W292 2235791-1 – Bundesverwaltungsgericht Entscheidung

W292 2235791-1/21E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter, Mag. Matthias SCHACHNER und Mag. René BOGENDORFER als Beisitzer, über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, 1010 Wien, Schottenring 19, gegen Spruchpunkt 1. und Spruchpunkt 2.a. des Bescheides der Datenschutzbehörde vom 28.05.2020, Zl. XXXX , in der Fassung der Beschwerdevorentscheidung der Datenschutzbehörde vom 03.09.2020, Zl. XXXX , nach Vorlageantrag der XXXX betreffend Art. 15 DSGVO (mitbeteiligte Partei: XXXX ) zu Recht erkannt:

A)

Der Beschwerde wird stattgegeben und es werden die Spruchpunkte 1 und 2.a. der Beschwerdevorentscheidung dahingehend abgeändert, dass diese zu lauten haben wie folgt:

„Die Datenschutzbeschwerde vom 14. Oktober 2019 (ha. eingelangt am 16. Oktober 2019) wird als unbegründet abgewiesen, da die Nennung der konkreten Empfänger der personenbezogenen Daten der betroffenen Person, gegenständlich jene Auftragsverarbeiter, die die personenbezogenen Daten der betroffenen Person tatsächlich erhalten haben, fallbezogen nicht geboten bzw. tatsächlich nicht möglich ist.“

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

I.1. Die mitbeteiligte Partei, XXXX , brachte am 26.07.2019 eine Beschwerde bei der Österreichischen Datenschutzbehörde (in der Folge auch „belangte Behörde“) ein. Dieser Beschwerde legte die mitbeteiligte Partei einen Antrag auf Auskunft über die Verarbeitung personenbezogener Daten an die Beschwerdeführerin, die XXXX , vom 09.01.2019, Mitteilungen der Beschwerdeführerin über die Erledigungsdauer vom 04.02.2019, 23.02.2019 und 06.04.2019, eine Aufforderung der Beschwerdeführerin an die mitbeteiligte Partei zur Übermittlung vollständiger Daten (Adresse und Ausweiskopie) zur Identifikation vom 05.03.2019 sowie ein Schreiben zur Vorlage der Ausweiskopie und Bekanntgabe der Adresse vom 06.03.2019 bei.

I.2. Mit Schreiben vom 30.07.2019 forderte die belangte Behörde die Beschwerdeführerin zur Stellungnahme auf.

I.3. Am 10.09.2019 übermittelte die Beschwerdeführerin eine Stellungnahme und fügte eine Auskunft gemäß Art. 15 DSGVO bei.

I.4. Im Rahmen des Parteiengehörs übermittelte die belangte Behörde die Eingabe der Beschwerdeführerin der mitbeteiligten Partei zur Stellungnahme.

I.5.In ihrer Stellungnahme vom 14.10.2019 gab die mitbeteiligte Partei an, dass die erteilte Auskunft der Beschwerdeführerin mangelhaft sei und brachte dazu zusammengefasst folgendermaßen vor: Dem ursprünglichen Auskunftsbegehren der mitbeteiligten Partei vom 09.01.2019 sei erst acht Monate später und nur mangelhaft entsprochen worden, da die konkreten Empfänger ihrer personenbezogenen Daten nicht genannt worden seien. Die mitbeteiligte Partei habe in ihrem ursprünglichen Begehren unmissverständlich zu erkennen gegeben, dass sie unter anderem die Beauskunftung der Empfänger, gegenüber welchen ihre personenbezogenen Daten offengelegt worden seien beziehungsweise noch offengelegt werden würden, fordere. Diesem Begehren habe die Beschwerdeführerin nicht entsprochen. Überdies stehe der betroffenen Person gemäß Art. 15 Abs. 3 DSGVO eine Kopie der personenbezogenen Daten zu. Der mitbeteiligten Partei sei aus der Verletzung ihres Rechts auf Auskunft gemäß Art. 15 DSGVO ein immaterieller Schaden erwachsen. Es werde daher neben der Forderung nach einer vollständigen Auskunft der Antrag gestellt, die Beschwerdegegnerin zum Ersatz des der mitbeteiligten Partei aus der Verletzung der Pflichten nach DSG und DSGVO entstanden Schadens zu verpflichten.

I.6. In ihrer Eingabe vom 12.12.2019 brachte die Beschwerdeführerin zusammengefasst wie folgt vor: Zum Vorbringen der mitbeteiligten Partei, die Beschwerdeführerin habe keine Auskunft über die Empfänger ihrer Daten erteilt, werde festgehalten, dass die Auftragsverarbeiter auf den letzten drei Seiten der Auskunft namentlich aufgezählt worden seien. Zudem würden betroffene Personen beispielsweise darüber informiert werden, dass Daten an Unternehmen für Zwecke des Adressverlags weitergegeben werden würden. Für Marketingzwecke Dritter würden die personenbezogenen Daten der mitbeteiligten Partei nicht weitergegeben werden. Im Sinne des „layered approach“ werde in den Fußzeilen der ersten zwei Seiten des Auskunftsschreibens und auch im Fließtext auf die Datenschutzhinweise auf der Website verwiesen. Hieraus seien potenzielle Empfängerkategorien ersichtlich. Die mitbeteiligte Partei habe weder behauptet noch belegt, dass ihr die Kenntnisnahme dieser Datenschutzhinweise nicht möglich gewesen wäre. Eine weitere Detailierung auf individueller Empfängerebene bedeute die Offenlegung der Vertriebswege sowie der individuellen Kundenbeziehungen der Beschwerdeführerin. Aus Art. 15 DSGVO sei kein Zwang zur Offenlegung individueller Empfänger ableitbar. Es sei durch die DSGVO anerkannt, dass Geschäfts- und Betriebsgeheimnisse, die durch eine solche Auskunft offengelegt werden würden, geschützt seien. Zur behaupteten Mangelhaftigkeit der Auskunft hinsichtlich der Kopien personenbezogener Daten werde festgehalten, dass die mitbeteiligte Partei lediglich die Rechtslage erörtere. Weshalb die Auskunft unvollständig sei, könne den Ausführungen hingegen nicht entnommen werden. Die in der erteilten Auskunft enthaltenen Informationen seien Kopien der personenbezogenen Daten im Sinne des Art. 15 Abs. 3 DSGVO. Der Vorhalt der mitbeteiligten Partei sei somit nicht nachvollziehbar.

I.7. In ihrer Stellungnahme vom 05.02.2020 führte die mitbeteiligte Partei aus, dass es sich bei den in der Auskunft der Beschwerdeführerin genannten Auftragsverarbeitern um eine Liste potenzieller Auftragsverarbeiter handle. Ob sie tatsächlich personenbezogene Daten der mitbeteiligten Partei verarbeitet hätten beziehungsweise welche Daten konkret verarbeitet worden seien, sei nicht ersichtlich. Auch den Datenschutzhinweisen auf der Website der Beschwerdeführerin, in welchen Geschäfts- und Betriebsgeheimnisse nicht erwähnt seien, sei nicht zu entnehmen, an welche konkreten Empfänger welche konkreten Daten geflossen seien. Eine rechtmäßige Auskunft müsse sowohl den konkreten Auftragsverarbeiter, als auch die von ihm verarbeiteten personenbezogenen Daten enthalten. Es leuchte nicht ein, wieso die bloße Nennung von Auftragsverarbeitern eine Offenlegung von Geschäfts- und Betriebsgeheimnissen darstellen würde. Im Sinne einer Interessensabwägung zwischen dem umfassenden und im Verfassungsrang stehenden Recht auf Datenschutz und dem Interesse an der Geheimhaltung sei im Ergebnis Auskunft zu erteilen. Das Bestehen eines Geheimhaltungsinteresses werde durch die Beschwerdeführerin auch nicht näher begründet. Die Ausführungen der mitbeteiligten Partei im Hinblick auf ihre Rechte nach Art. 15 Abs. 3 DSGVO seien als Ergänzung zum übrig Gesagten zu lesen. Da die Auskunft unvollständig sei, sei auch dieser Anspruch ausständig.

I.8. Mit dem oben genannten Bescheid der belangten Behörde vom 28.05.2020, Zl. XXXX , gab diese der Datenschutzbeschwerde der mitbeteiligten Partei wegen Verletzung im Recht auf Auskunft in Spruchpunkt 1. teilweise statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Auskunft verletzt hat, indem sie am 10.09.2019 eine unvollständige Auskunft erteilt hat. Mit Spruchpunkt 2. wurde der Beschwerdeführerin aufgetragen, der mitbeteiligten Partei innerhalb einer Frist von vier Wochen bei sonstiger Exekution die konkreten Empfänger der personenbezogenen Daten der mitbeteiligten Partei zu bezeichnen (a.), eine allgemein verständliche Auskunft über die Marketingklassifikation „Mögliche Zielgruppe für Werbung Bio“ und über den Begriff der „Möglichen Lebensphase“, insbesondere über die Bedeutung des verwendeten Schlüsselbegriffs „Best Ager“, zu erteilen sowie Informationen über die maßgeblichen Parameter für die Bewertung und Zuordnung zur mitbeteiligten Partei zur Verfügung zu stellen (b.) sowie eine allgemein verständliche Auskunft über die Werbezielgruppe „Akademiker“ zu erteilen (c.). Der Antrag auf Zuspruch des durch die Rechtsverletzung entstandenen Schadens wurde zurückgewiesen (Spruchpunkt 3.). Es wurde ausgesprochen, dass der Bescheid wegen der gerügten Verletzung im Recht auf Geheimhaltung mit Bescheid der Datenschutzbehörde vom 28.04.2020 zur Zahl XXXX erging (Spruchpunkt 4.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 5.).

Begründend führte die belangte Behörde aus, dass nach der einschlägigen Judikatur davon auszugehen sei, dass der Nennung der konkreten Empfänger jedenfalls der Vorrang einzuräumen sei. Nach der Rechtsprechung bedürfe es einer Einzelfallabwägung, in welcher Gesichtspunkte der Datenschutzinteressen der Beteiligten und öffentlicher Geheimhaltungsinteressen einzubeziehen seien, um festzustellen, ob konkrete Empfänger oder lediglich Empfängerkreise zu beauskunften seien. Die Beschwerdeführerin bringe vor, dass eine Benennung konkreter Empfänger ihre Vertriebswege und Kundenbeziehungen preisgebe. Warum die Offenlegung der Geschäftspartner ihre schutzwürdigen Interessen als Adressverlag berühre, lasse die Beschwerdeführerin allerdings offen. Aus Sicht der belangten Behörde liegen somit auch keine schutzwürdigen Interessen der Beschwerdeführerin vor. Zusätzlich lasse sich aus der Tatsache der entgeltlichen Überlassung von Daten an Adressverlage schließen, dass die Beschwerdeführerin allein aus verrechnungstechnischen Gründen genaue Kenntnis darüber haben müsse, an wen die betreffenden Daten weitergegeben wurden. Auch behauptete die Beschwerdeführerin zu keinem Zeitpunkt, dass ihr die konkreten Adressaten unbekannt seien.

I.9. Gegen den Bescheid der belangten Behörde richtete sich die am 08.07.2020 fristgerecht erhobene Beschwerde. Der Bescheid wurde in jenem Umfang angefochten, in dem der Beschwerde der mitbeteiligten Partei stattgegeben wurde. In der Beschwerde führte die Beschwerdeführerin im Wesentlichen aus, dass über Empfänger der Daten der mitbeteiligten Partei keine Auskunft habe erteilt werden können, weil es keine Empfänger gegeben habe. Die Auskunft sei auch ausreichend verständlich formuliert gewesen. Schließlich sei der angefochtene Bescheid mit Rechtswidrigkeit infolge Verletzung von Verfahrensvorschriften belastet, weil die belangte Behörde der Beschwerdeführerin die Ergebnisse ihres Ermittlungsverfahrens nicht vorgehalten und den Sachverhalt aktenwidrig festgestellt habe.

I.10. Mit Beschwerdevorentscheidung vom 03.09.2020 änderte die belangte Behörde den Spruch wie folgt ab:

„1. Der Beschwerde der mitbeteiligten Partei vom 14. Oktober 2019 (ha.eingelangt am 16. Oktober 2019) wird stattgegeben und festgestellt, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch in ihrem Recht auf Auskunft verletzt hat, indem sie am 10. September 2019 eine unvollständige Auskunft erteilt hat.

2. Der BF wird aufgetragen, dem MB innerhalb einer Frist von vier Wochen bei sonstiger Exekution

a. die konkreten Empfänger der personenbezogenen Daten der mitbeteiligten Partei, gegenständlich jene Auftragsverarbeiter, die die personenbezogenen Daten der mitbeteiligten Partei tatsächlich erhalten haben, zu bezeichnen,

b. eine allgemein verständliche Auskunft über die Marketingklassifikation „Mögliche Zielgruppe für Werbung Bio“ und über den Begriff der „Möglichen Lebensphase“, insbesondere über die Bedeutung des verwendeten Schlüsselbegriffs „Best Ager“, zu erteilen sowie Informationen über die maßgeblichen Parameter für die Bewertung und Zuordnung zur mitbeteiligten Partei zur Verfügung zu stellen sowie

c. eine allgemein verständliche Auskunft über die Werbezielgruppe „Akademiker“ zu erteilen.

3. Der Antrag auf Zuspruch des durch die Rechtsverletzung entstanden Schadens der mitbeteiligten Partei wird zurückgewiesen.

4. Der Bescheid wegen der gerügten Verletzung im Recht auf Geheimhaltung erging mit Bescheid der Datenschutzbehörde vom 28. April 2020 zur Zahl XXXX .“

I.11. Gegen die Beschwerdevorentscheidung der belangten Behörde richtete sich der am 17.09.2020 fristgerecht erhobene Vorlageantrag der Beschwerdeführerin.

I.12. Die gegenständliche Beschwerde und die Beschwerdevorentscheidung sowie der Bezug habende Verwaltungsakt wurden dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) am 07.10.2020 von der belangten Behörde vorgelegt.

I.13. Mit Teilerkenntnis des Bundesverwaltungsgerichtes vom 29.07.2022 wurde der Beschwerde teilweise Folge gegeben und es wurden die Spruchpunkte 2.b. und c. der Beschwerdevorentscheidung ersatzlos behoben.

Begründend wurde hierzu ausgeführt, dass die belangte Behörde mit ihren Aussprüchen zu den Spruchpunkten 2.b. und c. den Beschwerdegegenstand im bei ihr anhängigen Verfahren und damit ihre Zuständigkeit überschritten habe, weshalb die Spruchpunkte ersatzlos zu beheben gewesen seien.

Gleichzeitig wurde das Verfahren hinsichtlich der Spruchpunkte 1. und 2.a. des angefochtenen Bescheides bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) über die mit Beschluss des Obersten Gerichtshofes (OGH) vom 18.02.2021, Zl 6 Ob 159/20f (beim EuGH anhängig unter C-154/21), vorgelegten Frage ausgesetzt.

I.14. Mit Mitteilung des Bundesverwaltungsgerichtes vom 14.03.2023 wurden die Parteien unter Hinweis auf das Urteil des EuGH vom 12.01.2023, C-154/21, über die Fortsetzung des Verfahrens informiert.

I.15. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 20.10.2023 wurde die gegenständliche Rechtssache der Gerichtsabteilung W245 abgenommen und neu zugewiesen.

II. Das Bundesverwaltungsgericht hat erwogen:

II.1. Feststellungen:

II.1.1. Die mitbeteiligte Partei beantragte am 09.01.2019 eine datenschutzrechtliche Auskunft bei der Beschwerdeführerin. Konkret begehrte die mitbeteiligte Partei von der Beschwerdeführerin Auskunft über die Empfänger und Kategorien von Empfängern, denen gegenüber ihre personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.

II.1.2. Mit Schreiben vom 10.09.2019 antwortete die Beschwerdeführerin auf das Auskunftsbegehren. Sie listete alle Auftragsverarbeiter auf, die für die Beschwerdeführerin tätig werden und wies darauf hin, dass nicht jedes Unternehmen die Daten der mitbeteiligten Partei verarbeitet. Damit wurden alle potenziellen Empfänger namentlich genannt.

Es erfolgte keine Konkretisierung auf individueller Empfängerebene.

II.1.3. Konkret stellte sich die Auskunftserteilung (auszugsweise graphisch dargestellt) wie folgt dar:

II.1.4. Punkt 5. der Datenschutzhinweise auf der Website der Beschwerdeführerin enthält folgende Hinweise:

„5.An wen dürfen Ihre Daten weitergegeben werden?

Im Folgenden finden Sie Informationen über die generellen Kategorien von Empfängern XXXX . Weiters finden Sie unter Punkt 4. („Informationen über mögliche Datenverarbeitungen“) die Kategorien von Empfängern, an die im Rahmen der jeweiligen Verarbeitung Daten übermittelt werden können. Eine Auflistung der möglichen Empfänger*innen und Empfängerkategorien der XXXX finden Sie hier:

5.1. Externe Dienstleister*innen (Auftragsverarbeiter)

Wir halten uns an gesetzliche und vertragliche Pflichten. In unserer arbeitsteiligen Gesellschaft werden dafür erforderliche Datenverarbeitungen häufig von darauf spezialisierten Unternehmen, sogenannten Dienstleister*innen (Auftragsverarbeitern) erledigt. Diese Unternehmen können derartige Leistungen wirtschaftlich günstig und hochwertig erbringen. Deshalb übermitteln wir an diese Unternehmen Ihre personenbezogenen Daten im für die jeweilige Leistungserbringung erforderlichen Umfang. Derartige Leistungen sind zum Beispiel die Datenspeicherung in sicheren Rechenzentren, der Druck von Rechnungen und Werbeschreiben, Postkarten, Fotos und die Digitalisierung von Verträgen oder Rechnungen (erstellen eines digitalen, nicht veränderbaren Bildes). Zu unseren Auftragsverarbeitern zählen XXXX Partner, IT-Dienstleister*innen, Druckdienstleister*innen, Dienstleister*innen im Rahmen der Kund*innenbetreuung, Vertragsverwaltung, Marktforschungsinstitute, Marketingunternehmen und Werbeagenturen. Unsere Auftragsverarbeiter werden ausnahmslos und regelmäßig sorgfältig geprüft. Durch rechtskonforme Verträge wird die sichere Auftragsverarbeitung Ihrer Daten lückenlos gewährleistet.

5.2. Öffentliche Stellen und Institutionen

XXXX muss zur Erhaltung des Betriebs und Erfüllung aller uns treffenden gesetzlichen Pflichten personenbezogene Daten an Behörden (wie Sozialversicherungsträger, Finanzbehörden oder Strafverfolgungsbehörden, Aufsichtsbehörden, Zollbehörden, Gesundheitsbehörden) und sonstige Institutionen (zB. Kommissionen) sowie Gerichte im erforderlichen Ausmaß übermitteln.

5.3. Sonstige externe Empfänger*innen

Im Rahmen der Vertragsbeziehung und insbesondere in Zusammenhang mit unserer Leistungsverpflichtung oder in Zusammenhang mit Rechtsstreitigkeiten, kann es – je nach Einzelfall – zu weiteren Übermittlungen Ihrer personenbezogenen Daten kommen, etwa an andere XXXX Frachtunternehmen, Ärzt*innen, Krankenanstalten, Versicherungsunternehmen und -makler*innen, Sachverständige, Gutachter*innen, Rechtsanwält*innen, Interessenvertretungen, Adressverlage und Direktmarketingunternehmen, Banken und Kapitalanlagegesellschaften, Versicherungen, Wirtschaftsprüfer*innen, Berater*innen (insb. Steuerberater*innen), Förderstellen, Aktionär*innen, Investor*innen oder externe Zahlungsdienstleister. Außerdem können im Rahmen unserer Adressverlagstätigkeit Ihre Daten an werbetreibende Unternehmen weitergegeben werden. Das sind zum Beispiel Unternehmen wie Versandhandel und stationärer Handel, Finanzdienstleister*innen und Versicherungen, IT- und Telekommunikationsunternehmen oder Energieversorger*innen und auch Vereine wie Spendenorganisationen oder NGOs.

5.4. Datenübermittlung innerhalb der XXXX Unternehmensgruppe

Im Rahmen einzelner Datenverarbeitungen können wir an spezialisierte Bereiche oder Unternehmen innerhalb unserer Unternehmensgruppe Daten weitergeben. Das geschieht, damit XXXX Ihre Kund*innendaten z.B. für interne Verwaltungszwecke besser verarbeiten kann. Eine Liste unserer verbundenen Unternehmen finden Sie hier: Beteiligungen

5.5. Datenübermittlungen außerhalb der EU oder des EWR

In einzelnen Fällen können Ihre Daten in ein Land außerhalb der EU oder des EWR („Drittland“ übermittelt werden, wenn diesem Drittland durch die europäische Kommission ein angemessenes Datenschutzniveau bestätigt wurde oder andere geeignete Datenschutzgarantien vorhanden sind (z.B. verbind-liche unternehmensinterne Datenschutzvorschriften oder EU-Standarddatenschutzklauseln nur mehr unter Einbeziehung einer dokumentierten Einzelfallprüfung der Angemessenheit des Schutzniveaus).

Wir Informieren Sie im Abschnitt „Informationen über mögliche Datenverarbeitungen“ (Punkt 4) darüber, ob im Rahmen einer bestimmten Verarbeitung eine solche Übermittlung außerhalb der EU oder des EWR stattfindet.

5.6. Datenübermittlungen im Rahmen von Cookies und ähnlichen Technologien

Wir informieren Sie über die Empfänger sowie Verwendung, Umfang und Art der Cookies und ähnlicher Technologien, die auf unseren Webseiten oder sonstigen Softwarelösungen eingesetzt werden, in den auf der jeweiligen Seite aufrufbaren Cookie-Bannern. Im jeweiligen Banner können Sie Ihre Cookie-Präferenzen bearbeiten und Informationen über die Cookieanbieter/Empfänger und deren Privacy Policies/Datenschutzhinweise abrufen.

Werden auf der jeweiligen Webseite oder sonstigen Softwarelösung ausschließlich technisch notwendige Cookies gesetzt, informieren wir Sie direkt auf der Webseite oder sonstigen Softwarelösung oder in den dort abrufbaren Datenschutzhinweisen.“

II.1.5. Mit dem oben genannten Bescheid der belangten Behörde vom 28.05.2020, Zl. XXXX , gab diese der Datenschutzbeschwerde der mitbeteiligten Partei wegen Verletzung im Recht auf Auskunft in Spruchpunkt 1. teilweise statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Auskunft verletzt hat, indem sie am 10.09.2019 eine unvollständige Auskunft erteilt hat. Mit Spruchpunkt 2. wurde der Beschwerdeführerin aufgetragen, der mitbeteiligten Partei innerhalb einer Frist von vier Wochen bei sonstiger Exekution die konkreten Empfänger der personenbezogenen Daten der mitbeteiligten Partei zu bezeichnen (a.), eine allgemein verständliche Auskunft über die Marketingklassifikation „Mögliche Zielgruppe für Werbung Bio“ und über den Begriff der „Möglichen Lebensphase“, insbesondere über die Bedeutung des verwendeten Schlüsselbegriffs „Best Ager“, zu erteilen sowie Informationen über die maßgeblichen Parameter für die Bewertung und Zuordnung zur mitbeteiligten Partei zur Verfügung zu stellen (b.) sowie eine allgemein verständliche Auskunft über die Werbezielgruppe „Akademiker“ zu erteilen (c.). Der Antrag auf Zuspruch des durch die Rechtsverletzung entstandenen Schadens wurde zurückgewiesen (Spruchpunkt 3.). Es wurde ausgesprochen, dass der Bescheid wegen der gerügten Verletzung im Recht auf Geheimhaltung mit Bescheid der Datenschutzbehörde vom 28.04.2020 zur Zahl XXXX erging (Spruchpunkt 4.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 5.).

II.1.6. Festgestellt wird, dass der Bescheid der Beschwerdeführerin am 10.06.2020 zugestellt wurde.

II.1.7. Gegen den Bescheid der belangten Behörde richtete sich die am 08.07.2020 fristgerecht erhobene Beschwerde. Der Bescheid wurde in jenem Umfang angefochten, in dem der Beschwerde der mitbeteiligten Partei stattgegeben wurde.

II.1.8. Mit Beschwerdevorentscheidung vom 03.09.2020 änderte die belangte Behörde den Spruch wie folgt ab:

„1. Der Beschwerde der mitbeteiligten Partei vom 14. Oktober 2019 (ha.eingelangt am 16. Oktober 2019) wird stattgegeben und festgestellt, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch in ihrem Recht auf Auskunft verletzt hat, indem sie am 10. September 2019 eine unvollständige Auskunft erteilt hat.

2. Der BF wird aufgetragen, dem MB innerhalb einer Frist von vier Wochen bei sonstiger Exekution

a. die konkreten Empfänger der personenbezogenen Daten der mitbeteiligten Partei, gegenständlich jene Auftragsverarbeiter, die die personenbezogenen Daten der mitbeteiligten Partei tatsächlich erhalten haben, zu bezeichnen,

b. eine allgemein verständliche Auskunft über die Marketingklassifikation „Mögliche Zielgruppe für Werbung Bio“ und über den Begriff der „Möglichen Lebensphase“, insbesondere über die Bedeutung des verwendeten Schlüsselbegriffs „Best Ager“, zu erteilen sowie Informationen über die maßgeblichen Parameter für die Bewertung und Zuordnung zur mitbeteiligten Partei zur Verfügung zu stellen sowie

c. eine allgemein verständliche Auskunft über die Werbezielgruppe „Akademiker“ zu erteilen.

3. Der Antrag auf Zuspruch des durch die Rechtsverletzung entstanden Schadens der mitbeteiligten Partei wird zurückgewiesen.

4. Der Bescheid wegen der gerügten Verletzung im Recht auf Geheimhaltung erging mit Bescheid der Datenschutzbehörde vom 28. April 2020 zur Zahl XXXX .“

II.2. Beweiswürdigung:

Die Feststellungen zum Auskunftsbegehren und zum Inhalt der Auskunft vom 10.09.2019 ergeben sich aus dem unbedenklichen Verwaltungsakt.

Die getroffenen Feststellungen zu den Datenschutzhinweisen der Beschwerdeführerin beruhen auf einer amtswegeigen Abfrage der Website der Beschwerdeführerin XXXX .

Die Feststellungen zur Erlassung des Bescheides am 28.05.2020, zur Zustellung desselben sowie zur erhobenen Beschwerde und zur ergangenen Beschwerdevorentscheidung konnten aufgrund der Aktenlage ergehen.

II.3. Rechtliche Beurteilung:

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor.

II.3.1. Zu Spruchpunkt A) – Stattgabe der Beschwerde:

II.3.1.1. Anzuwendendes Recht:

Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift:

„Artikel 4

…

9. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;

10. „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;

…

Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

II.3.1.2. Eingangs ist festzuhalten, dass von der Beschwerdeführerin die Spruchpunkte 1., 2.a. und 2.c. der Beschwerdevorentscheidung bekämpft wurden. Über die Spruchpunkte 2.b. und 2.c. der Beschwerdevorentscheidung hat das Bundesverwaltungsgericht bereits mit Erkenntnis vom XXXX rechtskräftig abgesprochen.

Gegenstand des nunmehrigen Verfahrens sind die Spruchpunkte 1. und 2.a. der Beschwerdevorentscheidung.

Fallbezogen stellt sich die Frage, ob die Datenschutzbehörde zu Recht eine Verletzung im Recht auf Auskunft, weil die Beschwerdeführerin nur eine unvollständige Auskunft erteilt habe, festgestellt hat und in weiterer Folge der Beschwerdeführerin mit Spruchpunkt 2. zu Recht aufgetragen hat, die konkreten Empfänger der personenbezogenen Daten zu bezeichnen.

II.3.1.3. Der EuGH hat mit Urteil vom 12.01.2023, C-154/21 hinsichtlich der Auslegung und Tragweite von Art. 15 Abs. 1 lit. c DSGVO zu Recht erkannt, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen (siehe EuGH 12.01.2023, C-154/21, Rz 51).

Allerdings führte der EuGH in seiner Entscheidung weiter aus, dass das Recht auf Schutz personenbezogener Daten – und somit auch jenes auf Auskunft nach Art 15 DSGVO – nicht uneingeschränkt ist. Folglich sei denkbar, dass es unter bestimmten Umständen nicht möglich ist, Informationen über konkrete Empfänger zu erteilen. Daher kann das Auskunftsrecht auf Informationen über die Kategorien von Empfängern beschränkt werden, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, insbesondere, wenn diese noch nicht bekannt sind (EuGH 12.01.2023, C-154/21, Rz 47 f).

II.3.1.4. Fallgegenständlich ist festzuhalten, dass die Beschwerdeführerin, wie festgestellt, alle Auftragsverarbeiter auflistete, die für die Beschwerdeführerin tätig werden, wobei sie darauf hinwies, dass nicht jedes Unternehmen die Daten der mitbeteiligten Partei tatsächlich verarbeitet. Damit wurden alle potenziellen Empfänger namentlich genannt, eine Konkretisierung auf individueller Empfängerebene erfolgte hingegen nicht.

Wie die Beschwerdeführerin argumentierte, hat diese also die potenziellen Empfänger beziehungsweise Empfängerkategorien bereits aufgeschlüsselt; eine weitergehende Auskunft sei ihr jedoch faktisch unmöglich.

Wie die Beschwerdeführerin im Verfahren mehrfach nachvollziehbar dargelegt hat, ist ihr nämlich nicht bekannt, welche konkreten Empfänger die Daten der mitbeteiligten Partei tatsächlich erhalten haben und kann dies auch nicht rekonstruiert werden, da keine betroffenenbezogene Dokumentation der Empfänger erfolgt und eine Einschränkung der Liste der Auftragsverarbeiter auf jene Auftragsverarbeiter, denen die Daten der mitbeteiligten Partei tatsächlich offengelegt wurden, daher faktisch unmöglich sei.

Die Beschwerdeführerin hat der mitbeteiligten Partei potentielle Auftragsverarbeiter namentlich und mit vollständiger Adresse benannt. Zudem wurde ausgewiesen, für welche Zwecke die Daten der mitbeteiligten Partei an welche konkreten Empfänger weitergegeben werden konnten. Insofern ist es der mitbeteiligten Partei auch möglich zu überprüfen, ob sie betreffende Daten gegenüber Empfängern offengelegt wurden, die zu ihrer Verarbeitung befugt sind (vgl in diesem Sinne das bereits zuvor zitierte Urteil des EuGH vom 12.01.2023, C-154/21). In ihrer Replik vom 28.03.2023 hat die Beschwerdeführerin zudem Auftragsverarbeiter angeführt, an welche Datenweitergaben ausgeschlossen werden können.

Das Bundesverwaltungsgericht kommt daher zum Ergebnis, dass die von der Beschwerdeführerin erteilte Auskunft hinsichtlich der Empfänger vollständig war, zumal die Beschwerdeführerin sämtliche vorhandenen Informationen über die Empfänger beziehungsweise Empfängerkategorien bekanntgegeben hat. Aufgrund der Angabe der Empfängerkategorien und der Auflistung der Auftragsverarbeiter in der Auskunft vom 10.09.2019 kann sich die mitbeteiligte Partei ein Bild davon machen, welche Kategorien von Empfängern ihre Daten erhalten haben. Eine explizite Verpflichtung, die konkreten Empfänger zu speichern, ist aus Art 15 Abs 1 lit c nicht ableitbar (Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 40; sowie Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 27); vgl in diesem Sinne hierzu auch die gleichgelagerten hg Entscheidungen vom 26.05.2023, W252 2238175-1 und W252 2238186-1.

Die erteilte Auskunft war daher hinsichtlich der Empfänger vollständig.

II.3.1.5. Hinzu kommt, dass der Beschwerdeführerin dahingehend zuzustimmen ist, dass sich die Bescheidbeschwerde nur gegen die Spruchpunkte 1. und 2. des Ausgangsbescheides und nicht gegen Spruchpunkt 5., mit dem die belangte Behörde das Begehren der mitbeteiligten Partei auf eine weitere Detaillierung der ihr erteilten Auskunft über Auftragsverarbeiter abwies, richtete. Der Ausgangsbescheid wurde nämlich nur in jenem Umfang angefochten, in dem der Datenschutzbeschwerde der mitbeteiligten Partei stattgegeben wurde, sohin hinsichtlich der Spruchpunkte 1. und 2. Dennoch wurde Spruchpunkt 5. der Beschwerdevorentscheidung durch die belangte Behörde aufgehoben, was sich insofern als rechtswidrig erweist.

Wenn die belangte Behörde in der Stellungnahme im Zuge der Aktenvorlage vom 29.09.2020 argumentiert, diese habe den angefochtenen Bescheid gemäß § 27 VwGVG auf Grund der Beschwerde zu überprüfen, wobei eine genaue Festlegung des Prüfungsumfangs dem Wortlaut der Bestimmung nicht zu entnehmen sei, so kann dem nicht gefolgt werden.

Gemäß § 27 VwGVG, der nach § 14 Abs 1 letzter Satz VwGVG auf Beschwerdevorentscheidungen sinngemäß Anwendung findet, hat die belangte Behörde den angefochtenen Bescheid „auf Grund der Beschwerde (§ 9 Abs 1 Z 3 und 4) oder auf Grund der Erklärung über den Umfang der Anfechtung (§ 9 Abs 3)“ zu überprüfen. Die für die Prüfung der Bescheidbeschwerde durch das Verwaltungsgericht gemäß § 27 VwGVG maßgeblichen Determinanten gelten demnach sinngemäß auch für die Prüfung durch die belangte Behörde und korrespondieren mit ihrer Entscheidungsbefugnis. Daraus folgt, dass sich die Prüfungs- und Kognitionsbefugnis der belangten Behörde mit jener des Verwaltungsgerichtes deckt, weshalb auch die Judikatur des VwGH zur Prüfungsbefugnis der Verwaltungsgerichte nach § 27 VwGVG für die Abgrenzung der Prüfungs- und Entscheidungsbefugnis der belangten Behörde maßgeblich ist (vgl VwGH vom 08.05.2018, Ro 2018/08/0011; 06.05.2020, Ra 2019/08/0114). Wie nachfolgend das Verwaltungsgericht hat sich die Behörde im Rahmen der Prüfung gemäß § 27 VwGVG inhaltlich mit den Beschwerdegründen und den (allen zulässigen) Begehren auseinanderzusetzen; vgl Hengstschläger/Leeb, AVG § 14 VwGVG, Rz 49.

Der äußere Rahmen der »Sache« ist eingeschränkt, wenn in der Beschwerde von mehreren trennbaren Absprüchen nur ein Teil bekämpft wird. Die Kognitionsbefugnis ist diesfalls auf die angefochtenen trennbaren Bestandteile einer Sache begrenzt (VwGH 24.02.2016, Ra 2015/090138; 19.2.2018, Ra 2015/12/00089). Die trennbaren Inhalte werden durch Nichtbekämpfung formell rechtskräftig; vgl Müller in Raschauer/Wessely (Hrsg), VwGVG § 27 Rz 5.

Fallgegenständlich ist hierzu festzuhalten, dass der Ausgangsbescheid der Beschwerdeführerin am 10.06.2020 zugestellt worden ist. Spruchpunkt 5., mit dem über die Auskunft betreffend Auftragsverarbeiter abgesprochen wurde, ist somit am 09.07.2020 rechtskräftig geworden und wurde die Beschwerdevorentscheidung vom 03.09.2020 somit knapp zwei Monate nach Rechtskraft dieses Spruchpunktes erlassen. Wie von der Beschwerdeführerin in ihrer Replik vom 28.03.2023 zutreffend festgehalten wurde, darf ein rechtskräftiger Spruchpunkt von Amts wegen nur abgeändert werden, wenn aus dem Spruchpunkt niemandem ein Recht erwachsen ist. Fallgegenständlich ist jedoch der Beschwerdeführerin durch Spruchpunkt 5. des Ausgangsbescheides ein subjektives Recht darauf erwachsen, dass hinsichtlich der Auskunft über die verfahrensgegenständlichen Auftragsverarbeiter keine Verletzung des Rechts auf Auskunft festgestellt und keine Auskunftsergänzung aufgetragen wird.

Der Inhalt von Spruchpunkt 5. des Ausgangsbescheides war sohin nicht „Sache“ des Verfahrens und war ein neuer Abspruch über Spruchpunkt 5. von der Kognitionsbefugnis der belangten Behörde nicht umfasst. Eine Abänderung dieses Spruchpunkts in der Beschwerdevorentscheidung war daher nicht zulässig.

II.3.1.6. Zusammenfassend ist festzuhalten, dass die Spruchpunkte 1. und 2.a. der Beschwerdevorentscheidung spruchgemäß abzuändern waren.

II.3.2. Zum Entfall einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Der maßgebliche Sachverhalt konnte als durch die Aktenlage hinreichend geklärt erachtet werden. In der Beschwerde beziehungsweise im Vorlageantrag wurden keine noch zu klärenden Tatsachenfragen in konkreter und substantiierter Weise aufgeworfen und war gegenständlich auch keine komplexe Rechtsfrage zu lösen (VwGH vom 31.07.2007, Zl. 2005/05/0080). Somit konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden. Dem Absehen von der Verhandlung stehen hier auch Art 6 Abs. 1 EMRK und Art 47 der Charta der Grundrechte der Europäischen Union nicht entgegen.

II.3.3. Zu Spruchpunkt B) – Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich hinsichtlich des Rechts auf Auskunft auf die jeweils zitierte Rechtsprechung, insbesondere des EuGH, stützen.