BVwG W108 2249288-1

Spruch:

W108 2249288-1/11E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. KUNZ als Beisitzerin und Beisitzer über die Beschwerde von 1. XXXX , 2. XXXX , 3. XXXX und 4. XXXX , alle vertreten durch die Kammer für Arbeiter und Angestellte für Wien, gegen den Bescheid der Datenschutzbehörde vom 14.10.2021, Zl. D205.592 2021-0.277.070, betreffend eine Datenschutzbeschwerde (Mitbeteiligte: XXXX ) zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang/Sachverhalt:

1. In ihrer an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde gemäß Art. 77 Datenschutz-Grundverordnung (DSGVO) bzw. § 24 Datenschutzgesetz (DSG) vom 14.02.2020 machten die beschwerdeführenden Parteien eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG sowie im Recht auf Information gemäß Art. 13 und 14 DSGVO durch die XXXX (ehemalige Beschwerdegegnerin im Verfahren vor der belangten Behörde, nunmehr Mitbeteiligte vor dem Bundesverwaltungsgericht) geltend. Dazu wurde zusammengefasst vorgebracht, dass die Erstbeschwerdeführerin am 16.10.2019 in einer Filiale der Mitbeteiligten einen „Nachsendeauftrag Inland – Nachsendeauftrag wegen Umzug“ für sich und die anderen beschwerdeführenden Parteien bestellt habe. Der Zweitbeschwerdeführer sei ebenfalls vor Ort gewesen. Die Erstbeschwerdeführerin habe der Filialmitarbeiterin mündlich die bisherige Adresse bzw. die Adresse, für die ein Nachsendeauftrag eingerichtet werden solle, die Zieladresse für nachgesendete Sendungen, die Art der nachzusendenden Sendungen, die Dauer des Nachsendeauftrages sowie die Personen, für die der Nachsendeauftrag eingerichtet werden solle, genannt. Diese Daten seien elektronisch erfasst worden. Die Erstbeschwerdeführerin habe anschließend nach mündlicher Kontrolle der Daten auf einem kleinen Signatur-Pad unterschrieben, auf welchem nur Platz für eine Unterschrift, aber keine Hinweise auf datenschutzrelevante Themen oder andere Vertragsinhalte enthalten gewesen seien. Zu keinem Zeitpunkt seien Themen des Datenschutzes angesprochen worden. Es sei auch nicht überprüft worden, ob die Erstbeschwerdeführerin bevollmächtigt gewesen sei, den Nachsendeauftrag für andere Personen abzuschließen bzw. deren Daten weiterzugeben. Nachdem die Erstbeschwerdeführerin die erfassten Daten mit ihrer Unterschrift bestätigt habe, sei ihr in Papierform das Formular „Nachsendeauftrag Inland – Nachsendeauftrag wegen Umzug“ ausgehändigt worden, dieses habe mehr als die im Signaturpad angezeigten Informationen wiedergegeben. Auf den ersten Blick nicht wahrnehmbar, sondern im Fließtext versteckt, finde sich der Hinweis, dass die Mitbeteiligte personenbezogene Daten an Dritte gemäß § 151 GewO übermitteln könne. Der Hinweis auf die Datenweitergabe sowie auf das Formular „Information über die Datenverwendung gemäß Datenschutz-Grundverordnung (DSGVO)“ sei weder für die Erstbeschwerdeführerin noch den Zweitbeschwerdeführer vor Ort wahrnehmbar gewesen. Am 21.10.2019 hätten die beschwerdeführenden Parteien jeweils einen Brief von der Mitbeteiligten erhalten, aus dem erstmals ersichtlich gewesen sei, dass ihre für den Nachsendeauftrag verarbeiteten Daten von der Mitbeteiligten für Marketingzwecke weitergegeben werden dürften. Die Bedingungen für eine rechtmäßige Verarbeitung iSd Art. 6 DSGVO seien nicht erfüllt. Das Interesse der beschwerdeführenden Parteien, ihr Selbstbestimmungsrecht durch einen aktiv gesetzten Schritt der Zustimmung auszuüben, überwiege gegenüber dem Interesse der Mitbeteiligten an einer einwilligungsfreien Weiterverwendung von im Vertragsverhältnis gesammelten Daten für Marketingzwecke Dritter nach § 151 GewO.

2. Über Aufforderung der belangten Behörde erstattete die Mitbeteiligte am 25.05.2020 eine Stellungnahme und führte aus, dass die beschwerdeführenden Parteien in keinem Recht verletzt worden seien. Sollten die Erstbeschwerdeführerin und der Zweitbeschwerdeführer behaupten, im Recht auf Information gemäß Art. 13 DSGVO verletzt worden zu sein, wäre eine allfällige Verletzung (die nicht vorliege) durch das Aushändigen des Dokuments „Nachsendeauftrag Inland – Nachsendeauftrag wegen Umzug“ bereits in der Filiale beseitigt worden. Überdies hätten sie nur fünf Tage später eine weitere Information über die Verarbeitung ihrer personenbezogenen Daten erhalten. Die datenschutzrechtliche Information gegenüber dem Dritt- und der Viertbeschwerdeführerin nach Art. 14 DSGVO sei innerhalb von fünf Tagen postalisch erfolgt. Die Daten des Drittbeschwerdeführers und der Viertbeschwerdeführerin seien überdies aus dem Nachsendeauftrag nicht in die Marketingdatenbank übernommen worden, da keine Geburtsdaten angegeben worden seien, weshalb die Mitbeteiligte das Alter nicht habe feststellen können. Eine Verletzung der Rechte des Drittbeschwerdeführers und der Viertbeschwerdeführerin sei schon aus diesem Grund ausgeschlossen. Gehe man mit dem österreichischen Gesetzgeber davon aus, dass § 151 GewO eine gültige Rechtsvorschrift sei, könne keine Verletzung im Recht auf Geheimhaltung erfolgt sein. Die Mitbeteiligte verfüge über eine Gewerbeberechtigung für Adressverlags- und Direktmarketingunternehmen. Demgemäß müsse über die Möglichkeit der Datenweitergabe zu Marketingzwecken und das Recht zum Widerruf im Sinne eines „Opt-out“ informiert werden, eine Einwilligung sei jedoch nicht erforderlich. Zudem könne aufgrund einer internen Sperrfrist von 21 Tagen ausgeschlossen werden, dass vor Zustellung aller Informationen eine Weitergabe der Daten erfolgt sei. Somit hätten alle beschwerdeführenden Parteien rechtzeitig alle Informationen gehabt, um der Verarbeitung ihrer personenbezogenen Daten für Marketingzwecke Dritter zu widersprechen. Es sei auch die sofortige Untersagung mittels ankreuzbarer Checkbox möglich gewesen. Von diesem Recht hätten die beschwerdeführenden Parteien jedoch keinen Gebrauch gemacht. Die gegenständliche Beschwerde sei zum Anlass genommen worden, die Datensätze unverzüglich zu sperren. Eine allfällige Verletzung wäre sohin gemäß § 24 Abs. 6 DSG beseitigt worden.

3. Die beschwerdeführenden Parteien replizierten darauf – nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens – in ihrem Schriftsatz vom 06.06.2020 zusammengefasst, dass die Mitbeteiligte ihre Informationspflichten nach Art. 12, 13 und 14 DSGVO verletzt habe, da sie über die Übermittlung der Daten der beschwerdeführenden Parteien an Dritte zu Marketingzwecken nicht ordnungsgemäß informiert habe, sowie gegen das Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verstoßen habe, indem eine bloße „Opt-Out“-Möglichkeit statt einer Einwilligung für die Datenverwendung vorgesehen bzw. Vertragsdaten für Marketingzwecke Dritter unzulässig weiterverarbeitet worden seien. Es liege auch ein Verstoß gegen das Prinzip datenschutzfreundlicher Voreinstellungen nach Art. 25 DSGVO vor, weil den Betroffenen ein aktives Handeln abverlangt werde, um die Datennutzung auf das unbedingt Erforderliche zu beschränken. Entgegen den Ausführungen der Mitbeteiligten sei eine Verletzung des Art. 13 DSGVO gegeben, welche auch nicht beseitigt worden sei. Die Information der Erstbeschwerdeführerin und des Zweitbeschwerdeführers sei nicht nur zu spät erfolgt, sondern habe auch nicht dem Transparenzgebot des Art. 12 DSGVO entsprochen. Abermals werde darauf hingewiesen, dass auf dem Pad nur Platz für eine Unterschrift, nicht aber für längere Textteile gewesen sei. Selbst bei dem von der Mitbeteiligten zur Verfügung gestellten Bildausschnitt des Pads seien vertragsrelevante Inhalte zum Nachsendeauftrag nicht von datenschutzrechtlich relevanten Informationen zu unterscheiden, diese Informationen würden im Fließtext untergehen. Durchschnittskonsumenten würden einen Vertrag über den Nachsendeauftrag abschließen wollen und nicht davon ausgehen, dass ihnen die Mitbeteiligte auch als Adressverlag- und Direktmarketingunternehmen gegenüberstehe. Überdies würden Angaben gemäß Art. 13 Abs. 1 lit. e und Art. 14 Abs. 1 lit. e DSGVO sowie in Bezug auf den Drittbeschwerdeführer und die Viertbeschwerdeführerin gemäß Art. 14 Abs. 1 lit. f DSGVO fehlen. Ohne ordnungsgemäße Informationserteilung könne sich die Mitbeteiligte nicht auf den Anschein berufen, die beschwerdeführenden Parteien hätten die Datennutzung nach § 151 GewO akzeptiert. Die Rechtsverletzungen hätten im Zeitraum 16.10.2019 bis 11.05.2020 bestanden und könnten deshalb nach wie vor festgestellt werden. Auch der Inhalt der Information sei unzureichend gewesen, stütze sich die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, müsse der Verantwortliche dieses Interesse näher spezifizieren und die für die Interessenabwägung maßgeblichen Gesichtspunkte darstellen. Ein Verweis auf den Rechtsunkundigen nicht bekannten § 151 GewO reiche nicht, zumal die Bestimmung im vorliegenden Fall auch gar nicht herangezogen werden könne, weil die Voraussetzungen des § 151 Abs. 3 und 5 GewO nicht erfüllt seien. Die Daten seien nicht aus den in § 151 Abs. 3 GewO aufgezählten Quellen ermittelt worden, Abs. 3 leg.cit stelle auf Marketingbefragungen ab, im vorliegenden Fall hätten die Selbstauskünfte aber ausschließlich dem Vertragsabschluss gedient. Das Oberlandesgericht Wien (in der Folge: OLG) sehe in der Ausübung zweier Gewerbetätigkeiten durch ein und dasselbe Unternehmen auch nicht Abs. 5 erfüllt, wonach die Daten ausschließlich aus Kundendateien Dritter ermittelt werden dürften. § 151 GewO könne daher nicht als Rechtsgrundlage für die Datenverarbeitung herangezogen werden.

4. Über Aufforderung der belangten Behörde erstattete die Mitbeteiligte am 13.07.2021 eine ergänzende Stellungnahme, in welcher das bisherige Vorbringen wiederholt und weiter ausgeführt wurde, dass eine nähere Prüfung ergeben habe, dass (neben den Daten des Drittbeschwerdeführers und der Viertbeschwerdeführerin) auch die Daten des Zweitbeschwerdeführers zu keinem Zeitpunkt weitergegeben worden seien, weil dieser seit dem 03.11.2005 in der sogenannten „Robinsonliste“ eingetragen sei. Zur vermeintlich fehlenden Wahrnehmbarkeit auf dem Signatur-Pad werde ausgeführt, dass im Zeitraum zwischen November 2018 und Jänner 2020 nur der in der Stellungnahme vom 20.05.2020 abgebildete Text verwendet worden sei. Dieser sei mit dem ausgedruckten Text ident. Die Behauptung, dass die Information im Fließtext untergehe, sei schlicht falsch. Der größere Teil des Textes sei die datenschutzrechtliche Information, überdies sei die Widerspruchsmöglichkeit klar abgegrenzt und hervorgehoben verfasst. Der Verweis auf die nicht rechtskräftige Entscheidung des OLG sei nicht zielführend, die dort angestellten Überlegungen ließen sich schon dem Grunde nach nicht auf das gegenständliche Verfahren übertragen. Denn vor dem OLG habe der vom Kläger monierte Klauseltext den Verfahrensgegenstand gebildet, nicht aber die begleitenden Informationsprozesse oder die Umstände der Datenverarbeitung. Das OLG habe sich auch nur mit § 151 GewO auseinandergesetzt und aufgrund der unterschiedlichen Verfahrensnatur nicht geprüft, ob abseits dieser Bestimmung die Datenerhebung rechtmäßig auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden könne. Nach der ständigen Rechtsprechung der belangten Behörde dürften Adressverlage und Direktmarketingunternehmen auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO für Marketingzwecke Daten Dritter erheben und verarbeiten. § 151 GewO stehe der Zulässigkeit der Datenerhebung und –verarbeitung nicht entgegen.

5. Am 06.09.2021 brachten die beschwerdeführenden Parteien eine weitere Stellungnahme ein, wiederholten ihr Vorbringen und führten aus, dass aus den Unterlagen des Zweitbeschwerdeführers und der Viertbeschwerdeführerin ersichtlich sei, dass sich die Mitbeteiligte die Möglichkeit zur Datenweitergabe zu Marketingzwecken vorbehalten habe. Unabhängig von einer allfälligen Weitergabe der Daten liege eine Rechtsverletzung bereits wegen der Datenerfassung und Datenspeicherung zu anderen Zwecken als der Vertragserfüllung (nämlich zu Marketingzwecken) vor. Auch die Möglichkeit eines nachträglichen Widerspruchs oder die 21-tägige Sperrfrist änderten nichts an der ursprünglich unrechtmäßigen Verarbeitung. In der Filiale sei nicht auf die Möglichkeit des Widerspruchs hingewiesen worden. Auf dem Signatur-Pad sei nur ein eingeschränkter Bildausschnitt zu sehen gewesen, die Mitbeteiligte lasse auch die Situation vor Ort mit wartenden Kunden, nicht informierenden Mitarbeitern, spiegelndem Display etc. außer Acht. Zudem werde auf die datenschutzrechtlichen Informationen nicht in hervorgehobener Weise hingewiesen. Dies widerspreche dem Transparenzgebot und den Vorgaben der Artikel-29 Datenschutzgruppe. Die rechtlichen Erwägungen und Ausführungen des OLG seien auch für das gegenständliche Verfahren von Relevanz. Das OLG setze sich auch mit den berechtigten Interessen der Mitbeteiligten auseinander und komme zum Schluss, dass bei Einhaltung der Voraussetzungen des § 151 GewO der Nachweis berechtigter Interessen gelungen sei. Die Bedingungen des § 151 Abs. 3 und 6 GewO seien von der Mitbeteiligten jedoch nicht eingehalten worden, weshalb das dort vorgesehene „Opt-Out“-Verfahren nicht zur Anwendung kommen könne, sondern vielmehr ein „Opt-In“-Verfahren gemäß Art. 25 Abs. 2 DSGVO anzuwenden wäre.

6. Mit nunmehr angefochtenem Bescheid der belangten Behörde wurde die Datenschutzbeschwerde der beschwerdeführenden Parteien zur Gänze als unbegründet abgewiesen.

Die belangte Behörde stellte (nach Wiederholung des Vorbringens der Parteien sowie Darstellung des Verfahrensganges) fest, dass die Erstbeschwerdeführerin am 16.10.2019 die Einrichtung eines Nachsendeauftrages („Nachsendeauftrag Inland – Nachsendeauftrag wegen Umzug“) betreffend alle Postsendungen, welche an sie und die drei übrigen beschwerdeführenden Parteien als Empfänger an deren ehemalige Anschrift gerichtet gewesen seien, unter Verwendung eines vor Ort zur Verfügung gestellten Touch Pad-Terminals beauftragt habe. Die Erstbeschwerdeführerin und der Zweitbeschwerdeführer hätten das Touch Pad-Terminal insoweit bedient, als die Unterschriftsleistung durch die Erstbeschwerdeführerin direkt auf dem Touch Pad-Terminal erfolgt sei. Durch das Anklicken der – neben dem für die Unterschriftsleistung vorgesehenen Feld dargestellten – (nicht vorangekreuzten) Checkbox hätte einer Datenweitergabe widersprochen werden können. Weder die Mitarbeiterin der Mitbeteiligten noch die Erstbeschwerdeführerin oder der Zweitbeschwerdeführer hätten ein entsprechendes Kreuz hierin gesetzt. Im Anschluss an die Unterschriftsleistung sei der Erstbeschwerdeführerin die an alle beschwerdeführenden Parteien gerichtete Vereinbarung in Papierform ausgehändigt und von der Erstbeschwerdeführerin und dem Zweitbeschwerdeführer zur Kenntnis genommen worden. Am 21.10.2019 habe jede der beschwerdeführenden Parteien jeweils ein – unbeschadet der persönlichen Adressierung bzw. Personalisierung des Textes – inhaltlich gleichlautendes Schreiben der Mitbeteiligten erhalten, anhand dessen weiterführende Informationen erteilt worden seien, insbesondere, dass seitens der Mitbeteiligten personenbezogene Daten für Werbezwecke an Dritte übermittelt werden können. Keine der beschwerdeführenden Parteien habe nach Erhalt der Informationsschreiben einer Verarbeitung der sie betreffenden und anlässlich der Einrichtung des Nachsendeauftrages erhobenen Daten zu Marketingzwecken widersprochen. Lediglich hinsichtlich der Erstbeschwerdeführerin sei – spätestens nach Ablauf der 21-tägigen Sperrfrist, dh mit 07.11.2019, und zumindest bis zum Zugang der verfahrensgegenständlichen Beschwerde an die Mitbeteiligte am 11.05.2020 – ein entsprechender Datensatz, beinhaltend ihre Adressdaten (Anrede, Titel, Vorname, Nachname, Geburtsdatum und Adresse), zu Marketingzwecken erfasst und weiterverarbeitet worden.

Rechtlich führte die belangte Behörde zur Datenschutzbeschwerde des Zweitbeschwerdeführers, des Drittbeschwerdeführers und der Viertbeschwerdeführerin aus, dass sowohl Art. 77 Abs. 1 DSGVO wie auch § 24 Abs. 1 DSG ausdrücklich normieren würden, dass das Recht, eine Beschwerde bei der Aufsichtsbehörde zu erheben, nur dann bestehe, wenn die betroffene Person der Ansicht sei, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO bzw. § 1 oder Art. 2 des ersten Hauptstücks DSG verstoße. Der Gesetzeswortlaut setze daher betreffend einen die Zuständigkeit der belangten Behörde begründenden Sachverhalt eine tatsächliche Verarbeitung personenbezogener Daten der Betroffenen voraus. Schon an diesem Erfordernis scheitere die Beschwerde des Zweit- und Drittbeschwerdeführers sowie der Viertbeschwerdeführerin: Wie den Feststellungen zu entnehmen sei, seien gegenständlich zwar unbestrittenermaßen personenbezogene Daten aller beschwerdeführenden Parteien im Rahmen des Vertragsabschlusses „Nachsendeauftrag“ erfasst und folglich auch iSd Art. 4 Z 2 DSGVO zum Zwecke der Vertragserfüllung durch die Mitbeteiligte verarbeitet worden, aber allein dieser Umstand reiche nicht aus, dass eine festzustellende Rechtsverletzung vorliege, oder vorgelegen habe, weil die Verarbeitung zu dem vermeintlich inkriminierten Zweck der Verwendung im Rahmen des § 151 GewO a priori gar nicht vorliege. Entgegen der Ansicht des Zweit- und Drittbeschwerdeführers sowie der Viertbeschwerdeführerin sei gegenständlich auch keine Datenverarbeitung auf Grundlage einer datenschutzrechtlichen Einwilligung erfolgt und sei es auch tatsächlich nicht zu einer (Weiter-) Verarbeitung der Daten zu Marketingzwecken Dritter gekommen. Schon aus dem Wortlaut der Vereinbarung des Nachsendeauftrages vom Oktober 2019 sei ersichtlich, dass das Anklicken der „Checkbox“ („Ich bin mit einer Datenweitergabe nicht einverstanden.“) keine affirmative Willensbekundung zur Datenverarbeitung iSd Art. 4 Z 11 DSGVO ausdrücke, sondern vielmehr eine Ablehnung in Form eines Widerspruchs gemäß Art. 21 leg. cit. ermöglichen solle. Dies erschließe sich im Übrigen auch aus den Informationsschreiben der Mitbeteiligten, aus welchen klar ersichtlich werde, dass die Datenverarbeitung zu Marketingzwecken Dritter auf der Rechtsgrundlage „berechtigte Interessen“ (Art. 6 Abs. 1 lit. f DSGVO) erfolge, wovon die beschwerdeführenden Parteien laut eigener Angaben auch Kenntnis gehabt hätten. Im vorliegenden Fall sei betreffend den Zweitbeschwerdeführer (ob seiner Eintragung in die „Robinsonliste“) sowie hinsichtlich des Drittbeschwerdeführers und der Viertbeschwerdeführerin (mangels Kenntnis um deren Volljährigkeit) keine von ihnen monierte Weitergabe und auch keine sonstige Verarbeitung ihrer personenbezogenen Daten zu Marketingzwecken erfolgt. Hinsichtlich der Erstbeschwerdeführerin sei auszuführen, dass die gegenständliche Verarbeitung auf die Rechtsgrundlage der berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO iVm § 151 GewO gestützt werde. Vor dem Hintergrund, dass Adressverlage und Direktmarketingunternehmen für ihre Verrichtungen hinsichtlich der (wirtschaftlich sinnvollen) Durchführung ihrer gewerblichen Tätigkeit einerseits auf die Beschaffung entsprechender Daten und andererseits auf das Erstellen und Bereitstellen (bspw. Vermieten) des eigenen Adressenangebots angewiesen seien, habe die Mitbeteiligte im vorliegenden Fall offenkundig ein berechtigtes Interesse an der verfahrensgegenständlichen Datenverarbeitung. Dieses Interesse sei auch als überwiegend gegenüber dem Geheimhaltungsinteresse der Erstbeschwerdeführerin anzusehen. Die beschwerdeführenden Parteien hätten in diesem Zusammenhang (lediglich allgemein) ausgeführt, ihr berechtigtes Interesse liege darin, durch eine aktive Zustimmung ihr Selbstbestimmungsrecht ausüben zu können. Würde man der Argumentationslinie folgen, dass es allein der Wunsch, über eine Verarbeitung seiner personenbezogenen Daten selbst bestimmen zu wollen, dh in diese aktiv einzuwilligen, gebiete, das Vorliegen „berechtigter Interessen“ iSd Art. 6 Abs. 1 lit. f DSGVO auszuschließen, fände dieser Erlaubnistatbestand tatsächlich keinen Anwendungsbereich. Die beschwerdegegenständlich verarbeiteten „Stammdaten“ – im Wesentlichen die Namen und Adressdaten – würden auch nicht übermäßig in die Privatsphäre der Erstbeschwerdeführerin eingreifen: Es werde keine umfangreiche Analyse aufgrund von Standortdaten, verwendeten Geräten, Tracking und Aussage der Daten, über den Zweck der Verarbeitung hinaus getroffen. Die Daten würden nur an gemäß § 151 GewO 1994 berechtigte Unternehmen zu den dort genannten Zwecken weitergegeben, die Datenherkunft sei von Erwerbern stets anzugeben und würden sowohl gegen den Datenlieferanten als auch die Käufer allgemeine Widerspruchsmöglichkeiten (Robinson-Liste) sowie individuelle Abhilfemöglichkeiten (Widerspruch lt. Datenschutzerklärung) zur Verfügung stehen. Die Mitbeteiligte sei eine privatwirtschaftlich tätige, börsennotierte Aktiengesellschaft, deren Geschäftsfeld eben auch die Ausübung des Gewerbes „Direktmarketing und Adresshandel“ umfasse. Vernünftigerweise habe die Erstbeschwerdeführerin auch davon ausgehen müssen, dass im Rahmen der wirtschaftlichen Tätigkeit in diesem Bereich auch zulässig ermittelte Rohdaten verwendet würden. Sofern die beschwerdeführenden Parteien die Ansicht vertreten, dass die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter ausschließlich unter den Voraussetzungen des § 151 Abs. 3 und 5 GewO rechtmäßig wäre, übersehen diese, dass sich hieraus nicht ableiten lasse, dass außerhalb des Anwendungsbereichs der genannten Bestimmung die Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO nicht in Betracht kommen würden.

Zur behaupteten Verletzung im Recht auf Information sei festzuhalten, dass es schon zum Zeitpunkt des Vertragsabschlusses über die Erteilung eines Nachsendeauftrages möglich gewesen sei, der Datenverarbeitung zu Marketingzwecken zu widersprechen. Der Erstbeschwerdeführerin sei vor Erteilung des Nachsendeauftrages (durch die Unterschriftsleistung) auf dem Touch Pad-Terminal selbst schon der Hinweis erteilt worden, dass personenbezogene Daten (konkret Anrede, Titel, Vorname, Nachname, Geburtsdatum und Adresse) von der Mitbeteiligten an Dritte gemäß § 151 GewO zu Marketingzwecken übermittelt werden könnten und dass sie diese Übermittlung – durch das Anklicken einer Checkbox – untersagen könne. Schon dadurch sei dem gesetzlich geforderten Erfordernis genüge getan, weil die beschwerdeführenden Parteien darüber Kenntnis haben mussten, dass die Mitbeteiligte keine Einwilligung zur Datenverarbeitung zu Marketingzwecken brauche oder abverlange und die Möglichkeit der sofortigen Untersagung bestanden habe sowie hierdurch andere Vertragsteile nicht ungültig würden. Sohin sei dem Zweck der Informationspflicht (ohne Medienbruch) genüge getan. Der Erstbeschwerdeführerin seien auch sogleich alle in Art. 13 Abs. 1 und Abs. 2 DSGVO genannten Informationen bereitgestellt worden. Da ein internationaler Datentransfer weder behauptet noch im Verfahren hervorgekommen sei, habe die Information gemäß Art. 13 Abs. 1 lit. f DSGVO zulässigerweise entfallen können. Da die Verarbeitung nicht aufgrund einer erteilten Einwilligung erfolgt sei, habe auch (vorab) eine Information nach Art. 13 Abs. 2 lit. c DSGVO unterbleiben können. Auch seien keine Angaben zu einer etwaigen automatisierten Entscheidungsfindung bzw. einem Profiling nach lit. f leg. cit zu machen gewesen, da im Verfahren weder behauptet noch hervorgekommen sei, dass eine solche bzw. ein solches durchgeführt würde. Das Vorbringen der beschwerdeführenden Parteien, dass die hinsichtlich der Datenweitergabe an Dritte bzw. eines diesbezüglichen Widerspruchsrechts erteilte Information nicht hinreichend transparent und verständlich gewesen sei, treffe nicht zu. Die betreffenden Hinweise seien nicht – wie behauptet – ohne Separierung oder Hervorhebung im Fließtext enthalten, vielmehr seien die entsprechenden Hinweise auf der betreffenden Seite des Touch Pad-Terminals in zwei separaten, aufeinander folgenden Absätzen zu lesen, welche überdies direkt über dem Unterschriftsfeld und über jener Checkbox stünden, durch deren Ankreuzen eine Weitergabe untersagt werden hätte können. Genau hierdurch würden die beschwerdeführenden Parteien über die mögliche Datenweitergabe an Dritte zu Marketingzwecken informiert. Eine behauptete Zweckänderung sei nicht erkennbar, da der Zweck (konkret die Weitergabe personenbezogener Daten zu Marketingzwecken Dritter) bereits zu Beginn deklariert worden sei. Folglich habe keine Informationspflicht hinsichtlich Art. 13 Abs. 3 DSGVO bestanden. Im Ergebnis sei die Mitbeteiligte ihrer aus Art. 13 DSGVO erwachsenen Informationspflicht im Hinblick auf die Erstbeschwerdeführerin nachgekommen. Zu den übrigen beschwerdeführenden Parteien sei festzuhalten, dass die Informationspflicht sich aus Art. 14 DSGVO ergebe, da die personenbezogenen Daten nicht bei den betroffenen Personen erhoben worden seien. Der Vollständigkeit halber werde hierzu angemerkt, dass nach der DSGVO eine Einwilligung der betroffenen Person oder eine an den Dritten erteilte Vollmacht in diesem Zusammenhang grundsätzlich nicht erforderlich sei. Dies ergebe sich im Wesentlichen daraus, dass die betroffene Person an den von Art. 14 DSGVO geregelten Datenerhebungen in der Regel nicht mitwirke. Somit gehe das diesbezügliche Vorbringen der beschwerdeführenden Parteien ins Leere. Art. 14 Abs. 1 bis 4 DSGVO würden jedoch keine Anwendung finden, wenn und soweit die betroffene Person bereits über die Informationen verfüge (Abs. 5 leg. cit.). Wie den Feststellungen zu entnehmen sei, sei das der Erstbeschwerdeführerin ausgehändigte Vertragsformular und die hierin erteilten Informationen (vor Ort) unstrittig auch dem Zweitbeschwerdeführer zugegangen. Somit habe der Zweitbeschwerdeführer – unstrittig – bereits über alle Informationen iSd Art. 14 Abs. 1 lit. a bis e und Abs. 2 lit. a bis e DSGVO verfügt. Auch die Datenquelle iSd Art. 14 Abs. 2 lit. f leg. cit sei dem Zweitbeschwerdeführer unbestritten bekannt, da die ihn betreffenden personenbezogenen Daten – in seiner Anwesenheit – bei der Erstbeschwerdeführerin erhoben worden seien und dies anlässlich der (auch in seinem Auftrag für ihn erfolgten) Beauftragung eines Nachsendeauftrages geschehen sei. Da auch im Fall des Zweitbeschwerdeführers ein internationaler Datentransfer weder behauptet noch im Verfahren hervorgekommen sei, habe die Information gemäß Art. 14 Abs. 1 lit. f DSGVO zulässigerweise entfallen können. Überdies sei mit 21.10.2021 an alle beschwerdeführenden Parteien ein Informationsschreiben ergangen, das die gemäß Art. 14 Abs. 1 lit. a bis e und Abs. 2 lit. a bis e DSGVO zu erteilenden Informationen enthalten habe bzw. hätten auch hier die Informationen gemäß Art. 14 Abs. 1 lit. f DSGVO zulässigerweise entfallen können. Es sei daher spruchgemäß zu entscheiden gewesen.

7. Gegen diesen Bescheid erhoben die beschwerdeführenden Parteien fristgerecht Beschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG (Bescheidbeschwerde) an das Bundesverwaltungsgericht und brachten vor, dass die Sachverhaltsdarstellungen der belangten Behörde im Wesentlichen zutreffend seien, mit Ausnahme des auf dem Signatur-Pad dargestellten Inhalts und der Annahme, dass die Daten des Zweit- und Drittbeschwerdeführers sowie der Viertbeschwerdeführerin nicht für Marketingzwecke erhoben worden seien. Die belangte Behörde gehe in ihrem Bescheid von einem Inhalt des Signatur-Pad-Terminals aus, den die Erstbeschwerdeführerin und der Zweitbeschwerdeführer vor Ort nicht gesehen und wahrgenommen hätten. Die Ausführungen der belangten Behörde würden nicht die Situation in einer Filiale der Mitbeteiligten berücksichtigten. Die Mitbeteiligte trete der Erstbeschwerdeführerin und dem Zweitbeschwerdeführer in diesem Rahmen wahrnehmbar nur als ein Unternehmen gegenüber, das Leistungen gegen Entgelt oder Provision anbiete sowie den Versand oder das Abholen von Zusendungen ermögliche. Die Erstbeschwerdeführerin habe einen kostenpflichtigen Nachsendeauftrag bestellt, in diesem Rahmen rechne sie typischerweise nicht damit, dass es zusätzlich auch noch eine datenschutzrechtliche Willensbekundung für einen Adressverlag und ein Direktmarketingunternehmen geben könne. Diese Willensbekundung sei in diesem Setting auch unangebracht und überrumpelnd. Das entspreche auch der Lebenserfahrung, denn Durchschnittskunden, die eine nach einem unterzeichneten Vertrag ausgehändigte Vertragskopie erhalten, würden diese bloß entgegennehmen und, nach bereits erfolgter Erledigung aller Formalitäten inklusive Datenkontrolle, nicht auf jeder einzelnen Seite nach möglichen Überraschungen suchen. Dieser Umstand werde von der belangten Behörde im Rahmen ihrer Sachverhaltsfeststellung völlig außer Acht gelassen. Die Ausführungen der belangten Behörde, dass im Hinblick auf den Zweit- und Drittbeschwerdeführer sowie die Viertbeschwerdeführerin keine Daten zu Marketingzwecken verarbeitet worden seien, seien schlicht falsch. Die Mitbeteiligte schreibe in ihrer Stellungnahme vom 25.05.2020 eindeutig, dass sie die Daten ihrer Kunden vor Ort „originär für zwei getrennte Zwecke“ - den Vertragszweck und den Marketingzweck – erhebe. Dies ergebe sich auch aus den herangezogenen Unterlagen. Die Erhebung habe bereits vor Ort in der Filiale stattgefunden, weshalb es für die Bewertung ihrer Rechtmäßigkeit keinen Unterschied mache, ob der Zweitbeschwerdeführer in der „Robinson-Liste“ eingetragen gewesen sei oder die Mitbeteiligte behaupte, dass sie die Daten des Drittbeschwerdeführers und der Vierbeschwerdeführerin nicht an Dritte zu Marketingzwecken weitergeleitet habe. Dass die Mitbeteiligte Kundendaten für Marketingzwecke Dritter erhebe, ohne hierfür eine Einwilligung bei den Betroffenen einzuholen, sei für sich betrachtet rechtswidrig. Die Erstbeschwerdeführerin könne auch nicht wirksam über die Daten des Drittbeschwerdeführers und der Vierbeschwerdeführerin zu Zwecken des Direktmarketings für Dritte verfügen, da der von ihnen erteilte Auftrag und die Vollmacht sich nicht auf die Verwendung der Daten zu Zwecken des Direktmarketings Dritter erstreckt habe. Die belangte Behörde gehe jedoch auf diesen Umstand überhaupt nicht ein. Ein berechtigtes Interesse der Mitbeteiligten an der verfahrensgegenständlichen Datenverarbeitung sei nicht nachvollziehbar, da es für Adressverlage und Direktmarketingunternehmen andere Möglichkeiten gebe, sich Daten für ihre gewerbliche Tätigkeit zu verschaffen, als bei Abschluss eines entgeltlichen Vertrages. Dazu sei auf die von der belangten Behörde genehmigten Verhaltensregeln gemäß Art. 40 Abs. 5 DSGVO für „Adressverlage und Direktmarketingunternehmen gemäß § 151 Gewerbeordnung“ zu verweisen. Die von der belangten Behörde genehmigten Verhaltensregeln würden in § 4 CoC regeln, dass die „Ermittlung von Daten durch Adressverlage und Direktmarketingunternehmen für Marketingzwecke Dritter (…) ausschließlich im Rahmen des § 151 GewO, insbesondere seines Abs. 3, erfolgt“. Dieser Abs. 3 liste als zulässige Datenquellen abschließend auf: „öffentlich zugängliche Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen“ (dies mit der Einschränkung der Erforderlichkeit, Verhältnismäßigkeit und Zulässigkeit nach Abs. 4 und 5). Das OLG sei zu dem Schluss gekommen, dass die Voraussetzungen des § 151 Abs. 3 und 5 GewO von der Mitbeteiligten im Rahmen einer Datenverarbeitung zu Marketingzwecken nicht eingehalten würden, weshalb sich die Mitbeteiligte für die Datenverwendung zu Marketingzwecken Dritter im vorliegenden Fall nicht auf Art. 6 Abs. 1 lit. f DSGVO stützen könne und es dafür auch kein offenkundiges Interesse gebe. Damit gebe es keinen Rechtmäßigkeitsgrund für diese Datenverarbeitung, weshalb die Erstbeschwerdeführerin und auch die übrigen beschwerdeführenden Parteien durch diese unrechtmäßige Datenverarbeitung in ihrem Recht auf Geheimhaltung verletzt worden seien. Ebenso liege ein Verstoß gegen den „Privacy by default“-Grundsatz vor, da von den beschwerdeführenden Parteien keine Einwilligung eingeholt worden sei, wo eine solche eigentlich notwendig gewesen wäre.

Im Hinblick auf eine Verletzung im Recht auf Information sei festzuhalten, dass der Erstbeschwerdeführerin am Signatur-Pad keine weiterführenden Hinweise und Informationen über die Datenverarbeitung zu Marketingzwecken Dritter angezeigt worden seien. Sie habe vor Ort keine Kenntnis darüber gehabt, dass die Mitbeteiligte ihre Daten für diesen Zweck nutzen wolle. Damit liege ein Verstoß gegen eine Datenverarbeitung nach Treu und Glauben, das Transparenzgebot sowie die Informationspflichten nach Art. 13 DSGVO vor. Selbst ausgehend vom unrichtig festgestellten Sachverhalt lasse die belangte Behörde in ihrer Begründung außer Acht, dass der Verantwortliche die Informationen so darstellen müsse, dass die betroffene Person sie ohne übermäßigen kognitiven oder zeitlichen Aufwand tatsächlich nachvollziehen könne. Auf dem Signatur-Pad komme es zu keiner klaren Trennung der datenschutzrechtlichen Informationen von den Vertragsbestimmungen. Vielmehr sei es überraschend, dass es auf dem von der belangten Behörde für die Beweiswürdigung herangezogenen Signatur-Pad zunächst Informationen zum Vertrag gebe, sich daran anschließend datenschutzrechtliche Informationen zur Datenweitergabe finden würden und rechts am Ende des Displays ein sehr großes, ins Auge springendes Unterschriftenfeld für den Vertrag sowie links davon ein wesentlich kleineres „Opt-Out“-Feld für die Datenweitergabe platziert sei. Die Ausgestaltung des Signatur-Pads vermische vertragsrechtliche mit datenschutzrechtlichen Informationen. Unabhängig davon gehe die belangte Behörde nicht auf den Umstand ein, dass das für ihre Würdigung herangezogene Signatur-Pad vor Ort wohl nicht so gut wahrgenommen werden könne, wie das bei dem von der Mitbeteiligten übermittelten Bild der Fall sei. Das kleinere Feld für ein „Opt-Out“ zur Datenweitergabe gehe für einen Durchschnittskunden unter. Dafür sorge nicht nur die am Signatur-Pad gewählte Umsetzung, sondern auch der Umstand, dass der Kunde ein Feld zum Ankreuzen nicht mit einem „Opt-Out“ für die Datenweitergabe, sondern allenfalls mit einer optionalen Einwilligung für den Erhalt von Post-Eigenwerbung (Brief, SMS E-Mail, …) in Verbindung bringe. Das führe dazu, dass der Durchschnittsadressat, der keine Werbung möchte, nicht das „Opt-Out“ auswähle, sondern keine Reaktion zeige. Zudem hätten bereits zum Zeitpunkt der erstmaligen Datenerhebung die Erfassung und Darstellung der Daten durch die Mitarbeiterin der Mitbeteiligten zur Kontrolle und Bestätigung sowie die Hinweise nach Art. 13 DSGVO auf dem Signatur-Pad aufscheinen müssen. Auf die Möglichkeit des jederzeitigen Widerspruchs nach Art. 21 Abs. 2 und 3 DSGVO bzw. das Recht der Untersagung der Datenübermittlung gemäß § 151 Abs. 5 GewO sowie auf das sich daraus ergebende Löschungsrecht nach § 151 Abs. 8 GewO sei bei der Datenermittlung ebenfalls besonders und unmissverständlich hinzuweisen. Auf dem Signatur-Pad würden diese maßgeblichen Informationen unbestritten fehlen. Insgesamt ergebe sich, dass die Mitbeteiligte ihre Pflichten gemäß Art. 13 DSGVO nicht erfüllt habe.

8. Mit Schreiben vom 10.12.2021 legte die belangte Behörde die Beschwerde sowie den bezughabenden Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme ab, in welcher sie ergänzend ausführte, dass die Feststellungen hinsichtlich des auf dem verfahrensgegenständlichen Touch Pad-Terminal dargestellten Inhalts auf den seitens der Mitbeteiligten im Rahmen ihrer Eingabe vom 25.05.2020 vorgelegten Beweismitteln beruhen würden. Dem (im Wesentlichen unsubstantiiert gebliebenen) Vorbringen der beschwerdeführenden Parteien, dass der auf dem Signatur-Pad dargestellte Text nicht jenem Text entspreche, der auf dem in der Filiale ausgehändigten Papierformular abgedruckt gewesen sei, habe angesichts der Tatsache, dass der Wortlaut beider Informationstexte tatsächlich wortident sei, nicht gefolgt werden können. Sehr wohl glaubhaft erscheine, dass die beschwerdeführenden Parteien sich bei der Unterschriftsleistung durch die – seitens der Mitbeteiligten jedoch nicht zu vertretenden - Gegebenheiten vor Ort derart gestört gefühlt hätten, dass sie die ihnen zur Verfügung gestellten Informationstexte nicht gelesen hätten. Zudem sei festzuhalten, dass gegenständlich zwar unbestrittenermaßen personenbezogene Daten aller beschwerdeführenden Parteien im Rahmen des Vertragsabschlusses „Nachsendeauftrag“ erhoben bzw. erfasst worden seien, allein dieser Umstand jedoch nicht ausreiche, dass eine festzustellende Rechtsverletzung vorliege oder vorgelegen sei. Das Erheben bzw. Erfassen von personenbezogenen Daten stelle nur einen der in Art. 4 Z 2 DSGVO aufgezählten Verarbeitungsschritte dar und sei dies unzweifelhaft zum Zweck der Vertragserfüllung erfolgt. In diesem Zusammenhang würden die beschwerdeführenden Parteien außerdem (wiederholt) verkennen, dass die Mitbeteiligte eine etwaige Verarbeitung von anlässlich der Beauftragung eines Nachsendeauftrages erhobenen Daten zu Marketingzwecken nicht auf eine etwaige Einwilligung der Betroffenen stütze. Die Entscheidung des OLG vom 24.06.2020, 4R 18/20a, sei für den vorliegenden Fall nicht einschlägig, da dort Verfahrensgegenstand die Frage des Vorliegens einer wirksamen Parteienvereinbarung bezüglich der in Vertragsformblättern enthaltenen Vertragsbestimmungen bzw. einer diesbezüglich rechtswirksamen Einwilligungserklärung gewesen sei. Die Erstbeschwerdeführerin habe es zudem unterlassen, ein berechtigtes Interesse ihrerseits (substantiiert) darzulegen und es verabsäumt, sie begünstigende Umstände in schlüssiger Weise zu behaupten oder zu konkretisieren. Zur fraglich vorliegenden Bevollmächtigung der Erstbeschwerdeführerin, namens der übrigen beschwerdeführenden Parteien in eine (Weiter-)Verarbeitung zu Marketingzwecken ihrer Daten wirksam einwilligen zu können, sei festzuhalten, dass die Erstbeschwerdeführerin unbestritten im Einvernehmen aller beschwerdeführenden Parteien (und außerdem im Beisein des Zweitbeschwerdeführers) den verfahrensgegenständlichen Nachsendeauftrag erteilt habe. Sie hätten sich somit in diesem Zusammenhang freiwillig und gewillkürt vertreten lassen und seien deren personenbezogene Daten – wie festgehalten – iSd Art. 4 Z 2 DSGVO zum Zwecke der Vertragserfüllung verarbeitet worden. Unbeschadet dessen, dass eine (Weiter-)Verarbeitung zu Marketingzwecken ihrer Daten tatsachlich nicht stattgefunden habe, hätte eine solche Datenverarbeitung nicht auf einer diesbezüglich (rechtswirksam) erteilen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) gegründet, sondern auf der Rechtsgrundlage „berechtigte Interessen“ (Art. 6 Abs. 1 lit. f leg. cit.). Somit sei auf die Frage, ob die Erstbeschwerdeführerin ausreichend bevollmächtigt gewesen sei, namens der übrigen beschwerdeführenden Parteien in die (Weiter-)Verarbeitung derer personenbezogener Daten einzuwilligen, im vorliegenden Fall nicht näher einzugehen.

9. Das Bundesverwaltungsgericht übermittelte die Stellungnahme der belangten Behörde den beschwerdeführenden Parteien sowie die Beschwerde und Stellungnahme der belangten Behörde der Mitbeteiligten im Wege der Beschwerdemitteilung gemäß § 10 VwGVG zur Kenntnis- und Stellungnahme.

10. Die Mitbeteiligte erstattete am 17.06.2022 eine Beschwerdebeantwortung und führte zusammengefasst aus, dass zum Zeitpunkt des Vertragsabschlusses ausschließlich jener Informationstext verwendet worden sei, dessen Verwendung im angefochtenen Bescheid festgestellt worden sei. Es sei nicht nachvollziehbar, dass der festgestellte Informationstext nicht wahrgenommen worden sei, im Ergebnis sei dies aber auch nicht relevant, da der Erstbeschwerdeführerin bereits vor Ort eine detaillierte Datenschutzinformation ausgehändigt worden sei und die beschwerdeführenden Parteien wenige Tage später postalisch erneut informiert worden seien. Die behauptete Beschwer hinsichtlich des Rechts auf Information könne daher nicht nachvollzogen werden. Auch hinsichtlich des Rechts auf Geheimhaltung sei festzuhalten, dass durch die vor Ort und nachträglich per Post erteilten Informationen sowie durch die Einhaltung einer 21-tägigen Sperrfrist sichergestellt worden sei, dass die Erstbeschwerdeführerin gemäß § 151 GewO rechtzeitig über die Möglichkeit des Widerspruchs informiert worden sei. Die Datenverarbeitung sei somit rechtmäßig erfolgt, überdies sei aufgrund der Sperre und Löschung der Daten der Erstbeschwerdeführerin im Mai 2020 keine Beschwer und kein Rechtsschutzinteresse der Erstbeschwerdeführerin erblickbar. Die Daten der weiteren beschwerdeführenden Parteien seien für Marketingzwecke Dritte nicht weitergegeben worden. Erst eine Datenweitergabe würde eine Datenverarbeitung für Marketingzwecke Dritter verwirklichen. Eine Beschwer sei daher nicht nachvollziehbar.

11. Die beschwerdeführenden Parteien gaben am 21.06.2022 eine Stellungnahme ab und führten aus, dass die Formulierungen auf dem Touch-Pad laufend angepasst würden, es sei nicht nachvollziehbar, weshalb die belangte Behörde keine weitere Überprüfung vorgenommen habe. Dies führe zu mangelhaften Sachverhaltsfeststellungen. Die Erhebung der Daten zu Marketingzwecken Dritter vor Ort sei bereits unrechtmäßig, das Erheben, Erfassen und/oder Speichern von Daten stelle gemäß Art. 4 Z 2 DSGVO bereits eine Datenverarbeitung dar, weshalb alle beschwerdeführenden Parteien in ihrem Recht auf Geheimhaltung im Hinblick auf diese Datenverarbeitung verletzt seien. Daran könne auch eine 21-tägige Sperrfrist der Mitbeteiligten nichts ändern. Weshalb die Mitbeteiligte ein berechtigtes Interesse an der Datenverarbeitung zu Marketingzwecken Dritter haben solle, wenn sie den beschwerdeführenden Parteien als Dienstleisterin entgegentrete, die für ihre Leistung – den Nachsendeauftrag – ein Entgelt erhalte, erschließe sich nicht. Der von der belangten Behörde gemachte Verweis darauf, dass die Mitbeteiligte Gewerbetreibende gemäß § 151 GewO sei und deshalb Daten für die Ausübung dieser Tätigkeit erheben dürfe, überzeuge nicht, denn im konkreten Fall liege eine Zweigleisigkeit der Mitbeteiligten vor. Sie gehe zwei vollkommen unterschiedlichen Gewerbetätigkeiten nach (Erbringung von Postdienstleistungen und Gewerbe gemäß § 151 GewO). Die im Erwägungsgrund 47 angeführte Erwartungshaltung der betroffenen Person bei der Interessensabwägung werde von der belangten Behörde nicht berücksichtigt. Kein Beschwerdeführer rechne mit solchen Datenverarbeitungen, -verknüpfungen sowie -weiterleitungen an ihm völlig unbekannte Dritte, wenn er lediglich von der Mitbeteiligten gegen Entgelt eine Dienstleistung beziehe. Die belangte Behörde müsse spätestens bei einer Interessenabwägung zum Ergebnis kommen, dass es an der Datenverarbeitung zu Marketingzwecken Dritter kein überwiegendes berechtigtes Interesse geben könne. Eine pauschale Anwendung von § 151 GewO lasse auf jeden Fall die nach Art. 6 Abs. 1 lit. f DSGVO erforderliche Beurteilung der beidseitigen Interessen im Einzelfall außer Acht. Ergänzt sei dazu noch, dass die Mitbeteiligte – auch wenn sie zunächst nur die von der Datenschutzbehörde angeführten „Stammdaten“ erhebe, diese – soweit überblickbar – zum damaligen Zeitpunkt auch mit sensiblen Informationen, wie zum Beispiel der „Parteienaffinität“ oder den „Sinus-Geo-Milieus“ verknüpft habe, sodass die Datenverarbeitung in weiterer Folge übermäßig in die Privatsphäre eingreife. Auch ein sonstiger Rechtmäßigkeitsgrund gemäß Art. 6 DSGVO sei nicht gegeben, weshalb die Datenverarbeitung zu Marketingzwecken Dritter unrechtmäßig erfolgt sei. Betreffend eine Verletzung im Recht auf Information sei festzuhalten, dass die erteilten Informationen unvollständig seien, weshalb eine Beschwer gegeben sei.

12. Mit Schriftsatz vom 02.06.2023 stellten die beschwerdeführenden Parteien einen Antrag auf Durchführung einer mündlichen Verhandlung zur Einvernahme der Erstbeschwerdeführerin und des Zweitbeschwerdeführers bzw. regten die beschwerdeführenden Parteien an, das Bundesverwaltungsgericht wolle von Amts wegen eine mündliche Verhandlung durchführen, da dies zur Klärung des Sachverhaltes — Feststellung des auf dem Touchpad zum damaligen Zeitpunkt wiedergegebenen Textes, Situation in der Postfiliale vor Ort — erforderlich erscheine. Die von beschwerdeführenden Parteien im Rahmen des Verfahrens vor der belangten Behörde eingebrachten Einwände gegen den von der Mitbeteiligten behaupteten Inhalt des Touchpads zum damaligen Zeitpunkt seien weder im schriftlichen Verfahren vor der Datenschutzbehörde noch im Verfahren des Bundesverwaltungsgerichtes bisher hinreichend erörtert worden.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Es wird von den Ausführungen oben unter Punkt I. zum Verfahrensgang (Verwaltungsgeschehen) und Sachverhalt, insbesondere von den Feststellungen der belangten Behörde im angefochtenen Bescheid, ausgegangen.

Damit steht insbesondere fest:

Die Mitbeteiligte ist Universaldienstbetreiberin im Sinne des § 12 Abs. 1 PMG und erbringt unter anderem Post-, Paket- und Logistikdienstleistungen aller Art. Zudem betreibt sie seit 03.04.2001 das Gewerbe „Adressenverlag und Direktwerbeunternehmen“ gemäß § 151 GewO. Im Rahmen dieser Tätigkeit bietet die Mitbeteiligte ihren Kund:innen gegen Entgelt die Möglichkeit an, Briefsendungen, Päckchen und/oder Pakete an eine andere Adresse in einem Zeitraum von mindestens drei bis maximal zwölf Monaten nachzusenden. Ein solcher „Nachsendeauftrag“ kann sowohl online wie auch vor Ort in einer Filiale der Mitbeteiligten beauftragt werden.

Am 16.10.2019 beauftragte die Erstbeschwerdeführerin in einer Filiale der Mitbeteiligten und in Anwesenheit des Zweitbeschwerdeführers einen „Nachsendeauftrag Inland – Nachsendeauftrag wegen Umzug“ für sich und die anderen beschwerdeführenden Parteien. Die Erstbeschwerdeführerin teilte der Filialmitarbeiterin der Mitbeteiligten mündlich die bisherige Adresse bzw. die Adresse, für die ein Nachsendeauftrag eingerichtet werden sollte, die Zieladresse für nachgesendete Sendungen, die Art der nachzusendenden Sendungen, die Dauer des Nachsendeauftrages sowie die Personen, für die der Nachsendeauftrag eingerichtet werden sollte, mit. Diese Daten wurden von der Filialmitarbeiterin der Mitbeteiligten elektronisch sowohl für den Vertragsabschluss als auch für Marketingzwecke erfasst. Die erfassten Daten wurden der Erstbeschwerdeführerin mündlich wiedergegeben und unterschrieb diese die Erteilung des Nachsendeauftrages anschließend auf einem vor Ort zur Verfügung gestellten Touch Pad-Terminal.

Auf dem Touch Pad-Terminal wurde über dem für die Unterschriftsleistung vorgesehenen Feld folgender Text angezeigt (Formatierung nicht in 1:1 wiedergegeben):

Durch das Anklicken der – neben dem für die Unterschriftsleistung vorgesehenen Feld – (nicht vorangekreuzten) Checkbox hätte einer Datenübermittlung der personenbezogenen Daten (Anrede, Titel, Vornahme, Nachname, Geburtsdatum, Adresse) an Dritte zu Marketingzwecken widersprochen werden können. Weder die Filialmitarbeiterin der Mitbeteiligten noch die Erstbeschwerdeführerin setzten ein entsprechendes Kreuz, mit der Datenweitergabe nicht einverstanden zu sein.

Im Anschluss an die Unterschriftsleistung wurde der Erstbeschwerdeführerin eine an sie und die anderen beschwerdeführenden Parteien gerichtete Bestätigung über die getroffene Vereinbarung in Papierform ausgehändigt, in welcher der folgend abgebildete Text enthalten war (Auszüge soweit verfahrensrelevant, Formatierung nicht in 1:1 wiedergegeben):

Am 21.10.2019 erhielten alle beschwerdeführenden Parteien jeweils ein – unbeschadet der persönlichen Adressierung bzw. Personalisierung des Textes – inhaltlich gleichlautendes Schreiben der Mitbeteiligten, anhand dessen weiterführende Informationen erteilt wurden, insbesondere, dass seitens der Mitbeteiligten personenbezogene Daten für Werbezwecke an Dritte übermittelt werden könnten (exemplarische Abbildung des an die Viertbeschwerdeführerin adressierten Schreibens, Formatierung nicht in 1:1 wiedergegeben):

Die beschwerdeführenden Parteien widersprachen auch nach Erhalt der Informationsschreiben einer Verarbeitung der erhobenen Daten zu Marketingzwecken nicht.

Hinsichtlich der Erstbeschwerdeführerin wurde – spätestens nach Ablauf der 21-tägigen Sperrfrist, dh mit 07.11.2019, und zumindest bis zum Zugang der verfahrensgegenständlichen Datenschutzbeschwerde an die Mitbeteiligte am 11.05.2020 – ein entsprechender Datensatz, beinhaltend ihre Adressdaten (Anrede, Titel, Vorname, Nachname, Geburtsdatum und Adresse), zu Marketingzwecken an Dritte weitergeleitet.

Hinsichtlich des Zweitbeschwerdeführers wurden infolge seiner mit 03.11.2005 erfolgten Eintragung in die Liste des Fachverbands Werbung und Marktkommunikation der Wirtschaftskammer Österreich, in welche aller Personen eingetragen sind, die die Zustellung von Werbematerial für sich ausschließen wollen (sog. „Robinsonliste“) keine seiner erhobenen personenbezogenen Daten zu Marketingzwecken an Dritte weitergeleitet.

Hinsichtlich des Drittbeschwerdeführers und der Viertbeschwerdeführerin wurden deren personenbezogene Daten aufgrund vorliegender Zweifel seitens der Mitbeteiligten bezüglich deren Volljährigkeit ebenfalls nicht zu Marketingzwecken an Dritte weitergeleitet.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt sowie dem gegenständlichen Gerichtsakt, insbesondere aus dem angefochtenen Bescheid. Die für die Entscheidung wesentlichen Umstände im Tatsachenbereich sind geklärt und die relevanten Ermittlungsergebnisse und Urkunden liegen im Verwaltungsakt ein. Die belangte Behörde hat ein mängelfreies, ordnungsgemäßes Ermittlungsverfahren durchgeführt und in der Begründung des angefochtenen Bescheides den maßgeblichen Sachverhalt in Übereinstimmung mit der Aktenlage richtig festgestellt. Das Bundesverwaltungsgericht teilt auch die die entscheidungsmaßgeblichen Feststellungen tragende Beweiswürdigung der belangten Behörde. Diesem Sachverhalt und der Beweiswürdigung traten die beschwerdeführenden Parteien nicht bzw. mit bloß unsubstantiiertem Vorbringen entgegen.

Die beschwerdeführenden Parteien haben den von der belangten Behörde festgestellten Sachverhalt in ihrer Bescheidbeschwerde nicht in Abrede gestellt, mit Ausnahme des von der belangten Behörde festgestellten, auf dem Touch Pad-Terminal angezeigten, Textes (und der, allerdings rechtlichen, Annahme, dass die Daten der zweit- bis viertbeschwerdeführenden Parteien nicht für Marketingzwecke erhoben worden seien).

Das Bundesverwaltungsgericht schließt sich (auch) hinsichtlich der Ausgestaltung des Touch-Pad-Terminals bzw. der hierauf bei Unterschriftsleistung dargestellten Information und der Checkbox, durch deren Ankreuzen einer Datenweitergabe hätte widersprochen werden können, den Sachverhaltsfeststellungen der belangten Behörde im angefochtenen Bescheid, wonach die (in den Feststellungen [des Bescheides] dargestellte) Abbildung, welche von der Mitbeteiligten im Rahmen ihrer Stellungnahme vom 25.05.2020 vorgelegt worden war, zu Grunde gelegt wurde, an.

Weiters wird auch die diesbezügliche Beweiswürdigung der belangten Behörde geteilt. Die belangte Behörde führte schlüssig aus, aufgrund des von der Mitbeteiligten vorgelegten Beweismittels (der Abbildung des Touch-Pad-Terminals) und der sich hieraus klar hervorgehenden Sachlage sei den diesbezüglichen Angaben der Mitbeteiligten zu folgen. Das dagegensprechende Vorbringen der beschwerdeführenden Parteien sei unglaubwürdig, nicht nachvollziehbar und wenig überzeugend. Deren Behauptung, dass es auf dem Touch-Pad-Terminal „keine Hinweise auf datenschutzrelevante Themen oder andere Vertragsinhalte“ gegeben hätte, sei unglaubwürdig, da auf dem von der Mitbeteiligten vorgelegten Beweismittel Gegenteiliges klar ersichtlich sei. So sei auf der entsprechenden Seite nicht (wie von den beschwerdeführenden Parteien behauptet) „nur Platz für eine Unterschrift“, sondern es befänden sich auf derselben Seite über dem für die Unterschriftsleistung vorgesehenen Feld vier Absätze (Informations-)Text sowie eine Checkbox mit Text neben dieser. Wenngleich die beschwerdeführenden Parteien behaupten, dass der auf dem Touch-Pad-Terminal dargestellte Text nicht jenem Text entsprechen würde, der auch in dem der Erstbeschwerdeführerin in der Filiale ausgehändigten Papierformular abgedruckt wäre, seien die (Informations)Texte in der (von der Mitbeteiligten als Beweismittel vorgelegten) Abbildung des Touch-Pad-Terminals und in dem von den beschwerdeführenden Parteien (im Rahmen des Beschwerdeschriftsatzes) vorgelegten Vertragsformular tatsächlich wortident. Dem Vorbringen der beschwerdeführenden Parteien, die Information über die Datenweitergabe könne auf dem Touch-Pad-Terminal jedenfalls nicht leicht ersichtlich gewesen sein und auch ein entsprechender Hinweis im noch vor Ort ausgehändigten Formular sei nicht wahrnehmbar gewesen, widerspreche die in der Abbildung des Touch-Pad-Terminals deutlich sichtbare – nicht vorangekreuzte – Checkbox, neben welcher – ebenso deutlich lesbar – der Text „Ich bin mit einer Datenweitergabe nicht einverstanden.“ stehe bzw. unmittelbar vorangehend in optisch getrennten Abschnitten (in zwei von vier Absätzen) Information zur Weitergabe zu Marketingzwecken angezeigt werde. Auch aus den von den beschwerdeführenden Parteien selbst vorgelegten Unterlagen werde tatsächlich ersichtlich, dass ein entsprechender (Hinweis-) Text in einem eigenen mittels Rahmen von anderen Inhalten optisch getrennten Abschnitt (in zwei von vier Absätzen) zu lesen sei und nicht wie behauptet, im Fließtext versteckt bzw. nicht ausreichend hervorgehoben gewesen wäre. Es sei wenig glaubhaft, dass dem Zweitbeschwerdeführer angesichts seiner behaupteten Sensibilisierung der Hinweis in seiner konkreten (festgestellten) Ausgestaltung weder auf dem Touch-Pad-Terminal noch auf dem später ausgehändigten Formularausdruck nicht auffallen hätte müssen. Dass der Hinweis auf die Datenweitergabe weder für die Erstbeschwerdeführerin noch für den Zweitbeschwerdeführer vor Ort wahrnehmbar gewesen sei, sei nicht nachvollziehbar und wenig überzeugend.

Das Bundesverwaltungsgericht teilt die Sachverhaltsfeststellung bzw. Beweiswürdigung der belangten Behörde, da die Mitbeteiligte bereits im behördlichen Verfahren ein umfangreiches Vorbringen zum Inhalt der auf dem Touch-Pad-Terminal angezeigten Informationen erstattet und auch eine Abbildung des Inhalts, wie er zum Zeitpunkt des Vertragsabschlusses in den Filialen der Mitbeteiligten für die Erteilung von Nachsendeaufträgen verwendet wurde, vorgelegt hat. In ihrer Beschwerdebeantwortung vom 15.06.2022 bestätigte die Mitbeteilige abermals glaubwürdig, dass zum Zeitpunkt des Vertragsabschlusses ausschließlich jener Informationstext verwendet wurde, dessen Verwendung von der belangten Behörde auch festgestellt wurde. Vor diesem Hintergrund sind die im Beschwerdeverfahren wiederholten, allgemein und pauschal gehaltenen Bestreitungen der beschwerdeführenden Parteien und ihr Hinweis auf den Inhalt eines im September 2021 – sohin etwa zwei Jahre nach dem gegenständlichen Vertragsabschluss – auf einem Touch-Pad-Terminal verwendeten Textes zur Einrichtung eines – nicht verfahrensgegenständlichen – Urlaubspostfaches nicht geeignet, die diesbezüglichen Feststellungen der belangten Behörde in Zweifel zu ziehen. Das Bundesverwaltungsgericht kann auch nicht finden, dass die von beschwerdeführenden Parteien im Rahmen des Verfahrens vor der belangten Behörde eingebrachten Einwände gegen den von der Mitbeteiligten behaupteten Inhalt des Touch-Pad-Terminals im Verfahren vor der belangten Behörde nicht hinreichend erörtert worden wären. Vielmehr hat die belangte Behörde ein ordnungsgemäßes Ermittlungsverfahren durchgeführt und den beschwerdeführenden Parteien hierzu das Parteiengehör gewährt, sodass sie ausreichend Gelegenheit hatten, ihr Vorbringen zu erstatten und ihren Standpunkt zu vertreten. Sie waren jedoch, wie die belangte Behörde zutreffend ausgeführt hat, nicht in der Lage, dem Vorbringen und den Beweismitteln der Mitbeteiligten substantiiert und glaubwürdig entgegenzutreten. Der belangten Behörde ist auch in ihrer Einschätzung zu folgen, dass nicht davon ausgegangen werden kann, dass die Mitbeteiligte zu dieser Zeit zwei unterschiedliche Ausgestaltungen der auf dem Touch-Pad-Terminal angezeigten Information in Verwendung hatte. Weiters spricht auch der Umstand, dass die Informationstexte gemäß der festgestellten Ausgestaltung des Touch-Pad-Terminals und auf dem in der Filiale der Erstbeschwerdeführerin ausgehändigten Vereinbarung in Papierform tatsächlich wortident sind, dafür, dass verfahrensgegenständlich ein Touch-Pad-Terminal in der festgestellten Form verwendet wurde, auch dies hat die belangte Behörde zutreffend aufgezeigt. Es haben sich für das Bundesverwaltungsgericht insgesamt keine substantiellen Anhaltspunkte ergeben, weshalb das Vorbringen der Mitbeteiligten zum festgestellten Inhalt des Textes auf dem Touch Pad-Terminal nicht den Tatsachen entsprechen sollte bzw. warum die Mitbeteiligte zum fallgegenständlichen Zeitpunkt einen anderen (als den festgestellten) Text auf ihrem Touch Pad-Terminal hätte zur Anwendung bringen sollen. Vielmehr erscheint plausibel, dass – wie die beschwerdeführenden Parteien in ihrer Bescheidbeschwerde selbst ausführen – die Erst- und der Zweitbeschwerdeführer den Inhalt des Signatur-Pad-Terminals aufgrund der vorgebrachten „Situation“ in der Filiale der Mitbeteiligten nicht wahrgenommen haben. Dies führt jedoch (gerade) nicht dazu, dass die Feststellungen der belangten Behörde zum im Vertragsabschlusszeitpunkt auf dem Touch Pad-Terminal angezeigten Textinhalt nicht richtig wären. Wie sich zudem aus den im Verwaltungsakt enthaltenen Lichtbildern ergibt, stellt sich der betreffende Inhalt auf dem Touch Pad-Terminal auch nicht als so klein und schlecht lesbar dar, dass dies der Kenntnisnahme des Inhaltes, auch hinsichtlich der Untersagungsmöglichkeit der Übermittlung der Daten an Dritte zu Marketingzwecken, entgegenstünde.

Im Ergebnis vermochten die beschwerdeführenden Parteien den behördlichen Feststellungen, soweit diese bestritten wurden, nicht substantiiert entgegenzutreten. Dem Vorbringen der beschwerdeführenden Parteien im Beschwerdeverfahren ist insgesamt entgegenzuhalten, dass damit überwiegend schon im verwaltungsbehördlichen Verfahren erstattetes Vorbringen, welchem von der belangten Behörde jedoch schlüssig nicht gefolgt wurde, wiederholt und bekräftigt wird. Bloßes Wiederholen und Bekräftigen des eigenen Vorbringens kann jedoch nicht als substantiiertes Bestreiten angesehen werden (vgl. VwGH 15.03.2016, Ra 2015/19/0302, unter Hinweis auf VwGH 27.05.2015, Ra 2015/18/0021).

Damit steht der entscheidungswesentliche Sachverhalt aber fest. Einer weiteren Klärung des Sachverhaltes unter Einvernahme der beschwerdeführenden Parteien und Durchführung einer mündlichen Verhandlung, wie von den beschwerdeführenden Parteien in ihrem Schriftsatz vom 02.06.2023 beantragt bzw. angeregt, bedarf es daher nicht.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerde wurde fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

3.3. In der Sache:

3.3.1 Rechtsgrundlagen:

3.3.1.1. § 1 Abs. 1 und 2 DSG lauten:

„(1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.“

3.3.1.2. Art. 4 Z 1, 2, 7 und 11 DSGVO lauten:

„Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“: jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

7. „Verantwortlicher“: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

11. „Einwilligung“ der betroffenen Person: jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;“

3.3.1.3. Art. 5 DSGVO lautet:

„Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

(f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

3.3.1.4. Art. 6 Abs. 1 lit. a und f DSGVO lauten:

„Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“

3.3.1.5. Art. 12 Abs. 1 DSGVO lautet:

„Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.“

3.3.1.6. Art. 13 DSGVO lautet:

„Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person

(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und

f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.“

3.3.1.7. Art. 14 DSGVO lautet:

„Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden

(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) die Kategorien personenbezogener Daten, die verarbeitet werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;

g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2

a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,

b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,

c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.

(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

a) die betroffene Person bereits über die Informationen verfügt,

b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,

c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder

d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.“

3.3.1.8 Erwägungsgrund 47 der DSGVO lautet:

„Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht. Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen. Da es dem Gesetzgeber obliegt, per Rechtsvorschrift die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu schaffen, sollte diese Rechtsgrundlage nicht für Verarbeitungen durch Behörden gelten, die diese in Erfüllung ihrer Aufgaben vornehmen. Die Verarbeitung personenbezogener Daten im für die Verhinderung von Betrug unbedingt erforderlichen Umfang stellt ebenfalls ein berechtigtes Interesse des jeweiligen Verantwortlichen dar. Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“

3.3.1.9. § 151 Abs. 1,3 und 5 GewO lauten:

„(1) Auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden sind die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 199 vom 4.5.2016 S 1, (im Folgenden: DSGVO), sowie des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I. Nr. 165/1999, in der Fassung des Bundesgesetzes BGBl. I. Nr. 120/2017, anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.(3) Die in Abs. 1 genannten Gewerbetreibenden sind berechtigt, für ihre Tätigkeiten gemäß Abs. 1 und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für

1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder

2. das Listbroking

erforderlich und gemäß Abs. 4 und 5 zulässig ist.

(5) Soweit keine Einwilligung der betroffenen Personen gemäß Art. 4 Z 11 DSGVO zur Übermittlung ihrer Daten für Marketingzwecke Dritter vorliegt, dürfen die in Abs. 1 genannten Gewerbetreibenden aus einem Kunden- und Interessentendateisystem eines Dritten nur die Daten

1. Namen,

2. Geschlecht,

3. Titel,

4. akademischer Grad,

5. Anschrift,

6. Geburtsdatum,

7. Berufs-, Branchen- oder Geschäftsbezeichnung und

8. Zugehörigkeit der betroffenen Person zu diesem Kunden- und Interessentendateisystem

ermitteln. Voraussetzung hiefür ist – soweit nicht die strengeren Bestimmungen des Abs. 4 Anwendung finden –, dass der Inhaber des Dateisystems dem Gewerbetreibenden nach Abs. 1 gegenüber schriftlich unbedenklich erklärt hat, dass die betroffenen Personen in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen, und dass keine Untersagung erfolgt ist.

3.3.2. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes:

Das Bundesverwaltungsgericht schließt sich bei seiner Beurteilung den tragenden Erwägungen des Bundesverwaltungsgerichtes im Erkenntnis vom 20.04.2023, W176 2247508-1/8E, dessen Gegenstand ebenfalls die Verarbeitung von personenbezogenen Daten zu Marketingzwecken durch die Mitbeteiligte im Rahmen der Einrichtung eines Urlaubspostfaches war, an und geht davon aus, dass die dort angestellten Überlegungen auf den vorliegenden Fall übertragen werden können.

3.3.2.1. Zur behaupteten Verletzung im Recht auf Geheimhaltung gemäß § 1 DSG:

3.3.2.1.1. Zum Vorliegen einer Verarbeitung der personenbezogenen Daten zu Marketingzwecken:

Die belangte Behörde führte zur Datenschutzbeschwerde des Zweit- und Drittbeschwerdeführers sowie der Viertbeschwerdeführerin aus, dass gegenständlich zwar unbestrittenermaßen personenbezogene Daten aller beschwerdeführenden Parteien im Rahmen des Vertragsabschlusses „Nachsendeauftrag“ erfasst und folglich auch iSd Art. 4 Z 2 DSGVO zum Zwecke der Vertragserfüllung durch die Mitbeteiligte verarbeitet worden seien, aber allein dieser Umstand nicht ausreiche, dass eine festzustellende Rechtsverletzung vorliege oder vorgelegen habe, weil die Verarbeitung zu dem vermeintlich inkriminierten Zweck der Verwendung im Rahmen des § 151 GewO a priori gar nicht vorliege. Es sei tatsächlich nicht zu einer (Weiter-) Verarbeitung zu Marketingzwecken Dritter gekommen.

Dieser Ansicht der belangten Behörde kann nicht gefolgt werden.

Gemäß Art. 4 Z 2 DSGVO bezeichnet der Begriff „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Zur Begriffsbestimmung „Erheben“: Erheben ist das Beschaffen (in der englischen Übersetzung „collection“) von Daten über eine betroffene Person. Erheben bezeichnet damit einen Vorgang, durch den die erhebende Stelle Kenntnis von den betreffenden Daten erhält oder die Verfügungsmacht über die Daten begründet. Das Erheben setzt ein aktives Handeln des Verantwortlichen voraus. Daten können zum einen gezielt erhoben werden, indem Daten technisch – etwa durch einen Sensor, eine Kamera oder ein anderes Datenaufnahmegerät – erfasst werden. Alternativ kann auch ein Mensch die Daten wahrnehmen und in ein informationstechnisches System eingeben (vgl. Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Art. 4 Nr. 2 Rn 15).

Zur Begriffsbestimmung „Erfassen“: Der Vorgang des Erfassens steht in einem engen Zusammenhang mit der Erhebung von personenbezogenen Daten und bezeichnet die technische Formgebung der erhobenen Daten. Sie werden in einem bestimmten Format „erfasst“, das die weitere technische Verarbeitung ermöglicht (vgl. Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Art. 4 Nr. 2 Rn 16).

Das Grundrecht auf Datenschutz bewirkt einen Anspruch auf Geheimhaltung personenbezogener Daten. Darunter ist - von den gesetzlich anerkannten Einschränkungen abgesehen - der Schutz des Betroffenen vor Ermittlung seiner Daten und der Schutz vor der Weitergabe der über ihn ermittelten Daten zu verstehen (vgl. Stärker, Datenschutzgesetz, Anm. 2 zu § 1 DSG 2000, S 28, VwGH 2007/05/0266 vom 30.04.2009). Daraus folgt, dass das Grundrecht auf Datenschutz auch einen (bloßen) Ermittlungsschutz umfasst.

Wenn auch im vorliegenden Fall keine Weitergabe der personenbezogenen Daten des Zweit- und Drittbeschwerdeführers sowie der Viertbeschwerdeführerin zu Marketingzwecken an Dritte erfolgt ist, so ist es dennoch – wie auch in der Beschwerde zutreffend ausgeführt wurde – bereits (zuvor) zu einer Erhebung und Erfassung der Daten zum Zweck der Übermittlung an Dritte zu Marketingzwecken durch die Mitbeteiligte gekommen. Die fallgegenständlichen Daten wurden in der betreffenden Filiale der Mitbeteiligten am 16.10.2019 nämlich für zwei getrennte Zwecke, einerseits zum Zweck der Vertragserfüllung („Nachsendeauftrag Inland – Nachsendeauftrag wegen Umzug“) und andererseits für Marketingzwecke Dritter durch die Mitbeteiligte erhoben bzw. erfasst, womit eine Verarbeitung in diesem zusätzlichen Konnex iSd Art. 4 Z 2 DSGVO zweifellos vorliegt.

Dass betreffend die Erstbeschwerdeführerin eine Verarbeitung ihrer personenbezogenen Daten zu Marketingzwecken vorliegt, wurde von der Mitbeteiligten ebenso wenig in Abrede gestellt wie der Umstand, dass die Mitbeteiligte für die konkrete Datenverarbeitung der personenbezogenen Daten der beschwerdeführenden Parteien in rechtlicher Hinsicht als Verantwortliche iSd Art. 4 Z 7 DSGVO zu qualifizieren ist.

3.3.2.1.2. Zur Frage der Beschwer bzw. des Feststellungsanspruches:

Soweit die Mitbeteiligte meint, dass aufgrund der Sperre und Löschung der Daten im Mai 2020 keine Beschwer und kein Rechtsschutzinteresse erblickbar sei, ist auf die Rechtsprechung des Verwaltungsgerichtshofes in seinem Erkenntnis vom 14.12.2021, Ro 2020/04/0032, zu verweisen, in welchem ausdrücklich festgehalten wird, dass im Datenschutzrecht (bei Antragsverfahren) im Hinblick auf eine behauptete Verletzung im Recht auf Geheimhaltung gemäß § 1 DSG die Möglichkeit der rechtsverbindlichen Feststellung einer datenschutzrechtlichen Rechtsverletzung gemäß § 24 DSG besteht. Der Verwaltungsgerichtshof führte diesbezüglich aus, dass § 24 DSG einer in ihrem persönlichen Grundrecht verletzten Person, die Möglichkeit einräume, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen. Der Feststellungsanspruch betreffe die Rechtsposition einer konkreten in ihren Rechten verletzten Person und sei dogmatisch in seinem Rechtskraftumfang auf diese Rechtsverletzung beschränkt. Basierend auf dieser Feststellung solle es der betroffenen Person möglich sein, weitere individuelle Ansprüche – etwa Schadenersatzansprüche – zu verfolgen (Rz 38 – 40). Diese Rechtsprechung hat der Verwaltungsgerichtshof in seinem Erkenntnis vom 19.10.2022, Ro 2022/04/0001-5, bestätigt.

3.3.2.1.3. Zur Zulässigkeit der gegenständlichen Verarbeitung:

3.3.2.1.3.1. Art. 5 DSGVO legt die Grundsätze für die Verarbeitung personenbezogener Daten fest und bestimmt in dessen Abs. 1 lit. a, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“).

Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Art. 5 Rz 8f).

Die Verarbeitung personenbezogener Daten ist gemäß Art. 6 Abs. 1 lit f DSGVO zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG vgl. EuGH 04.05.2017, C-13/16, Rīgas satiksme, Rz 31). Der EuGH hat zur Vorgängerbestimmung des Art. 7 lit. f DS-RL ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist, das auch von der belangten Behörde und dem OGH in ihrer Entscheidungspraxis herangezogen wird:

1. Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden,

2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und

3. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person.

Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (mögliche Geschäftspartner der Mitbeteiligten) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen (ErwG 47 DSGVO). Das berechtigte Interesse kann sich aus der gesamten Rechtsordnung ergeben (Haidinger in Knyrim, Datenschutzrecht4, Kap 5, Rz 5.76).

Das Interesse an der Datenverarbeitung ist weit zu verstehen (Frenzel in Paal/Pauly, DS-GVO/BDSG³ [2021] Art 6 DSGVO Rz 28). In Betracht kommen rechtliche, wirtschaftliche und ideelle Interessen (Schulz in Gola, Datenschutz-Grundverordnung² [2018] Art. 6 DSGVO Rz 57).

Auch die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann nach Erwägungsgrund 47 der DSGVO einem berechtigten Interesse des Verantwortlichen dienen. Unter Werbung ist in Anlehnung an Art. 2 lit. a Richtlinie 2006/114/EG jede Äußerung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel zu verstehen, den Absatz von Waren oder die Erbringung von Dienstleistungen, einschließlich unbeweglicher Sachen, Rechte und Verpflichtungen zu fördern. Auch der Begriff der Direktwerbung ist in diesem Sinne zu verstehen, stets geht es also um eine Äußerung, die darauf abzielt, den Absatz von Waren oder Dienstleistungen zu fördern. Unabhängig davon, ob man dem Datenschutzrecht auch eine wettbewerbsschützende Funktion zusprechen möchte oder nicht, ist dieses wettbewerbsrechtliche Begriffsverständnis auch dem Datenschutzrecht zugrundezulegen (Buchner/Petri in Kühling/Buchner, DS-GVO – BDSG2, Art. 6 Rz 175).

Ursprünglich sah die Kommission in ihren Vorschlägen für die DSGVO noch das Erfordernis einer Einwilligung in eine Datenverarbeitung zu Zwecken der Direktwerbung vor, nahm davon letztlich wieder Abstand und sah stattdessen lediglich ein Widerspruchsrecht des Betroffenen vor, wie es jetzt auch in Art. 21 Abs. 2 DSGVO normiert ist. Wird dieses Widerspruchsrecht ausgeübt, kommt eine Interessenabwägung nicht mehr in Betracht. Gleiches muss gelten, wenn die betroffene Person nicht oder nicht ordnungsgemäß nach Art. 21 Abs. 4 DSGVO auf ihr Widerspruchsrecht hingewiesen worden ist (wie oben, Rz 176).

Nach Art. 21 Abs. 4 DSGVO muss der Hinweis „ausdrücklich“ und in einer „verständlichen und von den anderen Informationen getrennten Form“ erfolgen. Art. 12 Abs. 1 DSGVO verlangt, dass Mitteilungen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erfolgen und zwar „schriftlich oder in anderer Form, gegebenenfalls auch elektronisch“; falls die betroffene Person dies verlangt, kann der Hinweis auch mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde. Art. 12 Abs. 7 und 8 DSGVO sehen im Übrigen die Möglichkeit vor, dass Informationen in Kombination mit standardisierten Bildsymbolen bereitgestellt werden und dass die Kommission hierzu delegierte Rechtsakte erlässt. Die Häufung von solchen einander ähnlichen Merkmalen, die kaum in differenzierender Weise definiert werden können, soll offenbar zum Ausdruck bringen, dass die Hinweise jedenfalls auch für Menschen mit geringem Bildungsstand (etwa auch für Kinder, die in Art. 12 Abs. 1 DSGVO explizit genannt werden) verständlich sein müssen. Das Widerspruchsrecht muss als solches benannt werden („ausdrücklich“), und der Hinweis muss von anderen Informationen getrennt sein; für Letzteres dürfte eine optische Abtrennung oder Hervorhebung des Hinweises genügen, eine eigenständige Mitteilung ist nicht erforderlich (Herbst in Kühling/Buchner, DS-GVO – BDSG2, Art. 21 Rz 39).

Jedes Unternehmen betreibt heute Werbung, sei es durch Werbezusendungen per Post, E-Mail, Telefonmarketing oder durch den Zukauf von Adressen Dritter oder unter Mithilfe von Werbeagenturen, Adressverlagen und Direktmarketingunternehmen. Für viele Unternehmen ist die Bewerbung eigener, bestehender Kunden sehr wichtig (siehe dazu Illibauer in Knyrim, Datenschutzrecht4 Kap 17, Rz 17.1 f).

3.3.2.1.3.2. Vor diesem rechtlichen Hintergrund liegt ein berechtigtes Interesse der Mitbeteiligten an der gegenständlichen Datenverarbeitung offenkundig vor, da diese das Gewerbe der Adressverlage und Direktmarketingunternehmen ausübt. Dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann, findet überdies ausdrückliche Erwähnung in einem Erwägungsgrund der DSGVO (siehe ErwGr 47 DSGVO).

3.3.2.1.3.3. Die Verarbeitung der personenbezogenen Daten der beschwerdeführenden Parteien ist auch zur Wahrung dieser Interessen erforderlich.

Die verarbeiteten personenbezogenen Daten müssen für den Verwendungszweck objektiv angemessen, für den Zweck auch erheblich und auf das für den Zweck notwendige Maß beschränkt sein (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO Rz 76 [Stand 1.12.2020, rdb.at]).

Wie schon die belangte Behörde richtigerweise anführte, sind Adressverlage und Direktmarketingunternehmen für ihre Verrichtungen hinsichtlich der (wirtschaftlich sinnvollen) Durchführung ihrer gewerblichen Tätigkeit zum einen auf die Beschaffung entsprechender Daten und zum anderen auf das Erstellen und Bereitstellen des eigenen Adressenangebots angewiesen. Die gegenständliche Verarbeitung ist daher für den Zweck des Gewerbes der Adressverlage und Direktmarketingunternehmen erheblich und notwendig, um diesen zu verwirklichen.

Sofern die beschwerdeführenden Parteien vermeinen, die gegenständliche Datenverarbeitung sei für die Mitbeteiligte nicht erforderlich gewesen, ist festzuhalten, dass diese keine Alternativen dazu aufzeigten, wie die Mitbeteiligte auf andere Weise die entsprechenden Daten zur Erreichung dieses Zweckes hätte ermitteln können.

3.3.2.1.3.4. Dieses Interesse der Mitbeteiligten an der Nutzung der gegenständlichen Daten im Rahmen des oben beschriebenen Gewerbes ist gegen das Interesse der beschwerdeführenden Parteien an der Nichtverarbeitung ihrer personenbezogenen Daten abzuwägen.

Als maßgeblich ist hierbei zu Beginn herauszustreichen, dass keine der beschwerdeführenden Parteien einen Widerspruch gegen die Datenverarbeitung erhoben hat und es überdies im Fall des Zweit- und Drittbeschwerdeführers sowie der Viertbeschwerdeführerin zu keiner Datenweitergabe an Dritte gekommen ist. Lediglich im Fall der Erstbeschwerdeführerin wurde – spätestens nach Ablauf der 21-tägigen Sperrfrist, dh mit 07.11.2019, und zumindest bis zum Zugang der verfahrensgegenständlichen Beschwerde an die Mitbeteiligte am 11.05.2020 – ein entsprechender Datensatz, beinhaltend ihre Adressdaten (Anrede, Titel, Vorname, Nachname, Geburtsdatum und Adresse), zu Marketingzwecken an Dritte weitergeleitet.

Die hier vorzunehmende Interessensabwägung schlägt hinsichtlich aller beschwerdeführenden Parteien zugunsten der Mitbeteiligten aus:

Hierbei ist vor allem darauf hinzuweisen, dass der ordnungsgemäße Hinweis (gemäß Art. 21 Abs. 4 DSGVO) auf die Möglichkeit, gegen die Übermittlung von Daten zu Marketingzwecken Dritter einen Widerspruch zu erheben, seitens der Mitbeteiligten erfolgte. Dieser Hinweis war auch von anderen Informationen inhaltlich in einem eigenen Absatz getrennt (vgl. hierzu die in den Feststellungen enthaltene Abbildung des Touch-Pads). Mag es auch Einzelfälle geben, wo der gegenständliche Hinweis für Personen etwa in Hinblick auf ihr Alter allein nicht ausreicht, um den Anforderungen des Art. 21 Abs. 4 DSGVO zu genügen, kann gleichwohl fallbezogen angenommen werden, dass der betreffende Hinweis auch für Menschen mit geringem Bildungsstand ausreichend verständlich ist, womit die Voraussetzungen des Art. 21 Abs. 4 DSGVO erfüllt waren.

Daran anknüpfend ist auch aus dem Verweis der beschwerdeführenden Parteien, demgemäß die Mitbeteiligte den beschwerdeführenden Parteien als Dienstleister entgegengetreten ist und auf ihre damit verknüpfte Erwartungshaltung, für sie nichts gewonnen.

Darüber hinaus hat die Erstbeschwerdeführerin über ihr Interesse hinaus, durch eine aktive Zustimmung ihr Selbstbestimmungsrecht ausüben zu können, kein weiteres schutzwürdiges Interesse geltend gemacht. Es ist der belangten Behörde beizupflichten, wenn sie ausführt, dass - würde man der Argumentationslinie der beschwerdeführenden Parteien folgen – es allein der Wunsch, über eine Verarbeitung seiner personenbezogenen Daten selbst bestimmen zu wollen, dh in diese aktiv einzuwilligen, gebiete, das Vorliegen „berechtigter Interessen“ iSd Art. 6 Abs. 1 lit. f DSGVO auszuschließen, dieser Erlaubnistatbestand tatsächlich keinen Anwendungsbereich fände. Die beschwerdegegenständlich verarbeiteten Daten – im Wesentlichen die Namen und Adressdaten – greifen auch nicht übermäßig in die Privatsphäre der Erstbeschwerdeführerin ein. Wie die belangte Behörde ebenfalls zutreffend ausgeführt hat, wird keine umfangreiche Analyse aufgrund von Standortdaten, verwendeten Geräten, Tracking und Aussage der Daten, über den Zweck der Verarbeitung hinaus getroffen. Die Daten werden nur an gemäß § 151 GewO berechtigte Unternehmen zu den dort genannten Zwecken weitergegeben, die Datenherkunft ist von Erwerbern stets anzugeben und stehen sowohl gegen den Datenlieferanten als auch die Käufer allgemeine Widerspruchsmöglichkeiten („Robinson-Liste“) sowie individuelle Abhilfemöglichkeiten (Widerspruch laut Datenschutzerklärung) zur Verfügung.

Soweit die beschwerdeführenden Parteien auf die Entscheidung des OLG zur Zahl 4R 18/20a hinweisen, ist zu konstatieren, dass dieser Entscheidung nicht wie im gegebenen Fall eine konkrete Datenverarbeitung zugrunde lag, sondern vielmehr eine objektive Klauselkontrolle durchgeführt wurde, weswegen eine Übertragung der darin tragenden rechtlichen Erwägungen auf den vorliegenden Fall ausscheidet.

Im Besonderen ist hier der Vollständigkeit halber auch festzuhalten, dass die Zulässigkeitsprüfung der gegenständlichen Datenverarbeitung auf der Grundlage des Art. 6 Abs. 1 lit. f DSGVO erfolgt. Wie dies von der Mitbeteiligten und der belangten Behörde zutreffend angeführt wurde, können die in der DSGVO vorgesehenen Erlaubnistatbestände iSd des Anwendungsvorranges des Unionsrechtes nicht durch innerstaatliche Rechtsvorschriften eingeschränkt werden. Sofern die beschwerdeführenden Parteien insoweit geltend machen, dass die Voraussetzungen des § 151 GewO nicht eingehalten worden seien, vermag dieser Einwand folglich im Rahmen der hier anhand des Art. 6. Abs. 1 lit. f DSGVO durchgeführten Interessenabwägung nicht die Unzulässigkeit der Datenverarbeitung zu begründen.

Es kann auch dahingestellt bleiben, ob die Erstbeschwerdeführerin berechtigt war, über die Daten der übrigen beschwerdeführenden Parteien zu Zwecken des Direktmarketings für Dritte zu verfügen, da – wie die belangte Behörde im Ergebnis zutreffend ausgeführt hat – die Datenverarbeitung nicht auf einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) gegründet war, sondern auf der Rechtsgrundlage „berechtigte Interessen“ (Art. 6 Abs. 1 lit. f leg. cit.) beruhte.

Aus den angeführten Gründen war die Abweisung der Datenschutzbeschwerde der beschwerdeführenden Parteien hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung nicht zu beanstanden.

3.3.2.2. Zur behaupteten Verletzung im Recht auf Information:

3.3.2.2.1. Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten (siehe ErwGr 60 DSGVO). Die Informationspflicht nach Art. 13 DSGVO steht außerdem im engen Zusammenhang mit Art. 5 Abs. 1 lit. a DSGVO, der eine Verarbeitung „in einer für die betroffene Person nachvollziehbaren Weise“ (Grundsatz der Transparenz) fordert (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 13 DSGVO Rz 1 [Stand 1.12.2020, rdb.at]).

Art. 13 DSGVO regelt die Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Direkterhebung). Diese Daten können von der betroffenen Person bewusst und durch ihr eigenes Zutun erlangt werden (zB durch Eintrag und Absenden eines Kontaktformulars) oder durch den Verantwortlichen selbst generiert werden. Dabei ist zB an Bildaufzeichnungen, alle Arten von Sensoren oder an die Daten zu denken, die beim Abruf von Webseiten am Server gespeichert werden. Voraussetzung für die Anwendbarkeit des Art. 13 DSGVO ist also, dass mit der betroffenen Person in nur irgendeiner erdenklichen Art und Weise Kontakt aufgenommen wurde und dabei personenbezogene Daten erhoben wurden (wie oben, Rz 2).

Die betroffene Person ist grundsätzlich bereits zum Zeitpunkt der Erhebung zu informieren, dass sie betreffende personenbezogene Daten verarbeitet werden (ErwGr 61 bzw. Art. 12 Abs. 3 DSGVO). „Erheben“ wird zwar nicht eigens definiert, kann aber als Beginn des Datenverarbeitungsvorgangs (auch bei jeder neuen Erhebung) verstanden werden und setzt ein aktives Tun voraus (zB unterliegen empfangene E-Mails nicht der Informationspflicht nach Art. 13 oder 14; werden diese jedoch ins Kontaktverzeichnis oder in eine Kundendatenbank aufgenommen, wohl schon). Die Informationen sind nach Art. 12 Abs. 5 DSGVO unentgeltlich zur Verfügung zu stellen, dies in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache (Illibauer in Knyrim, DatKomm Art 13 DSGVO [Stand 1.12.2021, rdb.at]).

Die Informationen sollen der betroffenen Person auch ermöglichen, darüber zu entscheiden, ob sie in die Verarbeitung ihrer Daten einwilligt bzw. ob sie hiergegen Einwände erhebt oder sich überhaupt auf die Verarbeitung der Daten einlassen möchte. Dieser Zweck würde bei einer Information nach Beginn der Datenerhebung verfehlt oder zumindest beeinträchtigt (vgl. Bäcker in Kühling/Buchner, DS-GVO Art. 13, Rz. 56 mwN).

Zur Frage der Verletzung im Recht auf Information gemäß Art. 13 bzw. Art. 14 DSGVO hielt die belangte Behörde im angefochtenen Bescheid fest, dass es schon zum Zeitpunkt des Vertragsabschlusses über die Erteilung eines Nachsendeauftrages möglich gewesen sei, der Datenverarbeitung zu Marketingzwecken zu widersprechen. Der Erstbeschwerdeführerin sei vor Erteilung des Nachsendeauftrages (durch die Unterschriftsleistung) auf dem Touch-Pad-Terminal selbst schon der Hinweis erteilt worden, dass personenbezogene Daten (konkret Anrede, Titel, Vorname, Nachname, Geburtsdatum und Adresse) von der Mitbeteiligten an Dritte gemäß § 151 GewO zu Marketingzwecken übermittelt werden könnten und dass sie diese Übermittlung – durch das Anklicken einer Checkbox – untersagen könne. Schon dadurch sei dem gesetzlich geforderten Erfordernis genüge getan, weil die beschwerdeführenden Parteien darüber Kenntnis haben mussten, dass die Mitbeteiligte keine Einwilligung zur Datenverarbeitung zu Marketingzwecken brauche oder abverlange sowie die Möglichkeit der sofortigen Untersagung bestanden habe und hierdurch andere Vertragsteile nicht ungültig würden. Der Erstbeschwerdeführerin seien sogleich alle in Art. 13 Abs. 1 und Abs. 2 DSGVO genannten Informationen bereitgestellt worden. Anschließend unterzog die belangte Behörde das im Anschluss an die Unterschriftsleistung der Erstbeschwerdeführerin ausgehändigte Vertragsformular sowie das an die übrigen beschwerdeführenden Parteien per Post versandte Informationsschreiben einer eingehenden Prüfung im Lichte des Art. 13 bzw. Art. 14 DSGVO und kam zu dem Schluss, dass die Mitbeteiligte ihrer aus Art. 13 bzw. Art. 14 DSGVO erwachsenen Informationspflicht nachgekommen sei.

3.3.2.2.2. Die beschwerdeführenden Parteien erhoben im Rahmen ihrer Beschwerde im Wesentlichen die Behauptung, dass der Erstbeschwerdeführerin am Signatur-Pad keine weiterführenden Hinweise und Informationen über die Datenverarbeitung zu Marketingzwecken Dritter angezeigt worden seien. Selbst ausgehend von dem von der belangten Behörde festgestellten Sachverhalt komme es auf dem Signatur-Pad zu keiner klaren Trennung der datenschutzrechtlichen Informationen von den Vertragsbestimmungen. Unabhängig davon gehe die belangte Behörde nicht auf den Umstand ein, dass das für ihre Würdigung herangezogene Signatur-Pad vor Ort wohl nicht so gut wahrgenommen werden könne, wie das bei dem von der Mitbeteiligten übermittelten Bild der Fall sei. Das kleinere Feld für ein „Opt-Out“ zur Datenweitergabe gehe für einen Durchschnittskunden unter. Zudem hätten bereits zum Zeitpunkt der erstmaligen Datenerhebung durch die Mitarbeiterin der Mitbeteiligten und der Darstellung der Daten zur Kontrolle und Bestätigung am Signatur-Pad die Hinweise nach Art. 13 DSGVO auf dem Signatur-Pad aufscheinen und eindeutig auf eine mögliche Datenweitergabe zu Marketingzwecken Dritter hinweisen müssen. Schließlich würden auf dem Signatur-Pad Informationen hinsichtlich des jederzeitigen Widerspruchs nach Art. 21 Abs. 2 und 3 DSGVO bzw. des Rechts der Untersagung der Datenübermittlung nach § 151 Abs. 5 GewO sowie auf das sich daraus ergebende Löschungsrecht nach § 151 Abs. 8 GewO fehlen.

3.3.2.2.2. Mit Blick auf die Feststellungen und die Rechtslage kann dem nicht beigetreten werden:

Aus den Feststellungen (der belangten Behörde) ergibt sich, dass die Erstbeschwerdeführerin im Rahmen der Erhebung der Daten (zumindest) Kenntnis von der Untersagungsmöglichkeit der Übermittlung der Daten an Dritte zu Marketingzwecken gemäß § 151 GewO gehabt haben muss (Art. 13 Abs. 1 lit. c DSGVO), dies unter Berücksichtigung des auf dem Touch-Pad angezeigten Inhaltes, wie bereits beweiswürdigend ausgeführt wurde. Entgegen der in der Beschwerde unsubstantiiert geäußerten Ansicht stellt sich, wie ebenfalls bereits dargelegt wurde, der betreffende Inhalt auf dem Pad auch nicht als sehr klein und schlecht lesbar dar, jedenfalls nicht in einem Ausmaß, das der Kenntnisnahme des Inhaltes entgegensteht. Ausgehend von dem von den beschwerdeführenden Parteien vorgebrachten Durchschnittskunden sind überdies die Hinweise auf der entsprechenden Seite des Touch-Pads auch nicht ohne Separierung oder Hervorhebung im Fließtext enthalten oder in einer das Verständnis bzw. der Transparenz abträglichen Art und Weise angebracht, sondern waren die Hinweise – wie auch die belangte Behörde richtigerweise festhielt - in zwei separaten, aufeinander folgenden Absätzen zu lesen, welche überdies direkt über dem Unterschriftsfeld und über jener Checkbox stehen, durch deren Ankreuzen eine Weitergabe untersagt werden hätte können. Der betreffende Hinweis auf die Untersagungsmöglichkeit ist jedenfalls auch für Menschen mit geringem Bildungsstand verständlich und von anderen Informationen durch einen eigenen Absatz getrennt. Für die hier interessierende Informationsverpflichtung nach Art. 13 DSGVO ist festzuhalten, dass jener Absatz durch die Voranstellung der „Information über Datennutzung“ eine klare Abgrenzung zum darüber befindlichen Absatz, welcher auf die AGB „Nachsendeauftrag“ hinweist, vornimmt, womit eine nachvollziehbare und transparente Trennung von den vertragsrechtlichen Passagen gegeben ist.

Ebenso ergaben sich keine Hinweise auf einen internationalen Datentransfer bzw. wurde ein solcher auch nicht behauptet (Abs. 1 lit. f). Der belangten Behörde war auch zuzustimmen, dass eine Information nach Art. 13 Abs. 2 lit. c DSGVO unterbleiben konnte, da die Verarbeitung nicht aufgrund einer erteilten Einwilligung erfolgte. Außerdem liegt fallgegenständlich auch keine Zweckänderung vor, die eine Informationspflicht nach Art. 13 Abs. 3 DSGVO auslösen würde.

Das in den Feststellungen dargelegte, der Erstbeschwerdeführerin ausgehändigte Formular, enthält sämtliche in Art. 13 DSGVO aufgezählte Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache, wie dies auch von der belangten Behörde im Einzelnen in der rechtlichen Beurteilung erörtert wurde. Ebenso enthält das den übrigen beschwerdeführenden Parteien am 21.10.2019 von der Mitbeteiligten zugesandte Schreiben sämtliche in Art. 14 DSGVO aufgezählte Informationen und wurden die Informationen gemäß Art. 14 Abs. 3 lit. a DSGVO auch fristgerecht erteilt.

Wenn die beschwerdeführenden Parteien in ihrer Stellungnahme vom 21.06.2022 vorbringen, dass die erteilten Informationen (nach wie vor) unvollständig seien, ist zu konstatieren, dass insofern eine Information zur Kategorie von Empfängern (Art. 13 Abs. 1 lit. e bzw. Art. 14 Abs. 1 lit. e DSGVO) vorgenommen wurde, als im Vertragsformular diesbezüglich eben auf „Marketingzwecke Dritter“ bzw. „Unternehmen zu Direktmarketingzwecken“ Bezug genommen wurde. Zudem ist es gerichtsnotorisch, dass seitens der Mitbeteiligten eine Zuordnung von Personen zu Marketingzwecken Dritter zu einer „Parteiaffinität“ und/oder das „Sinus-Geo-Milieu“ im Sinne des Art. 13 Abs. 2 lit. f DSGVO schon zum Zeitpunkt der erstmaligen Datenerhebung nicht mehr erfolgt ist (vgl. dazu auch etwa das Erkenntnis des Bundesverwaltungsgerichtes vom 28.11.2022, W214 2248875-1/17E). Schließlich erfolgte im Vertragsformular auch dahingehend eine Information, als das bestehende Interesse an der Verarbeitung iSd Art. 6 Abs. 1 lit. f DSGVO dargelegt wurde („Rechtsgrundlagen für die Marketingnutzung sind Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Erwägungsgrund 47, sowie § 151 GewO“; vgl. Art. 13 Abs. 1 lit. d DSGVO).

Ob die Erstbeschwerdeführerin berechtigt war, über die Daten der übrigen beschwerdeführenden Parteien zu Zwecken des Direktmarketings für Dritte zu verfügen, kann auch in diesem Zusammenhang dahingestellt bleiben (siehe oben Punkt 3.3.2.1.4.3.).

Das Verwaltungsgericht hat seine Entscheidung an der zum Zeitpunkt seiner Entscheidung maßgeblichen Sach- und Rechtslage auszurichten, allfällige Änderungen des maßgeblichen Sachverhalts und der Rechtslage sind also zu berücksichtigen (VwGH 30.06.2015, Ra 2015/03/0022). Da den beschwerdeführenden Parteien sämtliche Informationen nach Art. 13 bzw. 14 DSGVO (spätestens) zum Entscheidungszeitpunkt bereits bekannt sind, sind sie diesbezüglich auch nicht in ihren Rechten verletzt.

Eine Rechtsverletzung ist in diesem Fall nach der Rechtsprechung des Verwaltungsgerichtshofes nicht festzustellen, da das Ziel eines Beschwerdeverfahrens nach Art. 13 bzw. 14 DSGVO iVm Art. 77 DSGVO iVm § 24 DSG ist, dass dem Betroffenem die ihm zustehenden Informationen zukommen. Dies ergibt sich schon aus § 24 Abs. 6 DSG, wonach beispielsweise bei einer nicht erteilten/unvollständigen Auskunft ein entsprechender Leistungsauftrag zu erteilen ist. Eine Rechtsverletzung ist diesbezüglich nicht festzustellen, zumal das Rechtsschutzziel mit Erhalt der Informationen erreicht ist und sich ein eigenständiges Recht auf förmliche Feststellung bei diesen Rechten weder aus der DSGVO noch aus dem DSG ergibt (vgl. VwGH 19.10.2022, Ro 2022/04/0001).

3.2.3.3. Die behauptete Rechtswidrigkeit des Bescheides liegt daher nicht vor. Das Verfahren hat auch nicht ergeben, dass der Bescheid aus anderen, nicht geltend gemachten Gründen rechtswidrig wäre. Da dem angefochtenen Bescheid eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG somit nicht anhaftet, war die Beschwerde abzuweisen.

3.4. Die Durchführung einer mündlichen Verhandlung konnte gemäß § 24 Abs. 3 und Abs. 4 VwGVG entfallen. Die beschwerdeführenden Parteien haben entgegen § 24 Abs. 3 VwGVG die Durchführung einer Verhandlung in der Beschwerde vom 11.11.2021 nicht beantragt, sondern erst nachträglich im Schriftsatz vom 02.06.2023. Überdies kann das Verwaltungsgericht gemäß § 24 Abs. 4 VwGVG ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK) noch Art. 47 der Charta der Grundrechte der Europäischen Union (GRC) entgegenstehen. Ein solcher Fall liegt hier vor: Wie bereits oben in der Beweiswürdigung ausgeführt wurde ist im vorliegenden Fall der entscheidungsrelevante Sachverhalt feststehend und geklärt. Die beschwerdeführenden Parteien haben die entscheidungsrelevanten Tatsachenannahmen der belangten Behörde nicht substantiiert bestritten. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung daher nicht entgegen. Aus diesen Gründen war es auch von Amts wegen nicht erforderlich, eine öffentliche mündliche Verhandlung durchzuführen.

Zu B)

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.