch überwiegt im vorliegenden Fall schon aufgrund der Sensitivität das Interesse der Zweitbeschwerdeführerin an der Geheimhaltung ihrer personenbezogenen Daten. Dies auch vor dem Hintergrund, dass die Zweitbeschwerdeführerin im vorliegenden Fall nicht damit rechnen konnte bzw. musste, dass ihr eine (wenn auch vermeintliche) „Parteiaffinität“ zugeschrieben wird, sie für eine bestimmte politische Meinung als empfänglich angesehen wird und deshalb gezielt mit Werbung über bestimmte politische Parteien beworben wird, womit – wie oben erwähnt – auch mit maßgeblicher Wahrscheinlichkeit gewisse Risiken verbunden sein können (Benachteiligung oder Verfolgung des Betroffenen, weil eine gewisse Nähe zu einer Partei vermutet wird). Dazu kommt, dass die Daten nicht öffentlich verfügbar sind und die Richtigkeit der Daten als keineswegs gesichert anzusehen ist. Das rein kommerzielle Interesse der Erstbeschwerdeführerin vermochte sohin eine Verarbeitung der „Parteiaffinität“ iSd Art. 6 Abs. 1 lit. f DSGVO nicht zu rechtfertigen.

Zur Feststellungskompetenz der belangten Behörde bzw. des Bundesverwaltungsgerichtes wegen Verletzung im Recht auf Geheimhaltung:

Die Erstbeschwerdeführerin bringt diesbezüglich zusammengefasst vor, dass aufgrund der Löschung der dem Datensatz der Zweitbeschwerdeführerin zugeschriebenen Parteiaffinitäten und sämtlichen sonstigen Marketingklassifikationen das Feststellung- und Rechtschutzinteresse der Zweitbeschwerdeführerin weggefallen sei. Die DSGVO kenne keinen eigenständigen Feststellungsanspruch, insbesondere keinen Anspruch auf Feststellung in der Vergangenheit liegender Rechtsverletzungen. Dies stimme auch mit der bisherigen Rechtsprechung des Verwaltungsgerichtshofes zu Löschungs- und Auskunftsbegehren nach dem DSG 2000 überein, wonach ein Recht auf Feststellung über eine in der Vergangenheit erfolgte Verletzung des Rechtes auf Löschung von Daten bzw. auf Auskunft aus § 31 Abs. 2 DSG 2000 nicht ableitbar sei. Dies gelte auch nach aktueller Rechtslage unverändert, die belangte Behörde vertrete selbst die Ansicht, dass aus Art. 77 DSGVO (iVm § 24 DSG) ein Recht auf Feststellung, dass die Auskunft zu spät erteilt worden sei, nicht entnommen werden könne. Aufgrund des Vorrangs des Unionsrechts könne ein solcher Feststellungsanspruch im Übrigen auch nicht aus nationalen Bestimmungen oder Verfahrensgrundsätzen konstruiert werden.

Den Einwänden der Erstbeschwerdeführerin ist jedoch nicht zu folgen:

So geht aus der aktuellen Rechtsprechung des Verwaltungsgerichtshofes hervor, dass im Allgemeinen das im Zeitpunkt der Erlassung des Erkenntnisses geltende Recht anzuwenden ist, eine andere Betrachtungsweise [aber] dann geboten ist, wenn der Gesetzgeber in einer Übergangsbestimmung zum Ausdruck bringt, dass auf anhängige Verfahren noch das bisher geltende Gesetz anzuwenden ist, oder wenn darüber abzusprechen ist, was an einem bestimmten Stichtag oder einem konkreten Zeitraum rechtens gewesen ist. Im dem Verwaltungsgerichtshof vorgelegten Fall ging es um eine (behauptete) Verletzung im Recht auf Geheimhaltung durch eine mehr als vier Jahre vor Inkrafttreten der DSGVO und des DSG erfolgte Übermittlung von Daten. Der Verwaltungsgerichtshof hielt fest, dass es daher um die Frage gehe, ob ein zu einem bestimmten Zeitpunkt erfolgter, bei Inkrafttreten der DSGVO abgeschlossener Vorgang rechtens gewesen ist. Daraus folgt aber zwingend, dass im Falle einer (behaupteten) Verletzung im Recht auf Geheimhaltung (auch für die Vergangenheit) im Gegensatz zu den von der Erstbeschwerdeführerin genannten Leistungsrechten (Recht auf Auskunft und Löschung) ein Feststellungsanspruch besteht (siehe VwGH 23.02.2021, Ra 2019/04/0054-8 Rz 25f.).

Die belangte Behörde hat daher nach dem oben Ausgeführten zu Recht in Spruchpunkt 1. des bekämpften Bescheids die Rechtswidrigkeit der Verarbeitung der Datenarten „Parteiaffinität“ festgestellt, weshalb die dagegen gerichtete Beschwerde abzuweisen war.

Zum Löschungsauftrag:

Hinsichtlich Spruchpunkt 2. des Bescheides der belangten Behörde ist auszuführen, dass seit der Entscheidung der belangten Behörde die Erstbeschwerdeführerin – wie festgestellt - die Datenarten zur „Parteiaffinität“ gelöscht hat. Im Hinblick auf die Beurteilung des Löschungsbegehrens bestimmt sich die maßgebliche Sach- und Rechtslage nach dem Zeitpunkt der verwaltungsgerichtlichen Entscheidung (vgl. abermals VwGH 23.02.2021, Ra 2019/04/0054-8, Rz 29). Damit ist die Grundlage für die Erteilung eines Löschungsauftrags weggefallen, weshalb der die Löschung auftragende Spruchpunkt 2. des bekämpften Bescheids ersatzlos zu beheben war.

3.3.2.2. Zur Beschwerde der Zweitbeschwerdeführerin

Zur behaupteten Rechtswidrigkeit des Spruchpunktes 4. des angefochtenen Bescheides:

Die belangte Behörde hat in Spruchpunkt 4. des angefochtenen Bescheides ausgesprochen, dass in den Punkten der begehrten Feststellung, § 151 GewO sei rechtswidrig, unionsrechtswidrig sowie unverhältnismäßig die Beschwerde mangels Zuständigkeit zurückgewiesen wird.

Nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes ist Sache des Beschwerdeverfahrens bei einer zurückweisenden behördlichen Entscheidung (nur) die Überprüfung der Rechtmäßigkeit der Zurückweisung (VwGH 17.12.2014, Ra 2014/03/0049 sowie VwGH 31.05.2017, Ra 2016/22/0107).

Die Zweitbeschwerdeführerin stellte in ihrer Stellungnahme vom 04.06.2019 den Antrag, die belangte Behörde möge feststellen, dass § 151 Abs. 3, 4 und 6 DSGVO unionsrechtswidrig seien.

Dazu ist festzuhalten, dass gemäß Art. 89 Abs. 1 B-VG die Prüfung der Gültigkeit gehörig kundgemachter Verordnungen, Kundmachungen über die Wiederverlautbarung eines Gesetzes (Staatsvertrages), Gesetze und Staatsverträge, soweit in den folgenden Absätzen nicht anderes bestimmt ist, den ordentlichen Gerichten gemäß nicht zusteht. Hat ein ordentliches Gericht gegen die Anwendung einer Verordnung aus dem Grund der Gesetzwidrigkeit, einer Kundmachung über die Wiederverlautbarung eines Gesetzes (Staatsvertrages) aus dem Grund der Gesetzwidrigkeit, eines Gesetzes aus dem Grund der Verfassungswidrigkeit oder eines Staatsvertrages aus dem Grund der Rechtswidrigkeit Bedenken, so hat es den Antrag auf Aufhebung dieser Rechtsvorschrift beim Verfassungsgerichtshof zu stellen (Abs. 2).

Nach der Rechtsprechung des Verwaltungsgerichtshofes haben sich Verwaltungsbehörden auf eine Beurteilung der Gesetzmäßigkeit einer anzuwendenden Norm nicht einzulassen (VwGH 8. 9. 1995, 95/02/0194). Bedenken dürfen nicht zum Anlass genommen werden, einer Norm den Gehorsam zu verweigern (VwGH 18. 5. 1988, 88/02/0050).

Der belangten Behörde ist daher beizupflichten, wenn sie ausführt, dass ihr für den zitierten Antrag der Zweitbeschwerdeführerin keine Zuständigkeit zukommt, da es alleine dem Verfassungsgerichtshof obliegt, (unionsrechtswidrige) nationale Rechtsvorschriften aufzuheben und Verwaltungsbehörden – anders als ordentliche Gerichte, Verwaltungsgerichte und der VwGH – nicht zur Antragstellung befugt bzw. bei Vorliegen von Bedenken verpflichtet sind (vgl. Muzak, B-VG6 Art 89 (Stand 1.10.2020, rdb.at)).

Weiters ist hervorzuheben, dass die belangte Behörde selbst bei angenommenen Zweifeln hinsichtlich der Unionrechtskonformität des § 151 GewO auch nicht berechtigt gewesen wäre, ein Vorabentscheidungsersuchen an den Europäischen Gerichtshof zu stellen. Gemäß Art. 267 AEUV obliegt dem EuGH die Entscheidung über die Auslegung der Verträge, sowie über die Gültigkeit und die Auslegung der Handlungen der Organe, Einrichtungen oder sonstigen Stellen der Union. Wird eine derartige Frage einem Gericht eines Mitgliedstaats gestellt und hält dieses Gericht eine Entscheidung darüber zum Erlass seines Urteils für erforderlich, so kann es diese Frage dem Gerichtshof zur Entscheidung vorlegen.

Daraus folgt, dass ausschließlich die „Gerichte“ eines Mitgliedstaates berechtigt sind, dem EuGH Fragen zur Vorabentscheidung vorzulegen. Dieser Gerichtsbegriff ist nach autonom unionsrechtlichen Kriterien auszulegen. Ob ein staatliches Organ als „Gericht“ qualifiziert werden kann, ist zum einen von der Einrichtung des Organs bzw. seiner Stellung im Behördengefüge abhängig, zum anderen davon, welche Funktion diesem Organ im „Ausgangsverfahren“ zukommt (zB EuGH 17.9.1997, C-54/96 , Dorsch Consult). Kriterien sind das Vorhandensein einer gesetzlichen Grundlage, eine ständige Einrichtung, obligatorische Zuständigkeit, Unabhängigkeit, Entscheidung nach Rechtsnormen, Rechtsprechungscharakter der Entscheidung, streitiges („kontradiktorisches“) Verfahren. Eine Behörde gilt als „unabhängig“, wenn sie vor Interventionen und Druck von außen geschützt ist, die die Unabhängigkeit ihrer Mitglieder im Hinblick auf die ihnen unterbreiteten Rechtsstreitigkeiten gefährden könnten. Dazu gehört auch, dass es Regeln insbesondere für die Zusammensetzung der Behörde, die Ernennung, die Amtsdauer und die Gründe für Enthaltung, Ablehnung und Abberufung ihrer Mitglieder gibt, die es ermöglichen, bei den Parteien jeden berechtigten Zweifel an der Unempfänglichkeit der Behörde für Einflussnahmen von außen und an ihrer Neutralität in Bezug auf die einander gegenüberstehenden Interessen auszuräumen; insbesondere müssen die Fälle, in denen die Mitglieder der Einrichtung abberufen werden können, durch ausdrückliche Gesetzesbestimmungen festgelegt sein (EuGH 19.9.2006, C-506/04 , Wilson). Eine Entscheidung trägt „Rechtsprechungscharakter“, wenn sie einen Rechtsstreit verbindlich erledigt. Dies ist nicht der Fall, wenn die Stelle im Ausgangsverfahren materiell als „Verwaltungsbehörde“ tätig zu werden hat (z.B. EuGH 14.6.2001, C-178/99 , Salzmann I – Bezirksgericht als Grundbuchsgericht erster Instanz; 15.1.2002, C-182/00 , Lutz – Handelsgericht als Firmenbuchgericht erster Instanz). Aus den soeben genannten Kriterien ergibt sich, dass als vorlageberechtigt alle ordentlichen Gerichte, soweit sie eine materiell rechtsprechende Tätigkeit ausüben, alle Verwaltungsgerichte, soweit sie eine materiell rechtsprechende Tätigkeit ausüben, sowie die Höchstgerichte anzusehen sind, nicht jedoch die belangte Behörde (Frank, Gerichtsbarkeit des öffentlichen Rechts und europäische Gerichtsbarkeit, Oktober 2020).

Die Ausführungen der Zweitbeschwerdeführerin in ihrer Bescheidbeschwerde dahingehend, dass die belangte Behörde den Anwendungsvorrang des Unionsrechts nicht beachtet habe und § 151 GewO unangewendet zu lassen gehabt hätte, gehen schon deshalb ins Leere, weil es der Zweitbeschwerdeführerin – wie oben ausgeführt – einerseits am Rechtschutzinteresse diesbezüglich mangelt, da eine Verletzung im Recht auf Geheimhaltung durch die Erstbeschwerdeführerin von der belangten Behörde ohnedies festgestellt wurde, und andererseits die belangte Behörde die Bestimmung des § 151 GewO gar nicht als allfällige Rechtsgrundlage für die in Rede stehende Datenverarbeitung zur Anwendung gebracht hat, sondern eine Prüfung anhand der in Art. 9 DSGVO genannten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung besonderer Kategorien von Daten durchgeführt hat.

Die belangte Behörde hat den Antrag der Zweitbeschwerdeführerin auf Feststellung der Unionswidrigkeit des Art. 151 GewO (bzw. bestimmter Absätze dieser Bestimmung) aus den oben genannten Gründen zu Recht zurückgewiesen und war die Beschwerde der Zweitbeschwerdeführerin hinsichtlich Spruchpunkt 4. des angefochtenen Bescheides gemäß § 28 Abs. 2 VwGVG als unbegründet abzuweisen.

Zur behaupteten Rechtswidrigkeit des Spruchpunktes 5. des angefochtenen Bescheides:

Gemäß § 24 Abs. 6 Satz 1 DSG kann ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht.

Die belangte Behörde wies in Spruchpunkt 5. des angefochtenen Bescheides die Datenschutzbeschwerde der Zweitbeschwerdeführerin wegen Verletzung der Informationspflichten als unbegründet ab und führte aus, dass die Erstbeschwerdeführerin die Rechtsverletzung gemäß § 24 Abs. 6 DSG nachträglich beseitigt habe, indem sie in ihrer Stellungnahme die erforderlichen Informationen gemäß Art. 13 und 14 DSGVO zur Verfügung gestellt habe.

Die Zweitbeschwerdeführerin stellt den Umstand der nachträglichen Informationserteilung durch die mitbeteiligte Partei nicht in Abrede, sie bringt in ihrer Bescheidbeschwerde lediglich vor, dass die Norm des § 24 Abs. 6 DSG unionsrechtswidrig sei.

Dazu ist auszuführen, dass gemäß Art. 77 Abs. 1 DSGVO jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, hat, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. Aus dem Wortlaut der Bestimmung folgt, dass sofern die Beschwer einer betroffenen Person beseitigt ist, im gegenständlichen Fall also den Informationspflichten nach Art. 13 und 14 DSGVO nachgekommen wurde, das Rechtsschutzziel des Art. 77 Abs. 1 DSGVO erreicht ist. Die Norm stellt nämlich darauf ab, dass eine Verarbeitung gegen die Verordnung „verstößt“, insofern ist der belangten Behörde daher zu folgen, dass kein Recht auf die nachträgliche Feststellung besteht, dass in der Vergangenheit Vorgaben der DSGVO nicht eingehalten worden seien. Dies ergibt sich auch aus der Bestimmung des Art. 57 Abs. 1 lit. f DSGVO, wonach die Datenschutzbehörde Beschwerden „in angemessenem Umfang“ zu untersuchen hat, sowie aus dem Erwägungsgrund 131 erster Satz DSGVO, aus welchem hervorgeht, dass der DSGVO das Konzept einer „gütliche Einigung“ zwischen Verantwortlichem und betroffener Person nicht fremd ist (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG) § 24 Rz 250 (Stand 1.1.2020, rdb.at)). Dies steht auch nicht in Widerspruch zu den obigen Ausführungen betreffend die Feststellungskompetenz der belangten Behörde wegen Verletzung im Recht auf Geheimhaltung, zumal die Verletzung der Informationspflicht – im Gegensatz zur Verletzung der Geheimhaltungspflicht – im Entscheidungszeitpunkt festzustellen ist und daher für eine Feststellung der Verletzung der Informationsplichten in der Vergangenheit – wie soeben ausgeführt – kein Raum besteht (vgl. abermals VwGH 23.02.2021, Ra 2019/04/0054-8 Rz 29).

Das Bundesverwaltungsgericht vermag sohin nicht zu erkennen, dass die Norm des § 24 Abs. 6 DSG nicht im Einklang mit Unionsrecht steht. Insofern war auch der Anregung der Zweitbeschwerdeführerin, dem EuGH diesbezüglich eine Frage zur Vorabentscheidung gemäß Art. 267 AEUV vorzulegen, nicht zu folgen, zumal ein nicht letztinstanzliches Gericht - wie das Bundesverwaltungsgericht (vgl. VfGH 26.02.2018, E 4325/2017) nur zur Vorlage verpflichtet ist, wenn es die Gültigkeit von Unionsrecht anzweifelt (Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht11, Rz 313/1). Solche Zweifel liegen jedoch nach Ansicht des Bundesverwaltungsgerichtes nicht vor.

Die Beschwerde der Zweitbeschwerdeführerin war daher auch hinsichtlich Spruchpunkt 5. des angefochtenen Bescheides als unbegründet abzuweisen.

3.4. Zum Entfall einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.

3.5. Zu B)

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Zu Spruchpunkt B) 1. Die Revision ist zulässig, weil Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Art 133 Abs. 4 B-VG zukommen. So fehlt es an Rechtsprechung des Verwaltungsgerichtshofs zur Frage, ob aus Durchschnittswerten ermittelte Einschätzungen des Interesses natürlicher Personen, um sie in bestimmter Weise behandeln zu können, personenbezogene Daten bzw. besondere Kategorien personenbezogener Daten im Sinne des Art 9 DSGVO über diese Person darstellen können, obwohl die Einschätzung der natürlichen Person weder auf ein Verhalten gründet, dass sie selbst gesetzt hat, noch auf eine (zumindest mittelbar) die Einschätzung betreffende Information (hier, ihre politische Meinung) über sie selbst.

Zu Spruchpunkt B) 2. Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte und ist außerdem aus dem eindeutigen Wortlaut der anzuwendenden gesetzlichen Bestimmungen erschließbar. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

3.6. Es war daher spruchgemäß zu entscheiden.