OGH 6Ob19/23x

Spruch:

I. Das mit Beschluss vom 15. April 2021, AZ 6 Ob 63/21i, unterbrochene Verfahren wird fortgesetzt.

II. Der Revision wird Folge gegeben.

Die Entscheidungen der Vorinstanzen werden aufgehoben. Die Rechtssache wird zur neuerlichen Verhandlung und Entscheidung an das Erstgericht zurückverwiesen.

Die Kosten des Rechtsmittelverfahrens sind weitere Verfahrenskosten.

Begründung:

[1] Die Beklagte ist der landesweit führende Logistik- und Postdienstleister, zu dessen Hauptgeschäftsbereichen die Beförderung von Briefen, Werbesendungen, Printmedien und Paketen zählt. Darüber hinaus verfügt die Beklagte über eine Gewerbeberechtigung als „Adressverlag und Direktmarketingunternehmen“ iSd § 151 GewO. Der Kläger stellte an die Beklagte am 17. 2. 2019 ein Auskunftsbegehren nach Art 15 der Verordnung (EU)2016/679 des Europäischen Parlaments und des Rates vom 27. 4. 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. 5. 2016, S 1; im Folgenden „DSGVO“) darüber, welche Art und welchen Inhalt die über ihn gespeicherten Daten hätten, woher diese stammten, wozu sie verwendet würden und an wen sie übermittelt wurden bzw noch werden.

[2] In ihrer elektronisch übermittelten Auskunft listete die Beklagte von ihr verarbeitete personenbezogene Daten des Klägers, deren Herkunft sowie Marketingklassifikationen des Klägers auf. Sie teilte mit, personenbezogene Daten des Klägers sowie Marketingklassifikationen würden den Geschäftskunden der Beklagten angeboten. Die Beklagte erhielt von einem ihrer genannten Lieferanten auf Basis einer Wahrscheinlichkeitsrechnung ermittelte Marketingklassifikationen („Sinus-Geo-Milieus“), übernahm diese und vertrieb sie unverändert weiter. Für den Kläger ergab sich hieraus als dominante Marketingklassifikation (Wahrscheinlichkeitswert) das „Geo Milieu: Bürgerliche Mitte“ mit 26,78 %. Auf den Wahrscheinlichkeitswert „Konservative“ entfielen 5,44 %. Dem Sinus Milieu „Bürgerliche Mitte“ wird folgender Beschreibung zugeordnet: „Der leistungs- und anpassungsbereite Mainstream: Streben nach beruflicher und sozialer Etablierung, gesicherten und harmonischen Verhältnissen, Halt und Orientierung, Ruhe und Entschleunigung“. Die Auskunft der Beklagten enthielt zusätzlich eine tabellarische Auflistung hinsichtlich der Parteiaffinität des Klägers, wobei sich zu Beginn des Schreibens die Information fand, dass diese statistischen Hochrechnungen betreffend „mögliche Zielgruppe für Wahlwerbung“ nach Ausstellung der Auskunft gelöscht werden würden.

[3] Weiterführende Informationen waren mittels Verlinkung auf die Website der Beklagten abrufbar. Unter den dort angeführten Datenschutzzwecken fand sich insbesondere die Information, dass die Beklagte Daten für Marketingzwecke Dritter im Rahmen ihrer Tätigkeit als Adressverlag und Direktmarketingunternehmen verwende, um damit werbetreibende Unternehmen bei der aktiven und zielgerichteten Kundenkommunikation zu unterstützen. Die dafür verwendeten Daten seien Name, Geschlecht, Titel, akademischer Grad, Anschrift, Geburtsdatum, Berufs-, Branchen- oder Geschäftsbezeichnung und Zugehörigkeit zu jener Kunden- und Interessentendatei, von der die Beklagte Daten bezogen habe. Die Kategorien der potenziellen Empfänger waren mittels Verlinkung zu den Datenschutzhinweisen abrufbar. Neben Datenvermittlung innerhalb der Post Unternehmensgruppe, Übermittlung an externe Dienstleister, namentlich IT-Dienstleister, Druckdienstleister, Dienstleister im Rahmen der Kundenbetreuung, Vertragsverwaltung, Marktforschungsinstitute, Marketingunternehmen und Werbeagenturen sowie Übermittlung an Gerichte und Behörden fand sich eine Auflistung weiterer Empfänger wie zB Versicherungen, Wirtschaftsprüfer oder NGOs.

[4] Erst im Zuge des vorliegenden Gerichtsverfahrens teilte die Beklagte dem Kläger in der Klagebeantwortung und (nach Klagsausdehnung) in einem vorbereitenden Schriftsatz mit, dass die Marketingklassifikation „Wahrscheinlichkeitswert Konservative“ im Rahmen des Adressverlags zu Marketingzwecken verarbeitet und an folgende Empfängerkategorien übermittelt worden sei: „Geschäftskunden“ (nämlich werbetreibende Unternehmen zB im Versandhandel und stationären Handel, Finanzdienstleister und Versicherungen, IT- und Telekommunikationsunternehmen, Energieversorger, Adressverlage sowie Vereine wie Spendenorganisationen, NGOs und Parteien). Konkrete Empfänger der Daten des Klägers gab die Beklagte nicht bekannt. Als Empfänger der Marketingklassifikation „Mögliche Zielgruppe für Wahlwerbung“ käme ausschließlich die Sozialdemokratische Partei Österreichs als potenzielle Empfängerin in Frage. Zuletzt seien im Juli 2018 Daten an diese übermittelt worden, wobei nicht mehr nachvollzogen werden könne, ob auch Datensätze des Klägers enthalten gewesen seien.

[5] Der Kläger begehrt die Verurteilung der Beklagten dazu, ihm eine (verbesserte) Auskunft gemäß Art 15 DSGVO, beinhaltend die Information, ob personenbezogene Daten des Klägers zur Parteiaffinität („Mögliche Zielgruppe für Wahlwerbung […]“) sowie zur Weltanschauung (zB „Wahrscheinlichkeitswert Konservative“) übermittelt wurden (oder nicht), und bejahendenfalls auch des/der Empfänger(s), gegenüber dem/denen die personenbezogenen Daten des Klägers offengelegt worden sind oder noch offengelegt werden, zu erteilen. Die Angaben der Beklagten entsprächen nicht den gesetzlichen Anforderungen des Art 15 DSGVO, weil daraus nicht hervorgehe, ob die Beklagte die personenbezogenen Daten des Klägers an Dritte weitergegeben habe und, falls eine tatsächliche Weitergabe erfolgt sei, wer die konkreten Empfänger dieser Daten gewesen seien. Die Auskunft sei weder dem Genauigkeitsgebot noch dem Verständlichkeitsgebot des Art 12 Abs 1 Satz 1 DSGVO gerecht geworden.

[6] Die Beklagte wendete ein, die dem Kläger übermittelten Auskünfte entsprächen den Anforderungen des Art 15 DSGVO. Bei den genannten Marketingklassifikationen handle es sich nicht um personenbezogene Daten des Klägers. Auf die Bekanntgabe konkreter Empfänger habe der Kläger keinen Anspruch. Eine solche sei auch faktisch nicht möglich bzw könnte nur mit unverhältnismäßig hohem Aufwand rekonstruiert werden, weil die Beklagte keine Aufzeichungen über die konkreten Empfänger führe. Überdies würde eine detaillierte Offenlegung der individuellen Empfänger einer Offenlegung der Vertriebswege und der individuellen Kundenbeziehungen der Beklagten gleichkommen und damit in deren Geschäftsgeheimnisse und die Geheimhaltungsinteressen ihrer Kunden eingreifen. Daher sei eine derart umfassende Offenlegung schon aufgrund Art 15 Abs 4 DSGVO nicht geschuldet.

[7] Das Erstgericht wies das Klagebegehren ab. Es hielt für unstrittig, dass die Beklagte über die einzelnen Datensätze in den an ihre Kunden übermittelten Datenpaketen nicht Protokoll führe und eine Rekonstruktion der konkreten Datensätze retrospektiv nicht oder nur sehr aufwändig möglich sei. Ob es sich bei den Wahrscheinlichkeitswerten der Marketingklassifikationen um personenbezogene Daten handle, könne dahinstehen, weil die Beklagte das Auskunftsbegehren spätestens mit einem im gegenständlichen Verfahren erstatteten Schriftsatz erfüllt habe. Die Angabe von Empfängerkategorien entspreche den gesetzlichen Vorgaben; die einzelnen Empfänger müssten nicht genannt werden.

[8] Das Berufungsgericht bestätigte diese Entscheidung. Es sei zwar nicht unstrittig, dass die Beklagte über die einzelnen Datensätze in den an ihre Kunden übermittelten Datenpaketen nicht Protokoll führe und eine Rekonstruktion der konkreten Datensätze retrospektiv nicht oder nur sehr aufwendig möglich sei. Die Beklagte habe den Kläger aber spätestens im Zuge dieses Prozesses über die Übermittlung der vom Kläger bezeichneten Daten informiert. Art 15 Abs 1 lit c DSGVO räume dem Verantwortlichen ein Wahlrecht ein, dem Betroffenen entweder konkrete Empfänger oder Kategorien von Empfängern zu nennen. Davon habe die Beklagte Gebrauch gemacht, indem sie dem Kläger die entsprechenden Kategorien von Empfängern mitgeteilt habe.

[9] Das Berufungsgericht ließ die ordentliche Revision zu, weil keine höchstgerichtliche Rechtsprechung zur Frage bestehe, ob Art 15 Abs 1 lit c DSGVO dem Verantwortlichen das Wahlrecht einräume, dem Betroffenen entweder konkrete Empfänger oder Kategorien von Empfängern zu nennen.

[10] Die Revision des Klägers ist aus dem vom Berufungsgericht genannten Grund zulässig; sie ist im Sinne des hilfsweise gestellten Aufhebungsantrags auch berechtigt.

Rechtliche Beurteilung​

[11] 1.1. Ob tatsächliche Behauptungen einer Partei aufgrund eines schlüssigen Geständnisses iSd § 267 Abs 1 ZPO als zugestanden anzusehen sind, hat das Gericht unter sorgfältiger Berücksichtigung des gesamten Inhalts des gegnerischen Vorbringens zu beurteilen (RS0040091; vgl RS0083785). Das bloße Unterbleiben der Bestreitung kann aber nur dann als Zugeständnis gewertet werden, wenn im Einzelfall gewichtige Indizien für ein (schlüssiges) Geständnis sprechen (RS0039955 [T2, T3]; RS0039941 [T3, T4, T5]), etwa weil die vom Gegner aufgestellte Behauptung offenbar leicht widerlegbar sein musste, dazu aber nie konkret Stellung genommen wird (RS0039927 [T1], oder weil eine Partei bloß einzelnen Tatsachenbehauptungen des Gegners mit einem konkreten Gegenvorbringen entgegentritt, zu den übrigen jedoch inhaltlich nicht Stellung nimmt (RS0039927 [T12]).

[12] 1.2. Das Erstgericht nahm die Behauptung der Beklagten, dass eine Rekonstruktion der konkreten an Geschäftskunden versendeten Datensätze retrospektiv nicht oder nur sehr aufwändig möglich sei, als schlüssig außer Streit stehend an. Zutreffend hat das Berufungsgericht jedoch darauf hingewiesen, dass ausreichende Indizien dafür im vorliegenden Fall nicht gegeben sind und das Prozessverhalten des Klägers erkennen lässt, dass er (auch) den Standpunkt der Beklagten, die begehrte Auskunft sei mangels Kenntnis der Empfänger faktisch nicht möglich, ablehnt. Die vom Erstgericht angenommene Außerstreitstellung würde auf ein schlüssiges Geständnis dahin, dass die Erfüllung des Klagebehrens unmöglich sei, hinauslaufen, was dem Kläger hier nicht unterstellt werden könne.

[13] 1.3. Das diesbezügliche Vorbringen der Beklagten ist rechtserheblich. Insoweit liegt daher ein Feststellungsmangel vor, den das Erstgericht im fortgesetzten Verfahren zu beheben haben wird (dazu unten Punkt 4.1. f).

[14] 2.1. Der Oberste Gerichtshof hatte sich mittlerweile bereits in anderen, ebenfalls gegen die hier Beklagte angestrengten Verfahren mit der Frage zu befassen, ob die auch hier streitgegenständlichen Informationen über die „Weltanschauung“ oder die „Parteiaffinität“ personenbezogene Daten iSd Art 4 Nr 1 DSGVO darstellen (6 Ob 35/21x; 6 Ob 127/20z). Danach ist der Begriff „personenbezogene Daten“ des Art 4 Nr 1 DSGVO weit zu verstehen. Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf. Die hier zu beurteilenden Informationen unterliegen daher dem Regime der DSGVO, sind sie doch dem Kläger direkt zugeordnet und enthalten Aussagen etwa über seine Vorlieben und Einstellungen; ob die Einschätzungen tatsächlich zutreffend sind, ist dabei unerheblich. Auch dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet sind, ändert nichts am Vorliegen personenbezogener Daten. Die „Affinitäten“ enthalten eine Wahrscheinlichkeitsaussage über bestimmte Interessen und Vorlieben des Klägers (6 Ob 35/21x [ErwGr 1. ff]; 6 Ob 127/20z [ErwGr 2. ff]).

[15] 2.2. Daran ist festzuhalten. Auch im vorliegenden Fall stellen daher die streitgegenständlichen Informationen über den Kläger personenbezogene Daten iSd Art 4 Nr 1 DSGVO dar. Eine Anrufung des EuGH ist wegen der insoweit unzweifelhaften Auslegung des Unionsrechts im Sinn der „acte-clair“-Doktrin (vgl RS0082949 [T18]) entbehrlich (6 Ob 35/21x [ErwGr 1.5.]). Vom diesbezüglich angeregten Vorabentscheidungsersuchen kann folglich abgesehen werden.

[16] 3.1. Der Senat hat in der Rechtssache 6 Ob 159/20f mit Beschluss vom 18. 2. 2021 dem Gerichtshof der Europäischen Union (EuGH) gemäß Art 267 AEUV folgende Frage zur Vorabentscheidung vorgelegt:

„Ist Art 15 Abs 1 lit c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S 1; im Folgenden „DSGVO“) dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?“

[17] (Auch) das gegenständliche Revisionsverfahren wurde mit Beschluss vom 15. 4. 2021, 6 Ob 63/21i, bis zur Entscheidung des EuGH über das genannte Vorabentscheidungsersuchen unterbrochen.

[18] 3.2. Der EuGH hat mit Urteil vom 12. 1. 2023, C‑154/21 , diese Frage wie folgt beantwortet:

„Art. 15 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung) ist dahin auszulegen, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.“

[19] 3.3. Aus dieser Antwort, die der Rechtsansicht der Vorinstanzen entgegensteht, folgt, dass das Begehren des Klägers auf Bekanntgabe der Empfänger seiner personenbezogenen Daten (und nicht bloß der Kategorien von Empfängern) grundsätzlich berechtigt ist.

[20] Ergänzend ist anzumerken, dass selbst eine von der Beklagten erstmals im Berufungsverfahren herangezogene „Rechtmäßigkeitsvermutung“ bei Einhaltung der von der österreichischen Datenschutzbehörde gemäß Art 40 Abs 5 DSGVO genehmigten Verhaltensregeln betreffend die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehemen, die sich innerhalb der Grenzen der DSGVO halten müssen (ErwGr 98 der DSGVO; vgl Strohmaier in Knyrim, DatKomm^62. Lfg Art 40 Rz 39 und Rz 46), dem nach dem genannten Urteil des EuGH unmittelbar aufgrund Art 15 Abs 1 lit c DSGVO bestehenden Auskunftsanspruch des Klägers unzweifelhaft nicht entgegenstehen könnte.

[21] 3.4. Auch der Einwand der Beklagten, dem Auskunftsbegehren des Klägers stünden überwiegende Geheimhaltungsinteressen der Beklagten und ihrer Kunden entgegen, weil eine vollständige Offenlegung aller konkreten Empfänger gleichzeitig den Kundenstamm der Beklagten im Rahmen der Ausübung des Gewerbes als Adresshandel- und Direktmarketingunternehmen offenbaren würde, trifft nicht zu. Denn dann könnte Art 15 Abs 1 lit c DSGVO niemals zur Preisgabe individueller Empfänger führen, weil diesfalls immer „Geschäftsgeheimnisse“ preisgegeben würden. Die Auslegung eines Gesetzes, die dazu führt, dass das Gesetz keinen Anwendungsbereich hat, verbietet sich (vgl RS0010053).

[22] Eben dies ergibt sich auch aus ErwGr 63 (zu Art 15 DSGVO), in dem ausgeführt wird:

„Dieses Recht sollte Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird .“(Hervorhebung durch den Senat)

[23] Der EuGH hat in seinem Urteil vom 12. 1. 2023, C‑154/21 (Rn 38 ff), überdies dargelegt, dass das Recht auf Auskunft über die konkreten Empfänger der personenbezogenen Daten erforderlich ist, um die praktische Wirksamkeit der Ausübung der Rechte des Betroffenen nach Art 16 bis 19, Art 21, 79 und 82 DSGVO zu gewährleisten.

[24] 3.5. Zur Vermeidung einer Überraschungsentscheidung (vgl auch 6 Ob 20/23w) ist den Parteien allerdings Gelegenheit zu geben, vor dem Erstgericht zu folgenden vom EuGH aufgezeigten, bisher nicht ausreichend erörterten Gesichtspunkten (ergänzendes) Vorbringen zu erstatten und Beweisanbote zu stellen:

[25] 3.5.1. Der Gerichtshof erwähnt in seinem Urteil den Ausnahmefall, dass es dem Verantwortlichen nicht möglich ist, die Empfänger zu identifizieren. Die Beklagte hat im erstinstanzlichen Verfahren zwar Vorbringen in diese Richtung erstattet. Dazu wurden aber bisher keine Feststellungen getroffen. Schon dies zwingt zur Aufhebung der Entscheidungen der Vorinstanzen. Das Erstgericht wird daher nach Erörterung dazu auf der Grundlage des – allenfalls ergänzten – Parteienvorbringens Feststellungen zu treffen haben.

[26] 3.5.2. Zum anderen bedenkt der Gerichtshof den Fall, dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv iSd Art 12 Abs 5 DSGVO 2016/679 sind.

[27] 4. Der Kostenvorbehalt gründet auf § 52 ZPO.