W256 2248161-1/28E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline KIMM als Vorsitzende und die fachkundigen Laienrichterinnen Dr. Claudia Rosenmayr-Klemenz und Mag. Adriana Mandl als Beisitzerinnen über die Beschwerde des MMag. Dr. XXXX , vertreten durch Thurnher Wittwer Pfefferkorn&Partner Rechtsanwälte GmbH, gegen Spruchpunkt 3. des Bescheids der Datenschutzbehörde vom 6. Oktober 2021, GZ.: D124.2705 (2021-0.692.437) zu Recht erkannt:
A) Die Bescheidbeschwerde wird mit der Maßgabe abgewiesen, dass Spruchpunkt 3. des angefochtenen Bescheids wie folgt zu lauten hat:
„3. Im Übrigen wird die Beschwerde als unbegründet abgewiesen.“
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
In seiner an die belangte Behörde gerichteten Beschwerde vom 10. Juni 2020 behauptete der Beschwerdeführer eine Verletzung in seinem Recht auf Auskunft und im Recht auf Information durch XXXX (im Folgenden: mitbeteiligte Partei). Er habe am 4. März 2020 ein – in Kopie beiliegendes – Auskunftsbegehren an die mitbeteiligte Partei gerichtet. Dieses habe die mitbeteiligte Partei in ihrem – beiliegenden – Schreiben vom 20. April 2020 nur unzureichend beantwortet. Die mitbeteiligte Partei habe – sofern hier wesentlich – in ihrer Auskunft vom 20. April 2020 ausdrücklich darauf hingewiesen, dass die Verarbeitung seiner Daten in gemeinsamen Datenbanken mit ihren Teilorganisationen erfolge. Bei den Teilorganisationen der mitbeteiligten Partei handle es sich gemäß der Bestimmung des § 5 Bundespartei-Organisationsstatus um eigenständige Rechtspersönlichkeiten. Aus datenschutzrechtlicher Sicht seien diese Teilorganisationen damit als eigenständige Verantwortliche zu betrachten. Die von der mitbeteiligten Partei angesprochene Verarbeitung erfolge daher durch die mitbeteiligte Partei und ihre Teilorganisationen in gemeinsamer Verantwortlichkeit. Konkrete Angaben zu den an dieser gemeinsamen Verarbeitung beteiligten Verantwortlichen mache die mitbeteiligte Partei in ihrer Auskunft jedoch nicht. Die Auskunft sei im Übrigen auch deshalb unvollständig, weil der Beschwerdeführer auf die im Auskunftsantrag genannte E-Mail-Adresse (beiliegende) Nachrichten diverser Mitglieder der Bundesregierung erhalten habe. Insofern diese Nachrichten offensichtlich in ihrer Funktion als Mitglieder der Bundesregierung verfasst worden seien, sei es – aus datenschutzrechtlicher Sicht – sehr wohl zu Offenlegungen seiner personenbezogenen Daten gekommen. Auch liege eine Verletzung der Informationspflicht nach Art 14 DSGVO vor. Laut dem eigenen Vorbringen verarbeite die mitbeteiligte Partei die Daten des Beschwerdeführers (teilweise) aus der Wählerevidenz. Insofern die mitbeteiligte Partei die Daten des Beschwerdeführers nicht bei diesem ermittelt habe, hätte sie dem Beschwerdeführer die entsprechenden Informationen gemäß Art 14 DSGVO zur Verfügung stellen müssen. Eine solche Information sei aber nicht erfolgt. Auch habe es letztlich an einer entsprechenden Information im Sinne des Art 26 DSGVO gefehlt, weshalb hier insgesamt eine Verletzung der Informationspflicht vorliege.
Dazu führte die mitbeteiligte Partei in ihrer Stellungnahme vom 1. September 2020 aus, sie habe dem Beschwerdeführer eine vollständige Auskunft erteilt. Der Beschwerdeführer leite aus der Auskunft „Soweit die Datenverarbeitung der regionalen Gliederungen und Teilorganisationen in den gemeinsamen Datenbanken erfolgt, wird die Auskunft auch in deren Namen erteilt“ offenbar ab, dass eine gemeinsame Datenverarbeitung seiner Daten vorliege. Dabei handle es sich um eine Einleitung der Auskunft, die offenbar missverstanden worden sei. Es liegen der mitbeteiligten Partei jedoch keine Informationen vor, dass im vorliegenden Fall eine solche gemeinsame Datenverarbeitung vorliege. Deshalb sei in weiterer Folge auch keine diesbezügliche Auskunft erteilt worden. Liege eine solche Datenverarbeitung vor, dann hätte die mitbeteiligte Partei den Beschwerdeführer auch entsprechend informiert. Fakt sei, dass die mitbeteiligte Partei als im Nationalrat vertretene Partei Zugriff auf die Daten der Wählerevidenz habe und ihre Organisationseinheiten daher ebenfalls Zugriff auf diese Daten hätten. Ein Zugriff auf diese Daten des Beschwerdeführers oder eine Nutzung für Zusendungen sei gegenständlich aber nicht erfolgt. Zur Auskunft über die Empfänger einer Offenlegung führte die mitbeteiligte Partei aus, dass sich der Beschwerdeführer mit seiner E-Mail-Adresse für den Newsletter von Herrn XXXX und seinem Team XXXX angemeldet und in diesem Zusammenhang der Benachrichtigung aus der Wahlbewegung zugestimmt habe. Die vom Beschwerdeführer erhaltenen Nachrichten von Mitgliedern der Bundesregierung seien jeweils von Teammitgliedern des Teams XXXX verschickt worden, wobei das Impressum der jeweiligen Newsletter unmittelbar auf das Impressum der Webseite der mitbeteiligten Partei verlinkt habe. Das Team XXXX , bestehe bekanntermaßen aus mehreren Funktionären und Politikern, deren Auftritt in der Öffentlichkeit mit entsprechender Übernahme von Regierungsfunktionen auch vermehrt Themen behandle, die das Team von Anfang an auf seiner Webseite und im Zuge des Newsletters propagiert habe. Verantwortliche der Datenverarbeitung und Medieninhaberin sei jeweils die mitbeteiligte Partei gewesen. Lediglich die Inhalte der Aussendungen seien von den jeweiligen Mitgliedern des Teams XXXX ausgearbeitet worden. Es sei daher zu keiner Offenlegung der Daten des Beschwerdeführers an Dritte gekommen. Zur behaupteten Verletzung im Recht auf Information nach Art 14 DSGVO führte die mitbeteiligte Partei aus, dass sie auf ihrer Webseite eine (unter einem vorgelegte) Datenschutzerklärung veröffentlicht habe. Darin werde in Zusammenhang mit „Politische Willensbildung/Mitgliederwerbung“ darauf hingewiesen, dass für diese Zwecke regelmäßig Wahlberechtigte über politische Arbeit auf Basis der Daten aus der jeweils aktuellen Wählerevidenz informiert werden. Darüber hinaus befinde sich ein solcher Zusatz in jedem Schreiben, das an Wahlberechtigte bzw. an den Beschwerdeführer auf Basis dieser Grundlage ergehe. Die mitbeteiligte Partei sei daher ihrer Informationspflicht ausreichend nachgekommen.
Im seinem am 7. Oktober 2020 an die belangte Behörde gerichteten Schreiben brachte der Beschwerdeführer im Rahmen des Parteiengehörs zusammengefasst und sofern hier wesentlich vor, dass die Ausführungen der mitbeteiligten Partei zur gemeinsamen Verantwortlichkeit aus näher dargestellten Gründen nach wie vor nicht nachvollziehbar seien. Zur Auskunft über Empfänger seiner Daten führte der Beschwerdeführer aus, er bestreite nicht, dass er den Newsletter abonniert habe. Es werde auch nicht bestritten, dass einzelne Minister auch Funktionen bei der mitbeteiligten Partei innehätten und insofern auch E-Mail-Adressen hätten, die von der mitbeteiligten Partei zur Verfügung gestellt werden. Das ändere aber nichts daran, dass die vorgelegten Benachrichtigungen von den jeweiligen Ministern unterzeichnet worden seien. Da somit den Ministern die Infrastruktur der mitbeteiligten Partei zur Verfügung gestellt worden sei, liege eine Offenlegung vor, die zu beauskunften gewesen wäre. Letztlich führte der Beschwerdeführer aus, dass sich aus den von der mitbeteiligten Partei vorgelegten Unterlagen ergebe, dass die mitbeteiligte Partei auch Newsletter-Tracking betreibe, weshalb die Auskunft auch in dieser Hinsicht unvollständig sei. Zur Informationserteilung nach Art 14 DSGVO werde festgehalten, dass das Wählerevidenzgesetz zwar eine Rechtsgrundlage für die Verarbeitung von Daten durch die Gemeinden als (gemeinsame) Verantwortliche vorsehe, diese Bestimmung aber nicht die Rechtsgrundlage für die weitere Verarbeitung durch die mitbeteiligte Partei festlege. Dies habe zur Folge, dass nur für die Gemeinden als Verantwortliche für die Verarbeitung von personenbezogenen Daten in der Wählerevidenz hinsichtlich der Informationspflicht nach Art 14 DSGVO der Ausnahmetatbestand des Art 14 Abs. 5 lit c Wählerevidenz gelte. Für die mitbeteiligte Partei gelte diese Ausnahme jedoch nicht. Das Bereithalten von Informationen auf der Homepage genüge den Erfordernissen einer Informationserteilung nach Art 14 DSGVO nicht. Art 12 Abs. 1 DSGVO spreche von einer Übermittlung von Informationen und damit von einer proaktiven Informationserteilung. Im Übrigen finde sich der Hinweis auf die Verarbeitung aus der Wählerevidenz nur in einem Halbsatz in der Datenschutzerklärung, weshalb die Informationserteilung auch aus diesem Grund nicht verständlich und transparent sei. Zusammenfassend sei festzuhalten, dass die mitbeteiligte Partei ihrer Informationserteilung nach Art 14 DSGVO ursprünglich nicht nachgekommen sei. Erst in der Zusammenschau der ursprünglichen Auskunft mit der Stellungnahme und der darin enthaltenen Datenschutzerklärung sei es nunmehr möglich, die in Art 14 DSGVO enthaltenen Informationen abzuleiten.
In ihrer Stellungnahme vom 28. Juni 2021 wiederholte die mitbeteiligte Partei im Wesentlichen ihr bisheriges Vorbringen. Sie habe als im Nationalrat vertretene Partei Zugriff auf Daten aus der Zentralen Wählerevidenz und dürfe diese gemäß § 5 Wählerevidenzgesetz für Zwecke nach § 1 Abs. 2 Parteiengesetz nutzen. Sie erhalte 2 Mal jährlich die aktuellen Daten aller im Zentralen Wählerregister eingetragenen Personen. Die mitbeteiligte Partei sei alleinige Verantwortliche über die Daten und habe sie den Beschwerdeführer bereits darüber informiert, dass ein Zugriff oder eine Zusendung seiner personenbezogenen Daten an die Teilorganisationen nicht erfolgt sei. Zur Auskunft über die Empfänger werde nochmals darauf hingewiesen, dass es zu keinen Offenlegungen seiner Daten an XXXX (persönlich), bzw. das Bundeskanzleramt, oder einen anderen Minister bzw. das Ministerium gekommen sei. Im vorliegenden Fall lasse sich aus der bereits übermittelten Einwilligungserklärung, der Datenschutzerklärung und dem bei jedem Newsletter-Versand verlinkten Newsletter Impressum ableiten, dass die mitbeteiligte Partei ausschließlich Verantwortliche sei. Eine Offenlegung der personenbezogenen Daten erfolge hier nicht, sondern hätten die einzelnen Minister lediglich auf die Inhalte eingewirkt. In Bezug auf die Informationspflicht des Art 14 DSGVO werde festgehalten, dass sich die Bestimmung des § 4 Abs. 6 Wählerevidenzgesetz auch auf die mitbeteiligte Partei beziehe. Daraus gehe klar hervor, dass sich diese Bestimmung auf sämtliche Verarbeitungen, die sich aus diesem Gesetz ergeben würden, beziehe. Die mitbeteiligte Partei sei ihrer Informationspflicht bereits ausreichend nachgekommen.
In seiner Stellungnahme vom 4. Oktober 2021 wiederholte der Beschwerdeführer im Wesentlichen sein bisheriges Vorbringen.
Mit dem angefochtenen Bescheid wurde aufgrund der Beschwerde des Beschwerdeführers „wegen der behaupteten Verletzung im Recht auf Auskunft sowie der behaupteten Verletzung im Recht auf Information wie folgt“ entschieden:
„1. Der Beschwerde hinsichtlich der behaupteten Verletzung im Recht auf Auskunft wird stattgegeben und festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Auskunft verletzt hat, indem sie dem Beschwerdeführer keine Auskunft zu seinen im Zusammenhang mit dem von der Beschwerdegegnerin durchgeführten Newsletter-Tracking verarbeiteten Daten erteilt hat.
2. Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von vier Wochen dem Beschwerdeführer seine Daten aus dem Newsletter-Tracking zu beauskunften oder den Beschwerdeführer über das Nicht-Tätigwerden zu unterrichten.
3. Die Beschwerde hinsichtlich der behaupteten Verletzung im Recht auf Information wird abgewiesen.“
Begründend führte die belangte Behörde dazu aus, dass Beschwerdegegenstand die Frage sei, ob die mitbeteiligte Partei den Beschwerdeführer in seinem Recht auf Auskunft und im Recht auf Information verletzt habe. Aus den Stellungnahmen der mitbeteiligten Partei gehe nachvollziehbar hervor, dass diese die Daten des Beschwerdeführers in alleiniger Verantwortlichkeit verarbeite und diese auch nicht Dritten offengelegt habe. Da somit weder eine gemeinsame Verantwortlichkeit, noch eine Offenlegung an Dritte erfolgt sei, sei die Vollständigkeit der Auskunft in dieser Hinsicht nicht zu beanstanden. Hinsichtlich des vom Beschwerdeführer monierten „Newsletter-Tracking“ sei die Auskunft allerdings bislang von Seiten der mitbeteiligten Partei unvollständig geblieben, weshalb spruchgemäß in Spruchpunkt 1 und 2 zu entscheiden gewesen sei. Zu Spruchpunkt 3. wurde festgehalten, dass – da keine gemeinsame Verantwortlichkeit vorliege – eine Information nach Art 26 DSGVO auch nicht erforderlich gewesen sei. Ansonsten habe die mitbeteiligte Partei dem Beschwerdeführer gegenüber – wie von ihm auch selbst zuerkannt wurde - eine vollständige Information nach Art 14 DSGVO im Verfahren vor der belangten Behörde erteilt und sei sie damit ihrer Informationspflicht nachgekommen.
Gegen die in Spruchpunkt 3. erfolgte Abweisung der Beschwerde wegen Verletzung im Recht auf Information sowie wegen der (konkludenten) Abweisung der Beschwerde des Beschwerdeführers im Auskunftsrecht richtet sich die vorliegende Beschwerde. Sofern die belangte Behörde eine gemeinsame Verantwortlichkeit der mitbeteiligten Partei und den Teilorganisationen verneine, halte der Beschwerdeführer dazu fest, dass diesbezüglich weitere Ermittlungsmaßnahmen von der belangten Behörde unterlassen worden seien. Da das Vorbringen der mitbeteiligten Partei in diesem Punkt nach wie vor nicht nachvollziehbar sei, müsse das Bundesverwaltungsgericht weitere Ermittlungen in diese Richtung anstellen. Auch hinsichtlich der Offenlegung seiner Daten an einzelne Regierungsmitglieder sei festzuhalten, dass unstrittig sei, dass die jeweiligen Aussendungen von jeweiligen Ministern in Ausübung ihrer Ministerfunktion unterzeichnet worden seien. Da somit den Ministern die Infrastruktur der mitbeteiligten Partei zur Verfügung gestellt worden sei, liege eine Offenlegung vor, die zu beauskunften gewesen wäre. Da der Beschwerdeführer – wie dargelegt – von einer gemeinsamen Verantwortlichkeit ausgehe, sei die mitbeteiligte Partei ihrer Informationspflicht nach wie vor nicht nachgekommen. Aber auch ansonsten liege eine Verletzung der Informationspflicht vor, weil diese entgegen der Ansicht der belangten Behörde nicht saniert werden könne. Die Bestimmung des § 24 Abs. 6 DSG sei nicht auf die Verletzung des Informationsrechts anwendbar. Es werde ein Antrag auf Vorabentscheidung gemäß Art 267 AEUV angeregt hinsichtlich der Frage, ob § 24 Abs. 6 DSG mit Art 77 DSGVO vereinbar sei. Unter einem wurde die Durchführung einer mündlichen Verhandlung beantragt.
Die belangte Behörde legte die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vor.
Nach erfolgter Beschwerdemitteilung wiederholte die mitbeteiligte Partei in ihrer Stellungnahme vom 16. Februar 2023 im Wesentlichen ihr bisheriges Vorbringen. Zur behaupteten Offenlegung seiner Daten an Dritte wurde angemerkt, dass die Gestaltung des Inhalts eines Newsletters unabhängig von der Verarbeitung der Daten der Newsletter-Empfänger, somit der datenschutzrechtlichen Verantwortlichkeit zu sehen sei. Wenn die mitbeteiligte Partei (im Übrigen entsprechend der Datenschutzerklärung und Einwilligungserklärung im Zusammenhang mit Newslettern) auch Beiträge von Parteimitgliedern, die MinisterInnen-Ämter bekleiden, versende, indiziere das noch keine Weitergabe dieser Daten an Ministerien und/oder MinisterInnen. Inwiefern dies eine Offenlegung der Daten in „anderer Weise“ darstellen soll, sei nicht nachvollziehbar.
Dazu führte der Beschwerdeführer in seinem Schriftsatz vom 2. März 2023 – sofern hier wesentlich – aus, dass schon der Versand von Gastbeiträgen aus datenschutzrechtlicher Sicht eine Offenlegung darstellen würde, andernfalls die Bestimmungen der DSGVO umgangen werden könnten. Es könnten beliebige Nachrichten Dritter, einschließlich Werbemitteilungen, auf Basis der ursprünglich erteilten Einwilligung versendet werden. Mit demselben Argument könnten nämlich auf Basis einer ursprünglichen erteilten Einwilligung zur Zusendung eines Newsletters eines bestimmten Verantwortlichen (hier der mitbeteiligten Partei) beliebige Nachrichten Dritter, einschließlich Werbemitteilungen versendet werden, wenn diese nur im Nachhinein als „Gastbeiträge“ bezeichnet würden. Schon aus der Definition der Einwilligung in Art 4 Z 11 DSGVO ergebe sich, dass eine Einwilligung, die im gegenständlichen Fall unstrittig die Rechtsgrundlage für die Verarbeitung der Daten des Beschwerdeführers gewesen sei, jeweils für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden müsse, um wirksam zu sein. Der Versand von Nachrichten Dritter (hier BundesministerInnen) an den Beschwerdeführer könne daher jedenfalls nicht auf diese Einwilligung gestützt werden, wobei festzuhalten sei, dass dies nicht Gegenstand des gegenständlichen Beschwerdeverfahrens sei. Nach Ansicht des Beschwerdeführers stelle aber die Bereitstellung der Infrastruktur der mitbeteiligten Partei an Dritte zum Zweck der Versendung von Nachrichten dieser Dritter eine „Offenlegung durch eine andere Form der Bereitstellung“ im Sinne von Art 4 Z 2 DSGVO dar, hinsichtlich welcher die mitbeteiligte Partei zur Auskunftserteilung verpflichtet sei.
Die Mitbeteiligte replizierte in ihrer Stellungnahme vom 6. November 2023, dass die Einwilligung zum Newsletter-Erhalt nicht für beliebige Nachrichten herangezogen worden sei, sondern nur für Informationen über die politische Arbeit, insbesondere Kommentare zu tagesaktuellen Entwicklungen und Ereignissen, Informationen zu geplanten Veranstaltungen sowie nachfolgende Berichterstattung. Davon seien auch Beiträge von Parteimitgliedern, die Minister-Ämter bekleiden, umfasst.
In seinen Stellungnahmen vom 22. November 2023 und vom 28. Februar 2024 hielt der Beschwerdeführer fest, dass der Sachverhalt hinsichtlich der über die Infrastruktur der mitbeteiligten Partei erfolgten Aussendungen von Mitgliedern der Bundesregierung ausreichend geklärt sei. Zu klären sei lediglich die Rechtsfrage, ob der im Verantwortungsbereich der mitbeteiligten Partei erfolgte Versand von Mitteilungen, die von Dritten stammen, als Offenlegung anzusehen sei.
In ihrer Stellungnahme vom 17. September 2024 führte die mitbeteiligte Partei zur „gemeinsamen Datenbank“ erklärend aus, dass es im Rahmen der Mitgliederverwaltung eine zentrale Mitgliederevidenz, die als „gemeinsame Datenbank“ bezeichnet werde, gebe. Die Daten des Beschwerdeführers (aus der Wählerevidenz bzw. im Zusammenhang mit dem Abo Newsletter) seien davon aber nicht betroffen und sei es im Übrigen auch zu keinen sonstigen Zugriffen/Weitergaben seiner Daten durch/an die Teilorganisationen gekommen. In Bezug auf die behauptete Offenlegung seiner Daten an Regierungsmitglieder, gebe der Beschwerdeführer in seiner Stellungnahme vom 28. Februar 2024 selbst an, dass der diesbezügliche Sachverhalt für ihn hinreichend geklärt sei. Inwieweit dann doch wieder die Rechtsfrage zu klären wäre, ob die schlichte inhaltliche Gestaltung eines Newsletterbeitrags eine Offenlegung in datenschutzrechtlicher Sicht darstellen würde, sei nicht nachvollziehbar. Die Versendung von Beiträgen von eigenen Parteimitgliedern, die MinisterInnen-Ämter bekleiden, durch die mitbeteiligte Partei indiziere noch keine Offenlegung oder Weitergabe personenbezogener Daten der Newsletterbezieher an die jeweiligen Ministerien und/oder die Bundesregierung bzw. deren Mitglieder. Genauso verhalte es sich mit jedem anderen „Gastbeitrag“ in Zeitschriften. Durch das schlichte Verfassen eines Gastbeitrags, ergebe sich noch keine datenschutzrechtliche Verarbeitung und würden dem Autor naturgemäß noch keine Empfängerdaten offengelegt, übermittelt oder von diesem verarbeitet, zumal dieser ausschließlich Urheber seines Textes sei und sonst in den Prozess des Versendens nicht weiter eingebunden sei.
Dazu hielt der Beschwerdeführer in seiner Stellungnahme vom 3. Oktober 2024 fest, dass er die Ausführungen der mitbeteiligten Partei zur „gemeinsamen Datenbank“ zur Kenntnis nehme und insofern seine Beschwerde in Bezug auf diesen Punkt, sowie auch in Bezug auf die diesbezüglich monierte fehlende Informationserteilung einschränke. Zur behaupteten sonstigen Offenlegung gebe der Beschwerdeführer nochmals zu bedenken, dass der von der mitbeteiligten Partei vertretene Standpunkt, wonach Aussendungen, die nach deren Inhalt eindeutig einzelnen Mitgliedern der Bundesregierung in deren Funktion als Mitglieder der Bundesregierung zuzurechnen seien, als „Gastbeiträge“ anzusehen seien, dem Missbrauch Tür und Tor öffnen würden. Mit diesem Argument könnten auf Grundlage einer Einwilligung, die einem bestimmten Verantwortlichen erteilt wurde, beliebige Aussendungen anderer Personen als „Gastbeiträge“ versendet werden, ohne dass dafür eine zusätzliche Rechtsgrundlage erforderlich wäre. Gerade mit solchen Zusendungen müsse aber eine betroffene Person nicht rechnen, wenn eine Einwilligung für konkrete Zusendungen eines bestimmten Verantwortlichen erteilt worden sei. Aus Sicht des Beschwerdeführers liege daher gegenständlich eine Offenlegung (wenn vielleicht auch nicht Übermittlung) seiner personenbezogenen Daten vor und die mitbeteiligte Person sei diesbezüglich zu einer konkreten Auskunftserteilung im Sinne von Art 15 DSGVO verpflichtet.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Sachverhalt:
Der Beschwerdeführer hat sich zu einem unbestimmten Zeitpunkt vor Jänner 2020 auf der von der Mitbeteiligten betriebenen Webseite XXXX mit seiner E-Mail-Adresse XXXX für die Newsletter von XXXX und sein Team XXXX angemeldet.
Die entsprechende Zustimmungserklärung lautete wie folgt: „Mit Absenden dieses Formulars erkläre ich mich damit einverstanden, dass mich XXXX und sein Team XXXX per E-Mail über aktuelle politische Themen und Ereignisse, geplante Veranstaltungen, Berichte darüber, weitere Mit-Mach-Aktionen und Nachrichten aus der Wahlbewegung auf dem Laufenden halten und meine Daten zu diesem Zweck verarbeitet.“
Dem Beschwerdeführer wurden von der mitbeteiligten Partei mehrere Newsletter in Form von E-Mails unter Verwendung der E-Mail-Adresse „…@ XXXX übermittelt. Darin befanden sich Texte von Regierungsmitgliedern, welche von diesen auch unterzeichnet wurden.
Am Ende dieser E-Mails fand sich jeweils folgender Zusatz: [..] E-Mails sind eine der besten Möglichkeiten dabei zu sein und XXXX (Impressum) zu unterstützen. Solltest du wirklich weniger von uns hören wollen, kannst du dich hier abmelden. [..].
Die in den Newslettern dargestellten Felder Impressum und hier waren mit dem Impressum der Webseite der mitbeteiligten Partei verlinkt.
Die Versendung der gegenständlichen Newsletter erfolgte über das technische Netzwerk der Mitbeteiligten in deren eigener Verantwortung; die jeweiligen Minister haben lediglich die Inhalte der jeweiligen Aussendung zur Verfügung gestellt, erhielten dafür aber keinerlei Einblick in die Daten des Beschwerdeführers.
Mit Schreiben vom 4. März 2020 begehrte der Beschwerdeführer von der mitbeteiligten Partei eine Auskunft nach der DSGVO. Darin verwies er darauf, dass er den Newsletter der mitbeteiligten Partei abonniert habe und er diesbezüglich der mitbeteiligten Partei seine E-Mail-Adresse bekannt gegeben habe.
Mit E-Mail vom 20. April 2020 teilte die mitbeteiligte Partei dem Beschwerdeführer dazu Folgendes mit:
„[..]
Sehr geehrter Herr XXXX !Zu Ihrem Auskunftsersuchen mit Schreiben vom 04.03.2020 kann ich Ihnen im Namen XXXX und, soweit die Datenverarbeitung der regionalen Gliederungen und Teilorganisationen in den gemeinsamen Datenbanken erfolgt, auch im Nahmen dieser gemäß Art 15 Abs. 1 DSGVO mitteilen: Auf Basis der gesetzlichen Grundlage in § 4 Abs. 2 Wählerevidenzgesetz 2018 erhält und verarbeitet XXXX die Daten aus der Zentralen Wählerevidenz, also den Wählerevidenzen aller Gemeinden, auch von Ihnen. Das sind Vorname, Familienname, akademischer Grad, Geschlecht, Geburtsdatum, Wohnadresse. Dies erfolgt auf gesetzlicher Basis für Zwecke des § 1 Abs. 2 Parteiengesetz 2012, daher für die Mitwirkung an der staatlichen Willensbildung, insbesondere für Aussendungen während der Teilnahme an Wahlen zu allgemeinen Vertretungskörpern, und dem Europäischen Parlament.
Die Daten werden halbjährlich durch Übermittlung einer aktuellen Abschrift aus der Zentralen Wählerevidenz revidiert und bei Ausscheiden von Personen aus der Wählerevidenz von uns gelöscht. [..]
Für den Versand von (postalischen) Schreiben im Zuge der Aufgaben nach dem Parteiengesetz ziehen wir auch Dienstleister, wie beispielsweise Druck- und Versandunternehmen heran. Eine anderweitige Weitergabe der Daten, insbesondere zu eigenen Zwecken von Dritten, erfolgt nicht.
[..]
Wie sie bereits in Ihrer Anfrage ausführen, verarbeiten wir die E-Mail-Adresse [..]. Zusätzlich sind die Newsletter, die an diese E-Mail-Adresse versendet wurden, gespeichert.
Über weitere Daten Ihrerseits, die nicht aus der Wählerevidenz stammen, oder im Zusammenhang mit dem Abo des Newsletters [..], verfügen wir nicht.
[..]“
Die auf der Homepage der mitbeteiligten Partei (auch) im verfahrensgegenständlichen Zeitpunkt veröffentlichte Datenschutzerklärung der mitbeteiligten Partei lautete auszugsweise wie folgt:
„Politische Willensbildung/Mitgliederwerbung
Gemäß unseren Statuten und unserer gesetzlichen Aufgabe informieren wir Wahlberechtigte regelmäßig über unsere politische Arbeit, unsere Anliegen, insbesondere auch im Zusammenhang mit anstehenden Wahlen auf Basis der Daten aus der jeweils aktuellen Wählerevidenz.
[..] “
Ein solcher Hinweis hat sich überdies auch in jedem Schreiben, das an die betroffenen Personen bzw. an den Beschwerdeführer auf Basis dieser Grundlage ergangen ist, befunden.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem Vorbringen der Parteien und sind diese im Übrigen auch gänzlich unstrittig.
Dass der Versand der Newsletter im Verantwortungsbereich der mitbeteiligten Partei erfolgt ist, ergibt sich aus dem diesbezüglich konstanten Vorbringen der mitbeteiligten Partei in Zusammenhalt mit dem Umstand, dass nicht nur die technische Infrastruktur der mitbeteiligten Partei dazu herangezogen wurde, sondern auch im Impressum die mitbeteiligte Partei als (auch für die Abmeldung zum Newsletter) zuständige Stelle ausgewiesen wurde. Der Beschwerdeführer bestreitet dies im Übrigen aber auch gar nicht, sondern bringt dazu selbst vor, es sei unbestritten, dass die mitbeteiligte Partei die Versendung der Newsletter zu verantworten (gehabt) habe. Es sei daher (nur) mehr die Rechtsfrage zu klären, ob die Verwendung seiner E-Mail-Adresse für Newsletter der mitbeteiligten Partei und zwar für Inhalte Dritter als eine Offenlegung nach Art 4 Z 2 DSGVO zu qualifizieren sei.
3. Rechtliche Beurteilung:
Die hier maßgeblichen Rechtsvorschriften der seit 25. Mai 2018 unmittelbar anwendbaren Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, in der Folge kurz "DSGVO") lauten wie folgt:
„Artikel 4
Begriffsbestimmungen
[…]
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
[..]
Artikel 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
[…]
Artikel 14
Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden
(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:
(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2
(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit
Artikel 15
Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
[…]“
zum Recht auf Auskunft
Zunächst ist vorauszuschicken, dass der Beschwerdeführer in seiner verfahrenseinleitenden Beschwerde an die belangte Behörde eine Verletzung im Recht auf Auskunft durch die mitbeteiligte Partei geltend gemacht hat und zwar, weil die ihm erteilte Auskunft der mitbeteiligten Partei unter anderem und sofern hier wesentlich in Bezug auf die Offenlegung seiner Daten an Regierungsmitglieder unvollständig sei.
Die belangte Behörde hat mit dem angefochtenen Bescheid über diese Beschwerde des Beschwerdeführers wegen der von ihm behaupteten Verletzung im Recht auf Auskunft zwar entschieden, der Spruch enthält jedoch – wie vom Beschwerdeführer in seiner Bescheidbeschwerde zutreffend aufgezeigt wurde – keine explizite Abweisung in Bezug auf diese vom Beschwerdeführer aufgezeigte Unvollständigkeit der Auskunft. Dies hat zur Folge, dass der Bescheidspruch - für sich betrachtet - in zwei Richtungen gedeutet werden kann: Zum einen, dass das diesbezügliche Begehren implizit abgewiesen wurde, zum anderen, dass eine Entscheidung über dieses Begehren unterblieben und daher insoweit Säumigkeit der belangten Behörde eingetreten ist. Fehlt es dem Spruch - wie im vorliegenden Fall - an der gebotenen Deutlichkeit, so ist die Bescheidbegründung zu seiner Auslegung heranzuziehen (vgl. dazu VwGH, 30.03.2011, 2007/12/0098 m.w.N.). Unter Berücksichtigung der wiedergegebenen Bescheidbegründung kann im Beschwerdefall kein Zweifel daran bestehen, dass die Beschwerde des Beschwerdeführers in dieser Hinsicht abgewiesen werden sollte.
Der Beschwerdeführer wendet sich nun (in seiner mit Stellungnahme vom 3. Oktober 2024 eingeschränkten) Bescheidbeschwerde gegen diese (konkludente) Abweisung seiner Datenschutzbeschwerde.
Dabei steht unbestritten fest, dass der Beschwerdeführer dem Erhalt von Newslettern der mitbeteiligten Partei per E-Mail auf deren Homepage zugestimmt hat und er zu diesem Zweck der mitbeteiligten Partei seine E-Mail-Adresse auch bekannt gegeben hat. Unbestritten ist auch, dass die mitbeteiligte Partei in weiterer Folge dem Beschwerdeführer die hier gegenständlichen Newsletter auf Grundlage dieser Zustimmungserklärung an seine E-Mail-Adresse übermittelt hat, die Inhalte dieser Newsletter jedoch nicht von ihr, sondern von Teammitgliedern in deren Eigenschaft als Regierungsmitglieder gestaltet und auch unterzeichnet wurden.
Der Beschwerdeführer meint nun, diese Verwendung seiner E-Mail-Adresse für Newsletter der mitbeteiligten Partei, welche (erkennbar) Inhalte Dritter aufweisen würden, sei nicht nur unzulässig, sondern im Übrigen als Offenlegung (wenn auch nicht in Form einer Übermittlung) seiner Daten an diese Dritte zu werten. Schon die bloße Bereitstellung der Infrastruktur der mitbeteiligten Partei an Dritte zum Zweck der Versendung von Nachrichten dieser Dritten stelle eine „Offenlegung durch eine andere Form der Bereitstellung“ im Sinne von Art 4 Z 2 DSGVO dar.
Dabei ist dem Beschwerdeführer zwar insofern zuzustimmen, dass nach Art 4 Z 2 DSGVO nicht nur die Offenlegung durch Übermittlung, sondern bereits jede „andere Form der Bereitstellung“ unter den Begriff einer Verarbeitung fällt und damit der Charakter der Offenlegung als „Zugänglichmachen“ verdeutlicht wird (siehe dazu Herbst in Kühling/Buchner [Hrsg.], DSGVO4 [2024], Art 4 Nr. 33).
Im vorliegenden Fall wurde aber unbestritten festgestellt, dass den jeweiligen Regierungsmitgliedern von der mitbeteiligten Partei in keiner Weise eine Einblicksmöglichkeit in die Daten des Beschwerdeführers eingeräumt wurde, sondern lediglich der von diesen bereitgestellte Text von der mitbeteiligten Partei in den Newsletter kopiert und in weiterer Folge unter Verwendung der Daten des Beschwerdeführers an diesen von der mitbeteiligten Partei versendet worden ist.
Da somit den Regierungsmitgliedern zu keinem Zeitpunkt die Daten des Beschwerdeführers übermittelt oder ansonsten bereitgestellt worden sind, bestehen von Seiten des Gerichts keine Bedenken an der Vollständigkeit der Auskunft in dieser Hinsicht. Es war daher spruchgemäß zu entscheiden, wobei der Spruch der belangten Behörde entsprechend der obigen Ausführungen anzupassen war.
Der Vollständigkeit ist an dieser Stelle anzumerken, dass – wie vom Beschwerdeführer im Übrigen auch selbst angemerkt wurde – die Frage der Zulässigkeit der Verwendung seiner Daten für Inhalte Dritter nicht Gegenstand des vorliegenden Auskunftsverfahrens ist.
zum Recht auf Information
Der Beschwerdeführer rügt zusammengefasst, dass ihn die mitbeteiligte Partei über diejenigen personenbezogenen Daten, die sie gemäß dem Wählerevidenzgesetz aus dem Zentralen Wählerregister halbjährlich erhält, gemäß Art 14 DSGVO bei Erhalt der Daten informieren hätte müssen. Eine nachträgliche Information im Rahmen des Verfahrens vor der belangten Behörde könne die Rechtsverletzung – entgegen der Ansicht der belangten Behörde – nicht sanieren.
Art 14 DSGVO verpflichtet den Verantwortlichen der betroffenen Person bestimmte Informationen zur Verfügung zu stellen. Ausnahmen von diesen Informationspflichten ergeben sich aus Abs. 5 dieser Bestimmung. Nach Art 14 Abs. 5 lit. c DSGVO entfallen die Informationspflichten, wenn und soweit eine Rechtsvorschrift die Erhebung oder (zweckändernde) Offenlegung bestimmter Daten ausdrücklich regelt. Diesem Ausschlusstatbestand liegt die Erwägung zugrunde, dass die betroffene Person anhand einer solchen Rechtsvorschrift einen hinreichenden Überblick über die Datenverarbeitung erlangen kann (vgl. Bäcker in Kühling/Buchner [Hrsg.], DSGVO4 [2024], Art 14, Rn 64).
Art 14 Abs. 5 lit. c DSGVO setzt voraus, dass die Rechtsvorschrift hinsichtlich ihres Informationsgehalts für die betroffene Person eine Mitteilung durch den Verantwortlichen zumindest annährend ersetzt. Anhand der Vorschrift muss die betroffene Person absehen können, mit welchen Datenerhebungen und Weiterverarbeitungen sie zu rechnen hat. Eine ausdrückliche Regelung besteht nur, wenn eine Rechtsvorschrift zumindest die Art der erhobenen Daten, die Voraussetzungen der Datenerhebung oder Offenlegung und den Verarbeitungszweck hinreichend spezifisch und normenklar vorgibt. Zudem muss zumindest grundsätzlich die Rechtsvorschrift eine Pflicht zur Datenerhebung vorsehen. Ansonsten kann die betroffene Person wegen des Entscheidungsspielraumes des Verantwortlichen in der Regel nicht zuverlässig absehen, ob sie mit der Datenerhebung im Einzelfall zu rechnen hat (siehe dazu Bäcker a.a.O., Art 14, Rn. 65).
Im vorliegenden Fall hat die mitbeteiligte Partei die in Rede stehenden Daten des Beschwerdeführers aufgrund der Bestimmung des § 4 Abs. 2 Wählerevidenzgesetz 2018, BGBl. I Nr. 106/2016 aus der Wählerevidenz der Gemeinden erhoben. Diese Bestimmung sieht vor, dass jeweils zum 10. Februar und zum 10. August die in § 1 Abs. 3 angeführten Daten der Wählerevidenzen aller Gemeinden, ausgenommen die bereichsspezifischen Personenkennzeichen, für Zwecke des § 1 Abs. 2 des Parteiengesetzes 2012, BGBl. I Nr. 56/2012, sowie für Zwecke der Statistik auf Antrag unentgeltlich an die zur Vertretung nach außen berufenen Organe der im Nationalrat vertretenen Parteien mittels maschinell lesbarer Datenträger oder im Weg der Datenfernverarbeitung zu übermitteln sind. Nach § 1 Abs. 3 2. Satz Wählerevidenzgesetz haben die Datensätze für jeden Wahl- und Stimmberechtigten die für die Durchführung von Wahlen, Volksbegehren, Volksabstimmungen und Volksbefragungen erforderlichen Angaben, das sind Familiennamen, Vornamen, akademische Grade, Geburtsdatum, bei Wahlberechtigten mit Hauptwohnsitz im Inland außerdem die Wohnadresse sowie das entsprechende bereichsspezifische Personenkennzeichen zu enthalten.
Festzuhalten ist, dass diese Bestimmung entsprechend den obigen Erwägungen hinreichend klar und präzise die Art der erhobenen Daten, die Voraussetzungen der Datenerhebung und den Verarbeitungszweck in Bezug auf die mitbeteiligte Partei vorgibt. Vor dem Hintergrund, dass es der mitbeteiligten Partei jedoch nach dieser Bestimmung freisteht („auf Antrag“), die in Rede stehenden Daten aus der Wählerevidenz zu ermitteln und sich damit daraus keine Pflicht zur Datenerhebung ergibt, kann die Ausnahme der Informationspflicht nach Art 14 Abs. 5 lit. c DSGVO für die mitbeteiligte Partei nach dem oben Gesagten nicht greifen, weil der Betroffene – wie bereits ausgeführt – in einem solchen Fall über die tatsächlich erfolgte Datenerhebung im Unklaren ist.
Wie unbestritten festgestellt wurde, erfolgte jedoch von Seiten der mitbeteiligten Partei bereits im Zeitpunkt der Datenerhebung eine Information des Beschwerdeführers in der Weise, dass die auf ihrer Homepage bereitgestellte Datenschutzerklärung den Hinweis enthielt, dass sie Daten von Wahlberechtigten aus der Wählerevidenz erhält, um entsprechend ihrer gesetzlichen Aufgabe Wahlberechtigte regelmäßig über ihre politische Arbeit, ihre Anliegen, insbesondere auch im Zusammenhang mit anstehenden Wahlen zu informieren. Zusätzlich hat sich ein solcher Hinweis in jedem Schreiben, das an den Beschwerdeführer auf Basis dieser Grundlage ergangen ist, befunden.
Damit hat die mitbeteiligte Partei aber spätestens im Zeitpunkt der ersten Kommunikation gegenüber dem Beschwerdeführer jedenfalls klar offengelegt, dass sie von der ihr im Gesetz eingeräumten oben dargestellten Befugnis einer Datenverwendung tatsächlich Gebrauch genommen hat. Die zusätzliche Nennung der bereits im Gesetz ausreichend klar und präzise geregelten Informationen des Art 14 DSGVO ist in einem solchen Fall nicht erforderlich, weil schon allein der Hinweis auf die tatsächliche Datenverarbeitung, die betroffene Person in die Lage versetzt, sich – wie auch im Fall des Art 14 Abs. 5 lit. c DSGVO - anhand der Rechtsvorschrift einen hinreichenden Überblick über die konkrete Datenverwendung zu verschaffen.
Da die gegenständliche Datenerhebung zum Zweck der Kommunikation erfolgt ist, bestehen im Hinblick auf die Bestimmung des Art 14 Abs. 3 lit. b DSGVO auch keine Bedenken daran, dass die vorliegende Informationserteilung der mitbeteiligten Partei rechtzeitig erfolgt ist. Die belangte Behörde hat die Beschwerde des Beschwerdeführers wegen einer Verletzung der Informationspflicht daher – wenn auch aus anderen Erwägungen – zu Recht abgewiesen, weshalb spruchgemäß zu entscheiden war. Eine nähere Auseinandersetzung mit § 24 Abs. 6 DSG konnte bei diesem Ergebnis insgesamt unterbleiben.
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Im gegenständlichen Fall konnte das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war bzw. nicht substantiiert bestritten wurde. Die Durchführung einer öffentlichen mündlichen Verhandlung konnte daher zur Klärung des Sachverhaltes nicht beitragen und insofern unterbleiben.
zu Spruchpunkt B)
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt.
Weder mangelt es an einer Rechtsprechung des Verwaltungsgerichtshofes (vgl die oben angeführten Erkenntnisse des Verwaltungsgerichtshofes), noch weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab; diese ist auch nicht uneinheitlich.
Sonstige Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage liegen nicht vor.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
RIS