BVwG W214 2248875-1

Spruch:

W214 2248875-1/17E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, gegen Spruchpunkt 1. des Bescheides der Datenschutzbehörde vom 10.11.2021, Zl. D205.662 2021-0.103.307, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 22.04.2020 machte der Mitbeteiligte, XXXX (ursprünglicher Beschwerdeführer im Verfahren vor der belangten Behörde), eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG geltend. Dazu wurde zusammengefasst vorgebracht, dass die Beschwerdeführerin mit E-Mail vom 16.09.2019 Auskunft gemäß Art. 15 DSGVO zu den über ihn verarbeiteten Daten erteilt habe. Aus dieser Auskunft sei ersichtlich, dass die Beschwerdeführerin auch Daten zu seiner Parteiaffinität („Wahrscheinlichkeitswert Konservative“ etc.) sowie zu seinen weltanschaulichen Überzeugungen („Wahrscheinlichkeitswert Hedonisten, konsumorientierte Basis etc.) erhoben bzw. berechnet habe. Einer Verarbeitung derartiger Daten habe er niemals eingewilligt und sei eine solche Verarbeitung gemäß Art. 9 DSGVO untersagt. Weiters habe die Beschwerdeführerin Informationen bezüglich Mindestjahreseinkommen als auch Lebensphase über ihn verarbeitet. Derartige Daten seien weder für einen von der Beschwerdeführerin angeführten Datenverarbeitungszweck erforderlich bzw. angemessen, noch auf das notwendige Maß beschränkt. Die Verarbeitung dieser Daten widerspreche daher den Bestimmungen der Art. 5 und 6 DSGVO.

Der Datenschutzbeschwerde wurde das Antwortschreiben der Beschwerdeführerin vom 16.09.2019 auf den vom Mitbeteiligten gestellten Antrag auf Auskunft nach Art. 15 DSGVO beigefügt. Dieses enthält – hier auszugsweise dargestellt – folgende über den Mitbeteiligten gespeicherte Daten:

DATENVERARBEITUNG IM RAHMEN DES ADRESSVERLAGES

Übersicht verarbeitete Daten (gem § 151 GewO) XXXX AG

​

DATENVERARBEITUNG IM RAHMEN DES ADRESSVERLAGES

Gespeicherte Daten

​

Datenquelle: XXXX GmbH

2. Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom 29.10.2020 zur Abgabe einer Stellungnahme hinsichtlich des Beschwerdevorbringens des Mitbeteiligten wegen der behaupteten Verletzung im Recht auf Geheimhaltung auf und brachte eine Stellungnahme der XXXX (in der Folge: A-GmbH) betreffend „Sinus-Geo Milieus“ aus einem amtswegigen Prüfverfahren in das gegenständliche Verfahren ein.

3. Die Beschwerdeführerin erstattete am 23.11.2020 eine Stellungnahme und führte aus, dass keine Verletzung des Rechts auf Geheimhaltung stattgefunden habe. Die medial als „Parteiaffinitäten“ bekanntgewordenen Marketingklassifikationen seien der erteilten Auskunft nicht zu entnehmen. Die vom Mitbeteiligten angeführten Wahrscheinlichkeitswerte Konservative, Hedonisten und konsumorientierte Basis seien sogenannte „Sinus-Geo-Milieus“. Sowohl diese „Sinus-Geo-Milieus“ als auch die sonstigen vom Beschwerdeführer beanstandeten Wahrscheinlichkeitswerte seien Marketingklassifikationen iSd § 151 Abs 6 GewO und als solche keine personenbezogenen Daten iSd Art. 4 Z 1 DSGVO. Wie der erteilten Auskunft entnommen werden könne, seien die vom Mitbeteiligten beanstandeten Marketingklassifikationen von dem Adressverlag A-GmbH bezogen worden. Sollten einzelne dieser Marketingklassifikationen rechtswidrig berechnet worden sein, sei hierfür jener Adressverlag verantwortlich, der sie erstmals rechtswidrig verwendet habe. Sämtliche Marketingklassifikationen – einschließlich „Sinus-Geo-Milieus“, "Mindestjahreseinkommen" und "Lebensphase Person" – seien bereits aus der Marketingdatenbank gelöscht worden. Eine allfällige Verletzung des Rechts auf Geheimhaltung könne sohin nicht mehr stattfinden. Ein Recht auf Feststellung vermeintlicher in der Vergangenheit liegender Rechtsverletzungen bestehe nicht.

4. Die belangte Behörde übermittelte die Stellungnahme der Beschwerdeführerin sowie die Stellungnahme der A-GmbH aus dem amtswegigen Prüfverfahren dem Mitbeteiligten zur Kenntnis und gab ihm ebenfalls Gelegenheit zur Abgabe einer Stellungnahme.

5. Der Mitbeteiligte äußerte sich mit E-Mail vom 09.02.2021 dahingehend, dass er sich durch die Ausführungen der Beschwerdeführerin umso mehr in seinem Grundrecht auf Datenschutz verletzt sehe, weil er mit allen Individuen in dem aggregierten Adresscluster gleichgestellt werde, was jedenfalls ein Eingriff in seine datenschutzrechtlich gesicherten Persönlichkeitsrechte darstelle.

6. Mit nunmehr angefochtenem Bescheid der belangten Behörde wurde der Beschwerde des Mitbeteiligten teilweise stattgegeben und festgestellt, dass die Beschwerdeführerin durch die Verarbeitung der Daten „Sinus-Geo-Milieus“,

 „Konservative“

 „Traditionelle“

 „Etablierte“

 „Performer“

 „Postmaterielle“

 „Digitale Individualisten“

 „Bürgerliche Mitte“

 „Adaptiv Pragmatische“

 „Konsumorientierte Basis“

 „Hedonisten“

ohne Einwilligung gegen die Grundsätze für die Verarbeitung personenbezogener Daten verstoßen und dadurch den Mitbeteiligten im Recht auf Geheimhaltung verletzt habe, indem sie die genannten Daten besonderer Kategorie (Art. 9 DSGVO) bis zum 13.11.2019 verarbeitet habe (Spruchpunkt 1.). Im Übrigen wurde die Beschwerde des Mitbeteiligten als unbegründet abgewiesen (Spruchpunkt 2.).

Die belangte Behörde führte in rechtlicher Hinsicht im Wesentlichen aus, dass der Umstand, dass die zugeordneten „Sinus-Geo-Milieus“ personenbezogene Daten nach Art. 4 Z 1 DSGVO seien, sich schon daraus ergebe, dass die verfahrensgegenständlichen Datenkategorien im Zuge einer Auskunft nach Art. 15 DSGVO beauskunftet worden seien. Wenn – wie die Beschwerdeführerin vermeine – überhaupt keine personenbezogenen Daten vorlägen, so wäre die DSGVO nicht anwendbar und hätten diese Datenkategorien auch nicht beauskunftet werden müssen, wovon die Beschwerdeführerin offensichtlich aber auch selbst nicht ausgehe. Ohne die Zuordnung wäre auch eine personalisierte bzw. zielgerichtete Werbeaktivität gar nicht möglich, weshalb sich das Vorbringen der Beschwerdeführerin als nicht stichhaltig erweise. Dass personenbezogene Daten vorliegen würden, ergebe sich aber auch daraus, dass der EuGH wiederholt ausgesprochen habe, dass der Begriff „personenbezogene Daten“ weit auszulegen sei und nicht auf sensible oder private Informationen beschränkt sei, sondern potenziell alle Arten von Informationen, sowohl objektiver, als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handle, umfasse.

Das Bundesverwaltungsgericht habe überdies in einer rezenten Entscheidung zur Frage, ob statistisch errechnete Wahrscheinlichkeitswerte hinsichtlich einer vermeintlichen politischen Affinität und deren Zuordnung zu einer konkreten Person personenbezogene Daten seien, festgehalten, dass die Voraussetzung des Vorliegens von Informationen „über“ die in Rede stehende Person besonders dann erfüllt sei: „[…] wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkung mit einer bestimmten oder bestimmbaren Person verknüpft ist“.

Die Beschwerdeführerin habe gewisse statistisch ermittelte „Sinus-Geo-Milieus“ dem Mitbeteiligten ad personam zugeordnet und ihm darüber hinaus einen Prozentsatz, der eine allfällige Zustimmung ausdrücke, zugeschrieben. Das Vorbringen, wonach die Beschwerdeführerin die prozentuellen Zustimmungsraten nicht selbst berechnet, sondern unverändert vom Lieferanten übernommen habe, erweise sich in diesem Zusammenhang hingegen als unerheblich. Gerade in der jeweiligen Verknüpfung der „Sinus-Geo-Milieus“ zur Person des Mitbeteiligten werde damit eine Aussage über den Mitbeteiligten getroffen. Zudem werde im Hinblick auf Art. 4 Z 2 DSGVO schon durch das Erheben, Erfassen und Speichern eine Datenverarbeitung begründet, auch für den Fall, dass die Daten nicht gegenüber Dritten offengelegt bzw. an diese weitergegeben worden seien, was von der Beschwerdeführerin jedoch zu keinem Zeitpunkt behauptet worden sei. Zudem liege der Zweck dieser Zuordnung bzw. Verknüpfung darin, zielgerichtetes Marketing betreiben zu können, Werbung zu personalisieren und zu präzisieren und den Mitbeteiligten mit diesen „Sinus-Geo-Milieus“ korrelierenden (Werbe-)Inhalten versorgen zu können, womit ebenfalls vom Vorliegen personenbezogener Daten auszugehen sei. Überdies habe das Bundverwaltungsgericht in der rezenten Entscheidung ausgesprochen, dass es sich bei statistisch errechneten Daten, die einer bestimmten Person zugeordnet würden, um personenbezogene Daten handle. Auch nach der Literatur seien die „Sinus-Geo-Milieus“ als personenbezogene Daten zu qualifizieren, weil auch geschätzte und prognostizierte Daten personenbezogene Daten seien, wenn sie einer realen Person zugeordnet werden können, auch wenn sie unzutreffend seien. Auch Einschätzungen, Vermutungen und Werturteile über betroffene Personen seien vom Begriff der Information erfasst.

Wenn die Beschwerdeführerin vermeine, es handle sich bei den „Sinus-Geo-Milieus“ nicht um personenbezogene Daten, weil keine Aussage über das Verhalten von Personen getroffen würde, sei dem zu entgegen, dass sich das Gebot der Datenrichtigkeit bloß nach dem Verwendungszweck der Daten richte, weshalb der Maßstab für die Datenrichtigkeit der Zweck der Datenverarbeitung sei. Eine objektive Richtigkeit von Daten sei daher für die Qualifikation als personenbezogene Daten gerade nicht erforderlich. Es sei ebenso unbeachtlich, ob die „Sinus-Geo-Milieus“ zuerst einer Personengruppe zugeschrieben und der Mitbeteiligte sodann dieser Gruppe zugeordnet worden sei oder umgekehrt. Denn es reiche für das Vorliegen personenbezogener Daten aus, wenn zwischen der betroffenen Person und der Information eine qualifizierte Verknüpfung bestehe. Es handle sich bei den „Sinus-Geo-Milieus“ – unabhängig davon, ob diese eine „Durchschnittswahrscheinlichkeit für eine Marketinggruppe“ darstellen würden – folglich jedenfalls um personenbezogene Daten iSv Art. 4 Z 1 DSGVO.

Die „Sinus-Geo-Milieus“ seien auch als Daten besonderer Kategorie iSd Art. 9 DSGVO zu qualifizieren, es genüge sowohl begrifflich als auch teleologisch, dass der Inhalt des Datums die in Art. 9 Abs. 1 DSGVO genannte Eigenschaft für einen durchschnittlichen objektiven Dritten zumindest mittelbar erkennen lasse, dass also die Eigenschaft aus dem Datum bzw. den Daten produziert werden könne. Die Voraussetzung des Hervorgehens sei im Zweifel großzügig auszulegen, um der Gefahr von Abgrenzungsproblemen vorzubeugen und ein einheitlich hohes Schutzniveau zu gewährleisten. Es sei nicht erforderlich, dass die Ableitung eines Merkmals im Sinne von Abs. 1 leg. cit. (gegenständlich also die weltanschauliche Überzeugung) tatsächlich richtig sei, denn der Zweck von Art. 9 DSGVO liege im Schutz der betroffenen Person vor der Möglichkeit tatsächlich datenbasierter Diskriminierungen. Zur Argumentation der Beschwerdeführerin, dass die Konzeption des § 151 GewO 1994 ihre Ansicht stütze, wonach Affinitäten schon dem Grunde nach kein personenbezogenes Datum darstellen würden, weil § 151 Abs. 6 leg. cit. von der „Zuschreibung“ von Personen zu Marketingklassifikationen anstatt von „personenbezogenen Daten“ spreche, sei festzuhalten, dass nach § 151 Abs. 1 leg. cit. ausdrücklich festgehalten werde, dass § 151 leg. cit. „die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden“ regle, Ausgangspunkt sei also – entgegen dieser Auffassung– sehr wohl die Verwendung von personenbezogenen Daten. Ebenso werde in den Erläuterungen zu § 151 GewO 1994 ausgeführt, „dass es sich bei den von Adressverlagen verarbeiteten Daten um personenbezogene Daten handelt“ (vgl. Erläuterungen zur RV 65 BlgNR XXVI. GP , 52).

Die Beschwerdeführerin übersehe in ihrer Argumentation, es handle sich bei den „Sinus-Geo-Milieus“ um keine Aussagen im datenschutzrechtlichen Sinn, sondern lediglich um eine Wahrscheinlichkeitsberechnung, dass sie die berechneten Werte im Datensatz der betroffenen Person faktisch abspeichere und die weltanschauliche Überzeugung einer Person somit zuordenbar sei und auch konkret zugeordnet werde (bzw. worden sei). Somit sei festzuhalten, dass diese Unterscheidung eine bloße Konstruktion sei und sich weder aus Judikatur noch aus einschlägiger Literatur ableiten lasse. Die Wahrscheinlichkeitswerte „Bürgerliche Mitte“ und „Hedonisten“ würden insoweit gewissermaßen als Antipoden der Zustimmung zu Konventionen der Mehrheitsgesellschaft definiert, als Erstere den Leistungs- und anpassungsbereiten Mainstream darstellen sollen, während Zweitere sich entsprechend der in den Feststellungen ersichtlichen Definition, gerade durch Verweigerung des Konventionellen definieren. Während die deutsche Sprachfassung des Art. 9 Abs. 1 DSGVO die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, die politische Meinung, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit, sofern kein Erlaubnistatbestand des Art. 9 Abs. 2 leg. cit. vorliege, verbiete, spreche die englische Sprachfassung auch von philosophischen Überzeugungen („philosophical beliefs“). Politische Meinungen sowie religiöse und weltanschauliche Überzeugungen könnten nicht nur aus der Zustimmung, sondern ebenso aus der Ablehnung gewisser Ansichten abgeleitet werden. Das in Art. 9 Abs. 1 DSGVO normierte Verarbeitungsverbot ziele jedoch nicht auf den bloßen Schutz des „Meinens“ ab, sondern auch auf diesen zuordnenden Tätigkeiten ab. Art 9 Abs. 1 leg. cit. schütze auch vor der Verarbeitung weltanschaulich philosophischer Ansichten, sofern kein Erlaubnistatbestand dafür vorliege und gehe es nach der Literaturmeinung Weicherts beim Schutz der Ansichten „um die Wahrung der geistigen Integrität“. Demnach hätten Atheisten und Anthroposophen ebenso wie Angehörige gleich welcher Konfession Anspruch darauf, dass Angaben zu ihrer Überzeugung nur unter besonderen Voraussetzungen verarbeitet werden. Dies müsse konsequenterweise gleichermaßen für alle weltanschaulichen Überzeugungen („philosophical beliefs“) gelten, unbeachtlich, ob es sich dabei um den Hedonismus oder den Konservatismus handle. In Zusammenschau der verwendeten Begriffe und dem Kontext ihres Gebrauchs bzw. des Verarbeitungszwecks (nämlich gezieltem Marketing) lasse sich sohin festhalten, dass auch die „Sinus-Geo-Milieus“ als Daten besonderer Kategorie iSv. Art. 9 DSGVO zu qualifizieren seien, da sie weltanschauliche Überzeugungen zum Ausdruck bringen, welche dem Mitbeteiligten vonseiten der Beschwerdeführerin zugeordnet worden seien. Es sei dabei unbeachtlich, ob sich die weltanschaulichen Überzeugungen des Mitbeteiligten tatsächlich mit denen, die ihm vonseiten der Beschwerdeführerin zugeschrieben worden seien, exakt decken bzw. ob die ihm zugeordneten prozentuell determinierten Zustimmungsraten seine tatsächliche Zustimmung zu diesen Überzeugungen zum Ausdruck bringen würden oder nicht. So könne nämlich auch aus der Zuordnung nicht eindeutig zutreffender Überzeugungen, die Diskriminierung der betroffenen Person resultieren und richte sich der Verarbeitungszweck sohin direkt gegen den Schutzzweck des Art. 9 Abs. 1 leg. cit.

In diesem Sinne habe auch der OGH in einem erst jüngst ergangenen Teilurteil ausgeführt, dass die Wahrscheinlichkeitsaussage hinsichtlich der (hohen) Affinität zu einer Partei zweifelsohne eine Information über die betroffene Person darstelle. Aufgrund der rechtspolitischen Zielsetzung des Art. 9 Abs. 1 DSGVO und des mit der Verarbeitung dieser Datenkategorien verbundenen hohen Schadens- und Diskriminierungspotenzials, handle es sich bereits bei der Information, eine betroffene Person sei für Werbematerial einer bestimmten Partei besonders empfänglich, um eine (wenn auch nur unterstellte) Einschätzung parteipolitischer Vorlieben und damit um ein Datum besonderer Kategorie iSv Art. 9 Abs. 1 DSGVO. Diese Ausführungen müssten gleichermaßen für die „Sinus-Geo-Milieus“ gelten. Eine Verarbeitung von Daten nach Art. 9 Abs. 1 DSGVO sei nur rechtmäßig, wenn einer der in Abs. 2 taxativ aufgezählten Zulässigkeitstatbestände vorliege, doch sei an die Ausnahmetatbestände ein strenger Maßstab anzulegen. Das Verarbeitungsverbot gemäß Art. 9 Abs. 1 DSGVO werde u.a. durchbrochen, wenn die betroffene Person in die Verarbeitung ausdrücklich einwillige. Gegenständlich liege keine Einwilligung des Mitbeteiligten vor und sei dies auch nicht von der Beschwerdeführerin behauptet worden. Fraglich sei, ob ein anderer Erlaubnistatbestand als die Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO in Frage komme. Zu prüfen sei in diesem Zusammenhang Art. 9 Abs. 2 lit. g DSGVO, wonach eine Verarbeitung dann zulässig sei, wenn sie auf einer qualifizierten Rechtsgrundlage des Unions- oder des innerstaatlichen Rechts beruhe. Infrage komme diesbezüglich § 151 Abs. 4 GewO 1994, der jedoch die von Art. 9 Abs. 1 DSGVO normierte Voraussetzung, ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung besonderer Kategorien von Daten einzuholen, auch explizit für die Ausübung des Gewerbes für Adressverlage und Direktmarketingunternehmen, wiederhole. Dieses ausdrückliche Einverständnis sei jedoch – wie ausgeführt – nicht eingeholt worden. Die übrigen Erlaubnistatbestände gemäß Art. 9 Abs. 2 lit. b bis f sowie h bis j DSGVO würden im vorliegenden Fall nicht in Frage kommen. Auch das Bundesverwaltungsgericht habe sich bereits im Zusammenhang mit den hier jedoch nicht verfahrensgegenständlichen „Parteiaffinitäten“ und mit § 151 Abs. 6 GewO 1994 als gesetzlichem Erlaubnistatbestand iSd Art. 9 Abs. 2 lit. g DSGVO auseinandergesetzt und sei dabei zum selben Ergebnis wie die belangte Behörde gelangt. Im Ergebnis habe die Beschwerdeführerin den Mitbeteiligten dadurch im Recht auf Geheimhaltung gem. § 1 Abs. 1 DSG verletzt, indem sie dessen weltanschauliche Überzeugungen („Sinus-Geo-Milieus“) mangels Erlaubnistatbestands gemäß Art. 9 Abs. 2 DSGVO unrechtmäßig verarbeitet habe.

7. Gegen Spruchpunkt 1. dieses Bescheides erhob die Beschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht und brachte vor, dass die belangte Behörde unrichtig festgestellt habe, dass die Beschwerdeführerin die „Sinus-Geo-Milieus“ dem Mitbeteiligten samt „prozentuell ausgedrückter Zustimmungsraten“ zugeordnet habe. Die „Sinus-Geo-Milieus“ seien jedoch von der A-GmbH bezogen worden, die Beschwerdeführerin habe die „Sinus-Geo-Milieus“ weder selbst erstellt, noch berechnet oder zugeordnet. Die tatsachenwidrige Annahme der Zuordnung der „Sinus-Geo-Milieus“ durch die Beschwerdeführerin führe zur Rechtswidrigkeit des bekämpften Bescheides. Wenn man - entgegen der Rechtsauffassung der Beschwerdeführerin – eine Unzulässigkeit der verfahrensgegenständlichen Datenverarbeitung annehme, so sei hierfür gemäß § 6 Abs. 1 Z 3 der Verhaltensregeln für die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen die A-GmbH als jener Adressverlag verantwortlich, der die in Rede stehenden Daten bereitgestellt habe. Zudem habe die belangte Behörde die A-GmbH bereits mehrfach geprüft und deren Datenverarbeitungen, u.a. der „Sinus-Geo-Milieus“ für rechtmäßig befunden. Es sei denkunmöglich, dass die Verwendung der „Sinus-Geo-Milieus“ bei der A-GmbH rechtmäßig, zugleich aber bei der Beschwerdeführerin rechtswidrig sei.

Abseits der aufgezeigten Feststellungsmängel sei der bekämpfte Bescheid auch mit inhaltlicher Rechtswidrigkeit belastet. Sämtliche „Sinus-Geo-Milieus“ seien bis zum 13.11.2019 aus den Marketingdatenbanken der Beschwerdeführerin nicht wiederherstellbar, zur Gänze physisch gelöscht worden. Seither finde keine weitere Verarbeitung zu Marketingzwecken statt. Das Feststellungs- und Rechtsschutzinteresse der Mitbeteiligten sei daher weggefallen und bestehe kein Feststellungsanspruch. Die DSGVO sehe ein geschlossenes System von Betroffenenrechten (Art. 12 ff DSGVO) und möglicher behördlicher Abhilfebefugnisse gegen Datenschutzverstöße (Art. 58 Abs. 2 DSGVO) vor. Einen eigenständigen Feststellungsanspruch kenne die DSGVO dagegen nicht, insbesondere keinen Anspruch auf Feststellung in der Vergangenheit liegender Rechtsverletzungen. Im Erkenntnis vom 20.05.2021, W214 2226349-1, habe das Bundesverwaltungsgericht zwar die von der Beschwerdeführerin vertretene Rechtsansicht verneint, der vorliegende Fall unterscheide sich jedoch vom, dem zitierten Erkenntnis zugrundeliegenden, Sachverhalt dahingehend, dass die Beschwerde im anderen Verfahren noch vor Löschung der Parteiaffinität eingebracht worden sei und die Beschwerdeführerin sämtlichen Betroffenen nunmehr anbiete, eine individualisierte, als vollstreckbarer Notariatsakt ausgestellte, Unterlassungs- und Verpflichtungserklärung abzugeben, in der sie zusichere, von der Verarbeitung der Marketingklassifikationen „Sinus Geo Milieus“ und (der hier nicht verfahrensgegenständlichen) „Parteiaffinitäten“ Abstand zu nehmen. Weiters sei das vom Bundesverwaltungsgericht herangezogene Judikat des VwGH vom 23.02.2021, Ra 2019/04/0054, nicht einschlägig, da in diesem Fall zu beurteilen gewesen sei, ob die Datenübermittlung rechtmäßig erfolgt sei, weshalb auf die Rechtslage zum Zeitpunkt der abgeschlossenen Tathandlung abzustellen gewesen sei. Dies habe jedoch mit der Frage der Wegfall der Beschwer nichts zu tun. Denn in dem vor dem Verwaltungsgerichtshof zu beurteilenden Sachverhalt habe eine mögliche Rechtsverletzung bei der Datenübermittlung die vom Verwaltungsgerichtshof zu prüfende Frage bedingt, nämlich, ob die in Rede stehenden (übermittelten) Daten weiterhin rechtmäßig verarbeitet werden hätten dürfen. Andernfalls wäre im (dortigen) Revisionsvorbringen kaum das Bestehen einer Löschverpflichtung behauptet worden. Es wäre zudem unschlüssig, den gegenüber dem Leistungsbegehren subsidiären Feststellungsanspruch zu bejahen, wenngleich ein korrelierender Leistungsanspruch auf Löschung nicht bestehe, weil diesem bereits entsprochen worden sei. Dem zitierten Erkenntnis des Bundesverwaltungsgerichtes sei daher nicht zu folgen. Vielmehr sei aus dem Beschwerderecht des Art 77 DSGVO (iVm § 24 DSG) lediglich das Recht ableitbar, Beschwerde an eine Aufsichtsbehörde zu erheben und dadurch die Durchsetzung der durch die DSGVO gewährten subjektiven Rechte zu ermöglichen, jedoch kein eigenständiges Recht auf Feststellung vergangener Rechtsverletzungen. Daran vermöge auch § 24 DSG nichts zu ändern, weil der Wortlaut dieser Bestimmung im Präsens gehalten sei. Dies stimme auch mit der bisherigen Rechtsprechung des Verwaltungsgerichtshofes zu Löschungs- und Auskunftsbegehren nach dem DSG 2000 überein. Dies gelte auch nach aktueller Rechtslage unverändert, die belangte Behörde vertrete selbst die Ansicht, dass § 24 DSG eine zu § 31 Abs. 2 DSG 2000 vergleichbare Rechtslage schaffe. Keine der beiden Regelungen räume daher ein eigenständiges Recht auf förmliche behördliche Feststellung vergangener Rechtsverletzungen ein. Dies sei auch in rechtssystematischer Hinsicht nur schlüssig, seien in anderen Materiegesetzen Beschwerderechte, die eine behördliche Feststellung einer Rechtsverletzung zur Folge hätten, doch stets ausdrücklich normiert, was gegenständlich gerade nicht der Fall sei. Aufgrund des Anwendungsvorrangs des Unionsrechts könne ein solcher Feststellungsanspruch im Übrigen auch nicht aus nationalen Bestimmungen oder Verfahrensgrundsätzen konstruiert werden. Zur allfälligen Feststellung von in der Vergangenheit gelegenen, für den Beschwerdeführer jedoch nicht mehr fortwirkenden Rechtsverletzungen erachte sich selbst der Verwaltungsgerichtshof nicht für berufen. Im selben Sinne verneine auch der Oberste Gerichtshof das rechtliche Interesse auf eine gerichtliche Feststellung nach Wegfall der Beschwer. Der angefochtene Bescheid sei bereits aus diesem Grund aufzuheben.

Der bekämpfte Bescheid sei weiters rechtswidrig, weil die belangte Behörde die datenschutzrechtliche Zulässigkeit von „Sinus-Geo-Milieus“ falsch beurteilt habe. Die „Sinus-Geo-Milieus“ seien Marketingklassifikationen iSd § 151 Abs. 6 GewO und als solche keine personenbezogenen Daten iSd Art 4 Z 1 DSGVO. Die „Sinus-Geo-Milieus“ seien aggregierte adressbezogene Merkmale, aus denen sich prognostisch ableiten lasse, mit welcher Wahrscheinlichkeit in einer bestimmten Gegend etwa „Performer“ wohnen. Es seien anonyme Gruppendaten (auf Gebäudeebene) die keine Aussage über Einzelne in sich tragen würden. Eine Information über eine bestimmte Person sei in den „Sinus-Geo-Milieus“ nicht enthalten, ein Personenbezug im datenschutzrechtlichen Sinn sei daher nicht gegeben. Die von der belangten Behörde ins Treffen geführten Argumente, die „Sinus-Geo-Milieus“ würden verwendet, um Personen zu beurteilen, in einer bestimmten Weise zu behandeln oder ihre Stellung oder Verhalten zu beeinflussen, sowie, dass sich die Verwendung der „Sinus-Geo-Milieus“ auf die Rechte und Interessen der Betroffenen auswirken würde, würden nicht überzeugen, das Verhalten von Personen könne ebenso gut durch Werbetafeln wie durch personalisierte Werbung beeinflusst werden. Auch würden Person ebenso wenig bewertet, wenn ihnen zielgerichtete Werbung zugeschickt werde, als sie dies durch Werbebotschaften würden, die über Tafeln in ihrem Wohngebiet transportiert würden.

Ebenso wenig wirke sich personalisierte Werbung auf die Rechte oder Interessen bestimmter Personen aus. Der Umstand alleine, dass durch die „Sinus-Geo-Milieus“ eine werbeintendierte Aufmerksamkeit, der die Werbung erhaltenden Personen angestrebt werde, genüge nicht, um sie als ein personenbezogenes Datum zu qualifizieren. Ein Personenbezug liege nur vor, wenn eine Information "über" den Betroffenen vorliege. Tatsächlich seien die „Sinus-Geo-Milieus“ ausschließlich durchschnittliche Wahrscheinlichkeitswerte zu regionalen (anonymen) Bevölkerungsgruppen. Auch wenn sie bestimmten Adressen von Personen zugeschrieben würden (was nicht von der Beschwerdeführerin vorgenommen worden sei), entstehe dadurch keine Aussage über eine bestimmte Person.

§ 151 Abs. 6 GewO erlaube Adressverlagen und Direktmarketingunternehmen ausdrücklich, dass sie für Marketingzwecke erhobene Marketingklassifikationen namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zuschreiben. Dabei unterstelle der Gesetzgeber eben genau nicht, dass durch diese Zuschreibung bestimmter Personen zu Marketingklassifikationen daraus personenbezogene Daten würden. Die „Sinus-Geo-Milieus“ seien zudem keine besondere Kategorie personenbezogener Daten iSd Art. 9 DSGVO, insbesondere werde bei diesen nicht auf weltanschauliche Überzeugungen, sondern etwa auf Konsumverhalten, Lebensstil oder Wohnungsumfeld abgestellt. Die Zielsetzung von „Sinus-Geo-Milieus“ sei es nicht weltanschauliche Überzeugungen zu generieren, sondern die Bevölkerung in einem Raster entlang der sozialen Lage und der konsumbezogenen Grundorientierung zu segmentieren, mit weltanschaulichen Überzeugungen habe diese Segmentierung nichts zu tun. Zudem würden innerhalb eines Gebäudes allen Bewohnern dieselben „Sinus-Geo-Milieus“ zugeordnet, es sei lebensfremd anzunehmen, dass alle Bewohner eines Hauses unabhängig von Geschlecht, Alter, Ausbildungsgrad, Berufsweg, Religion oder sexueller Orientierung jeweils dieselbe Weltanschauung hätten. Im Zusammenhang mit den Parteiaffinitäten habe das Bundesverwaltungsgericht klargestellt, dass aus einem niedrigen Wahrscheinlichkeitswert nicht auf eine politische Meinung geschlossen werden könne. Dasselbe müsse auch für weltanschauliche Überzeugungen gelten, die im Spruch bezeichneten Marketingklassifikationen hätten allesamt jedoch nur einen niedrigen Wahrscheinlichkeitswert unter 23 % gehabt. Auch aus der insofern dominanten Wahrscheinlichkeit „Hedonisten“ könne keine weltanschauliche Überzeugung abgeleitet werden, weil diese Beschreibung auf die Anhänger verschiedenster weltanschaulicher Überzeugungen zutreffen könne. Bei der weltanschaulichen Überzeugung gehe es um die Auffassung des Menschen von der Welt als einem Sinnganzen nicht aber um seine Teilhabe an einem bestimmten Lebensstil. Eine weltanschauliche Überzeugung müsse aus den zur Verarbeitung stehenden Daten „hervorgehen“, d.h. aus einem vom Betroffenen gesetzten Verhalten (z.B. Teilnahme an einer Veranstaltung) oder etwa aus seinen Äußerungen. Das könne den „Sinus-Geo-Milieus“ nicht entnommen werden. Gegen eine missbräuchliche Verwendung von Marketingklassifikationen seien in § 151 GewO Schutzbestimmungen normiert, weshalb es nicht erforderlich sei, Marketingklassifikationen dem Datenschutz zu unterstellen, um Personen vor Diskriminierung zu schützen. Weiters verkenne die belangte Behörde, dass der Zweck der zielgruppenorientierten Werbung sei, die Empfänger vor einer „Überflutung“ mit Werbematerial zu bewahren und möglichst Personen mit Werbung anzusprechen, die von der Werbung auch angesprochen werden wollen. Adressaten von Direktmarketingunternehmen seien sohin einer datenbasierten Diskriminierung nicht einmal theoretisch ausgesetzt. Durch das Zustellen bzw. Nicht-Zustellen von Werbematerial könne niemand diskriminiert werden. Der angefochtene Bescheid sei daher aufzuheben.

Der Beschwerde beigefügt wurde unter anderem eine Präsentation der XXXX (im Folgenden: „ XXXX “) betreffend eine Beschreibung der „Sinus-Milieus“ und „Sinus-Geo-Milieus“.

8. Mit Schreiben vom 01.12.2021 legte die belangte Behörde die Beschwerde sowie den bezughabenden Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme ab, in welcher sie ausführte, dass zum Vorbringen, die belangte Behörde habe keine Feststellungskompetenz, wenn eine Datenschutzverletzung in der Vergangenheit abgeschlossen sei, in vollem Umfang auf die Ausführungen des Bundesverwaltungsgerichts in den Erkenntnissen zu W214 2226349-1/12E und W214 2226350-1/17E verwiesen werden dürfe, wonach die belangte Behörde auch im Hinblick auf die Judikatur des Verwaltungsgerichtshofes betreffend Geheimhaltungspflichtverletzungen gemäß § 1 DSG – wie auch im gegenständlichen Verfahren – über in der Vergangenheit abgeschlossene Verarbeitungstätigkeiten mit Feststellung abzusprechen habe. Die Möglichkeit das Verfahren einzustellen, sofern die Rechtsverletzung bei antragsgebundenen Rechten nachträglich geheilt worden sei, schade nicht. Es gebe keine generelle Ausnahme der Feststellung vergangener Rechtsverletzungen, insbesondere bei Verletzungen im Recht auf Geheimhaltung, die durch punktuelle, abgeschlossene und in der Vergangenheit liegende Handlungen herbeigeführt würden und einer nachträglichen Sanierung gerade nicht zugänglich seien. Die Behauptung, die Zuordnung der „Sinus-Geo-Milieus“ zum Mitbeteiligten sei nicht durch die Beschwerdeführerin selbst, sondern durch die A-GmbH erfolgt, überzeuge nicht. Wie die Beschwerdeführerin selbst vorbringe, habe der genannte Lieferant die Adressdaten und die „Sinus-Geo-Milieus“ auf Gebäudeebene jeweils in separaten Dateien übermittelt und sei die Verknüpfung mit einer bestimmten Person (gegenständlich: dem Mitbeteiligten) durch die Beschwerdeführerin erfolgt, wie sich im Übrigen auch aus der dem Mitbeteiligten erteilten Auskunft klar ergebe. Somit erweise sich die im angefochtenen Bescheid getroffene Feststellung, der Personenbezug werde durch die Beschwerdeführerin hergestellt, als den Tatsachen entsprechend. Dass die Beschwerdeführerin die „Sinus-Geo-Milieus“ selbst erstelle bzw. berechnet hätte, sei hingegen zu keinem Zeitpunkt angeführt bzw. festgehalten worden. Ungeachtet des tatsächlichen Zuordnungszeitpunktes wäre bereits das Abfragen, Speichern oder Verwenden vom (weiten) Verarbeitungsbegriff des Art. 4 Z 2 DSGVO mitumfasst und erweise sich das diesbezügliche Vorbringen auch aus diesem Grund als unerheblich. Zur rechtlichen Qualifikation der „Sinus-Geo-Milieus“ als personenbezogene Daten bzw. Daten besonderer Kategorie iSv Art. 9 DSGVO werde vollinhaltlich auf den angefochtenen Bescheid sowie auf das dg. Teilerkenntnis vom 20.08.2020, GZ: W258 2217446-1/15E, sowie auf das dg. Erkenntnis vom 20. Mai 2021, GZ: W214 2226349-1/12E, verwiesen. Die Ansicht, wonach statistisch errechnete Wahrscheinlichkeitswerte, die einer konkreten Person zugeordnet würden, personenbezogene Daten seien, sei bereits mehrfach bestätigt worden und sollte daher unstrittig sein. Der Vollständigkeit halber werde überdies auf OGH 18.02.2021 zu 6 Ob 127/20z sowie OGH 15.04.2021 zu 6 Ob 35/21x verwiesen.

9. Das Bundesverwaltungsgericht übermittelte die Stellungnahme der belangten Behörde der Beschwerdeführerin sowie die Beschwerde und Stellungnahme der belangten Behörde dem Mitbeteiligten zur Kenntnis und gab ihnen jeweils Gelegenheit zur Abgabe einer Stellungnahme.

Der Mitbeteiligte erstattete in der Folge keine weitere Stellungnahme.

10. Die Beschwerdeführerin gab am 06.04.2022 eine Stellungnahme ab und führte aus, dass sie die Adressdaten und die „Sinus-Geo-Milieus“ von der A-GmbH in zwei separaten Dateien erhalten habe. Sofern man einen Personenbezug in der Bezugnahme eines „Sinus-Geo-Milieus“ auf alle in einem Haushalt lebenden Personen erkennen wolle, dann sei dieser Personenbezug bereits durch die A-GmbH dadurch hergestellt worden, dass die separaten Dateien mit einer spezifischen „ XXXX “ verknüpft worden seien. Nach § 6 Abs. 1 Z 3 der „Verhaltensregeln für Adressverlage und Direktmarketingunternehmen gemäß DSGVO“ obliege es dem „Daten liefernden Adressverlag oder Direktmarketingunternehmen“ allfällige erforderliche Einwilligungen einzuholen. Durch die Genehmigung dieser Verhaltensregeln habe die belangte Behörde selbst einen „Vertrauenstatbestand“ und damit einen Rechtfertigungsgrund geschaffen, auf den die Beschwerdeführerin sich habe verlassen dürfen. Die Verarbeitung der „Sinus-Geo-Milieus“ sei daher selbst dann rechtmäßig erfolgt, wenn sie als sensible Daten zu qualifizieren wären, da die Beschwerdeführerin die „Sinus-Geo-Milieus“ rechtmäßig – den Verhaltensregeln entsprechend – erhoben habe. Die Feststellung der belangten Behörde, die Verknüpfung mit dem Mitbeteiligten sei durch die Beschwerdeführerin erfolgt, sei unzutreffend. Die angestellten Überlegungen würden aber nichts an der Rechtsmeinung der Beschwerdeführerin ändern, wonach es sich bei den Sinus-Geo-Milieus um keine personenbezogenen Daten handle.

Zudem sei mit der Löschung der verfahrensgegenständlichen Sinus-Geo-Milieus das Feststellungs- und Rechtschutzinteresse des Mitbeteiligten weggefallen. Einen Anspruch auf Feststellung in der Vergangenheit liegender (vermeintlicher) Rechtsverletzungen kenne weder die DSGVO noch das DSG. Selbst der Verwaltungsgerichtshof erachte sich nicht für berufen, allfällige in der Vergangenheit gelegene Rechtsverletzungen festzustellen. In seiner Entscheidung Ro 2020/04/0032 habe der VwGH durchklingen lassen, dass der belangten Behörde eine Feststellungskompetenz für Rechtsverletzungen zukommen könnte, um betroffenen Personen zu ermöglichen, weitere individuelle Ansprüche - etwa Schadenersatzansprüche - zu verfolgen. Diese Überlegung sei vom VwGH allerdings angestellt worden, um die unterschiedlichen Zielrichtungen der Befugnisse in Art. 58 Abs. 2 DSGVO und § 24 DSG voneinander abzugrenzen. Es habe sich somit um ein obiter dictum gehandelt, der VwGH habe nicht über die hier relevante Rechtsfrage abzusprechen gehabt. Überdies habe der VwGH auf § 24 DSG abgestellt, der allenfalls eine Feststellungskompetenz für aktuelle Rechtsverletzungen regle. Die Erlassung eines Feststellungbescheides sei infolge des Grundsatzes der Subsidiarität von Feststellungsbegehren und Feststellungbescheiden überhaupt unzulässig, wenn die strittige Rechtsfrage im Rahmen eines anderen Verfahrens entschieden werden könne. Nachdem die Daten gelöscht seien, könne vor den Zivilgerichten Schadenersatz eingeklagt werden, sofern ein Schaden entstanden sei. Die belangte Behörde habe ihre Kompetenzen beim Erlassen des angefochtenen Bescheides überschritten.

11. Mit Schreiben vom 04.11.2022 wurde den Parteien ein Exzerpt der Niederschrift einer mündlichen Verhandlung des Bundesverwaltungsgerichts, die andere – gleich gelagerte – Parallelverfahren mit derselben Beschwerdeführerin bezüglich der Verarbeitung von „Sinus Geo Milieu-Daten“ betraf, übermittelt. Es wurde um Mitteilung gebeten, ob und gegebenenfalls inwieweit angesichts dieser Ermittlungsergebnisse ein weiterer Klärungsbedarf gesehen werde.

12. Mit Stellungnahme vom 18.11.2022 nahm die Beschwerdeführerin dazu Stellung. Die Einvernahme des Geschäftsführers der XXXX habe sich als berechtigt erwiesen. Sensible Variablen würden nicht verwendet. Eine Zuordnung der „Sinus-Geo-Milieus“ durch die A-GmbH sei nur dann erfolgt, wenn an einer Adresse mindestens 10 Personen wohnhaft gewesen seien. Die Zuordnung der „Sinus-Geo-Milieus“ sei für die einzelne Person nicht aussagekräftig. Weiters wurde auf den Unterschied zwischen „Sinus-Milieus“ und „Sinus-Geo-Milieus“ hingewiesen. Weiters wurde auf Rechtsprechung der (damaligen) Datenschutzkommission und des EuGH verwiesen, welche die Behauptung der Beschwerdeführerin stützen würde, dass es sich bei den „Sinus-Geo-Milieu-Daten“ um nicht personenbezogene Daten handle. Es handle sich auch um keine weltanschaulichen Daten und die Verarbeitung sei auch nicht mit einem Risiko verbunden. Es sei ein Missverständnis, wenn der Verwaltungsgerichtshof meine, betroffene Personen würden durch Marketingklassifikationen zu vorselektierten Empfängern von Werbebotschaften. Weiters wurden einige Argumente aus früheren Schriftsätzen wiederholt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.

1.2. Darüber hinaus wird im Detail und ergänzend Folgendes festgestellt:

1.2.1 Die Beschwerdeführerin betreibt u.a. seit 03.04.2001 das Gewerbe „Adressenverlag und Direktwerbeunternehmen“. Sie verarbeitete im Rahmen ihrer Tätigkeit als Adressverlag zumindest bis zum Zeitpunkt der Erteilung der datenschutzrechtlichen Auskunft am 16.09.2019 (bis längstens 13.11.2019) die oben unter Punkt I.1. dargestellten Datensätze zu den „Sinus-Geo-Milieus“ („Wahrscheinlichkeitswert Konservative, Wahrscheinlichkeitswert Traditionelle, …“) über den Mitbeteiligten. Diese Datensätze stellen Marketingklassifikationen dar, welche eine Wahrscheinlichkeitsaussage betreffend die Zugehörigkeit der Betroffenen zu einem bestimmten „Sinus-Geo-Milieu“ beinhalten.

Die Datensätze wurden von der Beschwerdeführerin im Rahmen ihrer Tätigkeit als Adressverlag verwendet und Geschäftskunden für Marketingzwecke angeboten.

Eine Zustimmung des Mitbeteiligten zur Verarbeitung dieser Daten lag nicht vor.

Sämtliche „Sinus-Geo-Milieus“ sind spätestens zum 13.11.2019 aus den Marketingdatenbanken der Beschwerdeführerin nicht wiederherstellbar, zur Gänze physisch gelöscht worden. Die Beschwerdeführerin verarbeitet spätestens seit dem 13.11.2019 sämtliche „Sinus-Geo-Milieus“ nicht mehr für den Adresshandel bzw. Marketingzwecke.

1.2.2. Zu den „Sinus-Milieus“ im Detail:

Die aus der Marktforschung bekannten „Sinus-Milieus“ wurden vom deutschen Markt- und Sozialforschungsunternehmen „ XXXX “ („ XXXX -Institut“) vor über 40 Jahren entwickelt und stellen eine Gesellschafts- und Zielgruppen-Typologie dar, die auf sozialen Milieus basiert. Sie fassen Menschen mit ähnlichen Werten und einer vergleichbaren sozialen Lage zu „Gruppen Gleichgesinnter“ zusammen. Die Milieu-Einteilung erfolgt entlang zweier Dimensionen: „Soziale Lage“ (Unter-, Mittel- oder Oberschicht) und „Grundorientierung“ („Tradition“, „Modernisierung/Individualisierung“ und „Neuorientierung“). Ausgangspunkt jedes Milieu-Modells ist die Erforschung des Alltags aus der jeweiligen subjektiven Sicht der Personen, die diesen Alltag erleben und hinsichtlich einer möglichst umfassenden Liste von Alltagsbereichen: Politik, Tradition, Status, Gesundheit, Mode, Geschmack, Familie, Technologie, Neugierde, Sport, Interessen, Ängste und Befürchtungen, Einkommen und Geld, Ästhetik, Ziele, Ethik, Bildung, Religion, Kunst und Kultur, Vorlieben, Veränderungsbereitschaft. Die „Sinus-Milieus“ gruppieren somit Menschen nach ihrer Grundhaltung und Lebensweise und fassen dadurch Menschen zusammen, die sich in Lebensauffassung und Lebensweise ähneln. Abgestellt wird dabei insb. auf eine ähnliche Grundorientierung, Mentalität und Werte (daher auch: ähnliches [Konsum-]verhalten, ähnliche Mediennutzung, ähnlicher Lebensstil, Geschmack und ähnliche Wohnumfelder). Betrachtet wird die reale Lebenswelt einer Person – und dies in einem Kontext mit demografischen Eigenschaften wie Bildung, Beruf oder Einkommen gestellt.

Die Sinus-Modelle sind grafisch alle sehr ähnlich aufgebaut („Kartoffelgrafik"). In der vertikalen Achse ist jeweils die soziale Lage (sie reicht von niedrig bis hoch) dargestellt und in der horizontalen Achse die Wertorientierung (sie reicht von traditionell bis postmodern). Je höher ein Milieu in dieser Grafik angesiedelt ist, desto gehobener sind Bildung, Einkommen und Berufsgruppe; je weiter nach rechts es sich erstreckt, desto moderner im soziokulturellen Sinn ist die Grundorientierung des jeweiligen Milieus.

Die Sinus-Milieus verdeutlichen, was die verschiedenen Lebenswelten in unserer Gesellschaft bewegt (Werte, Lebensziele, Lifestyles) – und wie sie bewegt werden können (Mediennutzung, Kommunikationspräferenzen). Sie bieten deshalb dem Marketing mehr Informationen und bessere Entscheidungshilfen als herkömmliche Zielgruppenansätze. In der Milieu-Landkarte können Produkte, Marken, Parteien, Medien etc. positioniert werden.

Die „Sinus-Milieus“ gliedern die Gesellschaft im Wesentlichen in drei Schichten: Oberschicht/obere Mittelschicht, Mittlere Mittelschicht und Untere Mittelschicht/Unterschicht. Den Gesellschaftsschichten werden in Österreich die Milieus „Konservative“, „Traditionelle“, „Etablierte“, „Performer“, „Postmaterielle“, „Digitale Individualisten“, „Bürgerliche Mitte“, „Adaptiv Pragmatische“, „Konsumorientierte Basis“ und „Hedonisten“ (teilweise überlappend) zugeordnet.

Das „Sinus-Milieumodell“ in Österreich stellte sich zum Zeitpunkt der Bescheidbeschwerde wie folgt dar:

Die einzelnen „Sinus-Milieus“ werden für Österreich von der XXXX bzw. der XXXX wie folgt beschrieben:

„Traditionelle Milieus“

Konservative: Leitmilieu im traditionellen Bereich mit einer hohen Verantwortungsethik: Stark von christlichen Wertvorstellungen geprägt, hohe Wertschätzung von Bildung und Kultur, kritisch gegenüber aktuellen gesellschaftlichen Entwicklungen

Traditionelle: Das auf Sicherheit, Ordnung und Stabilität fokussierte Milieu: Verwurzelt in der alten kleinbürgerlichen Welt, in der traditionellen Arbeiterkultur und im traditionell ländlichen Milieu

„Gehobene Milieus“

Etablierte: Die leistungsorientierte Elite mit starkem Traditionsbewusstsein: Deutliche Exklusivitäts- und Führungsansprüche, hohes Standesbewusstsein und ausgeprägtes Verantwortungsethos

Performer: Die flexible und global orientierte moderne Elite: Effizienz, Eigenverantwortung und individueller Erfolg haben oberste Priorität; Hohe Business- und IT-Kompetenz

Postmaterielle: Weltoffene Gesellschaftskritiker: Gebildetes, vielfältig kulturinteressiertes Milieu; kosmopolitisch orientiert, aber kritisch gegenüber Globalisierung; sozial engagiert

Digitale Individualisten: Die individualistische und vernetzte Lifestyle-Avantgarde: Mental und geographisch mobil, online und offline vernetzt, ständig auf der Suche nach neuen Erfahrungen

„Die neue Mitte“

Bürgerliche Mitte: Der leistungs- und anpassungsbereite Mainstream: Streben nach beruflicher und sozialer Etablierung, gesicherten und harmonischen Verhältnissen, Halt und Orientierung, Ruhe und Entschleunigung

Adaptiv-Pragmatische: Die neue flexible Mitte: Ausgeprägter Lebenspragmatismus, Streben nach Verankerung, Zugehörigkeit, Sicherheit; Grundsätzliche Leistungsbereitschaft, aber auch Wunsch nach Spaß und Unterhaltung

„Moderne Unterschicht“

Konsumorientierte Basis: Die um Teilhabe bemühte, konsumorientierte Unterschicht: Ausgeprägte Gefühle der Benachteiligung, Zukunftsängste und Ressentiments; bemüht, Anschluss zu halten an den Lebensstil und die Konsumstandards der Mitte

Hedonisten: Die momentbezogene, erlebnishungrige untere Mitte: Leben im Hier und Jetzt, Suche nach Spaß und Unterhaltung; Verweigerung von Konventionen der Mehrheitsgesellschaft

1.2.3. Zu den „Sinus-Geo-Milieus“ im Detail:

Die Datensätze zu den „Sinus-Geo-Milieus“ wurden von der in Deutschland ansässigen XXXX (im Folgenden: XXXX ) errechnet. Die Beschwerdeführerin bezog diese Daten im Rahmen ihrer Gewerbeberechtigung als Adressverlag vom Datenlieferanten A-GmbH mit Sitz in Wien.

Bei den „Sinus-Geo-Milieus“ erfolgt eine auf einer Wahrscheinlichkeitsrechnung basierende Einstufung nach den „Geo-Milieus“ der XXXX , welche die aus der Markforschung bekannten „Sinus-Milieus“ auf den geografischen Raum umlegen. Entwickelt wurden diese Wahrscheinlichkeitsdaten durch eine Verknüpfung repräsentativer Befragungsdaten aus der Sinus-Milieuforschung mit XXXX -Adressdaten. Mit den aus sozialwissenschaftlichen Umfragen gewonnenen Daten wird eine inhaltlich und räumlich repräsentative Analysestichprobe erstellt. Diese Stichprobe wird mit XXXX -Daten und Informationen aus amtlichen Quellen angereichert. Für diese Analyse werden in Deutschland durchschnittlich sechs Haushalte zu einer Mikrozelle zusammengefasst. Mittels mathematisch-statistischer Verfahren werden die Wahrscheinlichkeitswerte dann für an bestimmten Adressen befindlichen Gebäuden errechnet und diesen zugeordnet und für jeden Haushalt in Österreich die statistische Wahrscheinlichkeit berechnet, mit welcher die einzelnen „Sinus-Milieus“ vorkommen und zusätzlich das dominante „Sinus-Geo-Milieu“ bestimmt.

In Österreich erfolgte eine Zuordnung der Sinus-Geo-Mileus durch die A-GmbH zu einzelnen Personen nur dann, wenn mindestens zehn Personen an der Adresse wohnhaft waren.

Der Beschwerdeführerin wurden von der A-GmbH zwei Datentabellen übermittelt: Eine enthielt die Adressdaten einzelner Personen, die andere die auf Gebäudeebene errechneten „Sinus-Geo-Milieus“. Weiters wurde der Beschwerdeführerin von der A-GmbH der Schlüssel zur Verknüpfung der „Sinus-Geo-Milieus“ auf Gebäudeebene mit den Adressdaten (die „ XXXX “) zur Verfügung gestellt.

Diese stellen sich (wie zur Veranschaulichung im Sinne eines Musterbeispiels festgehalten) wie folgt dar (vgl. Beschwerde):

Datei 1:

​

Datei 2:

​

Die Beschwerdeführerin übernahm in der Folge diese Struktur in ihre eigene Datenbank und schrieb durch Kombination der Listen einzelnen Personen jeweils Wahrscheinlichkeitswerte über die Zugehörigkeit zu einem bestimmten „Sinus-Geo-Milieus“ zu (siehe die unter Punkt I. dargestellte Datenauskunft).

2.4. Der Person des Mitbeteiligten wurden folgende Wahrscheinlichkeitswerte zu den einzelnen „Sinus-Geo-Milieus“ zugeordnet:

Dominantes Geo Milieu: Hedonisten

Wahrscheinlichkeitswert Konservative: 3,29%

Wahrscheinlichkeitswert Traditionelle: 2,23%

Wahrscheinlichkeitswert Etablierte: 10,92%

Wahrscheinlichkeitswert Performer: 16,47%

Wahrscheinlichkeitswert Postmaterielle: 5,69%

Wahrscheinlichkeitswert Digitale Individualisten: 7,99%

Wahrscheinlichkeitswert Bürgerliche Mitte: 8,05%

Wahrscheinlichkeitswert Adaptiv Pragmatische: 6,66%

Wahrscheinlichkeitswert Konsumorientierte Basis: 16,21%

Wahrscheinlichkeitswert Hedonisten: 22,5%

2. Beweiswürdigung:

Der festgestellte Sachverhalt beruht auf dem Akteninhalt des Verwaltungs- und Gerichtsaktes; die Feststellungen zu den „Sinus-Geo-Milieus“ beruhen insbesondere auf der von der Beschwerdeführerin in der Beschwerde beigefügten Präsentation der „ XXXX GmbH“ sowie darüber hinaus auf einer Internetrecherche: XXXX (alle abgerufen am 28.11.2022).

Weiters hat das Bundesverwaltungsgericht als weiteres Beweismittel die Niederschrift über die mündliche Verhandlung zu den beim Bundesverwaltungsgericht anhängigen Verfahren W258 2240252-1, W258 2244085-1, W258 2245538-1, W258 2245706-1, W258 2245706-1, W258 2245939-1, W258 2246115-1, W258 2246345-1, W258 2246425-1, W258 2247575-1, W258 2248571-1, W258 2246667-1, W258 2247509-1 und W258 2248007-1 in das Verfahren eingebracht, in denen u.a. der Geschäftsführer der XXXX als Zeuge einvernommen wurde. Daraus sind jedoch keine über das schriftliche Verfahren hinausgehende für die Feststellungen relevanten Erkenntnisse zu gewinnen. So führte etwa der Zeuge aus, dass sein Unternehmen selbst keine personenbezogenen Zuordnungen vornehme und die konkrete Zuordnung daher in der Verantwortung der Personen liege, die die Daten von dem Unternehmen erhalten würden. Auch die Aussagen einer Vertreterin der Beschwerdeführerin, wonach „Sinus-Geo-Milieus“ „eine Stufe abstrakter“ seien als die Parteiaffinitäten und dass seitens der A-GmbH eine Zuordnung von Sinus-Geo-Milieus zu einzelnen Wohnadressen nur dann erfolgte, wenn sich an dieser Wohnadresse mindestens 10 Personen befanden, ändert nichts daran, dass diese Daten den betroffenen Personen namentlich zugeschrieben bzw. verarbeitet wurden.

Einzig bekämpft wurde von der Beschwerdeführerin bezüglich des Sachverhaltes die Feststellung der belangten Behörde, dass die Zuordnung der „Sinus-Geo-Milieus“ durch die Beschwerdeführerin vorgenommen worden sei. Die Frage, durch wen die Datensätze zu den „Sinus-Geo-Milieus“ zugeordnet wurden, wurde aufgrund der Ausführungen der Beschwerdeführerin in der Beschwerde zum einen geklärt, zum anderen kommt dieser Frage – wie noch unter Punkt 3.3.2.2.1 in der rechtlichen Beurteilung näher dargestellt werden wird – datenschutzrechtlich keine Relevanz zu.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerde wurde fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

3.3. In der Sache:

3.3.1. Zur Rechtslage:

Relevante Bestimmungen lauten:

§ 1 Abs. 1 DSG:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.“

§ 4 Abs. 1 DSG:

„§ 4. (1) Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.“

Art. 4 Z 1 DSGVO:

„Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;“

Art. 5 DSGVO:

„Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

​

(2 Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Art. 6 Abs. 1 lit. a, e und f DSGVO:„Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“

Art. 9 DSGVO:

„Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,

b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,

c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,

d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,

e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,

h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,

i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder

j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.

(3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

(4) Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.“

Die – soweit relevanten – Erwägungsgründe, insbesondere zu Art 9 DSGVO der DSGVO, lauten:

„(46) Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person oder einer anderen natürlichen Person zu schützen. […] Einige Arten der Verarbeitung können sowohl wichtigen Gründen des öffentlichen Interesses als auch lebenswichtigen Interessen der betroffenen Person dienen; so kann beispielsweise die Verarbeitung für humanitäre Zwecke einschließlich der Überwachung von Epidemien und deren Ausbreitung oder in humanitären Notfällen insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen erforderlich sein.

(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. […] Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.

(51) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Diese personenbezogenen Daten sollten personenbezogene Daten umfassen, aus denen die rassische oder ethnische Herkunft hervorgeht, wobei die Verwendung des Begriffs „rassische Herkunft“ in dieser Verordnung nicht bedeutet, dass die Union Theorien, mit denen versucht wird, die Existenz verschiedener menschlicher Rassen zu belegen, gutheißt. Die Verarbeitung von Lichtbildern sollte nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden, da Lichtbilder nur dann von der Definition des Begriffs „biometrische Daten“ erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Derartige personenbezogene Daten sollten nicht verarbeitet werden, es sei denn, die Verarbeitung ist in den in dieser Verordnung dargelegten besonderen Fällen zulässig, wobei zu berücksichtigen ist, dass im Recht der Mitgliedstaaten besondere Datenschutzbestimmungen festgelegt sein können, um die Anwendung der Bestimmungen dieser Verordnung anzupassen, damit die Einhaltung einer rechtlichen Verpflichtung oder die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, möglich ist. Zusätzlich zu den speziellen Anforderungen an eine derartige Verarbeitung sollten die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten. Ausnahmen von dem allgemeinen Verbot der Verarbeitung dieser besonderen Kategorien personenbezogener Daten sollten ausdrücklich vorgesehen werden, unter anderem bei ausdrücklicher Einwilligung der betroffenen Person oder bei bestimmten Notwendigkeiten, insbesondere wenn die Verarbeitung im Rahmen rechtmäßiger Tätigkeiten bestimmter Vereinigungen oder Stiftungen vorgenommen wird, die sich für die Ausübung von Grundfreiheiten einsetzen.

(52) Ausnahmen vom Verbot der Verarbeitung besonderer Kategorien von personenbezogenen Daten sollten auch erlaubt sein, wenn sie im Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen sind, und — vorbehaltlich angemessener Garantien zum Schutz der personenbezogenen Daten und anderer Grundrechte — wenn dies durch das öffentliche Interesse gerechtfertigt ist, insbesondere für die Verarbeitung von personenbezogenen Daten auf dem Gebiet des Arbeitsrechts und des Rechts der sozialen Sicherheit einschließlich Renten und zwecks Sicherstellung und Überwachung der Gesundheit und Gesundheitswarnungen, Prävention oder Kontrolle ansteckender Krankheiten und anderer schwerwiegender Gesundheitsgefahren. Eine solche Ausnahme kann zu gesundheitlichen Zwecken gemacht werden, wie der Gewährleistung der öffentlichen Gesundheit und der Verwaltung von Leistungen der Gesundheitsversorgung, insbesondere wenn dadurch die Qualität und Wirtschaftlichkeit der Verfahren zur Abrechnung von Leistungen in den sozialen Krankenversicherungssystemen sichergestellt werden soll, oder wenn die Verarbeitung im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken dient. Die Verarbeitung solcher personenbezogenen Daten sollte zudem ausnahmsweise erlaubt sein, wenn sie erforderlich ist, um rechtliche Ansprüche, sei es in einem Gerichtsverfahren oder in einem Verwaltungsverfahren oder einem außergerichtlichen Verfahren, geltend zu machen, auszuüben oder zu verteidigen.

(55) Auch die Verarbeitung personenbezogener Daten durch staatliche Stellen zu verfassungsrechtlich oder völkerrechtlich verankerten Zielen von staatlich anerkannten Religionsgemeinschaften erfolgt aus Gründen des öffentlichen Interesses.“

Art. 77 Abs. 1 DSGVO:

„Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

§ 151 GewO 1994:

„2. Freie Gewerbe

Adressverlage und Direktmarketingunternehmen

§ 151. (1) Auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden sind die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 199 vom 4.5.2016 S 1, (im Folgenden: DSGVO), sowie des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I. Nr. 165/1999, in der Fassung des Bundesgesetzes BGBl. I. Nr. 120/2017, anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

(2) Die Tätigkeit als Mittler zwischen Inhabern und Nutzern von Kunden- und Interessentendateisystemen (Listbroking) ist den in Abs. 1 genannten Gewerbetreibenden vorbehalten.

(3) Die in Abs. 1 genannten Gewerbetreibenden sind berechtigt, für ihre Tätigkeiten gemäß Abs. 1 und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für

1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder

2. das Listbroking

erforderlich und gemäß Abs. 4 und 5 zulässig ist.

(4) Soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO betroffen sind, dürfen diese von den in Abs. 1 genannten Gewerbetreibenden verarbeitet werden, sofern ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung dieser Daten für Marketingzwecke Dritter vorliegt. Die Ermittlung und Weiterverarbeitung besonderer Kategorien personenbezogener Daten aus Kunden- und Interessentendateisystemen Dritter auf Grund eines solchen Einverständnisses ist nur im Umfang des Abs. 5 und nur soweit zulässig, als der Inhaber des Dateisystems gegenüber dem Gewerbetreibenden nach Abs. 1 schriftlich unbedenklich erklärt hat, dass die betroffenen Personen mit der Verarbeitung ihrer Daten für Marketingzwecke Dritter ausdrücklich einverstanden waren. Strafrechtlich relevante Daten im Sinne des Art. 10 DSGVO dürfen von Gewerbetreibenden nach Abs. 1 für Marketingzwecke nur gemäß § 4 Abs. 3 DSG oder bei Vorliegen einer ausdrücklichen Einwilligung verarbeitet werden.

(5) Soweit keine Einwilligung der betroffenen Personen gemäß Art. 4 Z 11 DSGVO zur Übermittlung ihrer Daten für Marketingzwecke Dritter vorliegt, dürfen die in Abs. 1 genannten Gewerbetreibenden aus einem Kunden- und Interessentendateisystem eines Dritten nur die Daten

1. Namen,

2. Geschlecht,

3. Titel,

4. akademischer Grad,

5. Anschrift,

6. Geburtsdatum,

7. Berufs-, Branchen- oder Geschäftsbezeichnung und

8. Zugehörigkeit der betroffenen Person zu diesem Kunden- und Interessentendateisystem

ermitteln. Voraussetzung hiefür ist – soweit nicht die strengeren Bestimmungen des Abs. 4 Anwendung finden –, dass der Inhaber des Dateisystems dem Gewerbetreibenden nach Abs. 1 gegenüber schriftlich unbedenklich erklärt hat, dass die betroffenen Personen in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen, und dass keine Untersagung erfolgt ist.

(6) Gewerbetreibende nach Abs. 1 dürfen für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte nur dann übermitteln, wenn diese unbedenklich erklären, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden werden.

(7) Gewerbetreibende nach Abs. 1 haben Aussendungen im Zuge von Marketingaktionen, die sie mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten personenbezogenen Daten durchführen, so zu gestalten, dass durch entsprechende Kennzeichnung des ausgesendeten Werbematerials die Identität der Verantwortlichen jener Dateisysteme, mit deren Daten die Werbeaussendung adressiert wurde (Ursprungsdateisysteme), nachvollziehbar ist; soweit Gewerbetreibende nach Abs. 1 an Werbeaussendungen nur durch Zurverfügungstellung oder Vermittlung von Daten mitwirken, haben sie durch entsprechenden Hinweis an die für die Werbeaussendung Verantwortlichen darauf hinzuwirken, dass die Identität der Verantwortlichen der benutzten Ursprungsdateisysteme nachvollziehbar ist. Für Gewerbetreibende nach Abs. 1 gilt, wenn sie die Aussendung mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten Daten selbst durchgeführt haben, – unbeschadet ihrer allfälligen Auskunftsverpflichtungen als Verantwortliche –, Art. 15 DSGVO mit der Maßgabe, dass sie auf Grund eines innerhalb von drei Monaten nach der Werbeaussendung gestellten Auskunftsbegehrens anhand der von der betroffenen Person zur Verfügung gestellten Informationen über die Werbeaussendung zur Auskunftserteilung nur über die Verantwortlichen der Ursprungsdateisysteme verpflichtet sind; haben sie an der Aussendung nur durch Zurverfügungstellung oder Vermittlung von Daten mitgewirkt, so haben sie nach Möglichkeit zur Auffindung der Verantwortlichen der Ursprungsdateisysteme beizutragen. Bei nicht ordnungsgemäßer Erfüllung der Kennzeichnungspflicht durch Gewerbetreibende nach Abs. 1 genügt die Stellung eines fristgerechten Auskunftsbegehrens an den Werbenden zur Wahrung des Auskunftsrechts gegenüber dem Gewerbetreibenden nach Abs. 1.

(8) Stellt die betroffene Person an einen Gewerbetreibenden nach Abs. 1 ein Begehren auf Löschung von Daten, die dieser für Zwecke von Marketingaktionen über sie gespeichert hat, so hat dieser dem Begehren der betroffenen Person unverzüglich, in jedem Fall innerhalb von einem Monat kostenlos zu entsprechen (Art. 12 Abs. 3 DSGVO). Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Soweit die betroffene Person – nach entsprechender Information über die möglichen Folgen einer physischen Löschung ihrer Daten – auf der physischen Löschung ihrer Daten nicht besteht, hat die Löschung in Form einer Sperrung der Verwendung dieser Daten für Marketingaussendungen zu erfolgen.

(9) Der Fachverband Werbung und Marktkommunikation der Wirtschaftskammer Österreich hat eine Liste zu führen, in welcher Personen kostenlos einzutragen sind, die die Zustellung von Werbematerial für sich ausschließen wollen. Die Liste ist mindestens monatlich zu aktualisieren und den Gewerbetreibenden nach Abs. 1 zur Verfügung zu stellen. Gewerbetreibende nach Abs. 1 dürfen an die in dieser Liste eingetragenen Personen keine adressierten Werbemittel versenden oder verteilen und deren Daten auch nicht vermitteln. Die in der Liste enthaltenen Daten dürfen ausschließlich zum Zweck des Unterbindens der Zusendung von Werbemitteln verwendet werden.

(10) Inhaber von Kunden- und Interessentendateisystemen dürfen personenbezogene Daten aus diesen Dateisystemen an Gewerbetreibende nach Abs. 1 für Marketingzwecke Dritter nur übermitteln und insbesondere auch für Listbroking nur zur Verfügung stellen, wenn sie die betroffenen Personen in geeigneter Weise darüber informiert haben, dass sie die Verarbeitung dieser Daten für Marketingzwecke Dritter untersagen können, und wenn keine Untersagung erfolgt ist; besondere Kategorien personenbezogener Daten und strafrechtlich relevante Daten dürfen unter den in Abs. 4 genannten Voraussetzungen an Gewerbetreibende nach Abs. 1 übermittelt und für Listbroking zur Verfügung gestellt werden. Auf die Möglichkeit der Untersagung ist ausdrücklich und schriftlich hinzuweisen, wenn Daten schriftlich von der betroffenen Person ermittelt werden. Die Untersagung der Übermittlung hat auf ein Vertragsverhältnis zwischen der betroffenen Person und dem Inhaber des Kunden- und Interessentendateisystems keinen Einfluss.

(11) Das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO kann gegenüber den in Abs. 1 genannten Gewerbetreibenden auch durch Eintragung in die im Abs. 9 bezeichnete Liste erfolgen.“

3.3.2. Für den vorliegenden Fall ergibt sich daraus Folgendes:

3.3.2.1. Zur Frage der Feststellungskompetenz:

Die Beschwerde verneint eine Feststellungskompetenz der belangten Behörde bzw. des Bundesverwaltungsgerichtes mit der Begründung, aus Art. 77 DSGVO und § 24 DSG sei kein eigenständiges Recht auf Feststellung vergangener Rechtsverletzungen ableitbar.

Den Einwänden der Beschwerdeführerin ist nicht zu folgen: Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 14.12.2021, Ro 2020/04/0032, ausdrücklich festgehalten, dass im Datenschutzrecht (bei Antragsverfahren) die Möglichkeit der rechtsverbindlichen Feststellung einer datenschutzrechtlichen Rechtsverletzung gemäß § 24 DSG besteht. Er führte diesbezüglich aus, dass § 24 DSG einer in ihrem persönlichen Grundrecht verletzten Person, die Möglichkeit einräume, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen. Der Feststellungsanspruch betreffe die Rechtsposition einer konkreten in ihren Rechten verletzten Person und sei dogmatisch in seinem Rechtskraftumfang auf diese Rechtsverletzung beschränkt. Basierend auf dieser Feststellung solle es der betroffenen Person möglich sein, weitere individuelle Ansprüche – etwa Schadenersatzansprüche – zu verfolgen (Rz 38 – 40).

Bereits aus der dargestellten Rechtsprechung ist herzuleiten, dass betroffenen Personen ein Anspruch auf Feststellung einer ihnen gegenüber geschehenen Verletzung im Grundrecht auf Geheimhaltung personenbezogener Daten zukommt.

Überdies hat sich der VwGH in seinem Erkenntnis vom 19.10.2022, Ro 2022/04/0001-5, ausführlich mit der Frage der Feststellungsbefugnis der belangten Behörde bezüglich einer vergangenen Verletzung im Grundrecht auf Geheimhaltung auseinandergesetzt und führte Folgendes aus:

„21 7.3.1. Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten (ua.) gegen § 1 DSG, der auch das Recht auf Geheimhaltung schützt, verstößt. Gemäß § 24 Abs. 2 Z 5 DSG hat die Beschwerde das Begehren zu enthalten, die behauptete Rechtsverletzung festzustellen. Soweit sich eine Beschwerde als berechtigt erweist, ist ihr nach § 24 Abs. 5 erster Satz DSG Folge zu geben. Das Gesetz sieht demnach als Rechtsbehelf im Fall einer datenschutzrechtlichen Rechtsverletzung explizit einen Feststellungsantrag im Rahmen der Beschwerde vor, der gemäß § 24 Abs. 5 DSG Folge zu geben ist, sofern sie sich als berechtigt erweist. Der Verwaltungsgerichtshof hat daher keine Zweifel daran, dass der Datenschutzbehörde die Zuständigkeit zukommt, auf Grund einer - sich als berechtigt erweisenden - Beschwerde die Verletzung eines Beschwerdeführers in seinem Recht auf Geheimhaltung der ihn betreffenden personenbezogenen Daten festzustellen.

22 Zudem hat der Verwaltungsgerichtshof bereits im Erkenntnis VwGH 14.12.2021, Ro 2020/04/0032, Rn. 38 (zu der von ihm in der Folge verneinten Frage, ob der Datenschutzbehörde im Rahmen der Inanspruchnahme der ihr gemäß Art. 58 Abs. 2 DSGVO eingeräumten Abhilfebefugnisse die Kompetenz zukommt, von Amts wegen einen rechtskraftfähigen Feststellungsausspruch betreffend die Rechtswidrigkeit des untersuchten Verarbeitungsvorgangs zu treffen), im Zusammenhang mit der Abgrenzung des amtswegig geführten Verfahrens nach Art. 58 Abs. 2 DSGVO von der Individualbeschwerde nach § 24 DSG begründend festgehalten, dass § 24 DSG der in ihrem persönlichen Recht verletzten Person die Möglichkeit einräumt, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen (vgl. weiters das hg. Erkenntnis VwGH 23.6.2022, Ro 2022/04/0008, Rn. 41 bis 45, in dem der Verwaltungsgerichtshof die Feststellung der Verletzung des dort Mitbeteiligten in seinem Grundrecht auf Datenschutz nach § 1 DSG unbeanstandet gelassen hat).

23 Somit erübrigt sich ein Eingehen auf das Vorbringen der Revisionswerberin, dass die allgemeinen Voraussetzungen für die Erlassung eines Feststellungsbescheides ohne gesetzliche Grundlage nicht vorlägen. Im Hinblick auf die oben (in Rn. 22) dargestellte hg. Rechtsprechung ist es auch unerheblich, ob sich (wie vom BVwG bejaht und von der Revisionswerberin verneint) aus dem hg. Erkenntnis VwGH 23.2.2021, Ra 2019/04/0054, für die hier gegenständliche Konstellation etwas ableiten lässt.

24 7.3.2. Zu prüfen ist allerdings, ob - wie die Revisionswerberin behauptet - die Löschung der entsprechenden Daten einer Feststellung der Verletzung im Recht auf Geheimhaltung durch die in der Vergangenheit erfolgte Verarbeitung entgegensteht. Die Revisionswerberin verweist diesbezüglich auf näher zitierte Rechtsprechung des Verwaltungsgerichtshofes, der zufolge kein Recht auf Feststellung einer in der Vergangenheit erfolgten Rechtsverletzung bestehe.

Dass diesen Entscheidungen das Recht auf Auskunft, Löschung und Richtigstellung zugrunde gelegen sei, sei nach Ansicht der Revisionswerberin irrelevant, weil es nicht darauf ankommen könne, welches Betroffenenrecht geltend gemacht werde.

25 Dem ist allerdings entgegenzuhalten, dass bereits nach der Regelung des § 24 Abs. 5 DSG zwischen dem Recht auf Geheimhaltung einerseits und den Rechten auf Auskunft, Berichtigung und Löschung andererseits zu unterscheiden ist. Nach § 24 Abs. 5 zweiter Satz DSG ist einem Verantwortlichen des privaten Bereichs aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Eine Beseitigung der Rechtsverletzung bzw. ein darauf gerichteter Auftrag an den Verantwortlichen wird im Zusammenhang mit dem Recht auf Geheimhaltung hingegen nicht angesprochen.

26 Die Rechte auf Auskunft, Berichtigung oder Löschung schaffen - anders als das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG - jeweils einen Anspruch auf eine bestimmte Leistung (vgl. hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht.

27 Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. § 1 Abs. 1 DSG gewährleistet jedermann die Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schützenswertes Interesse hat. Darunter ist der Schutz des Betroffenen vor Ermittlung seiner Daten und vor Weitergabe der über ihn ermittelten Daten zu verstehen (siehe RV 1613 BlgNR 20. GP 34 zur - unverändert gebliebenen - Bestimmung des § 1 DSG 2000). Das Recht auf Geheimhaltung verkörpert aber kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (im vorliegenden Fall die Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann.

28 Daran vermag die von der Revisionswerberin ins Treffen geführte Rechtsprechung nichts zu ändern:

Der Verfassungsgerichtshof hat in seinem Erkenntnis VfGH 26.6.1991, B 811/89, festgehalten, die wegen behaupteter Verletzung der Rechte auf Richtigstellung oder auf Löschung erhobene Datenschutzbeschwerde habe ausschließlich zum Ziel, dem Beschwerdeführer erforderlichenfalls durch eine Entscheidung der (damals noch) Datenschutzkommission und ihre „Vollstreckung“ zur Durchsetzung des Rechts auf Richtigstellung oder auf Löschung zu verhelfen. Sei die Richtigstellung oder Löschung durchgeführt (bzw. veranlasst) worden, sei die Möglichkeit der Verletzung der durch § 1 Abs. 4 DSG 2000 eingeräumten subjektiven Rechte nicht mehr gegeben. Eine meritorische Entscheidung wegen Verletzung dieser Rechte komme nur dann und solange in Betracht, als die angestrebte Richtigstellung oder Löschung noch nicht durchgeführt (bzw. veranlasst) worden sei.

29 Unter Bezugnahme auf dieses Erkenntnis hat der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 28.3.2006, 2004/06/0125, die Zulässigkeit der Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber (infolge der - wenn auch verspätet ergangenen - Mitteilung) nicht mehr aktuelle Verletzungen des dort relevanten Rechts auf Mitteilung über die beantragte Löschung verneint. Der Verwaltungsgerichtshof hat darin betont, dass die Mitteilung über die Löschung auf die Erbringung einer Leistung gegenüber dem Rechtsunterworfenen ausgerichtet ist. Es entspricht - so der Verwaltungsgerichtshof weiter - einem effektiven Rechtsschutz, wenn im Fall der Gewährleistung eines bestimmten Verwaltungshandelns (wie die Löschung oder die Mitteilung darüber) entsprechende Rechtsmittel zur Erreichung dieses Verwaltungshandelns bestehen. Auch die weiteren von der Revisionswerberin insoweit ins Treffen geführten hg. Entscheidungen befassen sich mit dem Recht auf Löschung und auf Mitteilung darüber (VwGH 25.4.2006, 2004/06/0167; 24.10.2006, 2006/06/0050) bzw. mit dem Recht auf Auskunft (VwGH 27.9.2007, 2006/06/0330). Keine dieser Entscheidungen lässt hingegen Rückschlüsse auf das Nichtbestehen eines Feststellungsanspruchs hinsichtlich der behaupteten Verletzung des Rechts auf Geheimhaltung zu.

30 Demgegenüber hatte sich der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 9.9.2008, 2005/06/0125, mit einer - von der Datenschutzkommission zur Gänze abgewiesenen - Datenschutzbeschwerde betreffend einerseits die Verletzung des Rechts auf Geheimhaltung und andererseits die in der Vergangenheit bestandene Verletzung des Rechts auf Löschung zu befassen. Im Hinblick auf die zum Entscheidungszeitpunkt der dort belangten Behörde bereits angeordnete Löschung der gegenständlichen Daten verneinte der Verwaltungsgerichtshof eine Verletzung des Beschwerdeführers im Recht auf Löschung. Die Abweisung der Datenschutzbeschwerde hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung erachtete der Verwaltungsgerichtshof hingegen als rechtswidrig und hob den angefochtenen Bescheid in diesem Umfang auf. Einen auf Grund der erfolgten Löschung der Daten eingetretenen Wegfall der Beschwer des dortigen Beschwerdeführers hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung nahm der Verwaltungsgerichtshof hingegen nicht an.

31 Der Verwaltungsgerichtshof hat daher bereits im Anwendungsbereich des DSG 2000 zwischen den auf eine Leistung des Auftraggebers (nunmehr: des Verantwortlichen im Sinn des Art. 4 Z 7 DSGVO) gerichteten Ansprüchen (auf Auskunft, Löschung oder Richtigstellung) und dem Recht auf Geheimhaltung unterschieden. Dies ist für die geltende Rechtslage aber nicht anders zu beurteilen.

32 Im Ergebnis ist das BVwG somit zutreffend davon ausgegangen, dass die Feststellung der Verletzung im Recht auf Geheimhaltung zu Recht erfolgt sei.“

Nach dem soeben Ausgeführten hat der Mitbeteiligte einen Rechtsanspruch auf Feststellung der Verletzung im Recht auf Geheimhaltung in der Vergangenheit, sodass die belangte Behörde bzw. das Bundesverwaltungsgericht auch darüber abzusprechen hat, selbst wenn die verfahrensgegenständlichen Daten betreffend die „Sinus-Geo-Mileus“ bereits durch die Beschwerdeführerin gelöscht wurden.

3.3.2.2. Zur Verarbeitung der „Sinus-Geo-Milieus“:

Vorweg ist festzuhalten, dass sich seit Einbringung der Datenschutzbeschwerde sowohl der Verwaltungsgerichtshof (in seinem Erkenntnis vom 14.12.2021, Zl. Ro 2021/04/0007) als auch der Oberste Gerichtshof (in der Entscheidung vom 15.04.2021, Zl. 6 Ob 35/21x) umfassend mit der Verarbeitung der „Parteiaffinitäten“ durch die Beschwerdeführerin auseinandergesetzt haben und die „Parteiaffinitäten“ übereinstimmend als personenbezogene Daten iSd DSGVO qualifiziert wurden; gleiches gilt für weitere Marketingklassifikationen bzw. „Affinitäten“ (vgl. OGH 18.02.2021, 6 Ob 127/20z). Weiters wurden die „Parteiaffinitäten“ dabei übereinstimmend als Daten „besonderer Kategorie“ nach Art. 9 DSGVO eingestuft.

Das Bundesverwaltungsgericht geht davon aus, dass die dort angestellten Überlegungen betreffend Qualifikation als personenbezogene Daten und Daten „besondere Kategorie“ nach Art. 9 DSGVO auf die hier gegenständlich verarbeiteten „Sinus-Geo-Milieus“ übertragen werden können.

3.3.2.2.1. Qualifikation der „Sinus-Geo-Milieus“ als personenbezogene Daten

Die Beschwerdeführerin bringt im Wesentlichen vor, die Datensätze zu den „Sinus-Geo-Milieus“ seien keine personenbezogenen Daten, sondern anonyme Gruppendaten (auf Gebäudeebene), welche stets nur Milieuaussagen zu den Gebäuden an bestimmten Adressen enthalten würden. Sie würden aggregierte adressbezogene Merkmale darstellen, aus denen sich prognostisch ableiten lasse, mit welcher Wahrscheinlichkeit in einer bestimmten Gegend etwa „Performer“ wohnen. Es fehle demnach am Personenbezug der Daten.

Dazu ist auszuführen:

Art. 4 Z 1 DSGVO definiert „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Der Begriff ist weit zu verstehen und umfasst alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt. Dies ist dann der Fall, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten oder bestimmbaren Person verknüpft ist (siehe zum Ganzen das noch zur Datenschutzrichtlinie 95/46/EG [„DS-RL“] ergangene Urteil EuGH 22.06.2017, C-434/16, Nowak Rz 33).

Der Oberste Gerichtshof hat sich in der Entscheidung vom 18.02.2021, Zl. 6 Ob 127/20z, welcher ebenfalls ein an die Beschwerdeführerin gerichtetes Auskunftsersuchen zugrunde lag und die Verarbeitung vergleichbarer Datenkategorien betraf (bspw. „Investmentaffin“, „Distanzhandelaffin“, „Lebensphase [Shop]“), ausführlich mit der Frage des Personenbezugs einer Wahrscheinlichkeitsaussage auseinandergesetzt und dabei zusammengefasst Folgendes festgehalten:

Der Begriff der personenbezogenen Daten nach Art. 4 Z 1 DSGVO sei weit zu verstehen. Deshalb würden auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug aufweisen. Damit umfasse der Begriff der „Information“ nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa „X ist ein zuverlässiger Mitarbeiter“. In diesem Sinne seien Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend seien; der Wahrheitsgehalt sei für die Betrachtung unerheblich. Wahrscheinlichkeitsangaben hätten Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen.

Aggregierte oder statistische Daten seien hingegen dann nicht personenbezogen, wenn sie keine Rückschlüsse mehr auf eine einzelne Person zulassen, was im Einzelfall anhand der gewählten Gruppengröße, des Aggregationsniveaus oder der in der Statistik ausgewiesenen Merkmale zu beurteilen sei. Es komme daher darauf an, ob eine Sammelangabe über eine Personengruppe gemacht oder ob eine Einzelperson als Mitglied einer Personengruppe gekennzeichnet werde, so etwa bei der Klassifizierung von zu Werbezwecken gespeicherten Daten, wenn Bewohner einer Straße aufgrund der Bevölkerungsstruktur einer bestimmten Käufergruppe oder Kaufkraftklasse zugeordnet werden; anderes würde hingegen etwa bei der Aussage gelten, dass der Krankenstand der Mitarbeiter des Unternehmens A um X % zugenommen hat, wenn das Unternehmen eine Vielzahl von Mitarbeitern beschäftigt.

Der Oberste Gerichtshof kam im zugrundeliegenden Fall zum Schluss, dass die zu beurteilenden Informationen dem Regime der DSGVO unterlägen, seien sie doch der betreffenden Person direkt zugeordnet und würden Aussagen über ihre Vorlieben und Einstellungen enthalten; ob die Einschätzungen tatsächlich zutreffend seien, sei dabei hingegen unerheblich. Auch dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet worden seien, ändere nichts am Vorliegen personenbezogener Daten. Die „Affinitäten“ würden eine Wahrscheinlichkeitsaussage über bestimmte Interessen und Vorlieben der betroffenen Person enthalten.

In der Entscheidung zu Zl. 6 Ob 35/21 x vom 15.04.2021 bejahte der Oberste Gerichtshof weiters den Personenbezug der „Parteiaffinitäten“ und hielt dabei – unter Verweis auf seine Ausführungen zu Zl. 6 Ob 127/20z – zusammengefasst fest, die „Parteiaffinitäten“ würden jedenfalls personenbezogene Daten darstellen, zumal diese eine Wahrscheinlichkeitsaussage hinsichtlich der Affinität einer Person zu einer bestimmten Partei enthalten würden und daher als Informationen „über“ die betroffene Person zu betrachten seien.

In weiterer Folge setzte sich auch der Verwaltungsgerichtshof mit der Frage des Personenbezugs der von der Beschwerdeführerin verarbeiteten „Parteiaffinitäten“ auseinander (Ro 2021/04/007 vom 14.12.2021) und kam dabei – unter Zugrundelegung der Rechtsprechung des Obersten Gerichtshofes (6 Ob 35/21x vom 15.04.2021) sowie mit Verweis auf die Erwägungen des Europäischen Gerichtshofes (EuGH) in der Rs. C-434/16, Nowak [ECLI:EU:C:2017:994] – ebenso zum Ergebnis, dass die „Parteiaffinitäten“ als personenbezogene Daten iSd. Art. 4 Z 1 DSGVO zu qualifizieren sind:

Er hielt zusammengefasst fest, dass die den Betroffenen zugeordneten „Parteiaffinitäten“ jeweils eine Wahrscheinlichkeitsaussage über die Neigungen dieser Personen enthalten würden, die im Rahmen der verfahrensgegenständlichen Verarbeitung unstrittig namentlich bezeichnet und damit zweifelsfrei identifiziert im Sinne des Art. 4 Z 1 DSGVO worden seien. Die „Parteiaffinitäten“ seien als personenbezogene Daten anzusehen, handle es sich doch um konkret bezeichneten Personen zugeordneten Aussagen und damit um Informationen „über“ diese Person. Ob diese Einschätzungen zutreffend seien, sei dabei unerheblich. An diesem Ergebnis könne der Umstand nichts ändern, dass die betreffenden Informationen im Wege der Auswertung von Statistiken bzw. Meinungsumfragen aggregiert worden seien. Diese Auslegung stehe auch im Einklang mit der Entscheidung des EuGH in der Rs. Nowak, zumal die darin normierten Voraussetzungen für das Vorliegen des Personenbezugs von Daten (Inhalts-, Zweck-, sowie Auswirkungselement) erfüllt seien: Die Daten würden Informationen „über“ die betreffenden Personen enthalten und dem Zweck dienen, Betroffenen Werbung verstärkt oder in geringerem Ausmaß zukommen zu lassen, und hätten insofern auch Auswirkungen auf das Verhalten von Dritten den Betroffenen gegenüber.

Für den vorliegenden Fall (betreffend „Sinus-Geo-Milieus“) bedeutet dies nun Folgendes:

Die „Sinus-Geo-Milieus“ sind (wie die „Parteiaffinitäten“) als personenbezogene Daten zu betrachten, zumal sie dem Mitbeteiligten direkt zugeordnet sind und Aussagen über seine Grundhaltung und Lebensweise enthalten; ob diese Einschätzungen tatsächlich zutreffend sind, ist unerheblich. Auch dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet wurden, ändert nichts am Vorliegen des Personenbezugs (vgl. wieder VwGH 14.12.2021, Ro 2021/04/0007 Rz 28). Die Datensätze „Wahrscheinlichkeitswerte Konservative“, „Wahrscheinlichkeitswert Traditionelle“ etc. enthalten eine Wahrscheinlichkeitsaussage über bestimmte Auffassungen und Einstellungen der Mitbeteiligten; sie lassen vermutete Rückschlüsse auf denMitbeteiligten zu und sind demnach iSd Rsp. des OGH als „Kennzeichnung einer Person als Mitglied einer Personengruppe“ und nicht als „Sammelangabe über eine Personengruppe“ zu betrachten. Weiters dienen die Datensätze dem Zweck, Betroffenen Werbung verstärkt oder in geringerem Ausmaß zukommen zu lassen, und haben somit Auswirkungen auf das Verhalten von Dritten den Betroffenen gegenüber, weshalb diese – (auch) unter Berücksichtigung der Rsp des EuGH in der Rs Nowak – jedenfalls als personenbezogene Daten zu qualifizieren sind.

Wenn die Beschwerdeführerin in ihrer Stellungnahme vom 18.11.2022 vorbringt, dass es sich bei den „Sinus-Geo-Milieus“ um keine personenbezogenen Daten handle, da sich aus der Rechtsprechung der Datenschutzbehörde (D215.611/0003-DSB/2014) bzw. der (damaligen) Datenschutzkommission (K213.180/0021-DSK/2013) ergebe, dass eine auf eine Gruppe von mehr als fünf Personen bezogene Information kein personenbezogenes Datum darstelle, ist ihr entgegenzuhalten, dass– im Unterschied zur von der Beschwerdeführerin zitierten Rechtsprechung - im vorliegenden Fall eine konkrete Zuschreibung der „Sinus-Geo-Milieus“ zur mitbeteiligten Partei erfolgte und es sich daher nicht um anonyme Gruppendaten bzw. einen anonymen Gruppenwert handelt.

Die „Sinus-Geo-Milieus“ sind auch nicht mit den „Selektionskriterien“ vergleichbar, mit welchen sich der EuGH in der von der Beschwerdeführerin zitierten Rechtsprechung (EuGH 05.04.2022, C-140/20, EuGH 21.06.2022, C-817/19) beschäftigt hat. Beim Kriterium der „durchschnittlichen Rate schwerer Straftaten“ handelt es sich – wie die Beschwerdeführerin vorbringt – um ein geographisches Kriterium, welches jedoch natürlichen Personen nicht zugeschrieben wurde. Bei Erfüllung dieses Kriteriums wurde es den zuständigen Behörden lediglich ermöglicht, Verkehrs- und Standortdaten für einen bestimmten Zeitraum zu speichern, es handelt sich dabei – im Gegensatz zu den „Sinus-Geo-Milieus“ – allerdings nicht um eine Information, die sich gemäß Art. 4 Z 1 DSGVO auf eine identifizierte oder identifizierbare natürliche Person bezieht. Auch die „im Voraus festgelegten Kriterien“ (wie etwa bestimmte Reisemuster) werden natürlichen Personen nicht zugeschrieben, sondern dienen diese (lediglich) als Grundlage für die Zulässigkeit der Ermittlung von Passagier-Daten. Die Muster bzw. „im Voraus festgelegten Kriterien“ haben nach der Rechtsprechung des EuGH mehrere Anforderungen zu erfüllen, unter anderem müssen diese verdachtsbegründende und verdachtsentlastende Prüfungsmerkmale enthalten und sind so zu kombinieren, dass die Zahl der unter das Muster fallenden Personen möglichst gering ist. Die Muster werden jedoch natürlichen Personen – im Gegensatz zu den „Sinus-Geo-Milieus“ - nicht zugeschrieben.

Zum Vorbringen der Beschwerdeführerin, die von der belangten Behörde getroffene Feststellung, dass die Zuordnung der „Sinus-Geo-Milieus“ durch die Beschwerdeführerin vorgenommen worden sei, sei tatsachenwidrig, ist festzuhalten, dass es rechtlich irrelevant ist, durch wen die Zuordnung der Daten vorgenommen wurde. Maßgeblich ist, durch wen die Daten verarbeitet werden bzw. wer über Zwecke und Mittel der Verarbeitung bestimmt. Dies ist klar die Beschwerdeführerin, zumal die Datensätze (auch) in ihrer Datenbank gespeichert waren und sie festlegte, zu welchen Zwecken die Daten verarbeitet werden. Sie ist daher (auch) als datenschutzrechtlicher Verantwortlicher iSd Art. 4 Z 7 DSGVO anzusehen. Daher ist es unerheblich, dass die „Sinus-Geo-Milieus“ im ersten Schritt lediglich Gebäuden bzw. Adressen zugeordnet wurden. Entscheidend ist, dass die Datensätze im weiteren Schritt einzelnen Personen zugeordnet wurden und in dieser Form auch von der Beschwerdeführerin in ihrer Datenbank verarbeitet wurden – was sich klar an den von der Beschwerdeführerin beauskunfteten Datensätzen zeigt.

Soweit die Beschwerdeführerin auf § 6 Abs. 1 Z 3 der Verhaltensregeln für die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen verweist bzw. vorbringt, dass sich daraus ergebe, dass jener Adressverlag für die Datenverarbeitung verantwortlich sei, welcher die in Rede stehenden Daten bereitgestellt hat, so ist darauf hinzuweisen, dass sich aus § 6 Abs. 1 Z 3 lediglich ergibt, dass im Falle der Verarbeitung sensibler Daten, das Vorliegen der erforderlichen Einwilligungen der Betroffenen durch den die Daten liefernden Adressverlag sicherzustellen ist. Daraus kann jedoch nicht gefolgert werden, dass der Adressverlag, welcher die Daten (lediglich) erhalten hat (die Beschwerdeführerin), dadurch von seiner (ihrer) datenschutzrechtlichen Verantwortlichkeit gegenüber den betroffenen Personen entbunden wird. Verhaltensregeln iSd Art. 40 DSGVO entfalten zudem lediglich Selbstbindungswirkung. Sie können bspw. als Gesichtspunkt herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen; sie können jedoch letztlich jedenfalls nicht dazu führen, dass die aus der DSGVO erwachsenen Rechte von Betroffenen beschnitten werden. („code of conduct“; vgl. dazu etwa Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 40 DSGVO Rz 1-4 [Stand 1.12.2020, rdb.at]). Die Einhaltung der genehmigten Verhaltensregeln kann nur dazu dienen, die Erfüllung von Pflichten nach der DSGVO nachzuweisen, jedoch eine fehlende Einwilligung einer betroffenen Person nicht ersetzen. Ebenso irrelevant ist der Umstand, dass die belangte Behörde ihr amtswegiges Prüfverfahren gegen die A-GmbH formlos einstellt hat (siehe Einstellung des Verfahrens vom 10.06.2020, Beilage ./1 der Beschwerde). Eine Bindungswirkung in Bezug auf den vorliegenden Fall ergibt sich daraus jedenfalls nicht.

Wenn die Beschwerdeführerin weiters einwendet, es handle sich bei den „Sinus-Geo-Milieus“ lediglich um Marketingklassifikationen iSd § 151 Abs. 6 GewO, welche nicht der DSGVO unterlägen, ist festzuhalten, dass § 151 Abs. 6 GewO zwar die Verwendung entsprechender Marketinginformationen und -klassifikationen regelt, dies aber nichts daran ändert, dass es sich dabei um von der DSGVO erfasste personenbezogenen Daten handelt. Diesbezüglich ist auch auf die Ausführungen im angefochtenen Bescheid der belangten Behörde zu verweisen, wonach in § 151 Abs. 1 GewO ausdrücklich festgehalten sei, dass § 151 leg. cit. „die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden“ regle, Ausgangspunkt sei also – entgegen dieser Auffassung– sehr wohl die Verwendung von personenbezogenen Daten. Ebenso werde in den Erläuterungen zu § 151 GewO 1994 ausgeführt, „dass es sich bei den von Adressverlagen verarbeiteten Daten um personenbezogene Daten handelt“ (Verweis auf die Erläuterungen zur RV 65 BlgNR XXVI. GP , 52). Insbesondere steht es dem nationalen Gesetzgeber nicht zu, den Anwendungsbereich der DSGVO entsprechend einzuschränken (vgl. OGH in 6 Ob 127/20z Rz 24).

Auch dem Vorbringen der Beschwerdeführerin, personalisierte Werbung sei mit dem Anbringen von Werbetafeln vergleichbar, kann nicht gefolgt werden: Werbetafeln werden nicht individuell für einzelne Personen aufgestellt und sind allein schon deshalb nicht mit der Zustellung personalisierter Werbung vergleichbar. Es mag zwar sein, dass sich die von der Beschwerdeführerin verarbeiteten „Sinus-Geo-Milieus“ auch für das Aufstellen von Werbetafeln eignen, jedoch ist es für das – von der Beschwerdeführerin angezweifelte – „Zweckelement“ bzw. „Auswirkungserfordernis“ bereits ausreichend, wenn sich Daten dazu eignen, Personen zu beurteilen, in einer bestimmten Weise zu behandeln, oder ihre Stellung bzw. ihr Verhalten zu beeinflussen und sich diese auf deren Rechte und Interessen auswirken können. Da dies, wie soeben ausgeführt, auf die „Sinus-Geo-Milieus“ zutrifft, ist die Beurteilung von Werbetafeln für den gegenständlichen Fall irrelevant.

Im Ergebnis sind die einer Person zugeordneten „Sinus-Geo-Milieus“ demnach als personenbezogene Daten iSd Art. 4 Z 1 DSGVO zu betrachten und fallen somit in den Anwendungsbereich der DSGVO.

3.3.2.2.2. Zur Qualifikation der Daten zu den „Sinus-Geo-Milieus“ als besondere Kategorie im Sinne des Art. 9 DSGVO:

Gemäß Art. 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt.

Die Beschwerdeführerin bringt zusammengefasst vor, die „Sinus-Geo-Milieus“ seien keine Daten besonderer Kategorie, zumal aus ihnen keine „weltanschauliche Überzeugung“ der betroffenen Person hervorgehe. Die „Sinus-Geo-Milieus“ würden die Gesellschaft gedanklich in Archetypen einteilen, wobei dabei etwa auf das Konsumverhalten, den Lebensstil oder das Wohnumfeld abgestellt werde – nicht aber auf weltanschauliche Überzeugungen. Zudem könne „Hervorgehen“ nur etwas, das von der Person selbst komme, was bei statistisch errechneten Wahrscheinlichkeitsangaben nicht der Fall sei.

Dem ist, wie im Folgenden ausgeführt wird, nicht zu folgen:

Was den Begriff der „Weltanschauung“ bzw. „weltanschaulichen Überzeugung“ betrifft, so findet sich – weder im Europarecht noch im nationalen Recht – eine Legaldefinition des Begriffs der „Weltanschauung“ oder „weltanschaulichen Überzeugung“.

Unter „Weltanschauung“ versteht man laut Duden die „Gesamtheit von Anschauungen, die die Welt und die Stellung des Menschen in der Welt betreffen“.

Laut Rechtsprechung des EGMR bedarf eine Weltanschauung einer zusammenhängenden Sichtweise grundsätzlicher Lebensfragen, wie dies etwa beim Pazifismus (EGMR 15.05.1977, 7050/75, Arrowsmith) oder einer gewaltfreien Erziehung (EGMR 25.02.1982, 7511/76, 7743/76, Campbell und Consans) der Fall ist (vgl. etwa Budischowsky in Jaeger/Stöger [Hrsg], EUV/AEUV Art. 17 AEUV Rz 13).

Nach der Rechtsprechung des Obersten Gerichtshofes ist der Begriff „Weltanschauung“ eine Sammelbezeichnung für Leitauffassungen vom Leben und von der Welt als einem Sinnganzen sowie zur Deutung des persönlichen und gemeinschaftlichen Standorts für das individuelle Lebensverständnis. Weltanschauungen sind keine wissenschaftlichen Systeme, sondern Deutungsauffassungen in der Form persönlicher Überzeugungen von der Grundstruktur, Modalität und Funktion des Weltganzen (vgl. OGH 14.02.2009, 9 Ob A 122/07t, RIS-JUSTIZ RS0124567).

Der OGH orientierte sich bei seiner Definition der Weltanschauung an den Gesetzesmaterialien zum Bundes-Gleichbehandlungsgesetz – B-GlBG (ErläutRV 285 BlgNR 22. GP , 11). Obwohl die Materialien eine nationale Norm betreffen, kann diese Definition dennoch in den europarechtlichen Kontext der DSGVO übernommen werden, da das B-GlBG vor allem in Umsetzung der Richtlinie 2000/43/EG (Gleichbehandlungsrichtlinie Rasse oder ethnische Herkunft), der Richtlinie 2000/78/EG (Gleichbehandlungsrahmenrichtlinie) und der Richtlinie 2002/73/EG (Änderung der Gleichbehandlungsrichtlinie) ergangen ist. Zwar gibt es bislang keine europarechtliche Definition des Begriffs der Weltanschauung, dennoch kann die obige Definition (OGH 24.02.2009, 9 Ob A 122/07t) für den gegenständlichen Fall – unter Berücksichtigung der Judikatur des EGMR – übernommen werden.

Umgelegt auf die „Sinus-Geo-Milieus“ bedeutet dies Folgendes:

Bei den „Sinus-Milieus“ bzw. „Sinus-Geo-Milieus“ werden Menschen nach ihren Lebensauffassungen und Lebensweisen gruppiert. Sie beziehen sich auf grundlegenden Wertorientierungen und Einstellungen zu verschiedensten Lebensbereichen, wie Arbeit und Freizeit, Familie und Partnerschaft, Konsum und Politik. Sie klassifizieren die ganzheitliche Wahrnehmung der Menschen in Relation zu alldem, was für das Leben der Menschen Bedeutung hat. Dies wird in Kontext mit demografischen Eigenschaften wie Bildung, Beruf oder Einkommen gestellt. Da für die Erstellung der „Sinus-Geo-Milieus“ ein möglichst umfassendes Spektrum von Alltagsbereichen (insb. Politik, Religion, Ethik, etc.) herangezogen wird, können anschließend „Gruppen Gleichgesinnter“ erstellt werden.

Die Einteilung der Betroffenen in verschiedene Grundorientierungen, wie „Traditionelle Werte“, „Modernisierung“ und „Neuorientierung“ entspricht im Wesentlichen der Definition des Obersten Gerichtshofes, welcher von Leitauffassungen vom Leben und von der Welt als einem Sinnganzen spricht. So stellen die Parameter der „Sinus-Geo-Milieus“ Pflichterfüllung, Individualisierung/Selbstverwirklichung, Pragmatismus, Refokussierung etc. gerade solche Leitauffassungen vom Leben dar, anhand derer man das individuelle Lebensverständnis der Menschen kategorisieren kann. Insbesondere durch die Verknüpfung mit der sozialen Lage wird auch die Genauigkeit hinsichtlich einer zusammenhängenden Sichtweise auf grundsätzliche Lebensfragen erhöht. Gerade weil zur Erstellung der „Sinus-Geo-Milieus“ derart viele Lebensbereiche erfasst werden, haben die zusammengetragenen Einstellungen zu diversesten Alltagsbereichen im Zusammenspiel mit der exakten geografischen Zuordnung auch einen umfassenden Einfluss auf das Handeln der Menschen sowie ein hohes Maß an Treffsicherheit (siehe zum Merkmal der Treffsicherheit auch Egger, Die Begriffe "Religion" und "Weltanschauung" im Antidiskriminierungsrecht, ASoK 2018, 346 [353]).

Selbst wenn die Definitionen der einzelnen „Sinus-Geo-Milieus“ alleine nicht immer eindeutig auf eine konkrete Weltanschauung schließen lassen, wird unter Gliederung der Gesellschaft in - im Wesentlichen - drei Schichten, nämlich Oberschicht/obere Mittelschicht, mittlere Mittelschicht und untere Mittelschicht/Unterschicht, wobei diesen Schichten die einzelnen Milieus, nämlich „Konservative“, „Traditionelle“, „Etablierte“, „Performer“, „Postmaterielle“, „Digitale Individualisten“, „Bürgerliche Mitte“, „Adaptiv Pragmatische“, „Konsumorientierte Basis“ und „Hedonisten“ (teilweise auch überlappend) zugeordnet sind, ersichtlich, dass diese unter den Begriff der Weltanschauung zu subsumieren sind. Denn der Anspruch der „Sinus-Geo-Milieus“ liegt gerade in der Unterteilung der Menschen anhand ihrer ganzheitlichen Wahrnehmung vom Leben und der Welt. Wenn bereits eine punktuelle Einstellung wie „Pazifist“ unter den Begriff der Weltanschauung subsumiert werden kann (EGMR 16.05.1977, 7050/75, Arrowsmith), dann sind die weitreichende Lebensbereiche und Lebenseinstellungen erfassenden „Sinus-Geo-Milieus“ umso mehr als weltanschauliche Überzeugungen einzustufen. Teile der Lehre gehen davon aus, dass eine Weltanschauung weitreichende Lebenseinstellungen beeinflussen muss und sehen daher – nach einer teleologischen Reduktion – ethische Bündnisse, wie beispielsweise die Freimaurer, als Weltanschauungen an (siehe etwa Schulz in Gola, DS-GVO2 Art. 9 Rz 14). Aufgrund des umfassenden Ausmaßes der „Sinus-Geo-Milieus“ werden sie auch diesem Kriterium gerecht.

Ein näherer Blick zu den einzelnen Milieus, bspw. „Konservative“ oder „Postmaterielle“, veranschaulicht noch besser, dass mit der Zuordnung einer Person zu einem „Sinus-Milieu“ auch die Unterstellung einer bestimmten Weltanschauung verbunden ist:

Der „Konservative“ wird in den „Sinus-Milieus“ wie folgt definiert: Leitmilieu im traditionellen Bereich mit einer hohen Verantwortungsethik: stark von christlichen Wertvorstellungen geprägt, hohe Wertschätzung von Bildung und Kultur, kritisch gegenüber aktuellen gesellschaftlichen Entwicklungen;

So spiegelt die Einordnung als „Konservativer“ eine Einstellung bzw. Grundhaltung zu einer Vielzahl von Lebensbereichen wieder. Eine Internetrecherche zeigt zudem, dass der „Konservatismus“ – neben dem Liberalismus und dem Sozialismus – als eine der großen politischen Ideologien bzw. Weltanschauungen angesehen wird, welche im 18. und 19. Jahrhundert in Europa begrifflich definiert wurden. So wird der Konservatismus als „ein Sammelbegriff für geistige und politische Bewegungen, welche die Bewahrung bestehender oder die Wiederherstellung früherer gesellschaftlicher Ordnungen zum Ziel haben“ betrachtet (https://de.wikipedia.org/wiki/Konservatismus#cite_note-HLS-1 , abgerufen am 28.11.2022).

Der „Postmaterielle“ wird im Sinus-Milieumodell wie folgt definiert: Weltoffener Gesellschaftskritiker: Gebildetes, vielfältig kulturinteressiertes Milieu; kosmopolitisch orientiert, aber kritisch gegenüber Globalisierung; sozial engagiert;

Macht man sich nun auf die Suche nach einer näheren Definition von „kosmopolitisch orientiert“, so stößt man im Internet etwa auf Folgendes: „Kosmopolitismus“, auch Weltbürgertum, ist eine philosophisch-politische Weltanschauung, die den ganzen Erdkreis als Heimat betrachtet. Das Konzept geht auf die Antike zurück. Es steht im Gegensatz zum Nationalismus und Provinzialismus. Daneben wurden ab den 1980er Jahren Ansätze formuliert, die partikularistische und universelle Vorstellungen miteinander verknüpfen wollen (https://de.wikipedia.org/wiki/Kosmopolitismus , abgerufen am 28.11.2022).

Im Ergebnis ergibt sich somit, dass einer Person durch Zuordnung zu einem bestimmen „Sinus-Milieu“ auch eine bestimmte „Weltanschauung“ bzw. „weltanschauliche Überzeugung“ zugeschrieben wird.

Zu den Einwänden der Beschwerdeführerin:

Die Beschwerdeführerin wehrt sich gegen die Einstufung der „Sinus-Geo-Milieus“ als besondere Kategorie personenbezogener Daten im Wesentlichen mit dem Argument, dass eine weltanschauliche Überzeugung im Sinne des Art. 9 Abs. 1 DSGVO nur aus einem Handeln des Betroffenen hervorgehen könne.

Diese Ansicht übersieht, dass die Gefahren, die mit der Verarbeitung der politischen Meinung üblicherweise verbunden sind und vor denen Art 9 DSGVO schützen möchte, bereits dann drohen, wenn die weltanschauliche Überzeugung einer betroffenen Person mit hinreichender Wahrscheinlichkeit hervorgeht. Es macht für das Vorliegen einer bestimmten Wahrscheinlichkeit aber keinen Unterschied, ob die Wahrscheinlichkeit in einem tatsächlichen Verhalten der betroffenen Person oder in statistischen Methoden gründet.

Soweit die Beschwerdeführerin betont, bei der Einteilung in die einzelnen Milieus werde etwa auf das Konsumverhalten, den Lebensstil oder das Wohnumfeld – nicht aber auf weltanschauliche Überzeugungen – abgestellt, übersieht sie, dass der Fokus bei der Einteilung in die einzelnen Milieus primär auf die Faktoren „ähnliche Grundorientierung, Mentalität und Werte“ gelegt wird, und erst sekundär auf „ähnliches Konsumverhalten, Lebensstil und Wohnumfeld“ (vgl. die von der Beschwerdeführerin vorgelegte Präsentation von „ XXXX “ zu den „Sinus- Milieus“ auf S. 4: Die Sinus-Milieus fassen Menschen zusammen, die sich in Lebensauffassung und Lebensweise ähneln: Ähnliche Grundorientierung, Mentalität und Werte; daher auch: ähnliches [Konsum-]verhalten, ähnliche Mediennutzung, ähnlicher Lebensstil, Geschmack und ähnliche Wohnumfelder.

Zur Frage des „Hervorgehens“ ist Folgendes festzuhalten:

Im Fall der „Parteiaffinitäten“ haben sich der Oberste Gerichtshof in Zl. 6 0b 35/21x vom 15.04.2021 sowie der Verwaltungsgerichtshof in Zl. Ro 2021/04/0007 vom 14.12.2021 mit deren Qualifikation als Daten besonderer Kategorie nach Art. 9 Abs. 1 DSGVO auseinandergesetzt und kamen dabei übereinstimmend zum Ergebnis, dass diese als Daten nach Art. 9 Abs. 1 DSGVO anzusehen sind.

Der Oberste Gerichtshof hielt dabei zusammengefasst fest, dass vor dem Hintergrund des Schutzzwecks des Art. 9 Abs. 1 DSGVO – Betroffene vor der Gefahr schwerwiegender datenbasierender Diskriminierungen zu schützen – nicht nur solche Daten in den Schutzbereich des Art. 9 Abs. 1 DSGVO einzubeziehen seien, aus denen die tatsächliche politische Meinung des Betroffenen hervorgehe, sondern auch Daten über vermutete politische Vorlieben des Betroffenen, berge doch deren Verarbeitung ebenfalls das Risiko besonderer negativer Folgen in sich. Es seien somit auch Daten als Daten „besonderer“ Kategorie nach Art. 9 Abs. 1 DSGVO zu qualifizieren, deren Informationsgehalt sich in einer bloßen Wahrscheinlichkeitsaussage über die vermutete gesteigerte Empfänglichkeit eines Betroffenen für Werbung einer speziellen politischen Partei erschöpfe.

Der Verwaltungsgerichtshof führte wiederum aus, dass er sich der dargestellten Rechtsansicht des Obersten Gerichtshofes anschließe, und führte ergänzend aus, dass es für die Anwendbarkeit des Art. 9 Abs. 1 DSGVO ausreiche, wenn hinsichtlich der Datenkategorien rassische und ethnische Herkunft, politische Meinungen, religiöse und weltanschauliche Überzeugung und Gewerkschaftszugehörigkeit die sensible Information nur mittelbar hervorgehe. Es würden somit auch indirekte Hinweise auf diese Merkmale dem besonderen Schutz unterworfen werden, wobei die Erkennbarkeit für einen durchschnittlichen, objektiven Dritten genügen solle.

Für die vorliegenden „Sinus-Geo-Milieus“ bedeutet dies Folgendes:

Die „Sinus-Geo-Milieus“ enthalten eine Wahrscheinlichkeitsaussage über die vermutete Zugehörigkeit einer Person zu einem bestimmten „Sinus-Geo-Milieu“, und demnach eine Wahrscheinlichkeitsaussage über das Vorliegen einer bestimmten „weltanschaulichen Überzeugung“ des Einzelnen. Wie aufgezeigt, ist es für eine Subsumtion unter Art. 9 Abs. 1 DSGVO ausreichend, dass aus den Daten die vermutete Zugehörigkeit zu einem bestimmten „Sinus-Geo-Milieu“ und dadurch das vermutete Vorliegen einer bestimmten Weltanschauung des Einzelnen hervorgeht.

Für den Mitbeteiligten ergibt sich im vorliegenden Fall:

Im vorliegenden Fall ergibt sich etwa, dass der Mitbeteiligte mit der deutlich dominanten Wahrscheinlichkeit von 22,5 % dem Milieu „Hedonisten“ zugeordnet wurde, alle anderen Milieus weisen einen Wahrscheinlichkeitswert unter 20 % auf. Der Mitbeteiligte wurde daher in der Unterschicht bzw. unteren/mittleren Mittelschicht eingeordnet und ihm die Eigenschaft bzw. Haltung als „momentbezogen“ und „erlebnishungrig“, auf der „Suche nach Spaß und Unterhaltung“ sowie die Verweigerung von Konventionen der Mehrheitsgesellschaft zugeschrieben. Entgegen den Ausführungen der Beschwerdeführerin lässt sich aus dieser Beschreibung sehr wohl eine (wahrscheinliche) weltanschauliche Überzeugung des Mitbeteiligten ableiten. Im philosophischen Sinne bezeichnet Hedonismus eine Gruppe von Theorien, in denen der Begriff der Lust eine zentrale Rolle spielt. Den Beschreibungen der „Sinus-Milieus“ folgend wird „Hedonisten“ eine Verweigerung von Konventionen der Mehrheitsgesellschaft zugeschrieben. Hedonisten vertreten insofern konkurrierende Solidaritätsvorstellungen, woraus durchaus auf bestimmte Positionen und Überzeugungen in unterschiedlichen Lebensbereichen etwa Politik, Bildung oder Gesundheit, geschlossen werden kann. Der Begriff „Hedonisten“ trifft daher – entgegen den Ausführungen der Beschwerdeführerin - nicht auf die Anhänger „verschiedenster weltanschaulicher Überzeugungen“ zu. Hinzu kommt, dass eine exakte Zuordnung zu einer bestimmten „Schule“ auch gar nicht notwendig ist (Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 21).

Sofern die Beschwerdeführerin vorbringt, dem Mitbeteiligten sei ein vergleichsweise niedriger Wahrscheinlichkeitswert zugeordnet worden, woraus nicht mit hinreichender Wahrscheinlichkeit auf die vermutete „Weltanschauung“ des Mitbeteiligten geschlossen werden könne, ist festzuhalten, dass sich aus dem Zusammenspiel zwischen höheren Wahrscheinlichkeitswerten für die Zuordnung zu einem bestimmten Milieu und niedrigen Wahrscheinlichkeitswerten für andere bestimmte Milieus die Wahrscheinlichkeit für die Zugehörigkeit zu einer bestimmten Gesellschaftsschicht und daraus, ob der/die Betroffene grundsätzlich die Grundorientierung, Mentalität und Werte eines bestimmten Milieus teilt oder diese ablehnt, ergibt.

Andernfalls wären die Datensätze wohl auch kaum geeignet, das von der Beschwerdeführerin angestrebte Ziel – die „Sinus-Geo-Milieus“ im Rahmen ihrer Tätigkeit als Adressverlag zu nutzen, um Kunden durch gezielte Werbung zu ermöglichen, Streuverluste zu vermeiden – zu erreichen.

Zudem ist schließlich maßgebend auf den Schutzzweck der Norm abzustellen:

Maßgeblich für die Interpretation des Art 9 DSGVO ist sein Schutzzweck (vgl. auch Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung² Art 9 Rz 19). Es ist zu fragen, wovor die Bestimmung die betroffenen Personen schützen möchte. Die Interpretation findet ihre Grenze im äußersten Wortsinn der Bestimmung.

Art 9 DSGVO will vor den Gefahren schützen, die mit bestimmten Arten von personenbezogenen Daten üblicherweise verbunden sind.

Da bereits eine vermutete „religiöse oder weltanschauliche Überzeugung“ jene negativen Folgen für die betroffene Person auslösen kann, vor der Art. 9 DSGVO schützen möchte, ist es für die Annahme einer religiösen oder weltanschaulichen Überzeugung ausreichend, wenn aus der Information eine solche Meinung mit hinreichender Wahrscheinlichkeit hervorgeht (Schiff in Ehmann/Selmayr,-Grundverordnung² Art 9 Rz 21). Gewissheit ist nicht erforderlich. Irrelevant ist auch, ob die Merkmalsangaben inhaltlich zutreffen (Weichert in Kühling/Buchner (Hrsg), DSGVO3 Art 9 Rz 24).

Berücksichtigt man den Schutzzweck des Art 9 DSGVO, d.h., betroffene Personen vor Diskriminierungen auf Grund einer (unterstellten) religiösen oder weltanschaulichen Überzeugung zu schützen, ergibt sich ebenfalls die hinreichende Wahrscheinlichkeit des Hervorgehens der weltanschaulichen Überzeugung: Die Beschwerdeführerin gibt selbst an, die „Sinus-Geo-Milieus“ im Rahmen ihrer Tätigkeit als Adressverlag zu nutzen und diese Geschäftskunden zu Marketingzwecken bereitzustellen, welche diese wiederum mit dem Ziel nutzen, Streuverluste in der Werbung zu vermeiden, die Zusendung von unerwünschten Werbematerials zu vermindern, und insgesamt die Werbeeffekte zu verbessern und die Werbelogistik zu minimieren. Demnach ergibt sich, dass durch Zuordnung einer Person zu einem bestimmten „Sinus-Geo-Milieu“ die Einschätzung verbunden ist, inwiefern diese Person als für bestimmte Werbematerialen empfänglich angesehen wird. So wird demnach eine Person, welcher etwa die Zugehörigkeit zum Milieu „Performer“ zugeschrieben wird, andere Werbematerialien erhalten als jemand, der etwa als „Konservativer“ oder „Hedonist“ eingestuft wird. Daraus folgt jedoch, dass durch die Verarbeitung (und in Folge auch Bereitstellung an Dritte) der Datensätze zu den „Sinus-Geo-Milieus“ genau jene Gefahren bestehen können, vor denen Art. 9 DSGVO schützen möchte: derartige Personen zu benachteiligen oder gar zu verfolgen, weil eine Zugehörigkeit zu einem bestimmten Milieu und damit das Vorliegen einer bestimmten Weltanschauung vermutet wird (vgl. W258 2217446-1, Punkt 3.2.5 betreffend die „Parteiaffinitäten“).

Weiters hat der Verwaltungsgerichtshof in Zl. Ro 2021/04/0007 zu den „Parteiaffinitäten“ festgehalten, dass nicht nur die Unterstellung eines gesteigerten Interesses für eine bestimmte Partei, sondern ebenso die sich aus den Daten allenfalls ergebende Ablehnung oder auch die Gleichgültigkeit gegenüber einer oder allen Parteien die Schlussfolgerung auf eine bestimmte Haltung erlaube. Die Frage der konkreten Aussage über die Parteiaffinität sei im Einzelfall kein Kriterium für die Klärung der Rechtsfrage, ob es sich hier um Daten handle, denen – ex ante betrachtet – mit hinreichender Deutlichkeit eine wie immer sich darstellende politische Meinung zu entnehmen sei. Jede politische Haltung sei nämlich abstrakt geeignet, die Gefahr eine Diskriminierung oder Andersbehandlung mit sich zu bringen, und es sei gerade das Ziel der Bestimmungen der DSGVO im Zusammenhang mit der Verarbeitung sensibler Daten, die Betroffenen vor den mit einer Bewertung durch Rezipienten einer solchen Information zusammenhängenden möglichen Folgen zu schützen. Auf die konkrete Bewertung einer politischen Meinung, die – wie hier – im Ergebnis hinreichend deutlich aus der verarbeiteten Information hervorgehe, könne es daher nicht ankommen (Rz 50).

Umgelegt auf die „Sinus-Geo-Milieus“ bedeutet dies nun, dass auch niedrige Wahrscheinlichkeitswerte bzw. die damit verbundene Annahme, der Betroffene sei einem bestimmten „Sinus-Geo-Milieu“ nicht zugehörig bzw. vertrete eine bestimmte Weltanschauung nicht, die Schlussfolgerung auf eine bestimmte weltanschauliche Überzeugung ermöglicht und damit die Gefahren mit sich bringt, vor den Art. 9 DSGVO schützen möchte.

Im Ergebnis sind die Datensätze zu den „Sinus-Geo-Milieus“ daher als besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO zu qualifizieren

3.3.2.3. Zur Rechtswidrigkeit der Verarbeitung

Die Verarbeitung von Daten besonderer Kategorie ist nach Art. 9 Abs. 2 DSGVO nur zulässig, sofern einer der in Abs. 2 taxativ aufgezählten Erlaubnistatbestände erfüllt ist.

Vor dem Hintergrund, dass keine Einwilligung der Mitbeteiligten zur Verarbeitung der Datensätze zu den „Sinus-Geo-Milieus“ vorliegt, scheidet Art. 9 Abs. 2 lit. a DSGVO jedenfalls aus.

Zu prüfen bleibt weiters, ob § 151 Abs. 6 GewO eine taugliche Rechtsgrundlage im Sinne des Art. 9 Abs. 2 lit. g DSGVO darstellen könnte:

Nach lit. g ist die Verarbeitung zulässig, wenn diese auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist.

Voraussetzung ist demnach, dass für die Verarbeitung eine gesetzliche Grundlage besteht und die Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist.

Von einem öffentlichen Interesse kann gesprochen werden, wenn die gesamte Bevölkerung oder große Teile dieser bzw. große Teile einer sozialen Gemeinschaft ein und dasselbe Interesse teilen. Haben bestimmte Personen oder Gruppen ein spezifisches Interesse, kann dieses zugleich ein öffentliches Interesse darstellen, wenn es den Interessen der Allgemeinheit dient. Ein sowohl individuelles als auch kollektives Interesse liegt nach ErwGr 46 etwa bei der Verarbeitung von Daten für humanitäre Zwecke bzw. in humanitären Notfällen oder bei der Überwachung von Epidemien und deren Ausbreitung vor. Von einem erheblichen öffentlichen Interesse kann erst dann gesprochen werden, wenn die Interessen der Allgemeinheit in besonderem Maße tangiert werden. Allgemeine öffentliche Zwecke genügen nach dem eindeutigen Wortlaut nicht, um den Ausnahmetatbestand des Art. 9 Abs. 2 lit g DSGVO zu erfüllen. Als Beispiele eines erheblichen öffentlichen Interesses können z.B. das öffentliche Gesundheitswesen (z.B. elektronische Patientenakte, wie in Österreich die »ELGA«), die Bereitstellung von Informationen der öffentlichen Verwaltung (Art. 86), die Wahrung der Freiheitsrechte, die Durchsetzung der Rechtsstaatlichkeit, die Gefahrenabwehr, die Strafverfolgung, die Sicherstellung der öffentlichen Gesundheit und der sozialen Fürsorge angeführt werden (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 9 DSGVO Rz 93 [Stand 1.12.2020, rdb.at]).

Auch an einem funktionierenden Wirtschaftssystem besteht jedenfalls ein (erhebliches) öffentliches Interesse, hat es doch erhebliche Auswirkungen auf den öffentlichen und privaten Haushalt und damit mittelbare Auswirkungen auf die oben genannten Beispiele für öffentliche Interessen, etwa durch die Finanzierbarkeit des öffentlichen Gesundheitssystems oder von Einsatzkräften für den Katastrophendienst. Auf das Bestehen bestimmter – nicht systemkritischer – Wirtschaftsbereiche lässt sich das vor dem Hintergrund der Erwägungsgründe nicht mehr verallgemeinern. Grundsätzlich kein erhebliches öffentliches Interesse im Sinne des Art. 9 Abs. 2 lit g DSGVO wird anzunehmen sein, wenn durch die Rechtsnorm lediglich die Tätigkeit eines bestimmten Wirtschaftsbereichs erleichtert werden soll; die Allgemeinheit wäre in derartigen Fällen ohne die in Rede stehende Maßnahme regelmäßig nicht ernsthaft beeinträchtigt (vgl. 26.11.2020, Zl. W258 2217446-1/35E, Punkt 3.2.8.7.).

Für den vorliegenden Fall bedeutet dies Folgendes:

Gemäß § 151 Abs. 1 GewO sind auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

Gemäß § 151 Abs. 4 GewO dürfen, soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO betroffen sind, diese von den in Abs. 1 genannten Gewerbetreibenden verarbeitet werden, sofern ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung dieser Daten für Marketingzwecke Dritter vorliegt.

Gemäß § 151 Abs. 6 GewO ist es den zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden erlaubt, für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden, nur für Marketingzwecke zu verwenden und – unter weiteren Voraussetzungen – an Dritte weiterzugeben.

Zunächst ist davon auszugehen, dass § 151 Abs. 4 GewO, welcher die Ermittlung besonderer Kategorien personenenbezogener Daten regelt, zusätzlich zu Abs. 6 erfüllt sein muss. Würde man nun die (unzutreffende) Auffassung vertreten, dass § 151 Abs. 6 GewO § 151 Abs. 4 GewO als lex specialis vorgeht, so würde diese Interpretation dazu führen, dass auch bei Daten besonderer Kategorie – sofern es sich dabei um Marketinginformationen und -klassifikationen handelt – keine Zustimmung des Betroffenen für die Verarbeitung und Datenweitergabe erforderlich wäre.

Eine solche Interpretation bzw. eine Subsumtion des § 151 Abs. 6 GewO unter Art. 9 Abs. 2 it. g DSGVO scheitert jedoch auch vor dem Hintergrund einer europarechtskonformen Auslegung und des Erfordernisses eines erheblichen öffentlichen Interesses: Eine Regelung, wonach Adressverlage und Direktwerbeunternehmen auch ohne Zustimmung der Betroffenen Marketinginformationen verarbeiten dürfen, die gleichzeitig besondere Kategorien personenbezogener Daten sind, erleichtert zwar die Tätigkeit dieser Gewerbe; das Fehlen einer solchen Regelung stellt jedoch das Bestehen der Gewerbe nicht in Frage. So ist es den Gewerbetreibenden möglich, Marketinginformationen auch ohne Zustimmung der Betroffenen zu verarbeiten, solange diese keine der in Art. 9 Abs. 1 DSGVO genannten besondere Kategorie von Daten darstellen, womit regelmäßig das Auslangen gefunden werden kann. Dass die Allgemeinheit ohne eine derartige Regelung ernsthaft beeinträchtigt sein könnte, ist nicht ersichtlich. Eine derartige Regelung liegt daher nicht im erheblichen öffentlichen Interesse.

Eine Interpretation des § 151 Abs. 6 GewO, wonach – entgegen § 151 Abs. 4 GewO – bei der Verarbeitung von für Marketingzwecke erhobenen Marketinginformationen und -klassifikationen auch dann keine Zustimmung der betroffenen Person erforderlich ist, wenn es sich bei den Marketinginformationen und -klassifikationen um besondere Kategorien personenbezogener Daten im Sinne des Art 9 Abs. 1 DSGVO handelt, scheidet demnach bei europarechtskonformer Auslegung aus (vgl. wieder W258 2217446-1/35E).

Die Beschwerdeführerin kann die Verarbeitung der Datensätze zu den Sinus-Geo-Milieus somit nicht auf Art. 9 Abs. 2 lit. g DSGVO iVm § 151 Abs. 6 GewO stützen.

Andere mögliche Sachverhalte, die eine Verarbeitung der Datensätze zulässig machen würde, wurden nicht vorgebracht und ergeben sich auch sonst nicht aus dem Verfahren. Es ist demnach kein Erlaubnistatbestand des Art. 9 Abs. 2 DSGVO erfüllt.

Selbst wenn man die Ansicht verträte, dass es sich bei den „Sinus-Geo-Milieus“ nicht oder teilweise nicht um eine besondere Kategorie von Daten iSd Art. 9 Abs. 1 DSGVO handelt, wäre daraus für die Beschwerdeführerin nichts gewonnen:

Da im gegenständlichen Fall eine gesetzliche Regelung in § 151 GewO vorliegt, ist zunächst auch hier von einer grundsätzlichen Anwendbarkeit dieser Bestimmung auszugehen, sofern sie im Einklang mit Unionsrecht steht. Eine Verarbeitung ist nach Art. 6 Abs. 1 lit. e DSGVO nur zulässig, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurden.

Fraglich ist, ob die Datenverarbeitungen eines Adressverlages für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt. Bejaht man diese Frage, so müssen in diesem Fall für die Ermittlung der Daten die Abs. 3 und 5 erfüllt sein. Die Adressverlage sind berechtigt, für ihre Tätigkeiten u.a. aus Kunden- und Interessentendateisystemen und Marketingdateien Dritter personenbezogene Daten zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für 1. Die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich die Gestaltung und des Versands für Werbemittel oder 2. das Listbroking erforderlich und gemäß Abs. 4 und 5 zulässig ist. Es ist davon auszugehen, dass die Verarbeitung von derart sensitiven Daten – selbst wenn sie nicht zur Gänze unter „weltanschauliche Daten“ fielen – unter Beachtung des Grundsatzes der Verhältnismäßigkeit nicht erforderlich sind, um die Tätigkeiten eines Adressverlages auszuüben. Überdies ist nicht davon auszugehen, dass es sich bei der Zuordnung von Sinus-Geo-Milieu-Daten überhaupt um ein „Kunden- und Interessentendateisystem“ (iSd Abs. 5 Z 8 GewO) handelt (ein solches wäre allenfalls die Verarbeitung von Zielgruppen).

Schließlich ist anzumerken, dass auch die Voraussetzungen des Art. 5 DSGVO nicht erfüllt waren. Davon abgesehen, dass die Datenverarbeitung nicht rechtmäßig war und gegen Treu und Glauben verstieß (eine Information des Mitbeteiligten durch die Beschwerdeführerin fand offenbar vor der Auskunftserteilung nicht statt), ist überdies aufgrund der von der Beschwerdeführerin vorgebrachten „Abstraktheit“ oder „Verwässerung“ der Daten davon auszugehen, dass die Richtigkeit der zugeschriebenen Daten nicht gegeben war.

Aus diesen Erwägungen ist davon auszugehen, dass die Verarbeitung der personenbezogenen Geo-Sinus-Milieu-Daten durch die Beschwerdeführerin nicht zulässig war.

Verneint man das öffentliche Interesse und damit die Anwendbarkeit des Art. 6 Abs. 1 lit. e DSGVO, so wäre Folgendes zu erwägen:

Nach dem Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO ist die Verarbeitung personenbezogener Daten u.a. zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG vgl EuGH 04.05.2017, C-13/16, Rigas satiksme, Rz 31). Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (mögliche Geschäftspartner der Beschwerdeführerin) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen (ErwG 47 DSGVO).

Zwar können Formen des Marketings und der Werbung – wie oben ausgeführt - berechtigte Interessen iSd zitierten Bestimmung darstellen, jedoch überwiegt im vorliegenden Fall schon aufgrund der Sensitivität das Interesse des Mitbeteiligten an der Geheimhaltung seiner personenbezogenen Daten. Dies auch vor dem Hintergrund, dass der Mitbeteiligte im vorliegenden Fall nicht damit rechnen konnte bzw. musste, dass ihm eine (wenn auch vermeintliche) weltanschauliche Überzeugung zugeschrieben wird und er deshalb gezielt mit Werbung beworben wird, womit – wie oben erwähnt – auch mit maßgeblicher Wahrscheinlichkeit gewisse Risiken verbunden sein können (Benachteiligung oder Verfolgung des Betroffenen, weil eine gewisse weltanschauliche Überzeugung vermutet wird). Dazu kommt, dass die Daten nicht öffentlich verfügbar sind und die Richtigkeit der Daten als keineswegs gesichert anzusehen ist. Das rein kommerzielle Interesse der Beschwerdeführerin vermochte sohin eine Verarbeitung der „Sinus-Geo-Milieus“ iSd Art. 6 Abs. 1 lit. f DSGVO nicht zu rechtfertigen. Bereits durch die Verletzung der genannten Bestimmungen der DSGVO steht auch ein Verstoß gegen das Grundrecht auf Datenschutz fest.

Die belangte Behörde hat daher nach dem oben Ausgeführten zu Recht im bekämpften Bescheid die Rechtswidrigkeit der Verarbeitung der Datenart der „Sinus-Geo-Milieus“ festgestellt, weshalb die Beschwerde abzuweisen war.

3.2.3. Ergebnis

Wie sich aus dem Ausgeführten ergibt, ging die belangte Behörde im Ergebnis zu Recht davon aus, dass die Beschwerdeführerin die mitbeteiligte Partei durch die Verarbeitung der „Sinus-Geo-Milieus“ im Recht auf Geheimhaltung verletzt hat.

Die behauptete Rechtswidrigkeit des Bescheides liegt daher nicht vor, weshalb die Beschwerde als unbegründet abzuweisen war.

3.4 Zum Entfall einer mündlichen Verhandlung

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall war der Sachverhalt bereits aus der Aktenlage geklärt. Darüber hinaus wurde auch die Niederschrift über eine mündliche Verhandlung vom 01.03.2022, welche sich auf gleich gelagerten Fälle bezog, als Beweis herangezogen, wobei keine Mehrinformation zum schriftlichen Verfahren gewonnen werden konnte. Überdies hat die Beschwerdeführerin in ihrer Stellungnahme vom 18.11.2022 nach Vorhalt der Niederschrift über die genannte mündliche Verhandlung und trotz ausdrücklicher Nachfrage des Bundesverwaltungsgerichts keinen weiteren Klärungsbedarf vorgebracht.

Ein sachverhaltsbezogenes Vorbringen, das über den im Wesentlichen unstrittig aus dem Akt ersichtlichen Sachverhalt hinausgeht, wurde somit nicht erstattet. Sofern die Beschwerdeführerin die Feststellung der belangten Behörde, wonach die Zuordnung der „Sinus-Geo-Milieus“ durch die Beschwerdeführerin vorgenommen worden sei, als tatsachenwidrig erachtete, ist nochmals festzuhalten, dass diesbezüglich einerseits eine Klärung vorgenommen wurde, andererseits der diesbezüglichen Frage letztlich keine rechtliche Bedeutung zukommt.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 55/12).

Die Durchführung einer mündlichen Verhandlung war im konkreten Fall daher nicht erforderlich.

3.5. Zur Unzulässigkeit der Revision

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes (siehe dazu die unter Punkt 3.2. zitierten Judikate) noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.

3.6. Es war daher spruchgemäß zu entscheiden.