Spruch
W176 2247508-1/8E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. NEWALD als Vorsitzenden und die fachkundigen Laienrichter Mag. BOGENDORFER und RAUB als Beisitzer über die Beschwerde von (1.) XXXX und (2.) XXXX , beide vertreten durch die Kammer für Arbeiter und Angestellte Wien, gegen den Bescheid der Datenschutzbehörde vom 25.08.2021, Zl. D205.497, 2021-0.263.076 (Mitbeteiligte Partei: XXXX ), in nichtöffentlicher Sitzung zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:
1. Mit gemeinsamer, durch ihre rechtsfreundliche Vertretung verfasster, Eingabe vom 08.01.2020 brachten die Erstbeschwerdeführerin (BF1) und der Zweitbeschwerdeführer (BF2) bei der Datenschutzbehörde (im Folgenden: belangte Behörde) gegen die Mitbeteiligte Partei (MP) eine Datenschutzbeschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung sowie im Recht auf Information ein und brachten dazu zusammengefasst vor, die BF1 habe am 19.08.2022 in einer Filiale der MP für sich und ihren Ehemann (den BF2) ein Urlaubspostfach beantragt und dafür einem Mitarbeiter der MP ihren Namen – sowie den Namen und das Geburtsdatum ihres Ehemannes (BF2) – nennen müssen und sich mit ihrem Führerschein ausgewiesen. Im Anschluss habe ihr der Mitarbeiter ein Signatur-Pad überreicht, auf welchem sie die vom Mitarbeiter eingepflegten Daten auf ihre Richtigkeit überprüfen und diese mit ihrer Unterschrift bestätigen sollte. Ein Hinweis darüber, ob und zu welchen anderen Zwecken als zur Einrichtung des Urlaubspostfaches die MP die Daten der beiden BF verarbeite, sei vonseiten des Mitarbeiters nicht erfolgt. Deshalb habe die BF1 die Angaben auf dem Signatur-Pad ausschließlich im Hinblick auf ihre Richtigkeit betrachtet. Die sehr kleine Schrift auf dem spiegelnden Display des Signatur-Pads und Begleitumstände, wie zum Beispiel eine lange Warteschlange in der Filiale, hätten ein schnelles, konzentriertes und präzises Erfassen der auf dem Display dargestellten Inhalte verhindert. Wie sich später für die BF1 herausgestellt habe, sei nicht nur der Vertragsinhalt für das Urlaubspostfach, sondern – in derselben Ansicht, unter den persönlichen Daten ohne Separierung oder Hervorhebung – auch ein Kästchen mit Ankreuzmöglichkeit zur Nicht-Erteilung des Einverständnisses (Opt-Out) zur Datenweitergabe zu Marketingzwecken angezeigt worden. Näher angeführte Umstände hätten dazu geführt, dass die BF1 das Kästchen für ein Opt-Out zur Datenverarbeitung für Marketingzwecke nicht angekreuzt und nur die Angaben im Hinblick auf ihre Richtigkeit mit einer Unterschrift bestätigt habe. Danach sei ihr ein ausgefertigtes Formular über das „Postfach Urlaub“ für die beiden BF übergeben worden, welches einerseits eine Zusammenfassung der Signatur-Pad-Inhalte samt eingescannter und mitausgedruckter Unterschrift der BF1 dargestellt habe und andererseits eine weiterführende „Information über die Datenverwendung gemäß Datenschutz-Grundverordnung (DSGVO)"“ mitumfasst habe. Darauf sei sie vom Mitarbeiter nicht hingewiesen worden. Zu einem späteren Zeitpunkt habe die BF1 anhand des ausgehändigten Formulars festgestellt, dass sie auf dem Signatur-Pad ihre Einwilligung dafür erteilt habe, dass die MP ihre Daten und jene des BF2 für Werbezwecke an Dritte übermitteln dürfe. Deshalb habe sie am 22.08.2019 erneut die Filiale der MP aufgesucht, um ihre (ungewollte und vermeintliche) Zustimmung zurückzuziehen. Diesbezüglich sei eine Mitarbeiterin ihrem Ansuchen nachgekommen und habe das Formular entsprechend korrigiert, indem sie das Feld in ihrem Computer elektronisch angekreuzt habe, das korrigierte Formular ausgedruckt, abgezeichnet und der BF1 ausgehändigt habe.
In datenschutzrechtlicher Hinsicht beanstandeten die BF schließlich, dass die Informationen über die Datennutzung nach § 151 Gewerbeordnung (GewO) im Hinblick auf ihre Zugänglichkeit, Verständlichkeit und Vollständigkeit nicht den Vorgaben der Art 12 und 13 DSGVO entsprächen. Der BF1 sei nicht bewusst gewesen, dass die MP gleichzeitig mit der Beantragung eines Urlaubsfaches ihre Daten gemäß § 151 GewO verarbeite. Die Informationen – auf einem kleinen, spiegelnden Display dargestellt, ohne Hervorhebung oder Trennung von anderen vertraglichen Textteilen, sondern versteckt unter Vertragsinformationen – seien nicht den Formvorgaben der DSGVO entsprechend. Der betreffende Informationstext sei Teil des Fließtextes gewesen. Der bloße Verweis auf § 151 GewO sei unzureichend. Weiters seien die zu Vertragszwecken erhobenen Daten dadurch entgegen Art. 6 Abs. 4 DSGVO zu inkompatiblen Zwecken weiterverarbeitet worden, demnach seien Daten zu Zwecken der Vertragserfüllung bei den BF erhoben worden und stelle eine Datenübermittlung an Dritte für Marketingzwecke eine Zweckänderung dar. Insofern sei die Weiterverarbeitung mit dem Ursprungszweck nicht vereinbar. Darüber hinaus sei keine Einwilligung eingeholt worden, womit die Bedingungen für eine rechtmäßige Verarbeitung nach Art. 6 DSGVO nicht erfüllt seien. § 151 Abs. 1 GewO sei zu entnehmen, dass auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden seien, soweit im Folgenden nicht Besonderes angeordnet sei. Jedoch sei § 151 GewO deshalb allein für sich betrachtet keine taugliche Rechtsgrundlage für die vorliegende Datenverarbeitung. In Bezug auf Art. 6 Abs. 1 lit f DSGVO könne zwar ein berechtigtes Interesse der MP bejaht werden, wiewohl das Interesse der BF fallbezogen überwiegen würde, ihr Selbstbestimmungsrecht durch einen aktiv gesetzten Schritt der Zustimmung gegenüber dem Interesse an einer Weiterverarbeitung auszuüben. Letztlich wurde von den BF noch releviert, dass die BF1 auch hinsichtlich des BF2 über die Datennutzung nach § 151 GewO nicht entscheiden könne.
2. Über Aufforderung der belangten Behörde erstattete die MP am 05.06.2020 eine Stellungnahme, in welcher sie zusammengefasst ausführte, dass auf dem Bildschirm des U-Pads zu lesen gewesen sei, dass die Daten der BF1 zu Marketingzwecken Dritter weitergegeben werden könnten. Ebenfalls sei der BF1 die Möglichkeit eingeräumt worden, dieser Datenverarbeitung zu widersprechen. Der überwiegende Textteil habe sich mit der Information über die Datennutzung gemäß § 151 GewO befasst. Die Checkbox, durch deren Ankreuzen das Ausüben des Widerspruchsrechts ermöglicht worden sei, sei deutlich vom Fließtext abgesetzt und die Checkbox optisch markant hervorgehoben worden, zumal diese fett umrandet und größer als der Fließtext sei. Die Formulierung sei auch einfach, klar verständlich und präzise. Zusätzlich sei der BF1 ein Formular über das „Postfach Urlaub“ ausgehändigt worden, welches ausführliche Informationen über die Datenverarbeitung der MP zu Marketingzwecke Dritter enthalten habe. Die Daten der BF seien nicht weitergegeben worden; sowohl bei der BF1 als auch beim BF2 sei ein aufrechter Widerspruch hinterlegt worden. Überdies habe die BF1 der Datenweitergabe innerhalb von drei Tagen widersprochen, aufgrund einer 21-tägigen Sperrfrist würden die Daten der beiden BF auch aus diesem Grund nicht weitergegeben werden.
Was das Vorbringen der BF bezüglich mangelnder Transparenz bei der Datenverwendung iSd § 151 GewO anlangt, sei diesbezüglich ein zweistufiger Prozess eingeführt worden, wobei vertragsunterfertigende Personen zunächst an Ort und Stelle beim Vertragsabschluss informiert würden. Im Anschluss (wenige Werktage später) würde ein ausführliches Informationsschreiben versendet werden, in dem nochmals über die Verarbeitung der Daten zu Marketingzwecken Dritter informiert würde. Diese Sendung ergehe auch an etwaige Dritte, zudem sei im Briefumschlag eine Antwortkarte, mit der die vertragsunterfertigende Person als auch ein Dritter sein jeweiliges Widerspruchsrecht einfach ausüben könne. Hierdurch werde die Sicherstellung angestrebt, dass jeder über alle erforderlichen Informationen iZm einer Datenweitergabe gemäß § 151 GewO verfüge. Zwecks Berücksichtigung nachträglicher Widersprüche seien die Daten für eine Verarbeitung zu Marketingzwecken für die ersten 21 Tage gesperrt. Dieser zweistufige Prozess sei auch bei den BF eingehalten worden. Sohin sei das Vorbringen, wonach die BF1 im Recht auf Information gemäß Art. 13 verletzt worden sei, unbegründet. Dem BF2 sei die gemäß Art. 14 DSGVO geschuldete Information innerhalb weniger Tage zugeschickt worden, was angesichts des hinterlegten Widerspruches nicht mehr geschuldet gewesen sei.
Die MP erhalte im Zuge des Vertragsabschlusses Stammdaten (Anrede, Titel, Vorname, Nachname, Geburtsdatum, Adresse) und dürfe diese Daten als Adressverlags- und Direktmarketingunternehmen gemäß § 151 GewO verarbeiten. Bei Vertragsabschluss hole sie keine Einwilligung zur Datenweitergabe gemäß Art. 6 Abs. 1 lit a DSGVO ein, sondern agiere im Rahmen der opt-out Ermächtigung des § 151 Abs. 10 GewO; demgemäß müsse sie über die Möglichkeit der Datenweitergabe zu Marketingzwecken und das Recht zum Widerruf im Sinne eines opt-outs informieren, nicht aber eine diesbezügliche opt-in Einwilligung einholen. Der § 151 GewO stelle den geltenden Rechtsbestand dar, dieser sei auch im Zuges des Inkrafttretens der DSGVO novelliert worden. Außerdem habe die belangte Behörde am 11.04.2019 Verhaltensregeln für Adressverlage und Direktmarketingunternehmen genehmigt. Die MP verarbeite in Bezug auf Marketingzwecke bloß Stammdaten (Name, Adresse). Hätte der Gesetzgeber diesen Datenkategorien eine besondere Sensibilität beigemessen, hätte er § 151 Abs. 5 GewO nie formuliert, der diese Datenkategorien für unbedenklich erkläre. Weiters gehe aus dem ErwGr 47 zur DSGVO hervor, dass das Direktmarketing als ein „berechtigtes Interesse“ betrachtet werden könne und erkenne damit an, dass das unternehmerische Interesse an Marketing den Interessen der Betroffenen übergeordnet sei.
3. Mit Erledigung vom 11.06.2021 übermittelte die belangte Behörde den BF unter anderem die Stellungnahme der MP vom 05.06.2021 und gab ihnen hierzu die Gelegenheit eine Stellungnahme abzugeben. Von den BF wurde hierauf kein weiteres Vorbringen erstattet.
4. Mit dem angefochtenen Bescheid wurde die Beschwerde zur Gänze abgewiesen.
Die belangte Behörde führte zunächst aus, dass Beschwerdegegenstand die Frage sei, ob die MP die BF1 und den BF2 dadurch im Recht auf Geheimhaltung verletzt habe, dass sie deren im Rahmen der Beauftragung und Einrichtung eines Urlaubspostfaches erhobenen Daten (auch) zu Marketingzwecken verarbeitet habe. Weiters sei Beschwerdegegenstand die Frage, ob die MP die BF1 und den BF2 dadurch im Recht auf Information verletzt habe, dass die MP ihrer Informationspflicht (bis zum Abschluss des Beschwerdeverfahrens) nicht entsprochen habe.
In rechtlicher Hinsicht hielt die belangte Behörde (sofern für das gegenständliche Beschwerdeverfahren relevant) fest, dass gegenständlich zwar unbestrittenermaßen personenbezogene Daten der beiden BF im Rahmen des Vertragsabschlusses „Postfach Urlaub“ erfasst und folglich auch iSd Art. 4 Z 2 DSGVO zum Zwecke der Vertragserfüllung durch die MP verarbeitet worden seien. Aber allein dieser Umstand reiche nicht aus, dass eine festzustellende Rechtsverletzung vorliege oder vorgelegen habe. Es sei weder eine Einholung einer datenschutzrechtlichen Einwilligung noch eine (Weiter-)Verarbeitung zu Marketingzwecken Dritter erfolgt. Aus dem Wortlaut der Vereinbarung des Postfaches „Urlaub“ aus dem August 2019 werde ersichtlich, dass das Anklicken der „Checkbox“ („Ich bin mit einer Datenweitergabe nicht einverstanden.“) keine affirmative Willensbekundung zur Datenverarbeitung iSd Art. 4 Z 11 DSGVO ausdrücke, sondern vielmehr eine Ablehnung in Form eines Widerspruches gemäß Art 21 leg. cit. ermöglichen solle. Dies erschließe sich im Übrigen auch aus den Informationsschreiben der MP sowie der auf deren Internetauftritt zur Verfügung gestellten Informationen, aus welchen klar ersichtlich werde, dass die Datenverarbeitung zu Marketingzwecken Dritter auf der Rechtsgrundlage des Art 6 Abs. 1 lit. f DSGVO erfolge und von welchen die BF laut eigenen Angaben auch Kenntnis erlangt hätten. Die BF hätten am 22.08.2019 in der Filiale der MP Widerspruch eingelegt und sei infolgedessen keine Weitergabe noch eine sonstige Verarbeitung ihrer personenbezogenen Daten zu Marketingzwecken erfolgt.
Zur behaupteten Verletzung im Recht auf Information führte die belangte Behörde aus, dass die BF stets davon ausgehen würden, die Datenverarbeitung zum Zwecke des Direktmarketings hänge von einer Einwilligung ab und könne eben nicht auf ein berechtigtes Interesse der MP gestützt werden. Schon zum Zeitpunkt des Vertragsabschlusses über die Einrichtung eines Urlaubspostfaches sei es möglich gewesen, der Datenverarbeitung zu Marketingzwecken zu widersprechen. Aus dem in den Feststellungen inkludierten Unterschriftenpad gehe eindeutig hervor, dass die BF darüber in Kenntnis gewesen sein müssten, dass unabhängig von der Möglichkeit des Widerspruches zur Datenverarbeitung zu Marketingzwecken die Daten zur Einrichtung des Urlaubpostfaches und zur dortigen Vertragserfüllung benötigt würden. Die MP habe zu keinem Zeitpunkt den Eindruck erweckt, die Unterschrift begründe eine wie immer geartete datenschutzrechtliche Einwilligung. Richtigerweise hätten die BF daher annehmen müssen, dass die Unterschrift nur den Auftrag zur Einrichtung des Urlaubspostfaches begründe.
Betreffend die BF1 wurde hierzu angeführt, dass die personenbezogenen Daten der beiden BF bei der BF1 anlässlich der Beauftragung des Urlaubspostfaches anhand des Touch Pad-Terminals in die das hierfür erforderliche System eingepflegt, somit zu diesem Zeitpunkt erhoben worden seien. Der BF1 sei vor Abschluss der Urlaubspostfach-Vereinbarung auf dem Touch Pad-Terminal selbst schon der Hinweis erteilt worden, dass personenbezogene Daten (konkret Anrede, Titel, Vorname, Nachname, Geburtsdatum und Adresse) von der MP an Dritte gemäß § 151 GewO zur Marketingzwecken übermittelt werden könnten und dass sie diese Übermittlung untersagen könne. Schon dadurch sei dem gesetzlichen Erfordernis Genüge getan, weil die BF darüber Kenntnis haben müssten, dass die MP keine Einwilligung zur Datenverarbeitung zu Marketingzwecken gebracht oder abverlangt habe, die Möglichkeit der sofortigen Untersagung sei gegeben gewesen. Der BF1 seien auch sogleich alle in Art. 13 Abs. 1 und Abs. 2 DSGVO – fallbezogen relevanten - genannten Informationen bereitgestellt worden. Da die Verarbeitung nicht aufgrund einer erteilten Einwilligung erfolgt sei, habe auch (vorab) eine Information nach Art. 13 Abs. 2 lit. c DSGVO unterbleiben können. Das Vorbringen der BF, demgemäß die hinsichtlich der Datenweitergabe an Dritte bzw. eines diesbezüglichen Widerspruchsrechts erteilten Information nicht hinreichend transparent und verständlich gewesen sei, treffe nicht zu, da die betreffenden Hinweise auf der Seite des Touch Pad-Terminals in zwei separaten, aufeinander folgenden Absätzen zu lesen gewesen seien, welche überdies direkt über dem Unterschriftsfeld und über jener Checkbox stünden, durch deren Ankreuzen eine Weitergabe untersagt werden hätte können. Die gegenständliche Weitergabe personenbezogener Daten zu Marketingzwecken Dritter sei nicht aufgrund einer erteilten Einwilligung (Art 6 Abs. 1 lit. a DSGVO) erfolgt, sondern aufgrund der Rechtsgrundlage „berechtigte Interessen“ (Art. 6 Abs. 1 lit. f DSGVO). In Ansehung des gegenständlichen Sachverhaltes sei ebenfalls keine Zweckänderung erkennbar, da der Zweck bereits zu Beginn deklariert worden sei und folglich keine Informationspflicht bestanden habe. Im Ergebnis sei damit die MP ihrer aus Art. 13 DSGVO erwachsenen Informationspflicht nachgekommen.
In Bezug auf den BF2 wurde festgehalten, dass das der BF1 ausgehändigte Vertragsformular und die darin erteilten Informationen auch an den BF2 gerichtet seien und ihm dieses unstrittig zugegangen sei. Somit habe der BF2 bereits über die gemäß Art. 14 Abs. 1 lit. a bis e und Abs. 2 lit. a bis e DSGVO zu erteilenden Informationen verfügt. Auch die Datenquelle iSd Art 14 Abs. 2 lit. f leg. cit. sei dem BF2 bekannt, da die ihn betreffenden Daten bei der BF1 erhoben worden seien und dies anlässlich der Beauftragung eines Urlaubspostfaches geschehen sei. Aus Sicht der MP sei daher grundsätzlich von keiner weiterführenden Informationspflicht betreffend den BF2 iSd Art 12. Abs. 1 iVm Art. 14 DSGVO auszugehen.
5. Gegen diesen Bescheid erhoben beide BF fristgerecht eine gemeinsame Beschwerde an das Bundesverwaltungsgericht:
Die Sachverhaltsfeststellungen seien im Wesentlichen zutreffend mit Ausnahme des auf dem Signatur-Pad dargestellten Inhalts. Den von der MP in ihrer Eingabe vom 05.06.2020 als „Testversion“ präsentierten Inhalt habe die BF1 nie gesehen, dieser sei bei ihrer Bestellung des Urlaubspostfaches nicht verwendet worden. Ein Hinweis des Mitarbeiters der MP auf eine Datenverwendung für Marketingzwecke Dritter sei nicht erfolgt. Weiters hätten die BF keine Gelegenheit gehabt, dem festgestellten Sachverhalt wie auch den rechtlichen Schlussfolgerungen zu widersprechen und hätten insofern eingeschränktes Parteiengehör gehabt.
Unabhängig von einer allfälligen Weitergabe der Daten sei bereits die Erfassung der Daten zum Zweck des Direktmarketings an Dritte nicht rechtmäßig erfolgt. Für den Verstoß reiche es, dass die MP die Daten originär für zwei getrennte Zwecke erhoben habe, um sie Dritten zur Verfügung zu stellen, ohne dabei die Zustimmung der Betroffenen einzuholen. Das Oberlandesgericht (OLG) Wien sei in der Entscheidung vom 24.06.2020, Zl. 4R 18/20a, u.a. zu dem Schluss gekommen, dass die MP sich nicht mit Erfolg auf § 151 GewO und auf die Zulässigkeit des in Abs. 5 leg. cit. vorgesehenen Opt-out-Verfahren berufen könne und kein berechtigtes Interesse der MP vorliege. Vielmehr habe die MP das in Art. 25 Abs. 2 DSGVO normierte Opt-in-Verfahren anzuwenden. Dass die Rechtsgebiete Vertragsklauseln und Datenschutzrecht in der Beurteilung nach dem Willen des Unionsgesetzgebers nicht losgelöst voneinander zu betrachten seien, ergebe sich auch aus EG 42 zur DSGVO, der explizit festhalte, dass die Bestimmungen der Klausel-RL auch in Angelegenheiten der DSGVO zu berücksichtigen seien. Des Weiteren habe das OLG Wien ausgeführt, dass die Voraussetzungen des § 151 Ans. 3 und 5 GewO von der Mitbeteiligten nicht eingehalten würden. Die vorliegenden Datenerfassungen zum Zweck des Direktmarketings an Dritte seien somit gegen die Vorgaben von § 151 GewO sowie § 4 CoC erfolgt.
Sowohl die MP als auch die belangte Behörde seien es ferner schuldig geblieben, darzulegen, wieso im vorliegenden Fall ein berechtigtes Interesse vorliegen würde. Eine Interessensabwägung müsse zu dem Ergebnis kommen, dass fallbezogen die Interessen der BF überwiegen. Die MP nutze die Daten nicht bloß für Direktwerbung für eigene Produkte, sie gebe diese auch an Dritte weiter, was einen viel weitgehenderen Eingriff in die Selbstbestimmungsrechte der Betroffenen darstelle, da diesen eine Kontrolle darüber, an wen und auch wie häufig Daten übermittelt würden, damit entzogen sei. Direktwerbung für Dritte könne folglich nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Allenfalls könnte ein berechtigtes Interesse für Direktwerbung im eigenen Namen vorliegen, was sich aus EG 47 zur DSGVO ergebe. Warum Direktwerbung für Dritte ein überwiegendes Interesse darstellen solle, erschließe sich nicht und werde von der MP und der DSB auch nicht näher ausgeführt. Nach den Rechtsgrundsätzen des Art. 6 DSGVO wäre für die vom Vertragszweck getrennte Erhebung der Daten für Marketingzwecke Dritter die Einwilligung der Betroffenen einzuholen gewesen. Somit sei die betreffende Datenverarbeitung unabhängig von einem allfälligen späteren Widerspruch von vornherein unrechtmäßig und verstoße gegen den privacy-by-design Grundsatz des Art. 25 Abs. 2 DSGVO. Die Möglichkeit eines nachträglichen Widerspruchs ändere daran nichts, auch die 21-tägige Sperrfrist sei kein Heilmittel für eine an sich unrechtmäßige Datenverarbeitung.
Bezüglich der Verletzung im Recht auf Information gehe die belangte Behörde wiederum von einem unrichtigen Sachverhalt aus; es liege damit ein Verstoß gegen eine Datenverarbeitung nach Treu und Glauben, das Transparenzgebot sowie die Informationspflichten vor. Aber selbst ausgehend vom unrichtig festgestellten Sachverhalt lasse die belangte Behörde außer Acht, dass unter Abstellung auf einen Durchschnittsadressaten die Informationen so darzustellen seien, dass die betroffene Person ohne übermäßigen kognitiven oder zeitlichen Aufwand tatsächlich nachvollziehen könne. Die Ausgestaltung des betreffenden Signatur-Pads vermische vertragsrechtliche mit datenschutzrechtlichen Informationen. Zudem sei das Signatur-Pad vor Ort nicht so gut wahrnehmbar gewesen und das Display sei mit den Informationen sehr klein und schlecht lesbar. Dieser Umstand wiege schwer, weil der Durchschnittsadressat im Rahmen seiner Bestellung des Urlaubs-Postfaches ausschließlich den Vertragsabschluss mit der Post jedoch nicht ihr Gewerbe nach § 151 GewO im Blick habe. Das wesentlich kleinere Feld für ein Opt-Out zur Datenweitergabe gehe für einen Durchschnittskunden unter. Sohin führe die fehlende Transparenz zu einer ungewollten Datenweitergabe.
Außerdem hätten bereits zum Zeitpunkt der erstmaligen Datenerhebung durch den Mitarbeiter und der Darstellung der Daten zur Kontrolle und Bestätigung am Signatur-Pad die Informationen nach Art. 13 DSGVO auf dem Signatur-Pad aufscheinen und eindeutig auf eine mögliche Datenweitergabe zu Marketingzwecken Dritter hinweisen müssen. Zudem würden die Informationen in Bezug auf Art. 21 Abs. 2 und DSGVO bzw. zum Recht der Untersagung der Datenübermittlung gemäß § 151 Abs. 5 GewO sowie dem Löschungsrecht nach § 151 Abs. 8 GewO auf dem Pad unbestrittenerweise fehlen.
Hinsichtlich des BF2 wurde ausgeführt, dass die BF1 nicht wirksam über die Daten des BF2 zu Zwecken des Direktmarketings für Dritte verfügen habe können, da der von ihm erteilte Auftrag und die Vollmacht sich nicht auf die Verwendung seiner Daten zu Zwecken des Direktmarketings Dritter erstreckt habe. Mit Rücksicht auf das zitierte Urteil des OLG Wien müsse ein Verantwortlicher nicht nur die Bestimmungen der DSGVO einhalten, sondern auch in der Lage sein, dies nachzuweisen. Ferner seien die vom BF2 verarbeiteten Daten nicht aus einer in § 151 Abs. 3 GewO genannten Quelle bzw. mittels Befragung ermittelt worden. Dass der BF2 unabhängig davon nachträglich gemäß Art. 14 Abs. 2 DSGVO durch ein an ihn gerichtetes Schreiben informiert worden sei, vermöge diese Unrechtmäßigkeit der Verwendung seiner Daten nicht zu beseitigen, überdies hätten die BF das nachfolgende Schreiben nie erhalten.
6. Mit Schreiben vom 19.11.2021 legte die belangte Behörde die Beschwerde dem Bundesverwaltungsgericht unter Anschluss der Verfahrensakten vor.
In ihrer angeschlossenen Stellungnahme brachte sie zunächst vor, dass den BF der auf dem verfahrensgegenständlichen Touch-Pad-Terminal dargestellte Inhalt nicht nur zweimal im Rahmen der Akteneinsicht elektronisch übermittelt worden sei, sondern sie durch die belangte Behörde auch explizit darauf hingewiesen worden seien, dass dieser als Beweismittel zur Sachverhaltsfeststellung herangezogen würde. Sohin hätten die BF Gelegenheit gehabt, Stellung zu nehmen bzw. die Echtheit und Richtigkeit des beigezogenen Beweismittels zu bestreiten, und sei ihr Recht auf Parteiengehör jedenfalls gewahrt worden.
Gegenständlich seien unbestrittenermaßen personenbezogene Daten der BF im Rahmen des Vertragsabschlusses „Postfach Urlaub“ erhoben bzw. erfasst worden. Dies stelle nur einen der in Art. 4 Z 2 DSGVO aufgezählten Verarbeitungsschritte dar und sei dies unzweifelhaft zum Zweck der Vertragserfüllung erfolgt. Ob des innerhalb der 21-tägigen Sperrfrist erklärten Widerspruchs der BF sei es fallbezogen tatsächlich zu keiner Verarbeitung iSd Art. 4 Z 2 DSGVO von personenbezogenen Daten zu Marketingzwecken gekommen, da angesichts des Widerspruchs Daten zu diesem Zweck weder erfasst bzw. gespeichert, noch weitergeleitet worden seien. Die MP stütze eine etwaige Verarbeitung von Daten zu Marketingzwecken nicht auf eine etwaige Einwilligung, eine solche Verarbeitung wäre auf das Vorliegen von „berechtigten Interessen“ iSd Art. 6 Abs. 1 lit. f DSGVO iVm § 151 GewO gestützt. Das von der BF zitierte Urteil des OLG Wien sei für den vorliegenden Fall nicht einschlägig, da diesem ein anderer Verfahrensgegenstand zugrunde liege. Das OLG Wien verneine darin, dass dem Vorbringen der dortigen Beklagten, sich in diesem Zusammenhang gestützt auf gemäß Abs. 3 und 5 GewO auf eine Einwilligung durch Opt-out berufen zu können, mangels Einhalten der hierin vorgesehenen Modalitäten nicht gefolgt werden könne. Aus § 151 GewO lasse sich nicht ableiten, dass außerhalb des Anwendungsbereichs dieser Bestimmung die übrigen Erlaubnistatbestände des Art. 6 Abs. 1 nicht (auch) in Betracht kämen bzw. diese ergänzen würden. Folglich erkenne die belangte Behörde an, dass die Verarbeitung von Daten grundsätzlich auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden könne. Das Anklicken der gegenständlichen Checkbox drücke keine affirmative Willensbekundung zur Datenverarbeitung iSd Art. 4 Z 11 DSGVO aus, sondern solle vielmehr eine Ablehnung in Form eines Widerspruchs gemäß Art 21 DSGVO ermöglichen.
Hinsichtlich der behaupteten Verletzung im Recht auf Information sei im Hinblick auf Art. 13 und 14 DSGVO gegenständlich keine konkrete Beschwer erkennbar. Die belangte Behörde habe sich umfassend mit Art und Inhalt der erteilten Informationen iSd Art. 13 und 14 DSGVO auseinandergesetzt. Schon auf dem Internetauftritt der MP sei eine (umfassende) Information zu einer etwaigen Verarbeitung personenbezogener Daten im Interesse der MP sowie von Dritten zu Marketingzwecken bereitgestellt gewesen, womit jedenfalls im Zeitpunkt der Beauftragung des Urlaubpostfachs alle gemäß Art. 13 und 14 DSGVO geforderten Informationen auf dem Internetauftritt der MP veröffentlicht gewesen seien und sohin den beiden BF unzweifelhaft zur Verfügung gestanden seien. Ob die BF1 befugt gewesen sei, einen Nachsendeauftrag im Namen des BF2 abzuschließen, sei unter Berücksichtigung der fallgegenständlichen Beschwerde nicht zu klären gewesen. Die MP habe zudem wohl berechtigterweise davon ausgehen können, dass sich (zumindest) der BF2 von der BF1 freiwillig und gewillkürt vertreten habe lassen.
7. Nach Übermittlung der Beschwerde an die MP durch das Bundesverwaltungsgericht führte diese in einer Beschwerdebeantwortung vom 23.02.2023 zusammengefasst an, dass zum Zeitpunkt des fallbezogenen Vertragsabschlusses in den Filialen der MP ausschließlich jener Informationstext verwendet worden sei, dessen Verwendung im angefochtenen Bescheid festgestellt worden sei. Diese Information sei der BF1 somit bei der Unterfertigung des Vertrages angezeigt worden. Eine Verarbeitung personenbezogener Daten für Adressverlagszwecke finde nur statt, wenn Daten für diesen Zweck auch verwendet würden, was gegenständlich nicht geschehen sei. Die Daten der BF seien nur einmal für den Vertragsabschluss rechtmäßig erhoben und verarbeitet worden. Ein rechtmäßiger Verarbeitungszweck werde nicht unrechtmäßig, wenn über einen zweiten Verarbeitungszweck informiert werde. Es habe zudem auch vor dem Widerspruch der BF1 keine Verarbeitung für Adressverlagszwecke gegeben, dies sei durch die 21-tägige Sperrfrist sichergestellt worden. Aus dem von den BF zitierten Urteil des OLG Wien sei nichts zu gewinnen, weil hierbei eine objektive Klauselkontrolle iSd KSchG durchgeführt worden sei. Für eine solche sei die belangte Behörde nicht zuständig und komme darauf den BF auch kein subjektives Recht zu; das Urteil sei auf das vorliegende Verfahren nicht übertragbar, zumal das OLG Wien nur § 151 GewO behandelt habe. Der BF1 seien die geschuldeten Informationen iSd Art. 13 DSGVO vor Erheben der Daten auf dem Signatur-Pad erteilt worden, überdies sei ihr vor Ort beim Vertragsschluss eine detaillierte Datenschutzinformation ausgehändigt worden. Außerdem wäre eine allfällige Verletzung des Rechts auf Information bereits saniert worden, weil die BF1 die geschuldeten Informationen unbestrittenermaßen erhalten habe. Eine postalische Benachrichtigung des BF2 habe unterbleiben können, da der Widerspruch in seinem Datensatz bereits hinterlegt worden sei, die MP habe dem BF2 die Hinterlegung des Widerspruchs sowie die Sperre für Adressverlagszwecke per E-Mail vom 03.06.2019 – vor Vertragsabschluss - mitgeteilt. Außerdem habe er die geschuldeten Informationen spätestens im Rahmen dieses Verfahrens erhalten. Zum Zeitpunkt des Vertragsabschlusses sei der Datensatz des BF2 bereits gesperrt gewesen. Für den Fall der Annahme einer Beschwer der BF wurde die Durchführung einer mündlichen Verhandlung beantragt.
8. In ihrer Stellungnahme vom 23.03.2023 führten die BF im Wesentlichen aus, dass der Text auf dem von der MP der Behörde beigebrachten Abbildung nicht dem Touchpad-Text, der der BF1 bei Vertragsabschluss präsentiert worden sei, entspreche. Es entspreche zudem der allgemeinen Lebenserfahrung, dass Rechts- und Vertragstexte laufend überarbeitet und angepasst würden. Beigelegt wurden Fotos von einem Touchpad-Text in einer Filiale der MP, welche anlässlich einer Nachschau durch die XXXX angefertigt worden seien. Die Informationen in Papierform seien zum einen umfangreicher gewesen, aber zum anderen irrelevant, da es auf die Informationen bei Bekanntgabe der Daten ankomme, nicht auf eine Information danach. Die DSB habe eine unrichtige Beweiswürdigung getroffen. Schon beim bloßen Erfassen von Daten liege eine Verarbeitung vor, die Erhebung der Daten zu Marketingzwecken Dritter sei bereits an sich unrechtmäßig, weswegen die BF in ihrem Recht auf Geheimhaltung verletzt worden seien. In diesem Erheben der Daten sei ein Verstoß gegen den Grundsatz von Treu und Glauben gemäß Art. 5 Abs. 1 lit. a DSGVO zu erblicken. Es sei des Weiteren massiv anzuzweifeln, ob § 151 GewO mangels Öffnungsklausel überhaupt der DSGVO entspreche. An der Datenverarbeitung zu Marketingzwecken Dritter könne es kein überwiegendes berechtigtes Interesse der MP geben. Für die MP sei es nicht erforderlich, Daten für ihre Gewerbetätigkeit im Rahmen eines Vertragsabschlusses über ein Urlaubspostfach vor Ort in einer Filiale zu erheben. Weiters stelle das OLG Wien sehr wohl datenschutzrechtliche Überlegungen an und weise auch auf eine notwendige Interessensabwägung iSd Art. 6 Abs. 1 lit. f als Rechtmäßigkeitsgrund hin. Die Wertungen des EuGH – zu C-132/21, 12.01.2023 – seien auch fallbezogen übertragbar, da zwei sich widersprechende Entscheidungen, die sich mit derselben datenschutzrechtlichen Klausel auseinandersetzen, den Zielen der DSGVO schaden würden. Das Urteil des OLG Wien sei daher insgesamt für den vorliegenden Fall einschlägig.
Bezüglich Art. 13 DSGVO sei im Falle der vollständigen Nachholung der Informationserteilung immer noch die Rechtsverletzung festzustellen. Überdies seien nicht alle fehlenden Informationspflichten zu einem späteren Zeitpunkt nachgeholt worden (nämlich jene nach Art 13 Abs. 1 lit. d, e und Abs. 2 lit. f bzw. Art 14 Abs. 1 lit e, Abs. 2 lit b. und g). Zudem müsse sich der unbedarfte Kunde nicht vorher auf den Webseiten des Vertragspartners informieren, ob Datenverarbeitungen vorgenommen würden, mit denen er iZm seinem Vertrag keinesfalls rechnen müsse. Letztlich könne eine Pflicht der Auftraggeberin eines Urlaubspostfaches, nachweisen zu müssen, sie sei für ihren Ehemann zum Abschluss desselben beauftragt und bevollmächtigt, nicht wirksam vereinbart werden, da die sie selbst keine Daten verarbeite und keine Verantwortliche iSd DSGVO sei.
9. In der Folge übermittelte das Bundesverwaltungsgericht die unter den Punkten 8. und 9. dargestellten Schriftsätze den übrigen Verfahrensparteien.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Der Entscheidung wird zum einen der unter Punkt I. dargestellte Sachverhalt zugrunde gelegt.
1.2. Darüber hinaus wird festgestellt:
Die MP ist Universaldienstbetreiberin im Sinne des § 12 Abs. 1 PMG und erbringt unter anderem Post-, Paket- und Logistikdienstleistungen aller Art. Außerdem ist sie Gewerbetreibende aus dem Bereich Adressverlag und Direktmarketingunternehmen gemäß § 151 GewO. Im Rahmen dieser Tätigkeit bietet die MP ihren Kundinnen und Kunden die Möglichkeit an, (innerhalb eines im Voraus bestimmten Zeitraums) einlangende Sendungen bei der zuständigen Geschäftsstelle der Wohn- bzw. Firmenanschrift zu lagern. Die Einrichtung eines solchen Postfachs „Urlaub“ kann sowohl online wie auch vor Ort in einer Filiale beauftragt werden.
Am 19.08.2019 beauftragte die BF1 bei der MP für sich selbst und den BF2 die Einrichtung eines Urlaubspostfaches („Postfach Urlaub‘“). Dies erfolgte in einer Filiale der MP in XXXX bzw. die Aufnahme der hierfür erforderlichen Daten erfolgte unter Verwendung eines vor Ort zur Verfügung gestellten Touch Pad-Terminals. Konkret wurden die Daten von der BF1 einem Mitarbeiter der MP mündlich bekannt und von diesem Vor- und Zuname, die Adresse sowie die Geburtsdaten der beiden BF anhand des Touch Pad-Terminals in das hierfür vorgesehene System eingegeben. Die Richtigkeit und Vollständigkeit der dafür erforderlichen Daten wurden mittels Unterschrift beurkundet und im System eingegeben.
Die BF1 bediente das Touch Pad-Terminal nur insoweit, als ihr die Möglichkeit eingeräumt wurde, die eingepflegten Daten bzw. den angezeigten Text zu lesen bzw. nachzukontrollieren, die Unterschriftsleistung erfolgte direkt auf dem Touch Pad-Terminal.
Auf der diesbezüglichen Seite wurde auf dem Touch Pad-Terminal über dem für die Unterschriftsleistung vorgesehenen Feld folgender Text angezeigt (Formatierung nicht in 1:1 wiedergegeben):
Durch das Anklicken der – neben dem für die Unterschriftsleistung vorgesehenen Feld – (nicht vorangekreuzte) Checkbox hätte eine Datenweitergabe untersagt werden können. Weder der Mitarbeiter der MP noch die BF1 setzte ein entsprechendes Kreuz hierin und leistete die BF1 ihre Unterschrift in dem dafür vorgesehenen Feld auf dem Touch Pad-Terminal.
Im Anschluss an die Unterschriftsleistung wurde der BF1 eine an sie und den BF2 gerichtete Bestätigung über die getroffene Vereinbarung in Papierform (im Folgenden: Vertragsformular) ausgehändigt, in welchen der folgend abgebildete Text enthalten war (Auszüge soweit verfahrensrelevant, Formatierung nicht in 1:1 wiedergegeben):
Außerdem war auf dem Internetauftritt der MP Folgendes veröffentlicht (Abbildung soweit verfahrensrelevant, Formatierung nicht in 1:1 wiedergegeben):
Die anhand der ausgehändigten Schreiben erteilten Informationen, insbesondere dass seitens der MP personenbezogene Daten für Werbezwecke an Dritte übermittelt werden können, gelangten den beiden BF zu einem späteren – vor dem 22.08.2019 gelegenen – Zeitpunkt zur Kenntnis.
Am 22.08.2019 suchte die BF1 dieselbe (obengenannte) Filiale der MP erneut auf und widersprach der Datenweitergabe zu Marketingzwecken.
Es wurden die im Zusammenhang mit der Einrichtung des Urlaubspostfaches erfassten Daten der BF1 oder des BF2 zu keinem Zeitpunkt an Dritte zu Marketingzwecken weitergeleitet.
Am 19.08.2019 war im System der MP der Datensatz bezüglich des BF2 in Hinblick auf einen hinterlegten Widerspruch für Adressverlagszwecke gesperrt.
2. Beweiswürdigung:
2.1. Die Feststellungen zu Punkt 1.1. ergeben sich auf die Beschwerde sowie die vorgelegten Verwaltungsunterlagen.
2.2. Der zu Punkt 1.2. darüber hinaus festgestellte Sachverhalt beruht auf dem Akteninhalt und auf das im Wesentlichen übereinstimmende Vorbringen der BF und der MP. Was das Vorbringen der BF anbelangt, wonach die BF1 den – von der MP in ihrer Stellungnahme vorgelegten – auf dem Touch-Pad angezeigten Inhalt nie gesehen habe und dieser bei der Bestellung des Urlaubspostfaches nicht verwendet worden sei, so ist diesem deshalb nicht zu folgen, da zunächst hervorsticht, dass im Rahmen des Administrativverfahrens die BF den betreffenden Inhalt auf dem Touch-Pad noch nicht monierten, obwohl ihnen das entsprechende Beweismittel im Rahmen des Parteiengehörs übermittelt wurde (siehe dazu auch noch unter 3.2.1.). Vielmehr habe die BF1 – laut dem verfahrenseinleitenden Beschwerdeschriftsatz zu einem späteren Zeitpunkt – anhand des ausgehändigten Formulars festgestellt, dass sie auf dem Signatur-Pad ihre Einwilligung dafür erteilt habe, dass die MP ihre Daten und jene des BF2 für Werbezwecke an Dritte übermitteln dürfe. Überdies war der verfahrenseinleitenden Beschwerde der BF zu entnehmen, dass die BF1 „die Angaben auf dem Signatur-Pad ausschließlich im Hinblick auf ihre Richtigkeit“ betrachtet hätte, zumal obendrein ausgeführt wurde, dass bestimmte Umstände dazu geführt hätten, dass die BF1 vor Ort „das Kästchen für ein Opt-Out zur Datenverarbeitung nicht ankreuzte“. Zudem wurde hinzugefügt, dass die auf dem Display dargestellten Inhalte „nicht nur den Vertragsinhalt für das Urlaubspostfach“ betroffen hätten. Sohin waren die BF außerstande, die Verwendung des den Feststellungen zugrunde gelegten Inhaltes auf dem Touch-Pad am 19.08.2019 in Zweifel zu ziehen. Es haben sich keinerlei substanzielle Anhaltspunkte ergeben, wonach die MP einen anderen Inhalt auf dem Display zum fallgegenständlichen Zeitpunkt zur Anwendung gebracht hätte. Die von den BF vorgelegten Bilder, welche aus einer Nachschau ihrer Vertretung herrühren, weisen angesichts ihrer Unkenntlichkeit keinen relevanten Beweiswert auf. Letztlich beschränkten sich die BF in ihrer Rüge des festgestellten Sachverhaltes lediglich darauf, dass der Text auf dem Touch-Pad nicht so wie festgestellt ausgesehen habe, ohne konkret darzutun, wie dieser stattdessen ausgesehen habe.
Sofern die BF in ihrer an das erkennende Gericht gerichteten Beschwerde vorbringen, das Vertragsformular nicht erhalten zu haben, sind ihnen wiederum ihre Ausführungen aus ihrer verfahrenseinleitenden Eingabe entgegenzuhalten, demgemäß der Mitarbeiter der MP der BF1 ein ausgefertigtes Formular für das „Postfach Urlaub“ überreicht habe, für sie selbst und den BF2. Darüber hinaus waren in diesem Beschwerdeschriftsatz die – den Feststellungen zugrunde gelegten – entsprechenden Passagen aus diesem enthalten.
Die Feststellung, wonach am 19.08.2019 im System der MP der Datensatz bezüglich des BF2 in Hinblick auf einen vom abgegebenen Widerspruch für Adressverlagszwecke gesperrt war, stützt sich auf das durch die Abbildung des betreffenden Informations-E-Mails vom 03.06.2019 an den BF2 belegte diesbezügliche Vorbringen der MP, dem von den BF nicht entgegengetreten wurde.
3. Rechtliche Beurteilung:
3.1.1. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I Nr. 33/2013, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Gemäß § 28 Abs. 1 VwGVG haben die Verwaltungsgerichte die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.
3.1.2. Zu den anzuwendenden Rechtsnormen:
Gemäß § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
Art. 4 DSGVO normiert folgende für das gegenständliche Verfahren relevanten Legaldefinitionen:
1. „personenbezogene Daten“: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
2. „Verarbeitung“: jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
[…]
7. „Verantwortlicher“: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
[…]
11. „Einwilligung“ der betroffenen Person: jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
Gemäß Art. 6 Abs. 1 lit. f DSGVO ist die Verarbeitung von personenbezogenen Daten rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Gemäß Art. 12 Abs. 1 DSGVO hat der Verantwortliche geeignete Maßnahmen zu treffen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen hat schriftlich oder in anderer Form, gegebenenfalls auch elektronisch zu erfolgen.
Gemäß Art. 13 Abs. 1 hat der Verantwortliche der betroffenen Person, wenn personenbezogene Daten bei der betroffenen Person erhoben wurden, zum Zeitpunkt der Erhebung dieser Daten Folgendes mitzuteilen:
a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
Gemäß Art. 13 Abs. 2 DSGVO hat der Verantwortliche der betroffenen Person zusätzlich zu den Informationen gemäß Abs. 1 zum Zeitpunkt der Erhebung dieser Daten die folgenden Informationen, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, zur Verfügung zu stellen:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Gemäß Art. 13 Abs. 3 DSGVO hat der Verantwortliche der betroffenen Person, wenn er beabsichtigt, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung zu stellen.
Gemäß Art. 13 Abs. 4 DSGVO finden die Absätze 1, 2 und 3 keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
Gemäß Art. 14 Abs. 1 DSGVO hat der Verantwortliche der betroffenen Person, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden, Folgendes mitzuteilen:
a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d) die Kategorien personenbezogener Daten, die verarbeitet werden;
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.
Gemäß Art. 14 Abs. 2 DSGVO hat der Verantwortliche der betroffenen Person zusätzlich zu den Informationen gemäß Abs. 1 die folgenden Informationen, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, zur Verfügung zu stellen:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;
g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Gemäß Art. 14 Abs. 3 DSGVO hat der Verantwortliche die Informationen gemäß Abs. 1 und 2 zu den folgenden Zeitpunkten zu erteilen:
a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,
b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,
c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.
Gemäß Art. 14 Abs. 5 DSGVO finden die Abs. 1 bis 4 keine Anwendung, wenn und soweit:
a) die betroffene Person bereits über die Informationen verfügt,
b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,
c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder
d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.
Gemäß § 151 Abs. 1 GewO sind auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.
Gemäß § 151 Abs. 3 GewO sind die in Abs. 1 genannten Gewerbetreibenden berechtigt, für ihre Tätigkeiten gemäß Abs. 1 und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für
1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder
2. das Listbroking
erforderlich und gemäß Abs. 4 und 5 zulässig ist.
Gemäß § 151 Abs. 5 GewO dürfen, soweit keine Einwilligung der betroffenen Personen gemäß Art. 4 Z 11 DSGVO zur Übermittlung ihrer Daten für Marketingzwecke Dritter vorliegt, die in Abs. 1 genannten Gewerbetreibenden aus einem Kunden- und Interessentendateisystem eines Dritten nur die Daten
1. Namen,
2. Geschlecht,
3. Titel,
4. akademischer Grad,
5. Anschrift,
6. Geburtsdatum,
7. Berufs-, Branchen- oder Geschäftsbezeichnung und
8. Zugehörigkeit der betroffenen Person zu diesem Kunden- und Interessentendateisystem
ermitteln. Voraussetzung hiefür ist – soweit nicht die strengeren Bestimmungen des Abs. 4 Anwendung finden –, dass der Inhaber des Dateisystems dem Gewerbetreibenden nach Abs. 1 gegenüber schriftlich unbedenklich erklärt hat, dass die betroffenen Personen in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen, und dass keine Untersagung erfolgt ist.
3.2.1. Zur behaupteten Verletzung im Recht auf Geheimhaltung
3.2.1.1. Zur gegenständlichen Verarbeitung von personenbezogenen Daten:
Einleitend hielt die belangte Behörde in ihrer rechtlichen Beurteilung fest, dass zwar unbestrittenermaßen personenbezogene Daten der BF im Rahmen des Vertragsabschlusses „Postfach Urlaub“ erfasst und folglich auch iSd Art. 4 Z 2 DSGVO zum Zwecke der Vertragserfüllung durch die MP verarbeitet worden seien. Dieser Umstand alleine reiche aber nicht aus, dass eine festzustellende Rechtsverletzung vorliege oder vorgelegen habe. Nach Ansicht der belangten Behörde sei es jedoch fallbezogen tatsächlich nicht zu einer Verarbeitung von personenbezogenen Daten zu Marketingzwecken gekommen.
Zur Begriffsbestimmung „Erheben“: Erheben ist das Beschaffen (in der englischen Übersetzung „collection“) von Daten über eine betroffene Person. Erheben bezeichnet damit einen Vorgang, durch den die erhebende Stelle Kenntnis von den betreffenden Daten erhält oder die Verfügungsmacht über die Daten begründet. Das Erheben setzt ein aktives Handeln des Verantwortlichen voraus. Daten können zum einen gezielt erhoben werden, indem Daten technisch – etwa durch einen Sensor, eine Kamera oder ein anderes Datenaufnahmegerät – erfasst werden. Alternativ kann auch ein Mensch die Daten wahrnehmen und in ein informationstechnisches System eingeben (vgl. Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Artikel 4 Nr. 2 Rn 15).
Zur Begriffsbestimmung „Erfassen“: Der Vorgang des Erfassens steht in einem engen Zusammenhang mit der Erhebung von personenbezogenen Daten und bezeichnet die technische Formgebung der erhobenen Daten. Sie werden in einem bestimmten Format „erfasst“, das die weitere technische Verarbeitung ermöglicht (vgl. Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Artikel 4 Nr. 2 Rn 16).
Das Grundrecht auf Datenschutz bewirkt einen Anspruch auf Geheimhaltung personenbezogener Daten. Darunter ist – von den gesetzlich anerkannten Einschränkungen abgesehen – der Schutz des Betroffenen vor Ermittlung seiner Daten und der Schutz vor der Weitergabe der über ihn ermittelten Daten zu verstehen (vgl. schon Stärker, Datenschutzgesetz, Anm 2 noch zu § 1 DSG 2000, S 28, VwGH 2007/05/0266 vom 30.04.2009). Daraus folgt, dass das Grundrecht auf Datenschutz auch einen (bloßen) Ermittlungsschutz umfasst.
Wenn auch im vorliegenden Fall keine Weitergabe der personenbezogenen Daten der BF zu Marketingzwecken Dritter erfolgt ist bzw. in diesem Umfang ein wirksamer Widerspruch eingelegt wurde, so ist es dennoch – wie auch in der Beschwerde zutreffend ausgeführt wurde – bereits (zuvor) zu einer Erhebung und Erfassung der Daten zum Zweck der Übermittlung an Dritte zu Marketingzwecken durch die MP gekommen. Die fallgegenständlichen Daten wurden in der betreffenden Filiale der MP am 19.08.2019 für zwei getrennte Zwecke, nämlich einerseits zum Zweck der Vertragserfüllung („Postfach Urlaub“) und andererseits für Marketingzwecke Dritter, durch diese erhoben bzw. erfasst, womit eine Verarbeitung in diesem zusätzlichen Konnex iSd Art. 4 Z 2 DSGVO zweifellos vorliegt. Angesichts der oben dargestellten Erwägungen ist diese Verarbeitung auch vom Grundrecht auf Datenschutz umfasst, trotz des Umstandes, dass sich die Datenverarbeitung infolge des Widerspruches, soweit es den Zweck der Übermittlung an Dritte zu Marketingzwecken betraf, nur auf einen begrenzten Zeitraum beschränkte.
Dass die MP für die konkrete Datenverarbeitung in rechtlicher Hinsicht als Verantwortliche iSd Art. 4 Z 7 DSGVO zu qualifizieren ist, ist unstrittig.
3.2.1.2. Zur Rechtmäßigkeit der gegenständlichen Datenverarbeitung:
Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie – unter Einhaltung der in Art 5 DSGVO genannten Verarbeitungsgrundsätze – auf Grund einer der in Art 6 DSGVO genannten Erlaubnistatbestände erfolgt.
Die Verarbeitung personenbezogener Daten ist gemäß Art 6 Abs. 1 lit f DSGVO zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG vgl. EuGH 04.05.2017, C-13/16, Rīgas satiksme, Rz 31). Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (mögliche Geschäftspartner der MP) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen (ErwG 47 DSGVO). Das berechtigte Interesse kann sich aus der gesamten Rechtsordnung ergeben (Haidinger in Knyrim, Datenschutzrecht4, Kap 5, Rz 5.76).
Das Interesse an der Datenverarbeitung ist weit zu verstehen (Frenzel in Paal/Pauly, DS-GVO/BDSG³ [2021] Art 6 DSGVO Rz 28). In Betracht kommen rechtliche, wirtschaftliche und ideelle Interessen (Schulz in Gola, Datenschutz-Grundverordnung² [2018] Art 6 DSGVO Rz 57).
Auch die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann nach EG 47 einem berechtigten Interesse des Verantwortlichen dienen. Unter Werbung ist in Anlehnung an Art. 2 lit. a Richtlinie 2006/114/EG jede Äußerung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel zu verstehen, den Absatz von Waren oder die Erbringung von Dienstleistungen, einschließlich unbeweglicher Sachen, Rechte und Verpflichtungen zu fördern. Auch der Begriff der Direktwerbung ist in diesem Sinne zu verstehen, stets geht es also um eine Äußerung, die darauf abzielt, den Absatz von Waren oder Dienstleistungen zu fördern. Unabhängig davon, ob man dem Datenschutzrecht auch eine wettbewerbsschützende Funktion zusprechen möchte oder nicht, ist dieses wettbewerbsrechtliche Begriffsverständnis auch dem Datenschutzrecht zugrundezulegen (Buchner/Petri in Kühling/Buchner, DS-GVO – BDSG2, Art. 6 Rz 175).
Ursprünglich sah die Kommission in ihren Vorschlägen für die DSGVO noch das Erfordernis einer Einwilligung in eine Datenverarbeitung zu Zwecken der Direktwerbung vor, nahm davon letztlich wieder Abstand und sah stattdessen lediglich ein Widerspruchsrecht des Betroffenen vor, wie es jetzt auch in Art. 21 Abs. 2 normiert ist. Wird dieses Widerspruchsrecht ausgeübt, kommt eine Interessenabwägung nicht mehr in Betracht. Gleiches muss gelten, wenn die betroffene Person nicht oder nicht ordnungsgemäß nach Art. 21 Abs. 4 auf ihr Widerspruchsrecht hingewiesen worden ist (wie oben, Rz 176).
Nach Art. 21 Abs. 4 DSGVO muss der Hinweis „ausdrücklich“ und in einer „verständlichen und von den anderen Informationen getrennten Form“ erfolgen. Art. 12 Abs. 1 DSGVO verlangt, dass Mitteilungen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erfolgen und zwar „schriftlich oder in anderer Form, gegebenenfalls auch elektronisch“; falls die betroffene Person dies verlangt, kann der Hinweis auch mündlich erteilt werden, falls die Identität der betroffenen Person in anderer Form nachgewiesen wurde. Art. 12 Abs. 7 und 8 DSGVO sehen im Übrigen die Möglichkeit vor, dass Informationen in Kombination mit standardisierten Bildsymbolen bereitgestellt werden und dass die Kommission hierzu delegierte Rechtsakte erlässt. Die Häufung von solchen einander ähnlichen Merkmalen, die kaum in differenzierender Weise definiert werden können, soll offenbar zum Ausdruck bringen, dass die Hinweise jedenfalls auch für Menschen mit geringem Bildungsstand (etwa auch für Kinder, die in Art. 12 Abs. 1 DSGVO explizit genannt werden) verständlich sein müssen. Das Widerspruchsrecht muss als solches benannt werden („ausdrücklich“), und der Hinweis muss von anderen Informationen getrennt sein; für Letzteres dürfte eine optische Abtrennung oder Hervorhebung des Hinweises genügen, eine eigenständige Mitteilung ist nicht erforderlich (Herbst in Kühling/Buchner, DS-GVO – BDSG2, Art. 21 Rz 39).
3.2.1.3. Angewendet auf den vorliegenden Sachverhalt bedeutet das:
Zum berechtigten Interesse an der Datenverarbeitung:
Jedes Unternehmen betreibt heute Werbung. Sei es durch Werbezusendungen per Post, E-Mail, Telefonmarketing oder durch den Zukauf von Adressen Dritter oder unter Mithilfe von Werbeagenturen, Adressverlagen und Direktmarketingunternehmen. Für viele Unternehmen ist die Bewerbung eigener, bestehender Kunden sehr wichtig (siehe dazu Illibauer in Knyrim, Datenschutzrecht4 Kap 17, Rz 17.1 f).
Da die MP, wie festgestellt, das Gewerbe der Adressverlage und Direktmarketingunternehmen ausübt, liegt zweifelsohne ein berechtigtes Interesse der MP an der gegenständlichen Datenverarbeitung vor. Dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann, findet überdies ausdrückliche Erwähnung in ErwG 47 S. 7 DSGVO.
Zur Erforderlichkeit der Datenverarbeitung:
Die verarbeiteten personenbezogenen Daten müssen für den Verwendungszweck objektiv angemessen, für den Zweck auch erheblich und auf das für den Zweck notwendige Maß beschränkt sein (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO Rz 76 (Stand 1.12.2020, rdb.at).
Die Verarbeitung der personenbezogenen Daten der BF ist auch zur Wahrung dieser Interessen erforderlich. Wie schon die belangte Behörde richtigerweise anführte, sind Adressverlage und Direktmarketingunternehmen für ihre Verrichtungen hinsichtlich der (wirtschaftlich sinnvollen) Durchführung ihrer gewerblichen Tätigkeit zum einen auf die Beschaffung entsprechender Daten und zum anderen auf das Erstellen und Bereitstellen des eigenen Adressenangebots angewiesen. Die gegenständliche Verarbeitung ist daher für den Zweck des Gewerbes der Adressverlage und Direktmarketingunternehmen erheblich und notwendig, um diesen zu verwirklichen.
Sofern die BF vermeinen, die gegenständlich Datenverarbeitung sei für die MP nicht erforderlich gewesen, ist festzuhalten, dass diese keine Alternativen dazu aufzeigten, wie die MP auf andere Weise die entsprechenden Daten zur Erreichung dieses Zweckes hätte ermitteln können.
Zur Interessensabwägung:
Dieses Interesse der MP an der Nutzung der gegenständlichen Daten im Rahmen des oben beschriebenen Gewerbes ist gegen das Interesse der BF an der Nichtverarbeitung ihrer personenbezogenen Daten abzuwägen.
Als maßgeblich ist hierbei zu Beginn herauszustreichen, dass fallgegenständlich ein Widerspruch gegen die etwaige Weitergabe der personenbezogenen Daten der BF zu Marketingzwecken Dritter erhoben wurde. Somit ist es zu einer Datenweitergabe erst gar nicht gekommen. Der maßgebende Zeitpunkt für die hier vorzunehmende Interessensabwägung ist sohin jener der Erhebung des Widerspruches, welcher zugunsten der MP im gegebenen Fall ausschlägt.
Vorweg erfolgte dabei auch der ordnungsgemäße Hinweis (gemäß Art. 21 Abs. 4 DSGVO) auf die Möglichkeit, gegen die Übermittlung von Daten zu Marketingzwecken Dritter einen Widerspruch zu erheben. Dieser Hinweis war auch von anderen Informationen inhaltlich in einem eigenen Absatz getrennt (vgl. hierzu die in den Feststellungen enthaltene Abbildung des Touch-Pads). Mag es auch Einzelfälle geben, wo der gegenständliche Hinweis für Personen etwa in Hinblick auf ihr Alter allein nicht ausreicht, um den Anforderungen des Art. 21 Abs. 4 DSGVO zu genügen, kann gleichwohl fallbezogen angenommen werden, dass der betreffende Hinweis auch für Menschen mit geringem Bildungsstand ausreichend verständlich ist, womit die Voraussetzungen des Art. 21 Abs. 4 DSGVO erfüllt waren.
Daran anknüpfend ist auch aus dem Verweis der BF, demgemäß die MP den BF als Dienstleister entgegengetreten ist und auf ihre damit verknüpfte Erwartungshaltung, für sie nichts gewonnen.
Soweit die BF in diesem Kontext auf die Entscheidung des OLG Wien zu Zl. 4R 18/20a hinweisen, ist zu konstatieren, dass dieser Entscheidung keine konkrete Datenverarbeitung zugrunde lag – wie im gegebenen Fall –, sondern vielmehr eine objektive Klauselkontrolle durchgeführt wurde, weswegen eine Übertragung der darin tragenden rechtlichen Erwägungen auf den vorliegenden Fall ausscheidet. In Anbetracht dieser beiden unterschiedlichen Verfahrensgegenstände geht zudem der Hinweis der BF auf die Entscheidung des EuGH vom 12.01.2023, RS C-132/21, hinsichtlich der Frage der unterschiedlichen Rechtsdurchsetzungsmöglichkeiten, ins Leere, zumal die zitierte Entscheidung des OLG Wien nicht rechtskräftig ist und die Revision gegen diese beim Obersten Gerichtshof anhängig ist.
Im Besonderen ist hier der Vollständigkeit halber auch festzuhalten, dass die Zulässigkeitsprüfung der gegenständlichen Datenverarbeitung auf der Grundlage des Art. 6 Abs. 1 lit. f DSGVO erfolgt. Wie dies von der MP und der belangten Behörde zutreffend angeführt wurde, können die in der DSGVO vorgesehenen Erlaubnistatbestände iSd des Anwendungsvorranges des Unionsrechtes nicht durch innerstaatliche Rechtsvorschriften eingeschränkt werden. Sofern die BF insoweit geltend machen, dass die Voraussetzungen des § 151 GewO nicht eingehalten worden seien, vermag dieser Einwand folglich im Rahmen der hier anhand des Art 6. Abs. 1 lit. f DSGVO durchgeführten Interessenabwägung nicht die Unzulässigkeit der Datenverarbeitung zu begründen.
Ob die BF1 aber berechtigt war, über die Daten des BF2 zu Zwecken des Direktmarketings für Dritte zu verfügen, kann insofern dahin gestellt bleiben, als eine Verletzung des BF1 im Recht auf Geheimhaltung schon deshalb nicht in Betracht kommt, da der ihn betreffende Datensatz im System der MP am 19.08.2019 (in Hinblick auf einen hinterlegten Widerspruch) für Adressverlagszwecke bereits gesperrt war.
Aus diesen Gründen war die die Abweisung der Datenschutzbeschwerde der BF hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung nicht zu beanstanden.
3.2.3. Zur behaupteten Verletzung im Recht auf Information:
3.2.3.1. Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten (siehe ErwGr 60 DSGVO). Die Informationspflicht nach Art 13 DSGVO steht außerdem im engen Zusammenhang mit Art 5 Abs. 1 lit a DSGVO, der eine Verarbeitung „in einer für die betroffene Person nachvollziehbaren Weise“ (Grundsatz der Transparenz) fordert (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art 13 DSGVO Rz 1 [Stand 1.12.2020, rdb.at]).
Art. 13 DSGVO regelt die Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Direkterhebung). Diese Daten können von der betroffenen Person bewusst und durch ihr eigenes Zutun erlangt werden (zB durch Eintrag und Absenden eines Kontaktformulars) oder durch den Verantwortlichen selbst generiert werden. Dabei ist zB an Bildaufzeichnungen, alle Arten von Sensoren oder an die Daten zu denken, die beim Abruf von Webseiten am Server gespeichert werden (ebenso WP 260 rev.01, Rz 26). Voraussetzung für die Anwendbarkeit des Art 13 ist also, dass mit der betroffenen Person in nur irgendeiner erdenklichen Art und Weise Kontakt aufgenommen wurde und dabei personenbezogene Daten erhoben wurden (wie oben, Rz 2).
Die betroffene Person ist grundsätzlich bereits zum Zeitpunkt der Erhebung zu informieren, dass sie betreffende personenbezogene Daten verarbeitet werden (ErwGr 61 bzw Art 12 Abs 3). „Erheben“ wird zwar nicht eigens definiert, kann aber als Beginn des Datenverarbeitungsvorgangs (auch bei jeder neuen Erhebung) verstanden werden und setzt ein aktives Tun voraus (s bei Art 4 Z 2 Rz 29; zB unterliegen empfangene E-Mails nicht der Informationspflicht nach Art 13 oder 14; werden diese jedoch ins Kontaktverzeichnis oder in eine Kundendatenbank aufgenommen, wohl schon). Die Informationen sind nach Art 12 Abs 5 unentgeltlich zur Verfügung zu stellen, dies in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache (Illibauer in Knyrim, DatKomm Art 13 DSGVO [Stand 1.12.2021, rdb.at]).
Die Informationen sollen der betroffenen Person auch ermöglichen, darüber zu entscheiden, ob sie in die Verarbeitung ihrer Daten einwilligt bzw. ob sie hiergegen Einwände erhebt oder sich überhaupt auf die Verarbeitung der Daten einlassen möchte. Dieser Zweck würde bei einer Information nach Beginn der Datenerhebung verfehlt oder zumindest beeinträchtigt (vgl. Bäcker in Kühling/Buchner, DS-GVO Art. 13, Rz. 56 mwN).
Zur behaupteten Verletzung im Recht auf Information gemäß Art. 13 Abs. 1 DSGVO hielt die belangte Behörde im angefochtenen Bescheid eingangs fest, dass, ausgehend vom Vorbringen der BF, wonach die erteilte Information nach § 151 GewO im Hinblick auf Zugänglichkeit, Verständlichkeit und Vollständigkeit nicht den Vorgaben der Art. 12 und Art. 13 entsprechen würde, aus den Feststellungen klar ersichtlich sei, dass es schon zum Zeitpunkt des Vertragsabschlusses über die Einrichtung eines Urlaubspostfaches möglich gewesen sei, der Datenverarbeitung zu Marketingzwecken zu widersprechen. Aus dem gezeigten Unterschriftenpad gehe insofern eindeutig hervor, dass die BF1 darüber in Kenntnis gewesen sein müsste, dass unabhängig von der Möglichkeit des Widerspruches zur Datenverarbeitung zu Marketingzwecken die Daten zur Einrichtung des Urlaubspostfaches und zur dortigen Vertragserfüllung benötigt würden. Richtigerweise hätten die BF daher annehmen müssen, dass die Unterschrift nur den Auftrag zur Einrichtung des Urlaubspostfaches begründe. Die personenbezogenen Daten sowohl der BF1 als auch des BF2 seien bei der MP anlässlich der Beauftragung des Urlaubspostfaches anhand des Touch Pad-Terminals in das hierfür erforderliche System eingepflegt, somit zu diesem Zeitpunkt erhoben worden. Anschließend unterzog die belangte Behörde das im Anschluss an die Unterschriftsleistung der BF1 – auch an den BF2 gerichtete - ausgehändigte Vertragsformular einer eingehenden Prüfung im Lichte des Art. 13 Abs. 1, 2 und 3 DSGVO und kam zu dem Schluss, dass die MP ihrer aus Art. 13 DSGVO erwachsenen Informationspflicht nachgekommen sei.
Die BF erhoben im Rahmen ihrer Beschwerde in Bezug auf die BF1 im Wesentlichen die Behauptung, dass die Ausgestaltung des Signatur Pads vertragsrechtliche mit datenschutzrechtlichen Informationen vermische. Das Display mit den Informationen sei sehr klein und schlecht lesbar, was umso schwerer wiege, da der Durchschnittsadressat im Rahmen seiner Bestellung ausschließlich den Vertragsabschluss mit der MP im Blick habe, nicht jedoch ihr Gewerbe nach § 151 GewO. Zudem hätte bereits zum Zeitpunkt der erstmaligen Datenerhebung durch den Mitarbeiter der MP und der Darstellung der Daten zur Kontrolle und Bestätigung am Signatur-Pad die Hinweise nach Art. 13 DSGVO auf dem Signatur-Pad aufscheinen und eindeutig auf eine mögliche Datenweitergabe zu Marketingzwecken Dritter hinweisen müssen. Schließlich würden auf dem Signatur-Pad Informationen hinsichtlich des jederzeitigen Widerspruchs nach Art 21 Abs.2 und 3 DSGVO bzw. des Rechts der Untersagung der Datenübermittlung nach § 151 Abs. 5 GewO und jenes Löschungsrecht nach § 151 GewO Abs. 8 fehlen.
3.2.3.2.1.Der belangten Behörde ist zunächst in Bezug auf die BF1 beizupflichten:
So ergibt sich aus den Feststellungen, dass die BF1 im Rahmen der Erhebung der Daten (zumindest) Kenntnis von der Untersagungsmöglichkeit der Übermittlung der Daten an Dritte zu Marketingzwecken gemäß § 151 gehabt haben muss (Art. 13 Abs. 1 lit. c DSGVO), dies unter Berücksichtigung des auf dem Touch-Pad angezeigten Inhaltes. Entgegen der in der Beschwerde unsubstantiiert geäußerten Ansicht stellt sich der betreffende Inhalt auf dem Pad auch nicht als sehr klein und schlecht lesbar dar, jedenfalls nicht in einem Ausmaß, der der Kenntnisnahme des Inhaltes entgegensteht. Ausgehend von dem von den BF vorgebrachten Durchschnittskunden sind überdies die Hinweise auf der entsprechenden Seite des Touch-Pads auch nicht ohne Separierung oder Hervorhebung im Fließtext enthalten oder in einer der das Verständnis bzw. der Transparenz abträglichen Art und Weise angebracht, sondern waren die Hinweise – wie auch die belangte Behörde richtigerweise festhielt - in zwei separaten, aufeinander folgenden Absätzen zu lesen, welche überdies direkt über dem Unterschriftsfeld und über jener Checkbox stehen, durch deren Ankreuzen eine Weitergabe untersagt werden hätte können. Wie oben bereits ausgeführt, ist der betreffende Hinweis auf die Untersagungsmöglichkeit jedenfalls auch für Menschen mit geringem Bildungsstand verständlich und von anderen Informationen durch einen eigenen Absatz getrennt. Für die hier interessierende Informationsverpflichtung nach Art. 13 DSGVO ist festzuhalten, dass jener Absatz durch die Voranstellung der „Information über Datennutzung“ eine klare Abgrenzung zum darüber befindlichen Absatz, welcher auf die AGB „Urlaubsfach“ hinweist, vornimmt, womit eine nachvollziehbare und transparente Trennung von den vertragsrechtlichen Passagen gegeben ist.
Ebenso ergaben sich keine Hinweise auf einen internationalen Datentransfer, bzw. wurde ein solcher auch nicht behauptet (Abs. 1 lit. f). Der belangten Behörde war auch zuzustimmen, wenn diese annimmt, eine Information nach Art. 13 Abs. 2 lit. c DSGVO unterbleiben konnte, da die Verarbeitung nicht aufgrund einer erteilten Einwilligung erfolgte. Außerdem liegt fallgegenständlich auch keine Zweckänderung vor, die eine Informationspflicht nach Art. 13 Abs. 3 DSGVO auslösen würde.
Das in den Feststellungen dargelegte, der BF1 ausgehändigte Formular, enthält sämtliche in Art. 13 DSGVO aufgezählten Informationen in dem betreffenden Formular der MP in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache, wie dies auch von der belangten Behörde im Einzelnen in der rechtlichen Beurteilung erörtert wurde.
Im gegebenen Fall sind sämtliche in Art. 13 DSGVO aufgezählten Informationen in dem Vertragsformular der MP, die diese, respektive ihr Mitarbeiter, der BF1 am 19.08.2019 überreicht hat, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache enthalten.
Das Verwaltungsgericht hat seine Entscheidung an der zum Zeitpunkt seiner Entscheidung maßgeblichen Sach- und Rechtslage auszurichten, allfällige Änderungen des maßgeblichen Sachverhalts und der Rechtslage sind also zu berücksichtigen (VwGH 30.06.2015, Ra 2015/03/0022). Da der BF1 sämtliche Informationen nach Art. 13 DSGVO (spätestens) zum Entscheidungszeitpunkt bereits bekannt sind, ist sie iSd Art 13. Abs. 4 DSGVO diesbezüglich auch nicht in ihren Rechten verletzt.
Soweit von den BF vorgebracht wird, dass im Falle der vollständigen Nachholung der Erfüllung der Informationspflichten immer noch die Rechtsverletzung festzustellen sei, ist demgegenüber festzuhalten, dass das Ziel eines Beschwerdeverfahrens nach Art. 13 DSGVO iVm Art. 77 DSGVO iVm § 24 DSG ist, dass dem Betroffenem die ihm zustehenden Informationen zukommen. Dies ergibt sich schon aus § 24 Abs. 6 DSG wonach beispielsweise bei einer nicht erteilten/unvollständigen Auskunft ein entsprechender Leistungsauftrag zu erteilen ist. Eine Rechtsverletzung ist diesbezüglich nicht festzustellen, zumal das Rechtsschutzziel mit Erhalt der Informationen erreicht ist und sich ein eigenständiges Recht auf förmliche Feststellung bei diesen Rechten weder aus der DSGVO noch aus dem DSG ergibt (vgl. VwGH 19.10.2022, Ro 2022/04/0001).
Wenn die BF nunmehr in ihrer an das Bundesverwaltungsgericht gerichteten Stellungnahme vom 23.02.2023 (neu) geltend machen, dass nicht alle Informationspflichten nachgeholt worden seien, so geht dieses Vorbringen zum einen über die Sache des gegenständlichen Beschwerdeverfahrens hinaus, zumal ihre Datenschutzbeschwerde bloß auf eine schlechte Lesbarkeit bzw. Verständlichkeit des auf dem Touch-Pad angezeigten Textes abstellte. Zum anderen ist zu konstatieren, dass insofern eine Information zur Kategorie von Empfängern (Art. 13 Abs. 1 lit. e DSGVO) vorgenommen wurde, als im Vertragsformular diesbezüglich eben auf „Marketingzwecke Dritter“ bzw. „Unternehmen zu Direktmarketingzwecken“ Bezug genommen wurde. Überdies fand eine Übermittlung der Daten infolge des Widerspruchs ohnehin nicht statt, weswegen auch keine Beschwer ersichtlich wäre. Zudem ist es gerichtsnotorisch, dass seitens der MP eine Zuordnung von Personen zu Marketingzwecken Dritter zu einer „Parteiaffinität“ und/oder das „Sinus-Geo-Milieu“ nicht mehr erfolgt (vgl. Art. 13 Abs. 2 lit. f DSGVO). Schließlich erfolgte im Vertragsformular auch dahingehend eine Information, als das bestehende Interesse an der Verarbeitung iSd Art. 6 Abs. 1 lit. f DSGVO dargelegt wurde („Rechtsgrundlagen für die Marketingnutzung sind Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Erwägungsgrund 47, sowie § 151 GewO“; vgl. Art. 13 Abs. 1 lit. d DSGVO).
3.2.3.2.2. Was eine Verletzung des BF2 im Recht auf Information angeht, ist auf Art. 14 DSGVO zu verweisen, der die Informationspflicht der für die Verarbeitung personenbezogener Daten verantwortlichen Person regelt, wenn die Daten nicht bei der betroffenen Person erhoben wurden. Diesbezüglich sind ebenso die in Art. 12 Abs. 1 DSGVO normierten Grundsätze zu beachten. Gemäß Art. 14 Abs. 3 lit. a DSGVO sind die Informationen innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats, zu erteilen.
Aus den Feststellungen ergibt sich, dass personenbezogene Daten des BF2 durch die MP bei einem Dritten, nämlich der BF1, erhoben wurden. Des Weiteren folgt aus den Feststellungen, dass das der BF1 ausgehändigte Vertragsformular und die hierin erteilten Informationen (auch) an den BF2 gerichtet waren und davon auszugehen ist, dass der BF2 dieses Schreiben auch – unter Berücksichtigung des Art. 14 Abs. 3 lit. a DSGVO fristgerecht - erhalten hat. Anhaltspunkte die einen gegenteiligen Schluss nahelegen, sind im Verfahren nicht aufgekommen, zumal ja auch für den BF2 seitens der BF1 wenige Tage später (für diesen abermals) Widerspruch bezüglich der etwaigen Weitergabe von Daten zu Marketingzwecken Dritter erhoben wurde (vgl. dazu bereits in der Beweiswürdigung).
Anknüpfend an die obigen Erwägungen zum Vertragsformular sind sämtliche in Art. 14 DSGVO aufgezählten Informationen in dem betreffenden Formular der MP in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache enthalten. Ebenso hat der BF2 zumindest (spätestens) zum Entscheidungszeitpunkt sämtliche Informationen nach Art 14 DSGVO erhalten, bezüglich dem Vorbringen zur Feststellung einer Rechtsverletzung ist auf die obigen Ausführungen zur BF1 zu verweisen. Selbiges gilt für das Vorbringen hinsichtlich der angeblich ausgebliebenen Informationen.
Daher kann vorliegend – auch ungeachtet des Umstandes, dass der den BF2 betreffende Datensatz im System der MP am 19.08.2019 (in Hinblick auf einen hinterlegten Widerspruch) für Adressverlagszwecke ohnehin gesperrt war – keine Verletzung des BF2 im Recht auf Information erkannt werden. Ob die BF1 berechtigt war, über die Daten des BF2 zu Zwecken des Direktmarketings für Dritte zu verfügen, ist auch in diesem Zusammenhang nicht entscheidungsrelevant.
3.2.3.3. Somit hat die belangte Behörde die Datenschutzbeschwerde der BF zu Recht auch hinsichtlich der behaupteten Verletzung im Recht auf Information abgewiesen.
3.3. Zum Entfall einer mündlichen Verhandlung
Einer mündlichen Verhandlung im Sinne des § 24 VwGVG bedurfte es nicht, zumal der maßgebliche Sachverhalt nach der Aktenlage feststeht. Die BF haben den festgestellten Sachverhalt nicht hinreichend konkret gerügt (vgl. hierzu schon die Ausführungen in der Beweiswürdigung).
3.4. Zur Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.