BVwG W214 2244517-1

Spruch:

W214 2244517-1/17E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, gegen den Bescheid der Datenschutzbehörde vom 02.06.2021, Zl. D205.586 2020-0.688.682, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. In ihrer an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 10.02.2020 machte die Mitbeteiligte, XXXX (ursprüngliche Beschwerdeführerin im Verfahren vor der belangten Behörde) einen Verstoß gegen die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art 5 DSGVO, einen Verstoß gegen die Rechtmäßigkeit der Verarbeitung gemäß Art 9 DSGVO sowie eine Verletzung des Rechts auf Auskunft gemäß Art. 15 DSGVO geltend. Dazu wurde (soweit verfahrensgegenständlich relevant) zusammengefasst vorgebracht, dass die Beschwerdeführerin – für die Mitbeteiligte völlig überraschend - Daten zu weltanschaulichen Überzeugungen („Wahrscheinlichkeitswert Konservative“ etc.) der Mitbeteiligten iSd Art. 9 DSGVO verarbeite, es sei nicht nachvollziehbar, wie die Beschwerdeführerin zu diesen Daten gelangt sei. Auch eine Zustimmung iSd § 151 Abs. 4 GewO sei nicht erteilt worden. Die Verarbeitung der Daten sei daher jedenfalls rechtswidrig gewesen.

Der Datenschutzbeschwerde wurde das Antwortschreiben der Beschwerdeführerin vom 21.10.2019 auf den von der Mitbeteiligten gestellten Antrag auf Auskunft nach Art. 15 DSGVO beigefügt. Dieses enthält – hier auszugsweise dargestellt – folgende über die Mitbeteiligte gespeicherte Daten:

DATENVERARBEITUNG IM RAHMEN DES ADRESSVERLAGES

Übersicht verarbeitete Daten (gem § 151 GewO) XXXX AG

​

DATENVERARBEITUNG IM RAHMEN DES ADRESSVERLAGES

Gespeicherte Daten

Datenquelle: XXXX GmbH

​

Ergänzend hielt die Beschwerdeführerin in der Datenauskunft – soweit hier relevant – fest, sie verwende die Daten, soweit dies rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Adressverlag und biete diese Geschäftskunden für Marketingzwecke an.

2. Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom 01.09.2020 zur Abgabe einer Stellungnahme hinsichtlich des Beschwerdevorbringens der Mitbeteiligten wegen der behaupteten Verletzung im Recht auf Geheimhaltung auf und gab bekannt, das Beschwerdeverfahren betreffend die behauptete Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO gemäß § 39 Abs. 2 AVG aufgrund der Einfachheit und Zweckmäßigkeit getrennt unter separater Geschäftszahl zu führen. Zudem führte die belangte Behörde eine Stellungnahme der XXXX GmbH (in der Folge: A-GmbH) betreffend „Sinus-Geo Milieus“ aus einem amtswegigen Prüfverfahren in das gegenständliche Verfahren ein.

3. Die Beschwerdeführerin erstattete am 22.09.2020 eine Stellungnahme und führte aus, dass keine Verletzung des Rechts auf Geheimhaltung stattgefunden habe, die Beschwerde sei schon deshalb abzuweisen, weil sie nicht ausreichend substantiiert sei. So ergebe sich aus dem Vorbringen der Mitbeteiligten weder, worauf sie sich mit „etc.“ beziehe, noch, weshalb sich aus dem „Wahrscheinlichkeitswert Konservative“ die Weltanschauung der Mitbeteiligten ergeben sollte. Der „Wahrscheinlichkeitswert Konservative“ sei kein personenbezogenes Datum, erst recht könne aus ihm auf keine weltanschauliche Überzeugung geschlossen werden. Der „Wahrscheinlichkeitswert Konservative“ sei ein sogenanntes „Sinus-Geo-Milieu“ und als solches eine Marketingklassifikation iSd § 151 GewO. Die Beschwerdeführerin habe im Rahmen ihrer Gewerbeberechtigung als Adressverlag die „Sinus-Geo-Milieus“ gemäß § 151 Abs. 3 und 6 GewO ausschließlich vom Lieferanten A-GmbH erhalten und unverändert – d.h. ohne inhaltliche/prozentuelle Änderung – übernommen und vertrieben. Bei „Sinus-Geo-Milieus“ erfolge eine auf einer Wahrscheinlichkeitsrechnung basierende Einstufung nach den Geo-Milieus der XXXX GmbH, welche diese auf den geografischen Raum umlege. Diese seien für das an der verfahrensgegenständlichen Adresse befindliche Gebäude errechnet, zugeordnet und gespeichert. Es gelte daher kein Personen-, sondern ein Adressbezug. Der Vorwurf, die Beschwerdeführerin sei für allfällige Unzulässigkeiten der „Sinus-Geo-Milieus“ verantwortlich laufe schon dogmatisch ins Leere; sollten einzelne „Sinus-Geo-Milieus“ rechtswidrig berechnet worden seien, sei hierfür jener Adressverlag verantwortlich, der sie erstmals rechtswidrig verwendet habe. Allerdings sei von einer Rechtswidrigkeit der „Sinus-Geo-Milieus“ auch nicht auszugehen, die belangte Behörde habe sich bereits mit diesen auseinandergesetzt, ohne sie zu beanstanden. Aus der von der belangten Behörde in das Verfahren eingeführten Stellungnahme der A-GmbH gehe hervor, dass diese die Rechtsansicht der Beschwerdeführerin teile, dass „Sinus-Geo-Milieus“ keine personenbezogenen Daten seien. Die prozentuellen Werte würden nicht die Personen, sondern anonyme Marketinggruppen betreffen und würden einer Personengruppe, zu der auch die Mitbeteiligte gehöre, nur zugeschrieben werden. Die „Sinus-Geo-Milieus“ würden ausschließlich der mikrogeographischen Marktsegmentierung, nicht der Einschätzung von weltanschaulichen Überzeugungen, dienen, weshalb eine Weitergabe iSd § 151 Abs. 6 GewO auch an Spendenorganisationen, NGOs und politische Parteien zulässig sei. Dies ergebe sich auch aus dem Parteiengesetz, gemäß § 4 Abs. 2 Z 2 PartG würden unter Wahlwerbung auch Postwurfsendungen und Direktwerbung fallen.

4. Die belangte Behörde übermittelte die Stellungnahme der Beschwerdeführerin sowie die Stellungnahme der A-GmbH aus dem amtswegigen Prüfverfahren der Mitbeteiligten zur Kenntnis und gab ihr ebenfalls Gelegenheit zur Abgabe einer Stellungnahme.

5. Die Mitbeteiligte äußerte sich mit Schriftsatz vom 21.10.2020 dahingehend, dass die Behauptung, dass bei „Sinus-Geo-Milieus“ kein Personen-, sondern ein Adressbezug gelte, ebenso unrichtig wie absurd sei, weil das zwangsläufig bedeuten würde, dass in einem Mehrparteien-Haus alle Bewohner zwangsläufig derselben Gruppierung zugeordnet werden würden. Zudem müsse dann der Schluss gezogen werden, dass das Haus (und nicht die Person) der Mitbeteiligten als „konservativ“ etc. bezeichnet werde, was grotesk anmute.

Der Ansicht in der Literatur, wonach es sich bei der Zuschreibung von Affinitäten zu bestimmten Personen aufgrund von Marketinganalyseverfahren um keine personenbezogenen Daten handle, habe bereits das OLG Linz zur GZ 2 R 35/20k eine klare Absage erteilt. Zudem stehe schon die Aufmachung der Auskunft der Beschwerdeführerin der Behauptung, es handle sich bei den „Sinus-Geo-Milieus“ um keine personenbezogenen Daten, gegenüber: Dort würden nämlich die Daten „Konservative“, „Bürgerliche Mitte“ etc. unmittelbar unter den persönlichen Daten (Name, Anschrift, Einkommen etc.) stehen.

Der Begriff der Weltanschauung diene als Sammelbezeichnung für alle religiösen, ideologischen, politischen o.ä. Leitauffassungen vom Leben und von der Welt als einem Sinnganzen sowie zur Deutung des persönlichen und gemeinschaftlichen Standortes für das individuelle Lebensverständnis. Sie falle daher auch in die besondere Kategorie personenbezogener Daten iSv Art 9 DSGVO. Zu den von der Beschwerdeführerin zur Person der Mitbeteiligten verarbeiteten „Sinus-Geo-Milieus“ sei festzuhalten, dass, wenn die Beschwerdeführerin nunmehr der Mitbeteiligten die Eigenschaften konservativ, bürgerliche Mitte, Hedonist etc. zuschreibe, der (potentielle) Erwerber der Daten ein klares Bild (auch) über politische Meinungen der Mitbeteiligten habe. Es mache im Grunde genommen keinen Unterschied, ob die Beschwerdeführerin das Datum „konservativ“ oder „ÖVP“, oder „bürgerliche Mitte“ oder „Neos oder ÖVP“ verarbeite. Werde daher ein Datum wie „Konservative“ oder „Bürgerliche Mitte“ personenbezogen verarbeitet, ändere sich an der Rechtswidrigkeit auch nichts, wenn das Datum als „Sinus-Geo-Milieu“ bezeichnet werde.

Bereits die Einsicht in die von der Beschwerdeführerin verwendete Unterlage, die Kurzbeschreibung dieser „Sinus-Milieus“, zeige, dass diese nur so von weltanschaulichen Überzeugungen und politischen Meinungen wie z.B. „Stark von christlichen Wertvorstellungen geprägt“ etc. strotze. Selbst wenn es sich um keine Daten über politische Meinungen handelte, wäre für die Beschwerdeführerin daraus nichts gewonnen, zumal Art. 9 DSGVO auch die Verarbeitung in gegenständlicher Form, über weltanschauliche Überzeugungen (und teilweise sogar religiöse Überzeugungen) verbiete. Interessanterweise würden sich in diesen „Geo-Milieus“ kaum aussagekräftige Umstände finden, welche auf ein Konsumverhalten hindeuten, welches eine Datenverarbeitung zu „Marketingzwecken“ rechtfertigen würde. Vielmehr gehe es der Beschwerdeführerin offensichtlich darum, im Wege einer „privatwirtschaftlichen“ Datensammlung einen „gläsernen Bürger“ (und nicht im Einklang mit der DSGVO eine Konsumentendatenbank zum Zwecke des Direktmarketings) zu konstruieren.

6. Mit nunmehr angefochtenem Bescheid der belangten Behörde wurde der Beschwerde der Mitbeteiligten stattgegeben und festgestellt, dass die Beschwerdeführerin durch die Verarbeitung der Daten „Sinus-Geo-Milieus“,

 „Konservative“

 „Traditionelle“

 „Etablierte“

 „Performer“

 „Postmaterielle“

 „Digitale Individualisten“

 „Bürgerliche Mitte“

 „Adaptiv Pragmatische“

 „Konsumorientierte Basis“

 „Hedonisten“

ohne Einwilligung, gegen die Grundsätze für die Verarbeitung personenbezogener Daten verstoßen und dadurch die Mitbeteiligte im Recht auf Geheimhaltung verletzt habe, indem sie die genannten Daten zumindest bis zum 21.10.2019 verarbeitet habe.

Die belangte Behörde führte in rechtlicher Hinsicht im Wesentlichen aus, dass der Umstand, dass die zugeordneten „Sinus-Geo-Milieus“ personenbezogene Daten nach Art. 4 Z 1 DSGVO seien, sich schon daraus ergeben würde, dass die verfahrensgegenständlichen Datenkategorien im Zuge einer Auskunft nach Art. 15 DSGVO beauskunftet worden seien. Wenn – wie die Beschwerdeführerin vermeine – überhaupt keine personenbezogenen Daten vorlägen, so wäre die DSGVO nicht anwendbar und hätten diese Datenkategorien auch nicht beauskunftet werden müssen, wovon die Beschwerdeführerin offensichtlich aber auch selbst nicht ausgehe. Ohne die Zuordnung wäre auch eine personalisierte bzw. zielgerichtete Werbeaktivität gar nicht möglich, weshalb sich das Vorbringen der Beschwerdeführerin als nicht stichhaltig erweise. Dass personenbezogene Daten vorliegen würden, ergebe sich aber auch daraus, dass der EuGH wiederholt ausgesprochen habe, dass der Begriff „personenbezogene Daten“ weit auszulegen sei und nicht auf sensible oder private Informationen beschränkt sei, sondern potenziell alle Arten von Informationen, sowohl objektiver, als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handle, umfasse.

Das Bundesverwaltungsgericht habe überdies in einer rezenten Entscheidung zur Frage, ob statistisch errechnete Wahrscheinlichkeitswerte hinsichtlich einer vermeintlichen politischen Affinität und deren Zuordnung zu einer konkreten Person personenbezogene Daten seien, festgehalten, dass die Voraussetzung des Vorliegens von Informationen „über“ die in Rede stehende Person besonders dann erfüllt sei: „[…] wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkung mit einer bestimmten oder bestimmbaren Person verknüpft ist“.

Die Beschwerdeführerin habe der Mitbeteiligten gewisse statistisch ermittelte „Sinus-Geo-Milieus“, die die Beschwerdeführerin von der A-GmbH zugekauft habe, ad personam zugeordnet und ihr darüber hinaus einen Prozentsatz, der eine allfällige Zustimmung zu diesen „Sinus-Geo-Milieus“ ausdrücke, zugeschrieben. Gerade in der jeweiligen Verknüpfung der „Sinus-Geo-Milieus“ zur Person der Mitbeteiligten werde damit eine Aussage über diese getroffen. Zudem liege der Zweck dieser Zuordnung bzw. Verknüpfung darin, zielgerichtetes Marketing betreiben zu können, Werbung zu personalisieren und zu präziseren und die Mitbeteiligte mit diesen „Sinus-Geo-Milieus“ korrelierenden (Werbe-)Inhalten versorgen zu können, womit ebenfalls vom Vorliegen personenbezogener Daten auszugehen sei. Überdies habe das Bundverwaltungsgericht in der rezenten Entscheidung ausgesprochen, dass es sich bei statistisch errechneten Daten, die einer bestimmten Person zugeordnet würden, um personenbezogene Daten handle. Auch nach der Literatur seien die „Sinus-Geo-Milieus“ als personenbezogene Daten zu qualifizieren, weil auch geschätzte und prognostizierte Daten personenbezogene Daten seien, wenn sie einer realen Person zugeordnet werden können, auch wenn sie unzutreffend seien. Auch Einschätzungen, Vermutungen und Werturteile über betroffene Personen seien vom Begriff der Information erfasst.

Wenn die Beschwerdeführerin vermeine, es handle sich bei den „Sinus-Geo-Milieus“ nicht um personenbezogene Daten, weil keine Aussage über das Verhalten von Personen getroffen würde, sei dem zu entgegen, dass sich das Gebot der Datenrichtigkeit bloß nach dem Verwendungszweck der Daten richte, weshalb der Maßstab für die Datenrichtigkeit der Zweck der Datenverarbeitung sei. Eine objektive Richtigkeit von Daten sei daher für die Qualifikation als personenbezogene Daten gerade nicht erforderlich. Es sei ebenso unbeachtlich, ob die „Sinus-Geo-Milieus“ zuerst einer Personengruppe zugeschrieben und die Mitbeteiligte sodann dieser Gruppe zugeordnet worden sei oder umgekehrt. Denn es reiche für das Vorliegen personenbezogener Daten aus, wenn zwischen der betroffenen Person und der Information eine qualifizierte Verknüpfung bestehe. Es handle sich bei den „Sinus-Geo-Milieus“ – unabhängig davon, ob diese eine „Durchschnittswahrscheinlichkeit für eine Marketinggruppe“ darstellen würden – folglich jedenfalls um personenbezogene Daten iSv Art. 4 Z 1 DSGVO.

Die „Sinus-Geo-Milieus“ seien auch als Daten besonderer Kategorie iSd Art. 9 DSGVO zu qualifizieren, es genüge sowohl begrifflich als auch teleologisch, dass der Inhalt des Datums die in Art. 9 Abs. 1 DSGVO genannte Eigenschaft für einen durchschnittlichen objektiven Dritten zumindest mittelbar erkennen lasse, dass also die Eigenschaft aus dem Datum bzw. den Daten produziert werden könne. Die Voraussetzung des Hervorgehens sei im Zweifel großzügig auszulegen, um der Gefahr von Abgrenzungsproblemen vorzubeugen und ein einheitlich hohes Schutzniveau zu gewährleisten. Es sei nicht erforderlich, dass die Ableitung eines Merkmals im Sinne von Abs. 1 leg. cit. (gegenständlich also die weltanschauliche Überzeugung) tatsächlich richtig sei, denn der Zweck von Art. 9 DSGVO liege im Schutz der betroffenen Person vor der Möglichkeit tatsächlich datenbasierter Diskriminierungen. Während die deutsche Sprachfassung des Art. 9 Abs. 1 DSGVO die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, die politische Meinung, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit, sofern kein Erlaubnistatbestand des Art. 9 Abs. 2 leg. cit. vorliege, verbiete, spreche die englische Sprachfassung auch von philosophischen Überzeugungen („philosophical beliefs“). Politische Meinungen sowie religiöse und weltanschauliche Überzeugungen könnten nicht nur aus der Zustimmung, sondern ebenso aus der Ablehnung gewisser Ansichten abgeleitet werden. Das in Art. 9 Abs. 1 DSGVO normierte Verarbeitungsverbot ziele jedoch nicht auf den bloßen Schutz des „Meinens“ ab, sondern auch auf diesen zuordnenden Tätigkeiten ab. Art. 9 Abs. 1 leg. cit. schütze auch vor der Verarbeitung weltanschaulich philosophischer Ansichten, sofern kein Erlaubnistatbestand dafür vorliege und gehe es nach der Literaturmeinung Weicherts beim Schutz der Ansichten „um die Wahrung der geistigen Integrität“. Demnach hätten Atheisten und Anthroposophen ebenso wie Angehörige gleich welcher Konfession Anspruch darauf, dass Angaben zu ihrer Überzeugung nur unter besonderen Voraussetzungen verarbeitet werden. Dies müsse konsequenterweise gleichermaßen für alle weltanschaulichen Überzeugungen („philosophical beliefs“) gelten, unbeachtlich, ob es sich dabei um den Hedonismus oder den Konservatismus handle. Die Beschwerdeführerin argumentiere, dass die Konzeption des § 151 GewO 1994 ihre Ansicht stütze, wonach Affinitäten schon dem Grunde nach kein personenbezogenes Datum darstellen würden, weil § 151 Abs. 6 leg. cit. von der „Zuschreibung“ von Personen zu Marketingklassifikationen anstatt von „personenbezogenen Daten“ spreche. Hierzu sei festzuhalten, dass nach § 151 Abs. 1 leg. cit. ausdrücklich festgehalten werde, dass § 151 leg. cit. „die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden“ regle, Ausgangspunkt sei also – entgegen dieser Auffassung– sehr wohl die Verwendung von personenbezogenen Daten. Ebenso werde in den Erläuterungen zu § 151 GewO 1994 ausgeführt, „dass es sich bei den von Adressverlagen verarbeiteten Daten um personenbezogene Daten handelt“ (vgl. Erläuterungen zur RV 65 BlgNR XXVI. GP , 52).

In Zusammenschau der verwendeten Begriffe und dem Kontext ihres Gebrauchs bzw. des Verarbeitungszwecks (nämlich gezieltem Marketing) lasse sich sohin festhalten, dass die „Sinus-Geo-Milieus“ weltanschauliche Überzeugungen zum Ausdruck bringen würden, die der Mitbeteiligten vonseiten der Beschwerdeführerin zugeordnet worden seien. Es sei dabei unbeachtlich, ob sich die weltanschaulichen Überzeugungen der Mitbeteiligten tatsächlich mit denen, die ihr vonseiten der Beschwerdeführerin zugeschrieben worden seien, exakt decken bzw. ob die ihr zugeordneten prozentuell determinierten Zustimmungsraten ihre tatsächliche Zustimmung zu diesen Überzeugungen zum Ausdruck bringe oder nicht. So könne nämlich auch aus der Zuordnung nicht eindeutig zutreffender Überzeugungen die Diskriminierung der betroffenen Person resultieren und richte sich der Verarbeitungszweck sohin direkt gegen den Schutzzweck des Art. 9 Abs. 1 DSGVO.

Eine Verarbeitung von Daten nach Art. 9 Abs. 1 DSGVO sei nur rechtmäßig, wenn einer der in Abs. 2 taxativ aufgezählten Zulässigkeitstatbestände vorliege, doch sei an die Ausnahmetatbestände ein strenger Maßstab anzulegen. Das Verarbeitungsverbot gemäß Art. 9 Abs. 1 DSGVO werde u.a. durchbrochen, wenn die betroffene Person in die Verarbeitung ausdrücklich einwillige. Gegenständlich liege keine Einwilligung der Mitbeteiligten vor und sei dies auch nicht von der Beschwerdeführerin behauptet worden. Fraglich sei, ob ein anderer Erlaubnistatbestand als die Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO in Frage komme. Zu prüfen sei in diesem Zusammenhang Art. 9 Abs. 2 lit. g DSGVO, wonach eine Verarbeitung dann zulässig sei, wenn sie auf einer qualifizierten Rechtsgrundlage des Unions- oder des innerstaatlichen Rechts beruhe. Infrage komme diesbezüglich § 151 Abs. 4 GewO 1994, der jedoch die von Art. 9 Abs. 1 DSGVO normierte Voraussetzung, ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung besonderer Kategorien von Daten einzuholen, auch explizit für die Ausübung des Gewerbes für Adressverlage und Direktmarketingunternehmen, wiederhole. Dieses ausdrückliche Einverständnis sei aber jedoch – wie ausgeführt – nicht eingeholt worden. Die übrigen Erlaubnistatbestände gemäß Art. 9 Abs. 2 lit. b bis f sowie h bis j DSGVO würden im vorliegenden Fall nicht in Frage kommen. Auch das Bundesverwaltungsgericht habe sich bereits im Zusammenhang mit den hier jedoch nicht verfahrensgegenständlichen „Parteiaffinitäten“ und mit § 151 Abs. 6 GewO 1994 als gesetzlichem Erlaubnistatbestand iSd Art. 9 Abs. 2 lit. g DSGVO auseinandergesetzt und sei dabei zum selben Ergebnis wie die belangte Behörde gelangt. Die Beschwerdeführerin habe im Ergebnis durch die Verarbeitung von Daten der Mitbeteiligten betreffend deren politische Meinungen bzw. weltanschauliche Ansichten („philosophical beliefs“) besondere Kategorien personenbezogener Daten iSd Art. 9 Abs. 1 DSGVO mangels Erlaubnistatbestands unrechtmäßig verarbeitet.

7. Gegen diesen Bescheid erhob die Beschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht und brachte vor, dass die belangte Behörde unrichtig festgestellt habe, dass die Beschwerdeführerin die „Sinus-Geo-Milieus“ der Mitbeteiligten samt „prozentuell ausgedrückter Zustimmungsraten“ zugeordnet habe. Die „Sinus-Geo-Milieus“ seien jedoch von der A-GmbH bezogen worden, die Beschwerdeführerin habe die „Sinus-Geo-Milieus“ weder selbst erstellt, noch berechnet oder zugeordnet. Zudem sei nicht nachvollziehbar, was mit dem von der belangten Behörde verwendeten Begriff der „Zustimmungsrate“ gemeint sei, tatsächlich würden alle einem Gebäude zugeordneten Bewohner denselben statistisch berechneten Wahrscheinlichkeitswerten zugeschrieben, sodass Zustimmungen, Befürwortungen oder Unterstützungserklärungen dadurch nicht ausgedrückt würden. Die tatsachenwidrige Annahme der Zuordnung der „Sinus-Geo-Milieus“ durch die Beschwerdeführerin führe zur Rechtswidrigkeit des bekämpften Bescheides. Wenn man - entgegen der Rechtsauffassung der Beschwerdeführerin – eine Unzulässigkeit der verfahrensgegenständlichen Datenverarbeitung annehme, so sei hierfür gemäß § 6 Abs. 1 Z 3 der Verhaltensregeln für die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen die A-GmbH als jener Adressverlag verantwortlich, der die in Rede stehenden Daten bereitgestellt habe. Zudem habe die belangte Behörde die A-GmbH bereits mehrfach geprüft und deren Datenverarbeitungen, u.a. der „Sinus-Geo-Milieus“ für rechtmäßig befunden. Es sei denkunmöglich, dass die Verwendung der „Sinus-Geo-Milieus“ bei der A-GmbH rechtmäßig, zugleich aber bei der Beschwerdeführerin rechtswidrig sei. Abseits der aufgezeigten Feststellungsmängel sei der bekämpfte Bescheid auch mit inhaltlicher Rechtswidrigkeit belastet. Sämtliche „Sinus-Geo-Milieus“ seien bis zum 13.11.2019 aus den Marketingdatenbanken der Beschwerdeführerin nicht wiederherstellbar, zur Gänze physisch gelöscht worden. Seither finde keine weitere Verarbeitung zu Marketingzwecken statt. Das Feststellungs- und Rechtsschutzinteresse der Mitbeteiligten sei daher weggefallen und bestehe kein Feststellungsanspruch.

Die DSGVO sehe ein geschlossenes System von Betroffenenrechten (Art 12 ff DSGVO) und möglicher behördlicher Abhilfebefugnisse gegen Datenschutzverstöße (Art. 58 Abs. 2 DSGVO) vor. Einen eigenständigen Feststellungsanspruch kenne die DSGVO dagegen nicht, insbesondere keinen Anspruch auf Feststellung in der Vergangenheit liegender Rechtsverletzungen. Im Erkenntnis vom 20.05.2021, W214 2226349-1, habe das Bundesverwaltungsgericht zwar die von der Beschwerdeführerin vertretene Rechtsansicht verneint, der vorliegende Fall unterscheide sich jedoch vom, dem zitierten Erkenntnis zugrundeliegenden, Sachverhalt dahingehend, dass die Beschwerde im anderen Verfahren noch vor Löschung der Parteiaffinität eingebracht worden sei und die Beschwerdeführerin sämtlichen Betroffenen nunmehr anbiete, eine individualisierte, als vollstreckbarer Notariatsakt ausgestellte, Unterlassungs- und Verpflichtungserklärung abzugeben, in der sie zusichere, von der Verarbeitung der Marketingklassifikationen „Sinus Geo Milieus“ und (der hier nicht verfahrensgegenständlichen) „Parteiaffinitäten“ Abstand zu nehmen. Weiters sei das vom Bundesverwaltungsgericht herangezogene Judikat des VwGH vom 23.02.2021, Ra 2019/04/0054, nicht einschlägig, da in diesem Fall zu beurteilen gewesen sei, ob die Datenübermittlung rechtmäßig erfolgt sei, weshalb auf die Rechtslage zum Zeitpunkt der abgeschlossenen Tathandlung abzustellen gewesen sei. Dies habe jedoch mit der Frage der Wegfall der Beschwer nichts zu tun. Denn in dem vor dem Verwaltungsgerichtshof zu beurteilenden Sachverhalt habe eine mögliche Rechtsverletzung bei der Datenübermittlung die vom Verwaltungsgerichtshof zu prüfende Frage bedingt, nämlich, ob die in Rede stehenden (übermittelten) Daten weiterhin rechtmäßig verarbeitet werden hätten dürfen. Andernfalls wäre im (dortigen) Revisionsvorbringen kaum das Bestehen einer Löschverpflichtung behauptet worden. Es wäre zudem unschlüssig, den gegenüber dem Leistungsbegehren subsidiären Feststellungsanspruch zu bejahen, wenngleich ein korrelierender Leistungsanspruch auf Löschung nicht bestehe, weil diesem bereits entsprochen worden sei. Dem zitierten Erkenntnis des Bundesverwaltungsgerichtes sei daher nicht zu folgen.

Vielmehr sei aus dem Beschwerderecht des Art. 77 DSGVO (iVm § 24 DSG) lediglich das Recht ableitbar, Beschwerde an eine Aufsichtsbehörde zu erheben und dadurch die Durchsetzung der durch die DSGVO gewährten subjektiven Rechte zu ermöglichen, jedoch kein eigenständiges Recht auf Feststellung vergangener Rechtsverletzungen. Daran vermöge auch § 24 DSG nichts zu ändern, weil der Wortlaut dieser Bestimmung in Präsens gehalten sei. Dies stimme auch mit der bisherigen Rechtsprechung des Verwaltungsgerichtshofes zu Löschungs- und Auskunftsbegehren nach dem DSG 2000 überein. Dies gelte auch nach aktueller Rechtslage unverändert, die belangte Behörde vertrete selbst die Ansicht, dass § 24 DSG eine zu § 31 Abs. 2 DSG 2000 vergleichbare Rechtslage schaffe. Keine der beiden Regelungen räume daher ein eigenständiges Recht auf förmliche behördliche Feststellung vergangener Rechtsverletzungen ein.

Der bekämpfte Bescheid sei weiters rechtswidrig, weil die belangte Behörde die datenschutzrechtliche Zulässigkeit von „Sinus-Geo-Milieus“ falsch beurteilt habe. Die „Sinus-Geo-Milieus“ seien Marketingklassifikationen iSd § 151 Abs. 6 GewO und als solche keine personenbezogenen Daten iSd Art 4 Z 1 DSGVO. Die „Sinus-Geo-Milieus“ seien aggregierte adressbezogene Merkmale, aus denen sich prognostisch ableiten lasse, mit welcher Wahrscheinlichkeit in einer bestimmten Gegend etwa „Performer“ wohnen. Es seien anonyme Gruppendaten (auf Gebäudeebene) die keine Aussage über Einzelne in sich tragen würden. Eine Information über eine bestimmte Person sei in den „Sinus-Geo-Milieus“ nicht enthalten, ein Personenbezug im datenschutzrechtlichen Sinn sei daher nicht gegeben. Die von der belangten Behörde ins Treffen geführten Argumente, die „Sinus-Geo-Milieus“ würden verwendet, um Personen zu beurteilen, in einer bestimmten Weise zu behandeln oder ihre Stellung oder Verhalten zu beeinflussen, sowie, dass sich die Verwendung der „Sinus-Geo-Milieus“ auf die Rechte und Interessen der Betroffenen auswirken würde, würden nicht überzeugen, das Verhalten von Personen könne ebenso gut durch Werbetafeln wie durch personalisierte Werbung beeinflusst werden. Auch würden Person ebenso wenig bewertet, wenn ihnen zielgerichtete Werbung zugeschickt werde, als sie dies durch Werbebotschaften würden, die über Tafeln in ihrem Wohngebiet transportiert würden. Ebenso wenig wirke sich personalisierte Werbung auf die Rechte oder Interessen bestimmter Personen aus. Der Umstand alleine, dass durch die „Sinus-Geo-Milieus“ eine werbeintendierte Aufmerksamkeit der die Werbung erhaltenden Personen angestrebt werde, genüge nicht, um sie als ein personenbezogenes Datum zu qualifizieren.

Die „Sinus-Geo-Milieus“ seien zudem keine besondere Kategorie personenbezogener Daten iSd Art. 9 DSGVO, insbesondere werde bei diesen nicht auf weltanschauliche Überzeugungen, sondern etwa auf Konsumverhalten, Lebensstil oder Wohnungsumfeld abgestellt. Die Zielsetzung von „Sinus-Geo-Milieus“ sei es nicht, weltanschauliche Überzeugungen zu generieren, sondern die Bevölkerung in einem Raster entlang der sozialen Lage und der konsumbezogenen Grundorientierung zu segmentieren, mit weltanschaulichen Überzeugungen habe diese Segmentierung nichts zu tun. Zudem würden innerhalb eines Gebäudes alle Bewohner dieselben „Sinus-Geo-Milieus“ zugeordnet, es sei lebensfremd anzunehmen, dass alle Bewohner eines Hauses unabhängig von Geschlecht, Alter, Ausbildungsgrad, Berufsweg, Religion oder sexueller Orientierung jeweils dieselbe Weltanschauung hätten. Im Zusammenhang mit den Parteiaffinitäten habe das Bundesverwaltungsgericht klargestellt, dass aus einem niedrigen Wahrscheinlichkeitswert nicht auf eine politische Meinung geschlossen werden könne. Dasselbe müsse auch für weltanschauliche Überzeugungen gelten, die im Spruch bezeichneten Marketingklassifikationen hätten allesamt jedoch nur einen niedrigen Wahrscheinlichkeitswert unter 25 % gehabt. Auch aus der insofern dominanten Wahrscheinlichkeit „Postmaterielle“ könne keine weltanschauliche Überzeugung abgeleitet werden, weil diese Beschreibung auf die Anhänger verschiedenster weltanschaulicher Überzeugungen zutreffen könne. Bei der weltanschaulichen Überzeugung gehe es um die Auffassung des Menschen von der Welt als einem Sinnganzen nicht aber um seine Teilhabe an einem bestimmten Lebensstil. Eine weltanschauliche Überzeugung müsse aus den zur Verarbeitung stehenden Daten „hervorgehen“, d.h. aus einem vom Betroffenen gesetzten Verhalten (z.B. Teilnahme an einer Veranstaltung) oder etwa aus seinen Äußerungen. Das könne den „Sinus-Geo-Milieus“ nicht entnommen werden. Gegen eine missbräuchliche Verwendung von Marketingklassifikationen seien in § 151 GewO Schutzbestimmungen normiert, weshalb es nicht erforderlich sei, Marketingklassifikationen dem Datenschutz zu unterstellen, um Personen vor Diskriminierung zu schützen. Weiters verkenne die belangte Behörde, dass der Zweck der zielgruppenorientierten Werbung sei, die Empfänger vor einer „Überflutung“ mit Werbematerial zu bewahren und möglichst Personen mit Werbung anzusprechen, die von der Werbung auch angesprochen werden wollen. Adressaten von Direktmarketingunternehmen seien sohin einer datenbasierten Diskriminierung nicht einmal theoretisch ausgesetzt. Durch das Zustellen bzw. Nicht-Zustellen von Werbematerial könne niemand diskriminiert werden. Der angefochtene Bescheid sei daher aufzuheben.

Der Beschwerde beigefügt wurde unter anderem eine Präsentation der XXXX (im Folgenden: XXXX ) betreffend eine Beschreibung der „Sinus Mileus“ und „Sinus-Geo-Milieus“.

8. Mit Schreiben vom 09.07.2021 (eingelangt beim Bundesverwaltungsgericht am 20.07.2021) legte die belangte Behörde die Beschwerde sowie den bezughabenden Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme ab, in welcher sie ausführte, dass zum Vorbringen, die belangte Behörde habe keine Feststellungskompetenz, wenn eine Datenschutzverletzung in der Vergangenheit abgeschlossen sei, in vollem Umfang auf die Ausführungen des Bundesverwaltungsgerichts in den Erkenntnissen zu W214 2226349-1/12E und W214 2226350-1/17E verwiesen werden dürfe, wonach die belangte Behörde auch im Hinblick auf die Judikatur des Verwaltungsgerichtshofes betreffend Geheimhaltungspflichtverletzungen gemäß § 1 DSG – wie auch im gegenständlichen Verfahren – über in der Vergangenheit abgeschlossene Verarbeitungstätigkeiten mit Feststellung abzusprechen habe. Die Möglichkeit das Verfahren einzustellen, sofern die Rechtsverletzung bei antragsgebundenen Rechten nachträglich geheilt worden sei, schade nicht. Es gebe keine generelle Ausnahme der Feststellung vergangener Rechtsverletzungen, insbesondere bei Verletzungen im Recht auf Geheimhaltung, die durch punktuelle, abgeschlossene und in der Vergangenheit liegende Handlungen herbeigeführt würden und einer nachträglichen Sanierung gerade nicht zugänglich seien. Überdies sei auf § 24 Abs. 6 DSG zu verweisen, wonach die belangte Behörde ein Beschwerdeverfahren nur dann formlos einstellen könne, sofern der Beschwerdegegner bis zum Abschluss des Verfahrens die behauptete Rechtsverletzung nachträglich beseitige, indem er den Anträgen des Beschwerdeführers entspreche. Diese verfahrensrechtliche Erleichterung der Durchsetzung von Betroffenenrechten komme daher nur bei antragsgebundenen Rechten – wozu das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG gerade nicht zähle – zur Anwendung.

Die Behauptung, die Zuordnung der „Sinus-Geo-Milieus“ zur Mitbeteiligten sei nicht durch die Beschwerdeführerin selbst, sondern durch die A-GmbH erfolgt, überzeuge nicht. Wie die Beschwerdeführerin selbst vorbringe, habe der genannte Lieferant die Adressdaten und die „Sinus-Geo-Milieus“ auf Gebäudeebene jeweils in separaten Dateien übermittelt und sei die Verknüpfung mit einer bestimmten Person (gegenständlich: der Mitbeteiligten) durch die Beschwerdeführerin erfolgt, wie sich im Übrigen auch aus der der Mitbeteiligten erteilten Auskunft klar ergebe. Somit erweise sich die im angefochtenen Bescheid getroffene Feststellung, der Personenbezug werde durch die Beschwerdeführerin hergestellt, als den Tatsachen entsprechend. Dass die Beschwerdeführerin die „Sinus-Geo-Milieus“ selbst erstelle bzw. berechnet hätte, sei hingegen zu keinem Zeitpunkt angeführt bzw. festgehalten worden. Ungeachtet des tatsächlichen Zuordnungszeitpunktes wäre bereits das Abfragen, Speichern oder Verwenden vom (weiten) Verarbeitungsbegriff des Art. 4 Z 2 DSGVO mitumfasst und erweise sich das diesbezügliche Vorbringen auch aus diesem Grund als unerheblich. Zur rechtlichen Qualifikation der „Sinus-Geo-Milieus“ als personenbezogene Daten bzw. Daten besonderer Kategorie iSv Art. 9 DSGVO werde vollinhaltlich auf den angefochtenen Bescheid sowie auf das dg. Teilerkenntnis vom 20.08.2020, GZ: W258 2217446-1/15E, sowie auf das dg. Erkenntnis vom 20. Mai 2021, GZ: W214 2226349-1/12E, verwiesen. Die Ansicht, wonach statistisch errechnete Wahrscheinlichkeitswerte, die einer konkreten Person zugeordnet würden, personenbezogene Daten seien, sei bereits mehrfach bestätigt worden und sollte daher unstrittig sein. Der Vollständigkeit halber werde überdies auf OGH 18.02.2021 zu 6 Ob 127/20z sowie OGH 15.04.2021 zu 6 Ob 35/21x verwiesen.

9. Das Bundesverwaltungsgericht übermittelte die Stellungnahme der belangten Behörde der Beschwerdeführerin sowie die Beschwerde und Stellungnahme der belangten Behörde der Mitbeteiligten zur Kenntnis und gab ihnen jeweils Gelegenheit zur Abgabe einer Stellungnahme.

Die Mitbeteiligte erstattete in der Folge keine weitere Stellungnahme.

10. Die Beschwerdeführerin gab am 02.09.2021 eine „Replik“ ab und führte erneut aus, dass es der belangten Behörde an der Feststellungskompetenz in der Vergangenheit liegender (vermeintlicher) Rechtsverletzungen mangle. Verwaltungsverfahren seien sohin in der Regel nach Wegfall der Beschwer einzustellen, für eine Ausnahme diesbezüglich biete weder die DSGVO noch das DSG eine Rechtsgrundlage.

Die Ansicht der belangten Behörde, der Datenlieferant A-GmbH habe die Adressdaten und die „Sinus-Geo-Milieus“ auf Gebäudeebene in separaten Dateien übermittelt, sodass die Verknüpfung der „Sinus-Geo-Milieus“ auf Gebäudeebene mit den Adressdaten des Mitbeteiligten durch die Beschwerdeführerin erfolgt sei, finde weder im Beweisverfahren Deckung, noch ergebe sie sich aus dem angefochtenen Bescheid. Die Beschwerdeführerin habe die Adressdaten und die „Sinus-Geo-Milieus“ von der A-GmbH in zwei separaten Dateien erhalten. Sofern man einen Personenbezug in der Bezugnahme eines „Sinus-Geo-Milieus“ auf alle in einem Haushalt lebenden Personen erkennen wolle, dann sei dieser Personenbezug bereits durch die A-GmbH dadurch hergestellt worden, dass die separaten Dateien mit einer spezifischen „ XXXX “ verknüpft worden seien.

Nach § 6 Abs. 1 Z 3 der „Verhaltensregeln für Adressverlage und Direktmarketingunternehmen gemäß DSGVO“ obliege es dem „Daten liefernden Adressverlag oder Direktmarketingunternehmen“ allfällige erforderliche Einwilligungen einzuholen. Durch die Genehmigung dieser Verhaltensregeln habe die belangte Behörde selbst einen Vertrauenstatbestand und damit einen Rechtfertigungsgrund geschaffen, auf den die Beschwerdeführerin sich habe verlassen dürfen. Die Verarbeitung der „Sinus-Geo-Milieus“ sei daher selbst dann rechtmäßig erfolgt, wenn sie als sensible Daten zu qualifizieren wären, da die Beschwerdeführerin die „Sinus-Geo-Milieus“ rechtmäßig – den Verhaltensregeln entsprechend – erhoben habe. Die Feststellung der belangten Behörde, die Verknüpfung mit der Mitbeteiligten sei durch die Beschwerdeführerin erfolgt, sei unzutreffend.

11. Mit Schreiben vom 04.11.2022 wurde den Parteien ein Exzerpt der Niederschrift einer mündlichen Verhandlung des Bundesverwaltungsgerichts, die andere – gleich gelagerte – Parallelverfahren mit derselben Beschwerdeführerin bezüglich der Verarbeitung von „Sinus Geo Milieu-Daten“ betraf, übermittelt. Es wurde um Mitteilung gebeten, ob und gegebenenfalls inwieweit angesichts dieser Ermittlungsergebnisse ein weiterer Klärungsbedarf gesehen werde.

12. Mit Schreiben vom 10.11.2022 gab die Mitbeteiligte eine Stellungnahme ab, wonach sie keinen Einwand gegen die Verwendung der Protokollierung der bereits erfolgten Vernehmung des Geschäftsführers der XXXX habe. Im Übrigen wurde auf die rezente Rechtsprechung des VwGH zur Feststellungsbefugnis hinsichtlich vergangener Verletzungen im Grundrecht auf Datenschutz verwiesen. Die beschwerdegegenständlichen Sinus-Geo-Milieu-Daten seien personenbezogen gespeichert worden und es handle sich um sensible Daten.

13. Mit Stellungnahme vom 18.11.2022 nahm die Beschwerdeführerin dazu Stellung. Die Einvernahme des Geschäftsführers der XXXX habe sich als berechtigt erwiesen. Sensible Variablen würden nicht verwendet. Eine Zuordnung der „Sinus-Geo-Milieus“ durch die A-GmbH sei nur dann erfolgt, wenn an einer Adresse mindestens 10 Personen wohnhaft gewesen seien. Die Zuordnung der „Sinus-Geo-Milieus“ sei für die einzelne Person nicht aussagekräftig. Weiters wurde auf den Unterschied zwischen „Sinus-Milieus“ und „Sinus-Geo-Milieus“ hingewiesen. Weiters wurde auf Rechtsprechung der (damaligen) Datenschutzkommission und des EuGH verwiesen, welche die Behauptung der Beschwerdeführerin stützen würde, dass es sich bei den „Sinus-Geo-Milieu-Daten“ um nicht personenbezogene Daten handle. Es handle sich auch um keine weltanschaulichen Daten und die Verarbeitung sei auch nicht mit einem Risiko verbunden. Es sei ein Missverständnis, wenn der Verwaltungsgerichtshof meine, betroffene Personen würden durch Marketingklassifikationen zu vorselektierten Empfängern von Werbebotschaften. Weiters wurden einige Argumente aus früheren Schriftsätzen wiederholt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.

1.2. Darüber hinaus wird im Detail und ergänzend Folgendes festgestellt:

1.2.1. Die Beschwerdeführerin betreibt u.a. seit 03.04.2001 das Gewerbe „Adressverlag und Direktmarketingunternehmen“. Sie verarbeitete im Rahmen ihrer Tätigkeit als Adressverlag zumindest bis zum Zeitpunkt der Erteilung der datenschutzrechtlichen Auskunft am 21.10.2019 (bis längstens 13.11.2019) die oben unter Punkt I.1. dargestellten Datensätze zu den „Sinus-Geo-Milieus“ („Wahrscheinlichkeitswert Konservative, Wahrscheinlichkeitswert Traditionelle, …“) über die Mitbeteiligte. Diese Datensätze stellen Marketingklassifikationen dar, welche eine Wahrscheinlichkeitsaussage betreffend die Zugehörigkeit der Betroffenen zu einem bestimmten „Sinus-Geo-Milieu“ beinhalten.

Die Datensätze wurden von der Beschwerdeführerin im Rahmen ihrer Tätigkeit als Adressverlag verwendet und Geschäftskunden für Marketingzwecke angeboten.

Eine Zustimmung des Mitbeteiligten zur Verarbeitung dieser Daten lag nicht vor.

Sämtliche „Sinus-Geo-Milieus“ sind spätestens zum 13.11.2019 aus den Marketingdatenbanken der Beschwerdeführerin nicht wiederherstellbar, zur Gänze physisch gelöscht worden. Die Beschwerdeführerin verarbeitet spätestens seit dem 13.11.2019 sämtliche „Sinus-Geo-Milieus“ nicht mehr für den Adresshandel bzw. Marketingzwecke.

1.2.2. Zu den „Sinus-Milieus“ im Detail:

Die aus der Marktforschung bekannten „Sinus-Milieus“ wurden vom deutschen Markt- und Sozialforschungsunternehmen „ XXXX “ („ XXXX -Institut“) vor über 40 Jahren entwickelt und stellen eine Gesellschafts- und Zielgruppen-Typologie dar, die auf sozialen Milieus basiert. Sie fassen Menschen mit ähnlichen Werten und einer vergleichbaren sozialen Lage zu „Gruppen Gleichgesinnter“ zusammen. Die Milieu-Einteilung erfolgt entlang zweier Dimensionen: „Soziale Lage“ (Unter-, Mittel- oder Oberschicht) und „Grundorientierung“ („Tradition“, „Modernisierung/Individualisierung“ und „Neuorientierung“). Ausgangspunkt jedes Milieu-Modells ist die Erforschung des Alltags aus der jeweiligen subjektiven Sicht der Personen, die diesen Alltag erleben und hinsichtlich einer möglichst umfassenden Liste von Alltagsbereichen: Politik, Tradition, Status, Gesundheit, Mode, Geschmack, Familie, Technologie, Neugierde, Sport, Interessen, Ängste und Befürchtungen, Einkommen und Geld, Ästhetik, Ziele, Ethik, Bildung, Religion, Kunst und Kultur, Vorlieben, Veränderungsbereitschaft. Die „Sinus-Milieus“ gruppieren somit Menschen nach ihrer Grundhaltung und Lebensweise und fassen dadurch Menschen zusammen, die sich in Lebensauffassung und Lebensweise ähneln. Abgestellt wird dabei insb. auf eine ähnliche Grundorientierung, Mentalität und Werte (daher auch: ähnliches [Konsum-]verhalten, ähnliche Mediennutzung, ähnlicher Lebensstil, Geschmack und ähnliche Wohnumfelder). Betrachtet wird die reale Lebenswelt einer Person – und dies in einem Kontext mit demografischen Eigenschaften wie Bildung, Beruf oder Einkommen gestellt.

Die Sinus-Modelle sind grafisch alle sehr ähnlich aufgebaut („Kartoffelgrafik"). In der vertikalen Achse ist jeweils die soziale Lage (sie reicht von niedrig bis hoch) dargestellt und in der horizontalen Achse die Wertorientierung (sie reicht von traditionell bis postmodern). Je höher ein Milieu in dieser Grafik angesiedelt ist, desto gehobener sind Bildung, Einkommen und Berufsgruppe; je weiter nach rechts es sich erstreckt, desto moderner im soziokulturellen Sinn ist die Grundorientierung des jeweiligen Milieus.

Die Sinus-Milieus verdeutlichen, was die verschiedenen Lebenswelten in unserer Gesellschaft bewegt (Werte, Lebensziele, Lifestyles) – und wie sie bewegt werden können (Mediennutzung, Kommunikationspräferenzen). Sie bieten deshalb dem Marketing mehr Informationen und bessere Entscheidungshilfen als herkömmliche Zielgruppenansätze. In der Milieu-Landkarte können Produkte, Marken, Parteien, Medien etc. positioniert werden.

Die „Sinus-Milieus“ gliedern die Gesellschaft im Wesentlichen in drei Schichten: Oberschicht/obere Mittelschicht, Mittlere Mittelschicht und Untere Mittelschicht/Unterschicht. Den Gesellschaftsschichten werden in Österreich die Milieus „Konservative“, „Traditionelle“, „Etablierte“, „Performer“, „Postmaterielle“, „Digitale Individualisten“, „Bürgerliche Mitte“, „Adaptiv Pragmatische“, „Konsumorientierte Basis“ und „Hedonisten“ (teilweise überlappend) zugeordnet.

Das „Sinus-Milieumodell“ in Österreich stellte sich zum Zeitpunkt der Bescheidbeschwerde wie folgt dar:

Die einzelnen „Sinus-Milieus“ werden für Österreich von der XXXX bzw. der XXXX wie folgt beschrieben:

„Traditionelle Milieus“

Konservative: Leitmilieu im traditionellen Bereich mit einer hohen Verantwortungsethik: Stark von christlichen Wertvorstellungen geprägt, hohe Wertschätzung von Bildung und Kultur, kritisch gegenüber aktuellen gesellschaftlichen Entwicklungen

Traditionelle: Das auf Sicherheit, Ordnung und Stabilität fokussierte Milieu: Verwurzelt in der alten kleinbürgerlichen Welt, in der traditionellen Arbeiterkultur und im traditionell ländlichen Milieu

„Gehobene Milieus“

Etablierte: Die leistungsorientierte Elite mit starkem Traditionsbewusstsein: Deutliche Exklusivitäts- und Führungsansprüche, hohes Standesbewusstsein und ausgeprägtes Verantwortungsethos

Performer: Die flexible und global orientierte moderne Elite: Effizienz, Eigenverantwortung und individueller Erfolg haben oberste Priorität; Hohe Business- und IT-Kompetenz

Postmaterielle: Weltoffene Gesellschaftskritiker: Gebildetes, vielfältig kulturinteressiertes Milieu; kosmopolitisch orientiert, aber kritisch gegenüber Globalisierung; sozial engagiert

Digitale Individualisten: Die individualistische und vernetzte Lifestyle-Avantgarde: Mental und geographisch mobil, online und offline vernetzt, ständig auf der Suche nach neuen Erfahrungen

„Die neue Mitte“

Bürgerliche Mitte: Der leistungs- und anpassungsbereite Mainstream: Streben nach beruflicher und sozialer Etablierung, gesicherten und harmonischen Verhältnissen, Halt und Orientierung, Ruhe und Entschleunigung

Adaptiv-Pragmatische: Die neue flexible Mitte: Ausgeprägter Lebenspragmatismus, Streben nach Verankerung, Zugehörigkeit, Sicherheit; Grundsätzliche Leistungsbereitschaft, aber auch Wunsch nach Spaß und Unterhaltung

„Moderne Unterschicht“

Konsumorientierte Basis: Die um Teilhabe bemühte, konsumorientierte Unterschicht: Ausgeprägte Gefühle der Benachteiligung, Zukunftsängste und Ressentiments; bemüht, Anschluss zu halten an den Lebensstil und die Konsumstandards der Mitte

Hedonisten: Die momentbezogene, erlebnishungrige untere Mitte: Leben im Hier und Jetzt, Suche nach Spaß und Unterhaltung; Verweigerung von Konventionen der Mehrheitsgesellschaft

1.2.3. Zu den „Sinus-Geo-Milieus“ im Detail:

Die Datensätze zu den „Sinus-Geo-Milieus“ wurden von der in Deutschland ansässigen XXXX (im Folgenden: XXXX ) errechnet. Die Beschwerdeführerin bezog diese Daten im Rahmen ihrer Gewerbeberechtigung als Adressverlag vom Datenlieferanten A-GmbH mit Sitz in Wien.

Bei den „Sinus-Geo-Milieus“ erfolgt eine auf einer Wahrscheinlichkeitsrechnung basierende Einstufung nach den „Geo-Milieus“ der XXXX , welche die aus der Markforschung bekannten „Sinus-Milieus“ auf den geografischen Raum umlegen. Entwickelt wurden diese Wahrscheinlichkeitsdaten durch eine Verknüpfung repräsentativer Befragungsdaten aus der Sinus-Milieuforschung mit XXXX -Adressdaten. Mit den aus sozialwissenschaftlichen Umfragen gewonnenen Daten wird eine inhaltlich und räumlich repräsentative Analysestichprobe erstellt. Diese Stichprobe wird mit XXXX -Daten und Informationen aus amtlichen Quellen angereichert. Für diese Analyse werden (in Deutschland) durchschnittlich sechs Haushalte zu einer Mikrozelle zusammengefasst. Mittels mathematisch-statistischer Verfahren werden die Wahrscheinlichkeitswerte dann für an bestimmten Adressen befindlichen Gebäuden errechnet und diesen zugeordnet und für jeden Haushalt in Österreich die statistische Wahrscheinlichkeit berechnet, mit welcher die einzelnen „Sinus-Milieus“ vorkommen und zusätzlich das dominante „Sinus-Geo-Milieu“ bestimmt. In Österreich erfolgte eine Zuordnung der Sinus-Geo-Mileus durch die A-GmbH zu einzelnen Personen nur dann, wenn mindestens zehn Personen an der Adresse wohnhaft waren.

Der Beschwerdeführerin wurden von der A-GmbH zwei Datentabellen übermittelt: Eine enthielt die Adressdaten einzelner Personen, die andere die auf Gebäudeebene errechneten „Sinus-Geo-Milieus“. Weiters wurde der Beschwerdeführerin von der A-GmbH der Schlüssel zur Verknüpfung der „Sinus-Geo-Milieus“ auf Gebäudeebene mit den Adressdaten (die „ XXXX “) zur Verfügung gestellt.

Diese stellen sich (wie zur Veranschaulichung im Sinne eines Musterbeispiels festgehalten) wie folgt dar (vgl. Beschwerde):

Datei 1:

​

Datei 2:

​

Die Beschwerdeführerin übernahm in der Folge diese Struktur in ihre eigene Datenbank und schrieb durch Kombination der Listen einzelnen Personen jeweils Wahrscheinlichkeitswerte über die Zugehörigkeit zu einem bestimmten „Sinus-Geo-Milieus“ zu (siehe die unter Punkt I. dargestellte Datenauskunft).

2.4. Der Person der Mitbeteiligten wurden folgende Wahrscheinlichkeitswerte zu den einzelnen „Sinus-Geo-Milieus“ zugeschrieben:

Dominantes Geo Milieu: Postmaterielle

Wahrscheinlichkeitswert Konservative: 5,72%

Wahrscheinlichkeitswert Traditionelle: 2,82%

Wahrscheinlichkeitswert Etablierte: 13,54%

Wahrscheinlichkeitswert Performer: 8,21%

Wahrscheinlichkeitswert Postmaterielle: 23,55%

Wahrscheinlichkeitswert Digitale Individualisten: 5,43%

Wahrscheinlichkeitswert Bürgerliche Mitte: 17,59%

Wahrscheinlichkeitswert Adaptiv Pragmatische: 12,85%

Wahrscheinlichkeitswert Konsumorientierte Basis: 3,19%

Wahrscheinlichkeitswert Hedonisten: 7,09%

2. Beweiswürdigung:

Der festgestellte Sachverhalt beruht auf dem Akteninhalt des Verwaltungs- und des Gerichtsaktes; die Feststellungen zu den „Sinus-Milieus“ und „Sinus-Geo-Milieus“ beruhen insbesondere auf der von der Beschwerdeführerin in der Beschwerde beigefügten Präsentation der XXXX sowie darüber hinaus auf einer Internetrecherche: XXXX (alle abgerufen am 28.11.2022).

Weiters hat das Bundesverwaltungsgericht als weiteres Beweismittel die Niederschrift über die mündliche Verhandlung zu den beim Bundesverwaltungsgericht anhängigen Verfahren W258 2240252-1, W258 2244085-1, W258 2245538-1, W258 2245706-1, W258 2245706-1, W258 2245939-1, W258 2246115-1, W258 2246345-1, W258 2246425-1, W258 2247575-1, W258 2248571-1, W258 2246667-1, W258 2247509-1 und W258 2248007-1 in das Verfahren eingebracht, in denen u.a. der Geschäftsführer der XXXX als Zeuge einvernommen wurde. Daraus sind jedoch keine über das schriftliche Verfahren hinausgehende für die Feststellungen relevanten Erkenntnisse zu gewinnen. So führte etwa der Zeuge aus, dass sein Unternehmen selbst keine personenbezogenen Zuordnungen vornehme und die konkrete Zuordnung daher in der Verantwortung der Personen liege, die die Daten von dem Unternehmen erhalten würden. Auch die Aussagen einer Vertreterin der Beschwerdeführerin, wonach Sinus-Geo-Milieus „eine Stufe abstrakter“ seien als die Parteiaffinitäten und dass seitens der A-GmbH eine Zuordnung von „Sinus-Geo-Milieus“ zu einzelnen Wohnadressen nur dann erfolgte, wenn sich an dieser Wohnadresse mindestens 10 Personen befanden, ändert nichts daran, dass diese Daten den betroffenen Personen namentlich zugeschrieben bzw. verarbeitet wurden.

Einzig bekämpft wurde von der Beschwerdeführerin bezüglich des Sachverhaltes die Feststellung der belangten Behörde, dass die Zuordnung der „Sinus-Geo-Milieus“ durch die Beschwerdeführerin vorgenommen worden sei. Die Frage, durch wen die Datensätze zu den „Sinus-Geo-Milieus“ zugeordnet wurden, wurde aufgrund der Ausführungen der Beschwerdeführerin in der Beschwerde zum einen geklärt, zum anderen kommt dieser Frage – wie noch unter Punkt 3.3.2.2.1 in der rechtlichen Beurteilung näher dargestellt werden wird – datenschutzrechtlich keine Relevanz zu.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerde wurde fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

3.3. In der Sache:

3.3.1. Zur Rechtslage:

Relevante Bestimmungen lauten:

§ 1 Abs. 1 DSG:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.“

§ 4 Abs. 1 DSG:

„§ 4. (1) Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.“

Art. 4 Z 1 DSGVO:

„Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;“

Art. 5 DSGVO:

„Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

​

(2 Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Art. 6 Abs. 1 lit. a, e und f DSGVO:„Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“

Art. 9 DSGVO:

„Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,

b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,

c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben,

d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden,

e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,

h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,

i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder

j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.

(3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

(4) Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.“

Die – soweit relevanten – Erwägungsgründe, insbesondere zu Art 9 DSGVO der DSGVO, lauten:

„(46) Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person oder einer anderen natürlichen Person zu schützen. […] Einige Arten der Verarbeitung können sowohl wichtigen Gründen des öffentlichen Interesses als auch lebenswichtigen Interessen der betroffenen Person dienen; so kann beispielsweise die Verarbeitung für humanitäre Zwecke einschließlich der Überwachung von Epidemien und deren Ausbreitung oder in humanitären Notfällen insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen erforderlich sein.

(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. […] Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.

(51) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Diese personenbezogenen Daten sollten personenbezogene Daten umfassen, aus denen die rassische oder ethnische Herkunft hervorgeht, wobei die Verwendung des Begriffs „rassische Herkunft“ in dieser Verordnung nicht bedeutet, dass die Union Theorien, mit denen versucht wird, die Existenz verschiedener menschlicher Rassen zu belegen, gutheißt. Die Verarbeitung von Lichtbildern sollte nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden, da Lichtbilder nur dann von der Definition des Begriffs „biometrische Daten“ erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Derartige personenbezogene Daten sollten nicht verarbeitet werden, es sei denn, die Verarbeitung ist in den in dieser Verordnung dargelegten besonderen Fällen zulässig, wobei zu berücksichtigen ist, dass im Recht der Mitgliedstaaten besondere Datenschutzbestimmungen festgelegt sein können, um die Anwendung der Bestimmungen dieser Verordnung anzupassen, damit die Einhaltung einer rechtlichen Verpflichtung oder die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, möglich ist. Zusätzlich zu den speziellen Anforderungen an eine derartige Verarbeitung sollten die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten. Ausnahmen von dem allgemeinen Verbot der Verarbeitung dieser besonderen Kategorien personenbezogener Daten sollten ausdrücklich vorgesehen werden, unter anderem bei ausdrücklicher Einwilligung der betroffenen Person oder bei bestimmten Notwendigkeiten, insbesondere wenn die Verarbeitung im Rahmen rechtmäßiger Tätigkeiten bestimmter Vereinigungen oder Stiftungen vorgenommen wird, die sich für die Ausübung von Grundfreiheiten einsetzen.

(52) Ausnahmen vom Verbot der Verarbeitung besonderer Kategorien von personenbezogenen Daten sollten auch erlaubt sein, wenn sie im Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen sind, und — vorbehaltlich angemessener Garantien zum Schutz der personenbezogenen Daten und anderer Grundrechte — wenn dies durch das öffentliche Interesse gerechtfertigt ist, insbesondere für die Verarbeitung von personenbezogenen Daten auf dem Gebiet des Arbeitsrechts und des Rechts der sozialen Sicherheit einschließlich Renten und zwecks Sicherstellung und Überwachung der Gesundheit und Gesundheitswarnungen, Prävention oder Kontrolle ansteckender Krankheiten und anderer schwerwiegender Gesundheitsgefahren. Eine solche Ausnahme kann zu gesundheitlichen Zwecken gemacht werden, wie der Gewährleistung der öffentlichen Gesundheit und der Verwaltung von Leistungen der Gesundheitsversorgung, insbesondere wenn dadurch die Qualität und Wirtschaftlichkeit der Verfahren zur Abrechnung von Leistungen in den sozialen Krankenversicherungssystemen sichergestellt werden soll, oder wenn die Verarbeitung im öffentlichen Interesse liegenden Archivzwecken, wissenschaftlichen oder historischen Forschungszwecken oder statistischen Zwecken dient. Die Verarbeitung solcher personenbezogenen Daten sollte zudem ausnahmsweise erlaubt sein, wenn sie erforderlich ist, um rechtliche Ansprüche, sei es in einem Gerichtsverfahren oder in einem Verwaltungsverfahren oder einem außergerichtlichen Verfahren, geltend zu machen, auszuüben oder zu verteidigen.

(55) Auch die Verarbeitung personenbezogener Daten durch staatliche Stellen zu verfassungsrechtlich oder völkerrechtlich verankerten Zielen von staatlich anerkannten Religionsgemeinschaften erfolgt aus Gründen des öffentlichen Interesses.“

Art. 77 Abs. 1 DSGVO:

„Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

§ 151 GewO 1994:

„2. Freie Gewerbe

Adressverlage und Direktmarketingunternehmen

§ 151. (1) Auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden sind die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 199 vom 4.5.2016 S 1, (im Folgenden: DSGVO), sowie des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I. Nr. 165/1999, in der Fassung des Bundesgesetzes BGBl. I. Nr. 120/2017, anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

(2) Die Tätigkeit als Mittler zwischen Inhabern und Nutzern von Kunden- und Interessentendateisystemen (Listbroking) ist den in Abs. 1 genannten Gewerbetreibenden vorbehalten.

(3) Die in Abs. 1 genannten Gewerbetreibenden sind berechtigt, für ihre Tätigkeiten gemäß Abs. 1 und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für

1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder

2. das Listbroking

erforderlich und gemäß Abs. 4 und 5 zulässig ist.

(4) Soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO betroffen sind, dürfen diese von den in Abs. 1 genannten Gewerbetreibenden verarbeitet werden, sofern ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung dieser Daten für Marketingzwecke Dritter vorliegt. Die Ermittlung und Weiterverarbeitung besonderer Kategorien personenbezogener Daten aus Kunden- und Interessentendateisystemen Dritter auf Grund eines solchen Einverständnisses ist nur im Umfang des Abs. 5 und nur soweit zulässig, als der Inhaber des Dateisystems gegenüber dem Gewerbetreibenden nach Abs. 1 schriftlich unbedenklich erklärt hat, dass die betroffenen Personen mit der Verarbeitung ihrer Daten für Marketingzwecke Dritter ausdrücklich einverstanden waren. Strafrechtlich relevante Daten im Sinne des Art. 10 DSGVO dürfen von Gewerbetreibenden nach Abs. 1 für Marketingzwecke nur gemäß § 4 Abs. 3 DSG oder bei Vorliegen einer ausdrücklichen Einwilligung verarbeitet werden.

(5) Soweit keine Einwilligung der betroffenen Personen gemäß Art. 4 Z 11 DSGVO zur Übermittlung ihrer Daten für Marketingzwecke Dritter vorliegt, dürfen die in Abs. 1 genannten Gewerbetreibenden aus einem Kunden- und Interessentendateisystem eines Dritten nur die Daten

1. Namen,

2. Geschlecht,

3. Titel,

4. akademischer Grad,

5. Anschrift,

6. Geburtsdatum,

7. Berufs-, Branchen- oder Geschäftsbezeichnung und

8. Zugehörigkeit der betroffenen Person zu diesem Kunden- und Interessentendateisystem

ermitteln. Voraussetzung hiefür ist – soweit nicht die strengeren Bestimmungen des Abs. 4 Anwendung finden –, dass der Inhaber des Dateisystems dem Gewerbetreibenden nach Abs. 1 gegenüber schriftlich unbedenklich erklärt hat, dass die betroffenen Personen in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen, und dass keine Untersagung erfolgt ist.

(6) Gewerbetreibende nach Abs. 1 dürfen für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte nur dann übermitteln, wenn diese unbedenklich erklären, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden werden.

(7) Gewerbetreibende nach Abs. 1 haben Aussendungen im Zuge von Marketingaktionen, die sie mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten personenbezogenen Daten durchführen, so zu gestalten, dass durch entsprechende Kennzeichnung des ausgesendeten Werbematerials die Identität der Verantwortlichen jener Dateisysteme, mit deren Daten die Werbeaussendung adressiert wurde (Ursprungsdateisysteme), nachvollziehbar ist; soweit Gewerbetreibende nach Abs. 1 an Werbeaussendungen nur durch Zurverfügungstellung oder Vermittlung von Daten mitwirken, haben sie durch entsprechenden Hinweis an die für die Werbeaussendung Verantwortlichen darauf hinzuwirken, dass die Identität der Verantwortlichen der benutzten Ursprungsdateisysteme nachvollziehbar ist. Für Gewerbetreibende nach Abs. 1 gilt, wenn sie die Aussendung mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten Daten selbst durchgeführt haben, – unbeschadet ihrer allfälligen Auskunftsverpflichtungen als Verantwortliche –, Art. 15 DSGVO mit der Maßgabe, dass sie auf Grund eines innerhalb von drei Monaten nach der Werbeaussendung gestellten Auskunftsbegehrens anhand der von der betroffenen Person zur Verfügung gestellten Informationen über die Werbeaussendung zur Auskunftserteilung nur über die Verantwortlichen der Ursprungsdateisysteme verpflichtet sind; haben sie an der Aussendung nur durch Zurverfügungstellung oder Vermittlung von Daten mitgewirkt, so haben sie nach Möglichkeit zur Auffindung der Verantwortlichen der Ursprungsdateisysteme beizutragen. Bei nicht ordnungsgemäßer Erfüllung der Kennzeichnungspflicht durch Gewerbetreibende nach Abs. 1 genügt die Stellung eines fristgerechten Auskunftsbegehrens an den Werbenden zur Wahrung des Auskunftsrechts gegenüber dem Gewerbetreibenden nach Abs. 1.

(8) Stellt die betroffene Person an einen Gewerbetreibenden nach Abs. 1 ein Begehren auf Löschung von Daten, die dieser für Zwecke von Marketingaktionen über sie gespeichert hat, so hat dieser dem Begehren der betroffenen Person unverzüglich, in jedem Fall innerhalb von einem Monat kostenlos zu entsprechen (Art. 12 Abs. 3 DSGVO). Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Soweit die betroffene Person – nach entsprechender Information über die möglichen Folgen einer physischen Löschung ihrer Daten – auf der physischen Löschung ihrer Daten nicht besteht, hat die Löschung in Form einer Sperrung der Verwendung dieser Daten für Marketingaussendungen zu erfolgen.

(9) Der Fachverband Werbung und Marktkommunikation der Wirtschaftskammer Österreich hat eine Liste zu führen, in welcher Personen kostenlos einzutragen sind, die die Zustellung von Werbematerial für sich ausschließen wollen. Die Liste ist mindestens monatlich zu aktualisieren und den Gewerbetreibenden nach Abs. 1 zur Verfügung zu stellen. Gewerbetreibende nach Abs. 1 dürfen an die in dieser Liste eingetragenen Personen keine adressierten Werbemittel versenden oder verteilen und deren Daten auch nicht vermitteln. Die in der Liste enthaltenen Daten dürfen ausschließlich zum Zweck des Unterbindens der Zusendung von Werbemitteln verwendet werden.

(10) Inhaber von Kunden- und Interessentendateisystemen dürfen personenbezogene Daten aus diesen Dateisystemen an Gewerbetreibende nach Abs. 1 für Marketingzwecke Dritter nur übermitteln und insbesondere auch für Listbroking nur zur Verfügung stellen, wenn sie die betroffenen Personen in geeigneter Weise darüber informiert haben, dass sie die Verarbeitung dieser Daten für Marketingzwecke Dritter untersagen können, und wenn keine Untersagung erfolgt ist; besondere Kategorien personenbezogener Daten und strafrechtlich relevante Daten dürfen unter den in Abs. 4 genannten Voraussetzungen an Gewerbetreibende nach Abs. 1 übermittelt und für Listbroking zur Verfügung gestellt werden. Auf die Möglichkeit der Untersagung ist ausdrücklich und schriftlich hinzuweisen, wenn Daten schriftlich von der betroffenen Person ermittelt werden. Die Untersagung der Übermittlung hat auf ein Vertragsverhältnis zwischen der betroffenen Person und dem Inhaber des Kunden- und Interessentendateisystems keinen Einfluss.

(11) Das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO kann gegenüber den in Abs. 1 genannten Gewerbetreibenden auch durch Eintragung in die im Abs. 9 bezeichnete Liste erfolgen.“

3.3.2. Für den vorliegenden Fall ergibt sich daraus Folgendes:

3.3.2.1. Zur Frage der Feststellungskompetenz:

Die Beschwerde verneint eine Feststellungskompetenz der belangten Behörde bzw. des Bundesverwaltungsgerichtes mit der Begründung, aus Art. 77 DSGVO und § 24 DSG sei kein eigenständiges Recht auf Feststellung vergangener Rechtsverletzungen ableitbar.

Den Einwänden der Beschwerdeführerin ist nicht zu folgen: Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 14.12.2021, Ro 2020/04/0032, ausdrücklich festgehalten, dass im Datenschutzrecht (bei Antragsverfahren) die Möglichkeit der rechtsverbindlichen Feststellung einer datenschutzrechtlichen Rechtsverletzung gemäß § 24 DSG besteht. Er führte diesbezüglich aus, dass § 24 DSG einer in ihrem persönlichen Grundrecht verletzten Person, die Möglichkeit einräume, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen. Der Feststellungsanspruch betreffe die Rechtsposition einer konkreten in ihren Rechten verletzten Person und sei dogmatisch in seinem Rechtskraftumfang auf diese Rechtsverletzung beschränkt. Basierend auf dieser Feststellung solle es der betroffenen Person möglich sein, weitere individuelle Ansprüche – etwa Schadenersatzansprüche – zu verfolgen (Rz 38 – 40).

Bereits aus der dargestellten Rechtsprechung ist herzuleiten, dass betroffenen Personen ein Anspruch auf Feststellung einer ihnen gegenüber geschehenen Verletzung im Grundrecht auf Geheimhaltung personenbezogener Daten zukommt.

Überdies hat sich der VwGH in seinem Erkenntnis vom 19.10.2022, Ro 2022/04/0001-5, ausführlich mit der Frage der Feststellungsbefugnis der belangten Behörde bezüglich einer vergangenen Verletzung im Grundrecht auf Geheimhaltung auseinandergesetzt und führte Folgendes aus:

„21 7.3.1. Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten (ua.) gegen § 1 DSG, der auch das Recht auf Geheimhaltung schützt, verstößt. Gemäß § 24 Abs. 2 Z 5 DSG hat die Beschwerde das Begehren zu enthalten, die behauptete Rechtsverletzung festzustellen. Soweit sich eine Beschwerde als berechtigt erweist, ist ihr nach § 24 Abs. 5 erster Satz DSG Folge zu geben. Das Gesetz sieht demnach als Rechtsbehelf im Fall einer datenschutzrechtlichen Rechtsverletzung explizit einen Feststellungsantrag im Rahmen der Beschwerde vor, der gemäß § 24 Abs. 5 DSG Folge zu geben ist, sofern sie sich als berechtigt erweist. Der Verwaltungsgerichtshof hat daher keine Zweifel daran, dass der Datenschutzbehörde die Zuständigkeit zukommt, auf Grund einer - sich als berechtigt erweisenden - Beschwerde die Verletzung eines Beschwerdeführers in seinem Recht auf Geheimhaltung der ihn betreffenden personenbezogenen Daten festzustellen.

22 Zudem hat der Verwaltungsgerichtshof bereits im Erkenntnis VwGH 14.12.2021, Ro 2020/04/0032, Rn. 38 (zu der von ihm in der Folge verneinten Frage, ob der Datenschutzbehörde im Rahmen der Inanspruchnahme der ihr gemäß Art. 58 Abs. 2 DSGVO eingeräumten Abhilfebefugnisse die Kompetenz zukommt, von Amts wegen einen rechtskraftfähigen Feststellungsausspruch betreffend die Rechtswidrigkeit des untersuchten Verarbeitungsvorgangs zu treffen), im Zusammenhang mit der Abgrenzung des amtswegig geführten Verfahrens nach Art. 58 Abs. 2 DSGVO von der Individualbeschwerde nach § 24 DSG begründend festgehalten, dass § 24 DSG der in ihrem persönlichen Recht verletzten Person die Möglichkeit einräumt, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen (vgl. weiters das hg. Erkenntnis VwGH 23.6.2022, Ro 2022/04/0008, Rn. 41 bis 45, in dem der Verwaltungsgerichtshof die Feststellung der Verletzung des dort Mitbeteiligten in seinem Grundrecht auf Datenschutz nach § 1 DSG unbeanstandet gelassen hat).

23 Somit erübrigt sich ein Eingehen auf das Vorbringen der Revisionswerberin, dass die allgemeinen Voraussetzungen für die Erlassung eines Feststellungsbescheides ohne gesetzliche Grundlage nicht vorlägen. Im Hinblick auf die oben (in Rn. 22) dargestellte hg. Rechtsprechung ist es auch unerheblich, ob sich (wie vom BVwG bejaht und von der Revisionswerberin verneint) aus dem hg. Erkenntnis VwGH 23.2.2021, Ra 2019/04/0054, für die hier gegenständliche Konstellation etwas ableiten lässt.

24 7.3.2. Zu prüfen ist allerdings, ob - wie die Revisionswerberin behauptet - die Löschung der entsprechenden Daten einer Feststellung der Verletzung im Recht auf Geheimhaltung durch die in der Vergangenheit erfolgte Verarbeitung entgegensteht. Die Revisionswerberin verweist diesbezüglich auf näher zitierte Rechtsprechung des Verwaltungsgerichtshofes, der zufolge kein Recht auf Feststellung einer in der Vergangenheit erfolgten Rechtsverletzung bestehe.

Dass diesen Entscheidungen das Recht auf Auskunft, Löschung und Richtigstellung zugrunde gelegen sei, sei nach Ansicht der Revisionswerberin irrelevant, weil es nicht darauf ankommen könne, welches Betroffenenrecht geltend gemacht werde.

25 Dem ist allerdings entgegenzuhalten, dass bereits nach der Regelung des § 24 Abs. 5 DSG zwischen dem Recht auf Geheimhaltung einerseits und den Rechten auf Auskunft, Berichtigung und Löschung andererseits zu unterscheiden ist. Nach § 24 Abs. 5 zweiter Satz DSG ist einem Verantwortlichen des privaten Bereichs aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Eine Beseitigung der Rechtsverletzung bzw. ein darauf gerichteter Auftrag an den Verantwortlichen wird im Zusammenhang mit dem Recht auf Geheimhaltung hingegen nicht angesprochen.

26 Die Rechte auf Auskunft, Berichtigung oder Löschung schaffen - anders als das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG - jeweils einen Anspruch auf eine bestimmte Leistung (vgl. hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht.

27 Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. § 1 Abs. 1 DSG gewährleistet jedermann die Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schützenswertes Interesse hat. Darunter ist der Schutz des Betroffenen vor Ermittlung seiner Daten und vor Weitergabe der über ihn ermittelten Daten zu verstehen (siehe RV 1613 BlgNR 20. GP 34 zur - unverändert gebliebenen - Bestimmung des § 1 DSG 2000). Das Recht auf Geheimhaltung verkörpert aber kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (im vorliegenden Fall die Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann.

28 Daran vermag die von der Revisionswerberin ins Treffen geführte Rechtsprechung nichts zu ändern:

Der Verfassungsgerichtshof hat in seinem Erkenntnis VfGH 26.6.1991, B 811/89, festgehalten, die wegen behaupteter Verletzung der Rechte auf Richtigstellung oder auf Löschung erhobene Datenschutzbeschwerde habe ausschließlich zum Ziel, dem Beschwerdeführer erforderlichenfalls durch eine Entscheidung der (damals noch) Datenschutzkommission und ihre „Vollstreckung“ zur Durchsetzung des Rechts auf Richtigstellung oder auf Löschung zu verhelfen. Sei die Richtigstellung oder Löschung durchgeführt (bzw. veranlasst) worden, sei die Möglichkeit der Verletzung der durch § 1 Abs. 4 DSG 2000 eingeräumten subjektiven Rechte nicht mehr gegeben. Eine meritorische Entscheidung wegen Verletzung dieser Rechte komme nur dann und solange in Betracht, als die angestrebte Richtigstellung oder Löschung noch nicht durchgeführt (bzw. veranlasst) worden sei.

29 Unter Bezugnahme auf dieses Erkenntnis hat der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 28.3.2006, 2004/06/0125, die Zulässigkeit der Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber (infolge der - wenn auch verspätet ergangenen - Mitteilung) nicht mehr aktuelle Verletzungen des dort relevanten Rechts auf Mitteilung über die beantragte Löschung verneint. Der Verwaltungsgerichtshof hat darin betont, dass die Mitteilung über die Löschung auf die Erbringung einer Leistung gegenüber dem Rechtsunterworfenen ausgerichtet ist. Es entspricht - so der Verwaltungsgerichtshof weiter - einem effektiven Rechtsschutz, wenn im Fall der Gewährleistung eines bestimmten Verwaltungshandelns (wie die Löschung oder die Mitteilung darüber) entsprechende Rechtsmittel zur Erreichung dieses Verwaltungshandelns bestehen. Auch die weiteren von der Revisionswerberin insoweit ins Treffen geführten hg. Entscheidungen befassen sich mit dem Recht auf Löschung und auf Mitteilung darüber (VwGH 25.4.2006, 2004/06/0167; 24.10.2006, 2006/06/0050) bzw. mit dem Recht auf Auskunft (VwGH 27.9.2007, 2006/06/0330). Keine dieser Entscheidungen lässt hingegen Rückschlüsse auf das Nichtbestehen eines Feststellungsanspruchs hinsichtlich der behaupteten Verletzung des Rechts auf Geheimhaltung zu.

30 Demgegenüber hatte sich der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 9.9.2008, 2005/06/0125, mit einer - von der Datenschutzkommission zur Gänze abgewiesenen - Datenschutzbeschwerde betreffend einerseits die Verletzung des Rechts auf Geheimhaltung und andererseits die in der Vergangenheit bestandene Verletzung des Rechts auf Löschung zu befassen. Im Hinblick auf die zum Entscheidungszeitpunkt der dort belangten Behörde bereits angeordnete Löschung der gegenständlichen Daten verneinte der Verwaltungsgerichtshof eine Verletzung des Beschwerdeführers im Recht auf Löschung. Die Abweisung der Datenschutzbeschwerde hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung erachtete der Verwaltungsgerichtshof hingegen als rechtswidrig und hob den angefochtenen Bescheid in diesem Umfang auf. Einen auf Grund der erfolgten Löschung der Daten eingetretenen Wegfall der Beschwer des dortigen Beschwerdeführers hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung nahm der Verwaltungsgerichtshof hingegen nicht an.

31 Der Verwaltungsgerichtshof hat daher bereits im Anwendungsbereich des DSG 2000 zwischen den auf eine Leistung des Auftraggebers (nunmehr: des Verantwortlichen im Sinn des Art. 4 Z 7 DSGVO) gerichteten Ansprüchen (auf Auskunft, Löschung oder Richtigstellung) und dem Recht auf Geheimhaltung unterschieden. Dies ist für die geltende Rechtslage aber nicht anders zu beurteilen.

32 Im Ergebnis ist das BVwG somit zutreffend davon ausgegangen, dass die Feststellung der Verletzung im Recht auf Geheimhaltung zu Recht erfolgt sei.“

Nach dem soeben Ausgeführten hat die Mitbeteiligte einen Rechtsanspruch auf Feststellung der Verletzung im Recht auf Geheimhaltung in der Vergangenheit, sodass die belangte Behörde bzw. das Bundesverwaltungsgericht auch darüber abzusprechen hatte, selbst wenn die verfahrensgegenständlichen Daten betreffend die „Sinus-Geo-Mileus“ bereits durch die Beschwerdeführerin gelöscht wurden.

3.3.2.2. Zur Verarbeitung der „Sinus-Geo-Milieus“:

Vorweg ist festzuhalten, dass sich seit Einbringung der Datenschutzbeschwerde sowohl der Verwaltungsgerichtshof (in seinem Erkenntnis vom 14.12.2021, Zl. Ro 2021/04/0007) als auch der Oberste Gerichtshof (in der Entscheidung vom 15.04.2021, Zl. 6 Ob 35/21x) umfassend mit der Verarbeitung der „Parteiaffinitäten“ durch die Beschwerdeführerin auseinandergesetzt haben und die „Parteiaffinitäten“ übereinstimmend als personenbezogene Daten iSd DSGVO qualifiziert wurden; gleiches gilt für weitere Marketingklassifikationen bzw. „Affinitäten“ (vgl. OGH 18.02.2021, 6 Ob 127/20z). Weiters wurden die „Parteiaffinitäten“ dabei übereinstimmend als Daten „besonderer Kategorie“ nach Art. 9 DSGVO eingestuft.

Das Bundesverwaltungsgericht geht davon aus, dass die dort angestellten Überlegungen betreffend Qualifikation als personenbezogene Daten und Daten „besondere Kategorie“ nach Art. 9 DSGVO auf die hier gegenständlich verarbeiteten „Sinus-Geo-Milieus“ übertragen werden können.

3.3.2.2.1. Qualifikation der „Sinus-Geo-Milieus“ als personenbezogene Daten

Die Beschwerdeführerin bringt im Wesentlichen vor, die Datensätze zu den „Sinus-Geo-Milieus“ seien keine personenbezogenen Daten, sondern anonyme Gruppendaten (auf Gebäudeebene), welche stets nur Milieuaussagen zu den Gebäuden an bestimmten Adressen enthalten würden. Sie würden aggregierte adressbezogene Merkmale darstellen, aus denen sich prognostisch ableiten lasse, mit welcher Wahrscheinlichkeit in einer bestimmten Gegend etwa „Performer“ wohnen. Es fehle demnach am Personenbezug der Daten.

Dazu ist auszuführen:

Art. 4 Z 1 DSGVO definiert „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Der Begriff ist weit zu verstehen und umfasst alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt. Dies ist dann der Fall, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten oder bestimmbaren Person verknüpft ist (siehe zum Ganzen das noch zur Datenschutzrichtlinie 95/46/EG [„DS-RL“] ergangene Urteil EuGH 22.06.2017, C-434/16, Nowak Rz 33).

Der Oberste Gerichtshof hat sich in der Entscheidung vom 18.02.2021, Zl. 6 Ob 127/20z, welcher ebenfalls ein an die Beschwerdeführerin gerichtetes Auskunftsersuchen zugrunde lag und die Verarbeitung vergleichbarer Datenkategorien betraf (bspw. „Investmentaffin“, „Distanzhandelaffin“, „Lebensphase [Shop]“), ausführlich mit der Frage des Personenbezugs einer Wahrscheinlichkeitsaussage auseinandergesetzt und dabei zusammengefasst Folgendes festgehalten:

Der Begriff der personenbezogenen Daten nach Art. 4 Z 1 DSGVO sei weit zu verstehen. Deshalb würden auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug aufweisen. Damit umfasse der Begriff der „Information“ nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa „X ist ein zuverlässiger Mitarbeiter“. In diesem Sinne seien Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend seien; der Wahrheitsgehalt sei für die Betrachtung unerheblich. Wahrscheinlichkeitsangaben hätten Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen.

Aggregierte oder statistische Daten seien hingegen dann nicht personenbezogen, wenn sie keine Rückschlüsse mehr auf eine einzelne Person zulassen, was im Einzelfall anhand der gewählten Gruppengröße, des Aggregationsniveaus oder der in der Statistik ausgewiesenen Merkmale zu beurteilen sei. Es komme daher darauf an, ob eine Sammelangabe über eine Personengruppe gemacht oder ob eine Einzelperson als Mitglied einer Personengruppe gekennzeichnet werde, so etwa bei der Klassifizierung von zu Werbezwecken gespeicherten Daten, wenn Bewohner einer Straße aufgrund der Bevölkerungsstruktur einer bestimmten Käufergruppe oder Kaufkraftklasse zugeordnet werden; anderes würde hingegen etwa bei der Aussage gelten, dass der Krankenstand der Mitarbeiter des Unternehmens A um X % zugenommen hat, wenn das Unternehmen eine Vielzahl von Mitarbeitern beschäftigt.

Der Oberste Gerichtshof kam im zugrundeliegenden Fall zum Schluss, dass die zu beurteilenden Informationen dem Regime der DSGVO unterlägen, seien sie doch der betreffenden Person direkt zugeordnet und würden Aussagen über ihre Vorlieben und Einstellungen enthalten; ob die Einschätzungen tatsächlich zutreffend seien, sei dabei hingegen unerheblich. Auch dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet worden seien, ändere nichts am Vorliegen personenbezogener Daten. Die „Affinitäten“ würden eine Wahrscheinlichkeitsaussage über bestimmte Interessen und Vorlieben der betroffenen Person enthalten.

In der Entscheidung zu Zl. 6 Ob 35/21x vom 15.04.2021 bejahte der Oberste Gerichtshof weiters den Personenbezug der „Parteiaffinitäten“ und hielt dabei – unter Verweis auf seine Ausführungen zu Zl. 6 Ob 127/20z – zusammengefasst fest, die „Parteiaffinitäten“ würden jedenfalls personenbezogene Daten darstellen, zumal diese eine Wahrscheinlichkeitsaussage hinsichtlich der Affinität einer Person zu einer bestimmten Partei enthalten würden und daher als Informationen „über“ die betroffene Person zu betrachten seien.

In weiterer Folge setzte sich auch der Verwaltungsgerichtshof mit der Frage des Personenbezugs der von der Beschwerdeführerin verarbeiteten „Parteiaffinitäten“ auseinander (Ro 2021/04/007 vom 14.12.2021) und kam dabei – unter Zugrundelegung der Rechtsprechung des Obersten Gerichtshofes (6 Ob 35/21x vom 15.04.2021) sowie mit Verweis auf die Erwägungen des Europäischen Gerichtshofes (EuGH) in der Rs. C-434/16, Nowak [ECLI:EU:C:2017:994] – ebenso zum Ergebnis, dass die „Parteiaffinitäten“ als personenbezogene Daten iSd. Art. 4 Z 1 DSGVO zu qualifizieren sind:

Er hielt zusammengefasst fest, dass die den Betroffenen zugeordneten „Parteiaffinitäten“ jeweils eine Wahrscheinlichkeitsaussage über die Neigungen dieser Personen enthalten würden, die im Rahmen der verfahrensgegenständlichen Verarbeitung unstrittig namentlich bezeichnet und damit zweifelsfrei identifiziert im Sinne des Art. 4 Z 1 DSGVO worden seien. Die „Parteiaffinitäten“ seien als personenbezogene Daten anzusehen, handle es sich doch um konkret bezeichneten Personen zugeordneten Aussagen und damit um Informationen „über“ diese Person. Ob diese Einschätzungen zutreffend seien, sei dabei unerheblich. An diesem Ergebnis könne der Umstand nichts ändern, dass die betreffenden Informationen im Wege der Auswertung von Statistiken bzw. Meinungsumfragen aggregiert worden seien. Diese Auslegung stehe auch im Einklang mit der Entscheidung des EuGH in der Rs. Nowak, zumal die darin normierten Voraussetzungen für das Vorliegen des Personenbezugs von Daten (Inhalts, Zweck-, sowie Auswirkungselement) erfüllt seien: Die Daten würden Informationen „über“ die betreffenden Personen enthalten und dem Zweck dienen, Betroffenen Werbung verstärkt oder in geringerem Ausmaß zukommen zu lassen, und hätten insofern auch Auswirkungen auf das Verhalten von Dritten den Betroffenen gegenüber.

Für den vorliegenden Fall (betreffend „Sinus-Geo-Milieus“) bedeutet dies nun Folgendes:

Die „Sinus-Geo-Milieus“ sind (wie die „Parteiaffinitäten“) als personenbezogene Daten zu betrachten, zumal sie der Mitbeteiligten direkt zugeordnet sind und Aussagen über ihre Grundhaltung und Lebensweise enthalten; ob diese Einschätzungen tatsächlich zutreffend sind, ist unerheblich. Auch dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet wurden, ändert nichts am Vorliegen des Personenbezugs (vgl. wieder VwGH 14.12.2021, Ro 2021/04/0007 Rz 28). Die Datensätze „Wahrscheinlichkeitswerte Konservative“, „Wahrscheinlichkeitswert Traditionelle“ etc. enthalten eine Wahrscheinlichkeitsaussage über bestimmte Auffassungen und Einstellungen der Mitbeteiligten; sie lassen vermutete Rückschlüsse auf die Mitbeteiligte zu und sind demnach iSd Rsp. des OGH als „Kennzeichnung einer Person als Mitglied einer Personengruppe“ und nicht als „Sammelangabe über eine Personengruppe“ zu betrachten. Weiters dienen die Datensätze dem Zweck, Betroffenen Werbung verstärkt oder in geringerem Ausmaß zukommen zu lassen, und haben somit Auswirkungen auf das Verhalten von Dritten den Betroffenen gegenüber, weshalb diese – (auch) unter Berücksichtigung der Rsp des EuGH in der Rs Nowak – jedenfalls als personenbezogene Daten zu qualifizieren sind.

Wenn die Beschwerdeführerin in ihrer Stellungnahme vom 18.11.2022 vorbringt, dass es sich bei den Sinus-Geo-Milieus um keine personenbezogenen Daten handle, da sich aus der Rechtsprechung der Datenschutzbehörde (D215.611/0003-DSB/2014) bzw. der (damaligen) Datenschutzkommission (K213.180/0021-DSK/2013) ergebe, dass eine auf eine Gruppe von mehr als fünf Personen bezogene Information kein personenbezogenes Datum darstelle, ist ihr entgegenzuhalten, dass – im Unterschied zur von der Beschwerdeführerin zitierten Rechtsprechung – im vorliegenden Fall eine konkrete Zuschreibung der „Sinus-Geos-Milieus“ zur mitbeteiligten Partei erfolgte und es sich daher nicht um anonyme Gruppendaten bzw. einen anonymen Gruppenwert handelt.

Die „Sinus-Geos-Milieus“ sind auch nicht mit den „Selektionskriterien“ vergleichbar, mit welchen sich der EuGH in der von der Beschwerdeführerin zitierten Rechtsprechung (EuGH 05.04.2022, C-140/20, EuGH 21.06.2022, C-817/19) beschäftigt hat. Beim Kriterium der „durchschnittlichen Rate schwerer Straftaten“ handelt es sich – wie die Beschwerdeführerin vorbringt – um ein geographisches Kriterium, welches jedoch natürlichen Personen nicht zugeschrieben wurde. Bei Erfüllung dieses Kriteriums wurde es den zuständigen Behörden lediglich ermöglicht, Verkehrs- und Standortdaten für einen bestimmten Zeitraum zu speichern, es handelt sich dabei – im Gegensatz zu den „Sinus-Geo-Milieus“ – allerdings nicht um eine Information, die sich gemäß Art. 4 Z 1 DSGVO auf eine identifizierte oder identifizierbare natürliche Person bezieht. Auch die „im Voraus festgelegten Kriterien“ (wie etwa bestimmte Reisemuster) werden natürlichen Personen nicht zugeschrieben, sondern dienen diese (lediglich) als Grundlage für die Zulässigkeit der Ermittlung von Passgier-Daten. Die Muster bzw. „im Voraus festgelegten Kriterien“ haben nach der Rechtsprechung des EuGH mehrere Anforderungen zu erfüllen, unter anderem müssen diese verdachtsbegründende und verdachtsentlastende Prüfungsmerkmale enthalten und sind so zu kombinieren, dass die Zahl der unter das Muster fallenden Personen möglichst gering ist. Die Muster werden jedoch natürlichen Personen – im Gegensatz zu den „Sinus-Geo-Milieus“ - nicht zugeschrieben.

Zum Vorbringen der Beschwerdeführerin, die von der belangten Behörde getroffene Feststellung, dass die Zuordnung der „Sinus-Geo-Milieus“ durch die Beschwerdeführerin vorgenommen worden sei, sei tatsachenwidrig, ist festzuhalten, dass es rechtlich irrelevant ist, durch wen die Zuordnung der Daten vorgenommen wurde. Maßgeblich ist, durch wen die Daten verarbeitet werden bzw. wer über Zwecke und Mittel der Verarbeitung bestimmt. Dies ist klar die Beschwerdeführerin, zumal die Datensätze (auch) in ihrer Datenbank gespeichert waren und sie festlegte, zu welchen Zwecken die Daten verarbeitet werden. Sie ist daher (auch) als datenschutzrechtlicher Verantwortlicher iSd Art. 4 Z 7 DSGVO anzusehen. Daher ist es unerheblich, dass die „Sinus-Geo-Milieus“ im ersten Schritt lediglich Gebäuden bzw. Adressen zugeordnet wurden. Entscheidend ist, dass die Datensätze im weiteren Schritt einzelnen Personen zugeordnet wurden und in dieser Form auch von der Beschwerdeführerin in ihrer Datenbank verarbeitet wurden – was sich klar an den von der Beschwerdeführerin beauskunfteten Datensätzen zeigt.

Soweit die Beschwerdeführerin auf § 6 Abs. 1 Z 3 der Verhaltensregeln für die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen verweist bzw. vorbringt, dass sich daraus ergebe, dass jener Adressverlag für die Datenverarbeitung verantwortlich sei, welcher die in Rede stehenden Daten bereitgestellt hat, so ist darauf hinzuweisen, dass sich aus § 6 Abs. 1 Z 3 lediglich ergibt, dass im Falle der Verarbeitung sensibler Daten, das Vorliegen der erforderlichen Einwilligungen der Betroffenen durch den die Daten liefernden Adressverlag sicherzustellen ist. Daraus kann jedoch nicht gefolgert werden, dass der Adressverlag, welcher die Daten (lediglich) erhalten hat (die Beschwerdeführerin), dadurch von seiner (ihrer) datenschutzrechtlichen Verantwortlichkeit gegenüber den betroffenen Personen entbunden wird. Verhaltensregeln iSd Art. 40 DSGVO entfalten zudem lediglich Selbstbindungswirkung. Sie können bspw. als Gesichtspunkt herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen; sie können jedoch letztlich jedenfalls nicht dazu führen, dass die aus der DSGVO erwachsenen Rechte von Betroffenen beschnitten werden. („code of conduct“; vgl. dazu etwa Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 40 DSGVO Rz 1-4 [Stand 1.12.2020, rdb.at]). Die Einhaltung der genehmigten Verhaltensregeln kann nur dazu dienen, die Erfüllung von Pflichten nach der DSGVO nachzuweisen, jedoch eine fehlende Einwilligung einer betroffenen Person nicht ersetzen. Ebenso irrelevant ist der Umstand, dass die belangte Behörde ihr amtswegiges Prüfverfahren gegen die A-GmbH formlos einstellt hat (siehe Einstellung des Verfahrens vom 10.06.2020, Beilage ./1 der Beschwerde). Eine Bindungswirkung in Bezug auf den vorliegenden Fall ergibt sich daraus jedenfalls nicht.

Wenn die Beschwerdeführerin weiters einwendet, es handle sich bei den „Sinus-Geo-Milieus“ lediglich um Marketingklassifikationen iSd § 151 Abs. 6 GewO, welche nicht der DSGVO unterlägen, ist festzuhalten, dass § 151 Abs. 6 GewO zwar die Verwendung entsprechender Marketinginformationen und -klassifikationen regelt, dies aber nichts daran ändert, dass es sich dabei um von der DSGVO erfasste personenbezogenen Daten handelt. Diesbezüglich ist auch auf die Ausführungen im angefochtenen Bescheid der belangten Behörde zu verweisen, wonach in § 151 Abs. 1 GewO ausdrücklich festgehalten sei, dass § 151 leg. cit. „die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden“ regle, Ausgangspunkt sei also – entgegen dieser Auffassung– sehr wohl die Verwendung von personenbezogenen Daten. Ebenso werde in den Erläuterungen zu § 151 GewO 1994 ausgeführt, „dass es sich bei den von Adressverlagen verarbeiteten Daten um personenbezogene Daten handelt“ (Verweis auf die Erläuterungen zur RV 65 BlgNR XXVI. GP , 52). Insbesondere steht es dem nationalen Gesetzgeber nicht zu, den Anwendungsbereich der DSGVO entsprechend einzuschränken (vgl. OGH in 6 Ob 127/20z Rz 24).

Auch dem Vorbringen der Beschwerdeführerin, personalisierte Werbung sei mit dem Anbringen von Werbetafeln vergleichbar, kann nicht gefolgt werden: Werbetafeln werden nicht individuell für einzelne Personen aufgestellt und sind allein schon deshalb nicht mit der Zustellung personalisierter Werbung vergleichbar. Es mag zwar sein, dass sich die von der Beschwerdeführerin verarbeiteten „Sinus-Geo-Milieus“ auch für das Aufstellen von Werbetafeln eignen, jedoch ist es für das – von der Beschwerdeführerin angezweifelte – „Zweckelement“ bzw. „Auswirkungserfordernis“ bereits ausreichend, wenn sich Daten dazu eignen, Personen zu beurteilen, in einer bestimmten Weise zu behandeln, oder ihre Stellung bzw. ihr Verhalten zu beeinflussen und sich diese auf deren Rechte und Interessen auswirken können. Da dies, wie soeben ausgeführt, auf die „Sinus-Geo-Milieus“ zutrifft, ist die Beurteilung von Werbetafeln für den gegenständlichen Fall irrelevant.

Im Ergebnis sind die einer Person zugeordneten „Sinus-Geo-Milieus“ demnach als personenbezogene Daten iSd Art. 4 Z 1 DSGVO zu betrachten und fallen somit in den Anwendungsbereich der DSGVO.

3.3.2.2.2. Zur Qualifikation der Daten zu den „Sinus-Geo-Milieus“ als besondere Kategorie im Sinne des Art. 9 DSGVO:

Gemäß Art. 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt.

Die Beschwerdeführerin bringt zusammengefasst vor, die „Sinus-Geo-Milieus“ seien keine Daten besonderer Kategorie, zumal aus ihnen keine „weltanschauliche Überzeugung“ der betroffenen Person hervorgehe. Die „Sinus-Geo-Milieus“ würden die Gesellschaft gedanklich in Archetypen einteilen, wobei dabei etwa auf das Konsumverhalten, den Lebensstil oder das Wohnumfeld abgestellt werde – nicht aber auf weltanschauliche Überzeugungen. Zudem könne „Hervorgehen“ nur etwas, das von der Person selbst komme, was bei statistisch errechneten Wahrscheinlichkeitsangaben nicht der Fall sei.

Dem ist, wie im Folgenden ausgeführt wird, nicht zu folgen:

Was den Begriff der „Weltanschauung“ bzw. „weltanschaulichen Überzeugung“ betrifft, so findet sich – weder im Europarecht noch im nationalen Recht – eine Legaldefinition des Begriffs der „Weltanschauung“ oder „weltanschaulichen Überzeugung“.

Unter „Weltanschauung“ versteht man laut Duden die „Gesamtheit von Anschauungen, die die Welt und die Stellung des Menschen in der Welt betreffen“.

Laut Rechtsprechung des EGMR bedarf eine Weltanschauung einer zusammenhängenden Sichtweise grundsätzlicher Lebensfragen, wie dies etwa beim Pazifismus (EGMR 15.05.1977, 7050/75, Arrowsmith) oder einer gewaltfreien Erziehung (EGMR 25.02.1982, 7511/76, 7743/76, Campbell und Consans) der Fall ist (vgl. etwa Budischowsky in Jaeger/Stöger [Hrsg], EUV/AEUV Art. 17 AEUV Rz 13).

Nach der Rechtsprechung des Obersten Gerichtshofes ist der Begriff „Weltanschauung“ eine Sammelbezeichnung für Leitauffassungen vom Leben und von der Welt als einem Sinnganzen sowie zur Deutung des persönlichen und gemeinschaftlichen Standorts für das individuelle Lebensverständnis. Weltanschauungen sind keine wissenschaftlichen Systeme, sondern Deutungsauffassungen in der Form persönlicher Überzeugungen von der Grundstruktur, Modalität und Funktion des Weltganzen (vgl. OGH 14.02.2009, 9 Ob A 122/07t, RIS-JUSTIZ RS0124567).

Der OGH orientierte sich bei seiner Definition der Weltanschauung an den Gesetzesmaterialien zum Bundes-Gleichbehandlungsgesetz – B-GlBG (ErläutRV 285 BlgNR 22. GP , 11). Obwohl die Materialien eine nationale Norm betreffen, kann diese Definition dennoch in den europarechtlichen Kontext der DSGVO übernommen werden, da das B-GlBG vor allem in Umsetzung der Richtlinie 2000/43/EG (Gleichbehandlungsrichtlinie Rasse oder ethnische Herkunft), der Richtlinie 2000/78/EG (Gleichbehandlungsrahmenrichtlinie) und der Richtlinie 2002/73/EG (Änderung der Gleichbehandlungsrichtlinie) ergangen ist. Zwar gibt es bislang keine europarechtliche Definition des Begriffs der Weltanschauung, dennoch kann die obige Definition (OGH 24.02.2009, 9 Ob A 122/07t) für den gegenständlichen Fall – unter Berücksichtigung der Judikatur des EGMR – übernommen werden.

Umgelegt auf die „Sinus-Geo-Milieus“ bedeutet dies Folgendes:

Bei den „Sinus-Milieus“ bzw. „Sinus-Geo-Milieus“ werden Menschen nach ihren Lebensauffassungen und Lebensweisen gruppiert. Sie beziehen sich auf grundlegenden Wertorientierungen und Einstellungen zu verschiedensten Lebensbereichen, wie Arbeit und Freizeit, Familie und Partnerschaft, Konsum und Politik. Sie klassifizieren die ganzheitliche Wahrnehmung der Menschen in Relation zu alldem, was für das Leben der Menschen Bedeutung hat. Dies wird in Kontext mit demografischen Eigenschaften wie Bildung, Beruf oder Einkommen gestellt. Da für die Erstellung der „Sinus-Geo-Milieus“ ein möglichst umfassendes Spektrum von Alltagsbereichen (insb. Politik, Religion, Ethik, etc.) herangezogen wird, können anschließend „Gruppen Gleichgesinnter“ erstellt werden.

Die Einteilung der Betroffenen in verschiedene Grundorientierungen, wie „Traditionelle Werte“, „Modernisierung“ und „Neuorientierung“ entspricht im Wesentlichen der Definition des Obersten Gerichtshofes, welcher von Leitauffassungen vom Leben und von der Welt als einem Sinnganzen spricht. So stellen die Parameter der „Sinus-Geo-Milieus“ Pflichterfüllung, Individualisierung/Selbstverwirklichung, Pragmatismus, Refokussierung etc. gerade solche Leitauffassungen vom Leben dar, anhand derer man das individuelle Lebensverständnis der Menschen kategorisieren kann. Insbesondere durch die Verknüpfung mit der sozialen Lage wird auch die Genauigkeit hinsichtlich einer zusammenhängenden Sichtweise auf grundsätzliche Lebensfragen erhöht. Gerade weil zur Erstellung der „Sinus-Geo-Milieus“ derart viele Lebensbereiche erfasst werden, haben die zusammengetragenen Einstellungen zu diversesten Alltagsbereichen im Zusammenspiel mit der exakten geografischen Zuordnung auch einen umfassenden Einfluss auf das Handeln der Menschen sowie ein hohes Maß an Treffsicherheit (siehe zum Merkmal der Treffsicherheit auch Egger, Die Begriffe "Religion" und "Weltanschauung" im Antidiskriminierungsrecht, ASoK 2018, 346 [353]).

Selbst wenn die Definitionen der einzelnen „Sinus-Geo-Milieus“ alleine nicht immer eindeutig auf eine konkrete Weltanschauung schließen lassen, wird unter Gliederung der Gesellschaft in - im Wesentlichen - drei Schichten, nämlich Oberschicht/obere Mittelschicht, mittlere Mittelschicht und untere Mittelschicht/Unterschicht, wobei diesen Schichten die einzelnen Milieus, nämlich „Konservative“, „Traditionelle“, „Etablierte“, „Performer“, „Postmaterielle“, „Digitale Individualisten“, „Bürgerliche Mitte“, „Adaptiv Pragmatische“, „Konsumorientierte Basis“ und „Hedonisten“ (teilweise auch überlappend) zugeordnet sind, ersichtlich, dass diese unter den Begriff der Weltanschauung zu subsumieren sind. Denn der Anspruch der „Sinus-Geo-Milieus“ liegt gerade in der Unterteilung der Menschen anhand ihrer ganzheitlichen Wahrnehmung vom Leben und der Welt. Wenn bereits eine punktuelle Einstellung wie „Pazifist“ unter den Begriff der Weltanschauung subsumiert werden kann (EGMR 16.05.1977, 7050/75, Arrowsmith), dann sind die weitreichende Lebensbereiche und Lebenseinstellungen erfassenden „Sinus-Geo-Milieus“ umso mehr als weltanschauliche Überzeugungen einzustufen. Teile der Lehre gehen davon aus, dass eine Weltanschauung weitreichende Lebenseinstellungen beeinflussen muss und sehen daher – nach einer teleologischen Reduktion – ethische Bündnisse, wie beispielsweise die Freimaurer, als Weltanschauungen an (siehe etwa Schulz in Gola, DS-GVO2 Art. 9 Rz 14). Aufgrund des umfassenden Ausmaßes der „Sinus-Geo-Milieus“ werden sie auch diesem Kriterium gerecht.

Ein näherer Blick zu den einzelnen Milieus, bspw. „Konservative“ oder „Postmaterielle“, veranschaulicht noch besser, dass mit der Zuordnung einer Person zu einem „Sinus-Milieu“ auch die Unterstellung einer bestimmten Weltanschauung verbunden ist:

Der „Konservative“ wird in den „Sinus-Milieus“ wie folgt definiert: Leitmilieu im traditionellen Bereich mit einer hohen Verantwortungsethik: stark von christlichen Wertvorstellungen geprägt, hohe Wertschätzung von Bildung und Kultur, kritisch gegenüber aktuellen gesellschaftlichen Entwicklungen;

So spiegelt die Einordnung als „Konservativer“ eine Einstellung bzw. Grundhaltung zu einer Vielzahl von Lebensbereichen wieder. Eine Internetrecherche zeigt zudem, dass der „Konservatismus“ – neben dem Liberalismus und dem Sozialismus – als eine der großen politischen Ideologien bzw. Weltanschauungen angesehen wird, welche im 18. und 19. Jahrhundert in Europa begrifflich definiert wurden. So wird der Konservatismus als „ein Sammelbegriff für geistige und politische Bewegungen, welche die Bewahrung bestehender oder die Wiederherstellung früherer gesellschaftlicher Ordnungen zum Ziel haben“ betrachtet (https://de.wikipedia.org/wiki/Konservatismus#cite_note-HLS-1 ), abgerufen am 28.11.2022.

Der „Postmaterielle“ wird im Sinus-Milieumodell wie folgt definiert: Weltoffener Gesellschaftskritiker: Gebildetes, vielfältig kulturinteressiertes Milieu; kosmopolitisch orientiert, aber kritisch gegenüber Globalisierung; sozial engagiert;

Macht man sich nun auf die Suche nach einer näheren Definition von „kosmopolitisch orientiert“, so stößt man im Internet etwa auf Folgendes: „Kosmopolitismus“, auch Weltbürgertum, ist eine philosophisch-politische Weltanschauung, die den ganzen Erdkreis als Heimat betrachtet. Das Konzept geht auf die Antike zurück. Es steht im Gegensatz zum Nationalismus und Provinzialismus. Daneben wurden ab den 1980er Jahren Ansätze formuliert, die partikularistische und universelle Vorstellungen miteinander verknüpfen wollen (https://de.wikipedia.org/wiki/Kosmopolitismus ), abgerufen am 28.11.2022.

Im Ergebnis ergibt sich somit, dass einer Person durch Zuordnung zu einem bestimmen „Sinus-Milieu“ auch eine bestimmte „Weltanschauung“ bzw. „weltanschauliche Überzeugung“ zugeschrieben wird.

Zu den Einwänden der Beschwerdeführerin:

Die Beschwerdeführerin wehrt sich gegen die Einstufung der „Sinus-Geo-Milieus“ als besondere Kategorie personenbezogener Daten im Wesentlichen mit dem Argument, dass eine weltanschauliche Überzeugung im Sinne des Art. 9 Abs. 1 DSGVO nur aus einem Handeln des Betroffenen hervorgehen könne.

Diese Ansicht übersieht, dass die Gefahren, die mit der Verarbeitung der politischen Meinung üblicherweise verbunden sind und vor denen Art 9 DSGVO schützen möchte, bereits dann drohen, wenn die weltanschauliche Überzeugung einer betroffenen Person mit hinreichender Wahrscheinlichkeit hervorgeht. Es macht für das Vorliegen einer bestimmten Wahrscheinlichkeit aber keinen Unterschied, ob die Wahrscheinlichkeit in einem tatsächlichen Verhalten der betroffenen Person oder in statistischen Methoden gründet.

Soweit die Beschwerdeführerin betont, bei der Einteilung in die einzelnen Milieus werde etwa auf das Konsumverhalten, den Lebensstil oder das Wohnumfeld – nicht aber auf weltanschauliche Überzeugungen – abgestellt, übersieht sie, dass der Fokus bei der Einteilung in die einzelnen Milieus primär auf die Faktoren „ähnliche Grundorientierung, Mentalität und Werte“ gelegt wird, und erst sekundär auf „ähnliches Konsumverhalten, Lebensstil und Wohnumfeld“ (vgl. die von der Beschwerdeführerin vorgelegte Präsentation von XXXX zu den „Sinus- Milieus“ auf S. 4: Die Sinus-Milieus fassen Menschen zusammen, die sich in Lebensauffassung und Lebensweise ähneln: Ähnliche Grundorientierung, Mentalität und Werte; daher auch: ähnliches [Konsum-]verhalten, ähnliche Mediennutzung, ähnlicher Lebensstil, Geschmack und ähnliche Wohnumfelder.

Zur Frage des „Hervorgehens“ ist Folgendes festzuhalten:

Im Fall der „Parteiaffinitäten“ haben sich der Oberste Gerichtshof in Zl. 6 0b 35/21x vom 15.04.2021 sowie der Verwaltungsgerichtshof in Zl. Ro 2021/04/0007 vom 14.12.2021 mit deren Qualifikation als Daten besonderer Kategorie nach Art. 9 Abs. 1 DSGVO auseinandergesetzt und kamen dabei übereinstimmend zum Ergebnis, dass diese als Daten nach Art. 9 Abs. 1 DSGVO anzusehen sind.

Der Oberste Gerichtshof hielt dabei zusammengefasst fest, dass vor dem Hintergrund des Schutzzwecks des Art. 9 Abs. 1 DSGVO – Betroffene vor der Gefahr schwerwiegender datenbasierender Diskriminierungen zu schützen – nicht nur solche Daten in den Schutzbereich des Art. 9 Abs. 1 DSGVO einzubeziehen seien, aus denen die tatsächliche politische Meinung des Betroffenen hervorgehe, sondern auch Daten über vermutete politische Vorlieben des Betroffenen, berge doch deren Verarbeitung ebenfalls das Risiko besonderer negativer Folgen in sich. Es seien somit auch Daten als Daten „besonderer“ Kategorie nach Art. 9 Abs. 1 DSGVO zu qualifizieren, deren Informationsgehalt sich in einer bloßen Wahrscheinlichkeitsaussage über die vermutete gesteigerte Empfänglichkeit eines Betroffenen für Werbung einer speziellen politischen Partei erschöpfe.

Der Verwaltungsgerichtshof führte wiederum aus, dass er sich der dargestellten Rechtsansicht des Obersten Gerichtshofes anschließe, und führte ergänzend aus, dass es für die Anwendbarkeit des Art. 9 Abs. 1 DSGVO ausreiche, wenn hinsichtlich der Datenkategorien rassische und ethnische Herkunft, politische Meinungen, religiöse und weltanschauliche Überzeugung und Gewerkschaftszugehörigkeit die sensible Information nur mittelbar hervorgehe. Es würden somit auch indirekte Hinweise auf diese Merkmale dem besonderen Schutz unterworfen werden, wobei die Erkennbarkeit für einen durchschnittlichen, objektiven Dritten genügen solle.

Für die vorliegenden „Sinus-Geo-Milieus“ bedeutet dies Folgendes:

Die „Sinus-Geo-Milieus“ enthalten eine Wahrscheinlichkeitsaussage über die vermutete Zugehörigkeit einer Person zu einem bestimmten „Sinus-Geo-Milieu“, und demnach eine Wahrscheinlichkeitsaussage über das Vorliegen einer bestimmten „weltanschaulichen Überzeugung“ des Einzelnen. Wie aufgezeigt, ist es für eine Subsumtion unter Art. 9 Abs. 1 DSGVO ausreichend, dass aus den Daten die vermutete Zugehörigkeit zu einem bestimmten „Sinus-Geo-Milieu“ und dadurch das vermutete Vorliegen einer bestimmten Weltanschauung des Einzelnen hervorgeht.

Für die Mitbeteiligte ergibt sich im vorliegenden Fall:

Die Mitbeteiligte wurde mit der deutlich dominanten Wahrscheinlichkeit von 23,55 % dem Milieu „Postmaterielle“ zugeordnet, alle anderen Milieus weisen einen Wahrscheinlichkeitswert unter 20 % auf. Die Mitbeteiligte wurde daher in der oberen/mittleren Mittelschicht eingeordnet und ihr die Eigenschaft bzw. Haltung als „weltoffene Gesellschaftskritikerin, in einem gebildeten, vielfältig kulturinteressierten Milieu“ zugeschrieben, sie sei „kosmopolitisch orientiert, aber kritisch gegenüber Globalisierung“ und „sozial engagiert“. Entgegen den Ausführungen der Beschwerdeführerin lässt sich aus dieser Beschreibung sehr wohl eine (wahrscheinliche) weltanschauliche Überzeugung der Mitbeteiligten ableiten. Den Beschreibungen der „Sinus- -Milieus“ folgend wird unter dem Begriff „Postmaterielle“ der Mitbeteiligten etwa eine kosmopolitische Orientierung oder auch eine kritische Haltung gegenüber der Globalisierung zugeschrieben. Kosmopolitismus (auch Weltbürgertum) bezeichnet eine philosophisch-politische Weltanschauung, die den ganzen Erdkreis als Heimat betrachtet. Es steht im Gegensatz zum Nationalismus und Provinzialismus (https://de.wikipedia.org/wiki/Kosmopolitismus abgerufen am 28.11.2022). Es handelt sich somit um bestimmte Positionen und Überzeugungen, die auch eindeutig von anderen Überzeugungen abgegrenzt werden. Der Mitbeteiligten wird eine weltoffene Haltung zugeschrieben, die etwa auch im Gegensatz zu den Ansichten bestimmter politischer (vor allem rechter) Parteien steht. Der Begriff „Postmaterielle“ trifft daher – entgegen den Ausführungen der Beschwerdeführerin - nicht auf die Anhänger „verschiedenster weltanschaulicher Überzeugungen“ zu. Hinzu kommt, dass eine exakte Zuordnung zu einer bestimmten „Schule“ auch gar nicht notwendig ist (Schiff in Ehmann/Selmayr Datenschutz-Grundverordnung² Art 9 Rz 21).

Sofern die Beschwerdeführerin vorbringt, der Mitbeteiligten sei ein vergleichsweise niedriger Wahrscheinlichkeitswert zugeordnet worden, woraus nicht mit hinreichender Wahrscheinlichkeit auf die vermutete „Weltanschauung“ der Mitbeteiligten geschlossen werden könne, ist festzuhalten, dass sich aus dem Zusammenspiel zwischen höheren Wahrscheinlichkeitswerten für die Zuordnung zu einem bestimmten Milieu und niedrigen Wahrscheinlichkeitswerten für andere bestimmte Milieus die Wahrscheinlichkeit für die Zugehörigkeit zu einer bestimmten Gesellschaftsschicht und daraus, ob der/die Betroffene grundsätzlich die Grundorientierung, Mentalität und Werte eines bestimmten Milieus teilt oder diese ablehnt, ergibt.

Andernfalls wären die Datensätze wohl auch kaum geeignet, das von der Beschwerdeführerin angestrebte Ziel – die „Sinus-Geo-Milieus“ im Rahmen ihrer Tätigkeit als Adressverlag zu nutzen, um Kunden durch gezielte Werbung zu ermöglichen, Streuverluste zu vermeiden – zu erreichen.

Zudem ist schließlich maßgebend auf den Schutzzweck der Norm abzustellen:

Maßgeblich für die Interpretation des Art 9 DSGVO ist sein Schutzzweck (vgl. auch Schiff in Ehmann/Selmayr, Datenschutz-Grundverordnung² Art 9 Rz 19). Es ist zu fragen, wovor die Bestimmung die betroffenen Personen schützen möchte. Die Interpretation findet ihre Grenze im äußersten Wortsinn der Bestimmung.

Art 9 DSGVO will vor den Gefahren schützen, die mit bestimmten Arten von personenbezogenen Daten üblicherweise verbunden sind.

Da bereits eine vermutete „religiöse oder weltanschauliche Überzeugung“ jene negativen Folgen für die betroffene Person auslösen kann, vor der Art. 9 DSGVO schützen möchte, ist es für die Annahme einer religiösen oder weltanschaulichen Überzeugung ausreichend, wenn aus der Information eine solche Meinung mit hinreichender Wahrscheinlichkeit hervorgeht (Schiff in Ehmann/Selmayr,-Grundverordnung² Art 9 Rz 21). Gewissheit ist nicht erforderlich. Irrelevant ist auch, ob die Merkmalsangaben inhaltlich zutreffen (Weichert in Kühling/Buchner (Hrsg), DSGVO3 Art 9 Rz 24).

Berücksichtigt man den Schutzzweck des Art 9 DSGVO, d.h., betroffene Personen vor Diskriminierungen auf Grund einer (unterstellten) religiösen oder weltanschaulichen Überzeugung zu schützen, ergibt sich ebenfalls die hinreichende Wahrscheinlichkeit des Hervorgehens der weltanschaulichen Überzeugung: Die Beschwerdeführerin gibt selbst an, die „Sinus-Geo-Milieus“ im Rahmen ihrer Tätigkeit als Adressverlag zu nutzen und diese Geschäftskunden zu Marketingzwecken bereitzustellen, welche diese wiederum mit dem Ziel nutzen, Streuverluste in der Werbung zu vermeiden, die Zusendung von unerwünschten Werbematerials zu vermindern, und insgesamt die Werbeeffekte zu verbessern und die Werbelogistik zu minimieren. Demnach ergibt sich, dass durch Zuordnung einer Person zu einem bestimmten „Sinus-Geo-Milieu“ die Einschätzung verbunden ist, inwiefern diese Person als für bestimmte Werbematerialen empfänglich angesehen wird. So wird demnach eine Person, welcher etwa die Zugehörigkeit zum Milieu „Performer“ zugeschrieben wird, andere Werbematerialien erhalten als jemand, der etwa als „Konservativer“ oder „Hedonist“ eingestuft wird. Daraus folgt jedoch, dass durch die Verarbeitung (und in Folge auch Bereitstellung an Dritte) der Datensätze zu den „Sinus-Geo-Milieus“ genau jene Gefahren bestehen können, vor denen Art. 9 DSGVO schützen möchte: derartige Personen zu benachteiligen oder gar zu verfolgen, weil eine Zugehörigkeit zu einem bestimmten Milieu und damit das Vorliegen einer bestimmten Weltanschauung vermutet wird (vgl. W258 2217446-1, Punkt 3.2.5 betreffend die „Parteiaffinitäten“).

Weiters hat der Verwaltungsgerichtshof in Zl. Ro 2021/04/0007 zu den „Parteiaffinitäten“ festgehalten, dass nicht nur die Unterstellung eines gesteigerten Interesses für eine bestimmte Partei, sondern ebenso die sich aus den Daten allenfalls ergebende Ablehnung oder auch die Gleichgültigkeit gegenüber einer oder allen Parteien die Schlussfolgerung auf eine bestimmte Haltung erlaube. Die Frage der konkreten Aussage über die Parteiaffinität sei im Einzelfall kein Kriterium für die Klärung der Rechtsfrage, ob es sich hier um Daten handle, denen – ex ante betrachtet – mit hinreichender Deutlichkeit eine wie immer sich darstellende politische Meinung zu entnehmen sei. Jede politische Haltung sei nämlich abstrakt geeignet, die Gefahr eine Diskriminierung oder Andersbehandlung mit sich zu bringen, und es sei gerade das Ziel der Bestimmungen der DSGVO im Zusammenhang mit der Verarbeitung sensibler Daten, die Betroffenen vor den mit einer Bewertung durch Rezipienten einer solchen Information zusammenhängenden möglichen Folgen zu schützen. Auf die konkrete Bewertung einer politischen Meinung, die – wie hier – im Ergebnis hinreichend deutlich aus der verarbeiteten Information hervorgehe, könne es daher nicht ankommen (Rz 50).

Umgelegt auf die „Sinus-Geo-Milieus“ bedeutet dies nun, dass auch niedrige Wahrscheinlichkeitswerte bzw. die damit verbundene Annahme, der Betroffene sei einem bestimmten „Sinus-Geo-Milieu“ nicht zugehörig bzw. vertrete eine bestimmte Weltanschauung nicht, die Schlussfolgerung auf eine bestimmte weltanschauliche Überzeugung ermöglicht und damit die Gefahren mit sich bringt, vor den Art. 9 DSGVO schützen möchte.

Im Ergebnis sind die Datensätze zu den „Sinus-Geo-Milieus“ daher als besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO zu qualifizieren.

3.3.2.3. Zur Rechtswidrigkeit der Verarbeitung

Die Verarbeitung von Daten besonderer Kategorie ist nach Art. 9 Abs. 2 DSGVO nur zulässig, sofern einer der in Abs. 2 taxativ aufgezählten Erlaubnistatbestände erfüllt ist.

Vor dem Hintergrund, dass keine Einwilligung der Mitbeteiligten zur Verarbeitung der Datensätze zu den „Sinus-Geo-Milieus“ vorliegt, scheidet Art. 9 Abs. 2 lit. a DSGVO jedenfalls aus.

Zu prüfen bleibt weiters, ob § 151 Abs. 6 GewO eine taugliche Rechtsgrundlage im Sinne des Art. 9 Abs. 2 lit. g DSGVO darstellen könnte:

Nach lit. g ist die Verarbeitung zulässig, wenn diese auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist.

Voraussetzung ist demnach, dass für die Verarbeitung eine gesetzliche Grundlage besteht und die Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist.

Von einem öffentlichen Interesse kann gesprochen werden, wenn die gesamte Bevölkerung oder große Teile dieser bzw. große Teile einer sozialen Gemeinschaft ein und dasselbe Interesse teilen. Haben bestimmte Personen oder Gruppen ein spezifisches Interesse, kann dieses zugleich ein öffentliches Interesse darstellen, wenn es den Interessen der Allgemeinheit dient. Ein sowohl individuelles als auch kollektives Interesse liegt nach ErwGr 46 etwa bei der Verarbeitung von Daten für humanitäre Zwecke bzw. in humanitären Notfällen oder bei der Überwachung von Epidemien und deren Ausbreitung vor. Von einem erheblichen öffentlichen Interesse kann erst dann gesprochen werden, wenn die Interessen der Allgemeinheit in besonderem Maße tangiert werden. Allgemeine öffentliche Zwecke genügen nach dem eindeutigen Wortlaut nicht, um den Ausnahmetatbestand des Art. 9 Abs. 2 lit g DSGVO zu erfüllen. Als Beispiele eines erheblichen öffentlichen Interesses können z.B. das öffentliche Gesundheitswesen (z.B. elektronische Patientenakte, wie in Österreich die »ELGA«), die Bereitstellung von Informationen der öffentlichen Verwaltung (Art. 86), die Wahrung der Freiheitsrechte, die Durchsetzung der Rechtsstaatlichkeit, die Gefahrenabwehr, die Strafverfolgung, die Sicherstellung der öffentlichen Gesundheit und der sozialen Fürsorge angeführt werden (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 9 DSGVO Rz 93 [Stand 1.12.2020, rdb.at]).

Auch an einem funktionierenden Wirtschaftssystem besteht jedenfalls ein (erhebliches) öffentliches Interesse, hat es doch erhebliche Auswirkungen auf den öffentlichen und privaten Haushalt und damit mittelbare Auswirkungen auf die oben genannten Beispiele für öffentliche Interessen, etwa durch die Finanzierbarkeit des öffentlichen Gesundheitssystems oder von Einsatzkräften für den Katastrophendienst. Auf das Bestehen bestimmter – nicht systemkritischer – Wirtschaftsbereiche lässt sich das vor dem Hintergrund der Erwägungsgründe nicht mehr verallgemeinern. Grundsätzlich kein erhebliches öffentliches Interesse im Sinne des Art. 9 Abs. 2 lit g DSGVO wird anzunehmen sein, wenn durch die Rechtsnorm lediglich die Tätigkeit eines bestimmten Wirtschaftsbereichs erleichtert werden soll; die Allgemeinheit wäre in derartigen Fällen ohne die in Rede stehende Maßnahme regelmäßig nicht ernsthaft beeinträchtigt (vgl. 26.11.2020, Zl. W258 2217446-1/35E, Punkt 3.2.8.7.).

Für den vorliegenden Fall bedeutet dies Folgendes:

Gemäß § 151 Abs. 1 GewO sind auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

Gemäß § 151 Abs. 4 GewO dürfen, soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO betroffen sind, diese von den in Abs. 1 genannten Gewerbetreibenden verarbeitet werden, sofern ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung dieser Daten für Marketingzwecke Dritter vorliegt.

Gemäß § 151 Abs. 6 GewO ist es den zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden erlaubt, für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden, nur für Marketingzwecke zu verwenden und – unter weiteren Voraussetzungen – an Dritte weiterzugeben.

Zunächst ist davon auszugehen, dass § 151 Abs. 4 GewO, welcher die Ermittlung besonderer Kategorien personenenbezogener Daten regelt, zusätzlich zu Abs. 6 erfüllt sein muss. Würde man nun die (unzutreffende) Auffassung vertreten, dass § 151 Abs. 6 GewO § 151 Abs. 4 GewO als lex specialis vorgeht, so würde diese Interpretation dazu führen, dass auch bei Daten besonderer Kategorie – sofern es sich dabei um Marketinginformationen und -klassifikationen handelt – keine Zustimmung des Betroffenen für die Verarbeitung und Datenweitergabe erforderlich wäre. Eine solche Interpretation bzw. eine Subsumtion des § 151 Abs. 6 GewO unter Art. 9 Abs. 2 it. g DSGVO scheitert jedoch auch vor dem Hintergrund einer europarechtskonformen Auslegung und des Erfordernisses eines erheblichen öffentlichen Interesses: Eine Regelung, wonach Adressverlage und Direktwerbeunternehmen auch ohne Zustimmung der Betroffenen Marketinginformationen verarbeiten dürfen, die gleichzeitig besondere Kategorien personenbezogener Daten sind, erleichtert zwar die Tätigkeit dieser Gewerbe; das Fehlen einer solchen Regelung stellt jedoch das Bestehen der Gewerbe nicht in Frage. So ist es den Gewerbetreibenden möglich, Marketinginformationen auch ohne Zustimmung der Betroffenen zu verarbeiten, solange diese keine der in Art. 9 Abs. 1 DSGVO genannten besondere Kategorie von Daten darstellen, womit regelmäßig das Auslangen gefunden werden kann. Dass die Allgemeinheit ohne eine derartige Regelung ernsthaft beeinträchtigt sein könnte, ist nicht ersichtlich. Eine derartige Regelung liegt daher nicht im erheblichen öffentlichen Interesse.

Eine Interpretation des § 151 Abs. 6 GewO, wonach – entgegen § 151 Abs. 4 GewO – bei der Verarbeitung von für Marketingzwecke erhobenen Marketinginformationen und -klassifikationen auch dann keine Zustimmung der betroffenen Person erforderlich ist, wenn es sich bei den Marketinginformationen und -klassifikationen um besondere Kategorien personenbezogener Daten im Sinne des Art 9 Abs. 1 DSGVO handelt, scheidet demnach bei europarechtskonformer Auslegung aus (vgl. wieder W258 2217446-1/35E).

Die Beschwerdeführerin kann die Verarbeitung der Datensätze zu den Sinus-Geo-Milieus somit nicht auf Art. 9 Abs. 2 lit. g DSGVO iVm § 151 Abs. 6 GewO stützen.

Andere mögliche Sachverhalte, die eine Verarbeitung der Datensätze zulässig machen würde, wurden nicht vorgebracht und ergeben sich auch sonst nicht aus dem Verfahren. Es ist demnach kein Erlaubnistatbestand des Art. 9 Abs. 2 DSGVO erfüllt.

Selbst wenn man die Ansicht verträte, dass es sich bei den „Sinus-Geo-Milieus“ nicht oder teilweise nicht um eine besondere Kategorie von Daten iSd Art. 9 Abs. 1 DSGVO handelt, wäre daraus für die Beschwerdeführerin nichts gewonnen:

Da im gegenständlichen Fall eine gesetzliche Regelung in § 151 GewO vorliegt, ist zunächst auch hier von einer grundsätzlichen Anwendbarkeit dieser Bestimmung auszugehen, sofern sie im Einklang mit Unionsrecht steht. Eine Verarbeitung ist nach Art. 6 Abs. 1 lit. e DSGVO nur zulässig, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurden.

Fraglich ist, ob die Datenverarbeitungen eines Adressverlages für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt. Bejaht man diese Frage, so müssen in diesem Fall für die Ermittlung der Daten die Abs. 3 und 5 erfüllt sein. Die Adressverlage sind berechtigt, für ihre Tätigkeiten u.a. aus Kunden- und Interessentendateisystemen und Marketingdateien Dritter personenbezogene Daten zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für 1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich die Gestaltung und des Versands für Werbemittel oder 2. das Listbroking erforderlich und gemäß Abs. 4 und 5 zulässig ist.

Es ist davon auszugehen, dass die personenbezogene Verarbeitung von derart sensitiven Daten – selbst wenn sie nicht zur Gänze unter „weltanschauliche Daten“ fielen – unter Beachtung des Grundsatzes der Verhältnismäßigkeit nicht erforderlich sind, um die Tätigkeiten eines Adressverlages auszuüben. Überdies ist nicht davon auszugehen, dass es sich bei der Zuordnung von Sinus-Geo-Milieu-Daten überhaupt um ein „Kunden- und Interessentendateisystem“ (iSd Abs. 5 Z 8 GewO) handelt (ein solches wäre allenfalls die Verarbeitung von Zielgruppen).

Schließlich ist anzumerken, dass auch die Voraussetzungen des Art. 5 DSGVO nicht erfüllt waren. Davon abgesehen, dass die Datenverarbeitung nicht rechtmäßig war und gegen Treu und Glauben verstieß (eine Information der Mitbeteiligten durch die Beschwerdeführerin fand offenbar vor der Auskunftserteilung nicht statt), ist überdies aufgrund der von der Beschwerdeführerin vorgebrachten „Abstraktheit“ oder „Verwässerung“ der Daten davon auszugehen, dass die Richtigkeit der zugeschriebenen Daten nicht gegeben war.

Aus diesen Erwägungen ist davon auszugehen, dass die Verarbeitung der personenbezogenen Geo-Sinus-Milieu-Daten durch die Beschwerdeführerin nicht zulässig war.

Verneint man das öffentliche Interesse und damit die Anwendbarkeit des Art. 6 Abs. 1 lit. e DSGVO, so wäre Folgendes zu erwägen:

Nach dem Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO ist die Verarbeitung personenbezogener Daten u.a. zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG vgl EuGH 04.05.2017, C-13/16, Rigas satiksme, Rz 31). Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (mögliche Geschäftspartner der Beschwerdeführerin) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen (ErwG 47 DSGVO).

Zwar können Formen des Marketings und der Werbung – wie oben ausgeführt - berechtigte Interessen iSd zitierten Bestimmung darstellen, jedoch überwiegt im vorliegenden Fall schon aufgrund der Sensitivität das Interesse der Mitbeteiligten an der Geheimhaltung ihrer personenbezogenen Daten. Dies auch vor dem Hintergrund, dass die Mitbeteiligte im vorliegenden Fall nicht damit rechnen konnte bzw. musste, dass ihr eine (wenn auch vermeintliche) weltanschauliche Überzeugung zugeschrieben wird und sie deshalb gezielt mit Werbung beworben wird, womit – wie oben erwähnt – auch mit maßgeblicher Wahrscheinlichkeit gewisse Risiken verbunden sein können (Benachteiligung oder Verfolgung des Betroffenen, weil eine gewisse weltanschauliche Überzeugung vermutet wird). Dazu kommt, dass die Daten nicht öffentlich verfügbar sind und die Richtigkeit der Daten als keineswegs gesichert anzusehen ist. Das rein kommerzielle Interesse der Beschwerdeführerin vermochte sohin eine Verarbeitung der „Sinus-Geo-Milieus“ iSd Art. 6 Abs. 1 lit. f DSGVO nicht zu rechtfertigen.

Durch die Verletzung der genannten Bestimmungen der DSGVO steht auch ein Verstoß gegen das Grundrecht auf Datenschutz fest.

Die belangte Behörde hat daher nach dem oben Ausgeführten zu Recht im bekämpften Bescheid die Rechtswidrigkeit der Verarbeitung der Datenart der „Sinus-Geo-Milieus“ festgestellt, weshalb die Beschwerde abzuweisen war.

3.3.2.4. Ergebnis

Wie sich aus dem Ausgeführten ergibt, ging die belangte Behörde im Ergebnis zu Recht davon aus, dass die Beschwerdeführerin die mitbeteiligte Partei durch die Verarbeitung der „Sinus-Geo-Milieus“ im Recht auf Geheimhaltung verletzt hat.

Die behauptete Rechtswidrigkeit des Bescheides liegt daher nicht vor, weshalb die Beschwerde als unbegründet abzuweisen war.

3.4 Zum Entfall einer mündlichen Verhandlung

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall war der Sachverhalt bereits aus der Aktenlage geklärt. Darüber hinaus wurde auch die Niederschrift über eine mündliche Verhandlung vom 01.03.2022, welche sich auf gleich gelagerten Fälle bezog, als Beweis herangezogen, wobei keine Mehrinformation zum schriftlichen Verfahren gewonnen werden konnte. Überdies hat die Beschwerdeführerin in ihrer Stellungnahme vom 18.11.2022 nach Vorhalt der Niederschrift über die genannte mündliche Verhandlung und trotz ausdrücklicher Nachfrage des Bundesverwaltungsgerichts keinen weiteren Klärungsbedarf vorgebracht.

Ein sachverhaltsbezogenes Vorbringen, das über den im Wesentlichen unstrittig aus dem Akt ersichtlichen Sachverhalt hinausgeht, wurde somit nicht erstattet. Sofern die Beschwerdeführerin die Feststellung der belangten Behörde, wonach die Zuordnung der „Sinus-Geo-Milieus“ durch die Beschwerdeführerin vorgenommen worden sei, als tatsachenwidrig erachtete, ist nochmals festzuhalten, dass diesbezüglich einerseits eine Klärung vorgenommen wurde, andererseits der diesbezüglichen Frage letztlich keine rechtliche Bedeutung zukommt.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 55/12).

Die Durchführung einer mündlichen Verhandlung war im konkreten Fall daher nicht erforderlich.

3.5. Zur Unzulässigkeit der Revision

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes (siehe dazu die unter Punkt 3.2. zitierten Judikate) noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.

3.6. Es war daher spruchgemäß zu entscheiden.