W171 2302513–1/17E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Gregor MORAWETZ, MBA. als Vorsitzenden und die fachkundige Laienrichterin Mag. Huberta MAITZ-STRASSNIG und den fachkundigen Laienrichter MMag. Jakob KALINA über die Beschwerde der XXXX , vertreten durch RA Mag. Katharina RAABE-STUPPNIG, Wickenburggasse 23/11, 1080 Wien, gegen den Bescheid der Datenschutzbehörde vom 02.10.2024 zu GZ: XXXX , nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Mit verfahrenseinleitender Eingabe vom 25.04.2022, verbessert mit 09.05.2022, wandte sich XXXX (idF „mitbeteiligte Partei“) an die Datenschutzbehörde (idF „belangte Behörde“ oder „DSB“) und brachte vor, dass er von der Beschwerdeführerin in seinem Recht auf Auskunft verletzt worden sei, da ein Auskunftsbegehren vom 07.03.2022 nicht beantwortet worden sei. Konkret sei die mitbeteiligte Partei im Recht auf Information sowie im Recht auf Auskunft verletzt worden. Zudem habe die Beschwerdeführerin offenbar Daten in die USA weitergeleitet. Einer Datenverarbeitung durch die Beschwerdeführerin habe die mitbeteiligte Partei nie zugestimmt.
2. Mit Stellungnahme vom 27.06.2022 führte die rechtsfreundlich vertretene Beschwerdeführerin zusammengefasst aus, dass sie nachträglich alle Informationen iSd. Art. 13, 14 und 15 DSGVO erteilt habe. Interne Fehler hätten dazu geführt, dass die Anfrage der mitbeteiligten Partei nicht weitergeleitet worden sei.
Die mitbeteiligte Partei sei Bestandskunde der Beschwerdeführerin und verfüge über diverse Zeitungs- bzw. Nachrichtenabonnements. Bei dem E-Mail, aufgrund dessen die gegenständliche Datenschutzbeschwerde erhoben wurde, habe es sich um ein Informations-Mail gehandelt, mit dem die mitbeteiligte Partei über den Umfang eines der Abonnements informiert werden sollte. Durch eine Verlinkung in der E-Mail sei es Nutzern möglich, sich gegen den Empfang solcher Info-Mails auszusprechen.
Die Beschwerdeführerin bediene sich zur Aussendung solcher Info-Mails bzw. anderer E-Mail-Zusendungen eines Softwaredienstleisters, der Lösungen für die Versendung von E-Mails in großer Zahl anbiete. XXXX Dabei würden lediglich Nachname, Vorname und E-Mail-Adresse mit XXXX geteilt. Eine Verarbeitung zu darüber hinausgehenden Zwecken finde nicht statt. Aufgrund der internationalen Ausrichtung von XXXX könne eine allfällige Datenübertragung in Drittländer nicht ausgeschlossen werden, erfolge jedoch unter Beachtung der von der EU-Kommission herausgegebenen Standarddatenschutzklauseln für Datenübermittlungen in ein Drittland sowie der DSGVO allgemein.
Die Beschwerdeführerin habe nach dem EuGH-Urteil zu „Schrems II“ diverse Anpassungen der internen Datenverarbeitung vorgenommen, um den europarechtlichen Datenschutzanforderungen gerecht zu werden. Zudem sei geplant europäische Rechenzentren einzurichten, um Datenübertragungen in Drittländer noch stärker zu unterbinden. Schließlich sei XXXX selbst dazu verpflichtet Kunden über allfällige Anfragen amerikanischer Behörden zu informieren; solche hätte es bisher jedoch nicht gegeben.
Das Risiko der Beeinträchtigung von Rechten und Freiheiten der mitbeteiligten Person sei im Ergebnis daher als gering eingestuft worden.
Gleichzeit legte die Beschwerdeführerin die an die mitbeteiligte Partei übermittelte Auskunft sowie diverse Beilagen vor, aus denen eine rechtmäßige Datenverarbeitung hervorgehe.
3. Mit Stellungnahme vom 14.07.2022 führte die mitbeteiligte Partei aus, dass die Auskunft nicht innerhalb der gesetzlichen Frist erfolgt sei. Zudem seien ihre Daten ohne ihre Zustimmung an diverse Unternehmen übermittelt worden, wobei auch keine rechtliche Grundlage für diese Übermittlungen vorliege. Darüber hinaus bestritt sie die Rechtmäßigkeit der Datenübertragung in die USA und hielt fest, dass die Beschwerdeführerin auch personenbezogene Verhaltensdaten unzulässigerweise verarbeite.
4. Mit Schreiben vom 03.08.2022 wurde die Beschwerdeführerin zur ergänzenden Stellungnahme und Beantwortung diverser Fragen aufgefordert. In der darauffolgenden Stellungnahme vom 08.09.2022 führte die Beschwerdeführerin im Wesentlichen jene Punkte aus, die sie bereits in ihrer Stellungnahme vom 27.06.2022 vorbrachte. Es könne nicht ausgeschlossen werden, dass Daten der mitbeteiligten Partei (Name, E-Mail-Adresse) im Anschluss an die E-Mail-Versendung in ein Drittland übermittelt wurden. XXXX habe umfangreiche Maßnahmen gesetzt, um der Gewährleistung des unionsrechtlichen Datenschutzniveaus gerecht zu werden. Dies beziehe sich insbesondere auf technische, vertragliche und organisatorische Maßnahmen. Die Daten würden von XXXX verschlüsselt verwahrt werden. Hinsichtlich der Unternehmensstruktur von XXXX führte die Beschwerdeführerin aus, dass sie einen Vertrag mit der XXXX mit Sitz in Deutschland geschlossen habe.
5. Mit Stellungnahme vom 17.10.2022 führte die mitbeteiligte Partei aus, dass die sogenannten „SCC“ (Standarddatenschutzklauseln) auf die sich die Beschwerdeführerin beruft nicht ausreichend seien um einen Schutz der personenbezogenen Daten zu gewährleisten. Dass die Daten zeitnah in europäische Rechenzentren migriert würden sei für den gegenständlichen Sachverhalt irrelevant. Auch die Argumentation dahingehend, dass keine amerikanischen Behörden Abfragen durchgeführt hätten und der Zweck der Datenverarbeitung „überschaubar“ sei, seien irrelevant. Insgesamt handle es sich beim Vorbringen der Beschwerdeführerin um Schutzbehauptungen.
6. Mit Schreiben vom 28.03.2023 teilte die Beschwerdeführerin mit, dass ein Datentransfer in europäische Rechenzentren stattgefunden habe und die personenbezogenen Daten der mitbeteiligten Partei nunmehr ausschließlich in Europa gespeichert und verarbeitet würden.
7. Mit verfahrensgegenständlichem Bescheid vom 02.10.2024 gab die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei teilweise statt und stellte fest, dass die Beschwerdeführerin (Beschwerdegegnerin im verwaltungsbehördlichen Verfahren) Art. 44 DSGVO verletzt habe, indem sie bei der Übermittlung der personenbezogenen Daten der mitbeteiligten Partei die Vorgaben des Art. 44 DSGVO nicht erfüllt habe und, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Information verletzt habe, indem sie dieser zum Zeitpunkt der Datenerhebung nicht die gemäß Art. 13 DSGVO erforderlichen Informationen zur Verfügung gestellte habe und somit ihrer Informationspflicht gem. Art. 13 DSGVO nicht nachgekommen sei. Die Beschwerde im Recht auf Auskunft wurde abgewiesen.
Zu Spruchpunkt 1 führte die belangte Behörde begründend aus, dass die Beschwerdeführerin als Verantwortliche grundsätzlich die Pflicht treffe nachzuweisen, dass die Datenverarbeitung den unionsrechtlichen Datenschutzbestimmungen entspreche. Da die Beschwerdeführerin keine entsprechenden entgegenstehenden Beweise erbracht hat, sei davon auszugehen, dass eine Datenübertragung in die USA (Drittland) erfolgt sei. Weder gäbe es einen (gültigen) Angemessenheitsbeschluss der Europäischen Kommission für Datentransfers in die USA, noch gäbe es vertragliche, technische oder organisatorische Maßnahmen, die iSv „geeigneten Maßnahmen“ eine unzulässige Datenverarbeitung verhindern könnten. Darüber hinaus gäbe es gegenständlich auch keine Ausnahme von diesen Grundsätzen.
Zu Spruchpunkt 2 führte die belangte Behörde aus, dass es dem Verantwortlichen obliege die Informationen iSd. Art. 13 DSGVO aktiv zu erteilen. Im Unterschied zum antragsbedürftigen Recht auf Auskunft iSd. Art. 15 DSGVO, welches im Falle der Verletzung nachträglich saniert werden könne, stehe der Umstand, dass die Information im gegenständlichen Verfahren nachträglich erteilt wurde, der Feststellung einer Verletzung im Recht auf Information iSd. Art. 13 DSGVO nicht entgegen.
Zu Spruchpunkt 3 führte die belangte Behörde aus, dass die Rechtsverletzung mit Blick auf Art. 15 DSGVO nachträglich beseitigt worden sei, weshalb die Beschwerde dahingehend abzuweisen war.
8. Mit Bescheidbeschwerde vom 12.11.2024 wandte sich die Beschwerdeführerin an das Bundesverwaltungsgericht und führte zusammengefasst jene Punkte aus, die auch im verwaltungsbehördlichen Verfahren vorgebracht wurden. Ergänzend brachte die Beschwerdeführerin vor, dass seit Mai 2021 ein Vertrag mit XXXX bestehe und auf diese Verbindung auch in ihrer Datenschutzpolicy hingewiesen werde. Zwar werde die Beschwerdeführerin in einem Annex-Dokument eines XXXX Processing Agreements als Datenexporteurin und die XXXX als Datenimporteurin genannt, allerdings treffe die Bezeichnung Datenexporteurin viel eher auf die XXXX zu.
9. Am 15.01.2026 fand unter Anwesenheit des erkennenden Senats, informierter Vertreter der Beschwerdeführerin, der Rechtsvertretung der Beschwerdeführerin sowie der mitbeteiligten Partei eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt. Die belangte Behörde nahm entschuldigt nicht an der Verhandlung teil. Im Rahmen dieser Verhandlung wurde der Verfahrensgegenstand sowie die einschlägige Rechtslage umfassend thematisiert.
10. Mit Aktenvorlage vom 30.01.2026 übermittelte die Beschwerdeführerin diverse Dokumente zur Argumentation ihres Standpunktes.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Bei der Beschwerdeführerin handelt es sich um einen österreichischen Magazinverlag mit Sitz in Wien. Gegenstand des Unternehmens ist die Herausgabe und der Vertrieb von Wochen-, Monats- und sonstigen Zeitschriften.
1.2. Die mitbeteiligte Partei ist seit einigen Jahren Bestandskunde der Beschwerdeführerin und verfügt bzw. verfügte unter zwei näher bezeichneten Kundennummern ein Abonnement über die Zustellung des XXXX -Magazins, über den Bezug der Zeitschrift XXXX sowie allfälliger weiterer Zeitschriften. Der Vertrag über den Bezug der XXXX (print- und e-Magazin) besteht seit dem 27. Dezember 2017, jener über den Bezug des XXXX seit dem 30. April 2021; beide sind nach wie vor aufrecht.
Der Vertrag zum verfahrensgegenständlichen XXXX -Abo wurde telefonisch abgeschlossen. Gegenstand des Abos ist eine physische Ausgabe des Magazins, jedoch auch der Zugang zu einem E-Paper, sohin einer elektronischen Ausgabe, sowie der XXXX , einer Plattform, auf der zusätzliche Inhalte bereitgestellt werden. Zum Telefonat, in dessen Rahmen der Abo-Vertrag geschlossen wurde existieren keine Aufzeichnungen mehr. Für den Zugang zum E-Paper bzw. der XXXX bedarf es einer zusätzlichen Registrierung, wodurch Nutzer diverse Informationen zum Datenschutz erhalten. Für den Abschluss des verfahrensgegenständlichen Abo-Vertrags galt eine Datenschutzerklärung die sich von der aktuell für Neuverträge verwendeten unterscheidet.
Die mitbeteiligte Partei hat sich nicht für die digitalen Inhalte des Abos registriert. Die mitbeteiligte Partei erhielt im Zuge des telefonischen Vertragsabschlusses keine Datenschutzinformationen iSd. Art. 13 und 14 DSGVO und keine diesbezüglichen Informationen in Form allgemeiner Geschäftsbedingungen.
Mit 01.05.2021 erfolgte ein Übergang zum nunmehr verfahrensgegenständlichen Marketing-Software-Dienstleister. Eine aktive Information der mitbeteiligten Partei zu dieser Änderung und der damit angepassten Datenschutzinformation erfolgte nicht.
1.3. Die mitbeteiligte Partei erhielt am 07.03.2022 im Rahmen ihrer Abonnements ein Informations-E-Mail mit dem Betreff „Ihre XXXX Leseprobe wartet auf Sie“ und wurde im Zuge dessen über Nutzungsmöglichkeiten ihres Abonnements informiert. Eine Verlinkung ermöglichte den Zugriff auf das vorgestellte Format.
Am Fußende der E-Mail befanden sich unter anderem folgende, mit Verlinkung hinterlegte Texte: „help@abo. XXXX .at“, „Von allen E-Mails abmelden“ sowie „Einstellungen verwalten“. Mit Klick auf den Link „Von allen E-Mails abmelden“ gelangte man zu einer von XXXX betriebenen Webseite.
1.4. Bei XXXX handelt es sich um ein auf Marketing spezialisiertes Unternehmen, das unter anderem Softwarelösungen für das Versenden großer Mengen E-Mails – wie zum Beispiel für kommerzielle Info-Mails oder Newsletter – anbietet und diesen Versand übernimmt. Der Mutterkonzern XXXX hat seinen Sitz in Cambridge in den USA, die Tochtergesellschaft XXXX hat ihren Sitz in Berlin. XXXX fällt unter den Anwendungsbereich von US-Recht.
1.5. Per E-Mail vom 07.03.2022 beschwerte sich die mitbeteiligte Partei über die Zustellung des Info-Mails und ersuchte gleichzeitig um eine Auskunft iSd. DSGVO sowie um Beantwortung diverser Fragen. Zudem führte die mitbeteiligte Partei aus, dass eine Datenübertragung in die USA unzulässig sei.
Die Beschwerdeführerin reichte im Zuge des behördlichen Verfahrens die von der mitbeteiligten Partei begehrte Auskunft nach.
1.6. Durch die Beschwerdeführerin wurden personenbezogene Daten der mitbeteiligten Partei – „Vor- und Nachname“ und „E-Mail-Adresse“ – sowohl an die XXXX als auch an XXXX weitergegeben. XXXX nutzte dies Daten zumindest am 07.03.2022 im Zuge des Versands des dem Verfahren zugrundeliegenden Informations- bzw. Werbe-E-Mails.
Die Beschwerdeführerin und XXXX haben ein „ XXXX Data Processing Agreement“ unterzeichnet, das die Beschwerdeführerin als Datenexporteurin und XXXX als Datenimporteurin bezeichnet und Bezug auf die Standardvertragsklauseln iSd. Durchführungsbeschlusses der Europäischen Kommission ((EU) 2021/914 vom 04.06.2021) nimmt.
Die XXXX bedient sich der in Deutschland ansässigen XXXX als Sub-Dienstleisterin für vertragliche Marketingzwecke, die von Kunden wie der Beschwerdeführerin, in Anspruch genommen werden.
1.7. XXXX als Vertragspartnerin der Beschwerdeführerin implementierte diverse technische (Verschlüsselungen), vertragliche (Nutzungsbedingungen) als auch organisatorische (Speicher-Management-System) Maßnahmen im Sinne von „geeigneten Garantien“ iSd. Art. 46 DSGVO.
Weder zum Zeitpunkt des verfahrensgegenständlichen Vertragsabschlusses noch zum Zeitpunkt der Versendung des gegenständlichen Werbe-E-Mails durch XXXX gab es einen in Kraft befindlichen Angemessenheitsbeschluss der Europäischen Kommission iSd. Art. 45 DSGVO zum Transfer personenbezogener Daten in die USA.
1.8. Die Migration der Daten von Bestandskundinnen bzw. Bestandskunden der Beschwerdeführerin in europäische Rechenzentren erfolgte am 23. und 24. März 2023.
2. Beweiswürdigung:
2.1. Die Feststellungen die Beschwerdeführerin betreffend (Punkt II.1.1.) basieren zum einen auf dem Akteninhalt der belangten Behörde, aus dem deren Unternehmensgegenstand hervorgeht sowie zum anderen auf einer gerichtlichen Nachschau im Impressum der Beschwerdeführerin auf deren Homepage im Internet.
2.2. Die Feststellungen zur mitbeteiligten Partei (Punkt II.1.2.) basieren auf deren Schilderungen im Rahmen der dem Bundesverwaltungsgericht vorliegenden Datenschutzbeschwerde sowie der insofern unstrittigen Darstellungen der Beschwerdeführerin. Die Beschwerdeführerin legte sowohl im verwaltungsbehördlichen Verfahren, als auch im verwaltungsgerichtlichen Verfahren Screenshots ihrer unternehmensinternen Verarbeitungsprogramme vor, aus denen die Kundeneigenschaft der mitbeteiligten Partei unzweifelhaft hervorgeht.
Dass der verfahrensgegenständliche Vertrag zum Zeitschriften-Abo telefonisch abgeschlossen wurde, es diesbezüglich jedoch keine Aufzeichnungen gibt und, dass es einer zusätzlichen Registrierung für die Onlineprodukte bedarf, die mitbeteiligte Partei eine solche jedoch nie durchführte, ergibt sich insbesondere aus der mündlichen Verhandlung vom 15.01.2026. Die mitbeteiligte Partei gab an, nie eine solche Registrierung vorgenommen zu haben und die Beschwerdeführerin konnte keine Aufzeichnungen zum Telefonat bzw. zu einer allfälligen Registrierung der mitbeteiligten Partei vorlegen.
Ebenso wenig konnte die Beschwerdeführerin nachweisen, dass die mitbeteiligte Partei eine Information iSd. Art. 13 und 14 DSGVO erhielt. Die Beschwerdeführerin konnte weder vor der belangten Behörde noch vor dem erkennenden Gericht nachweisen, dass die mitbeteiligte Partei diese Informationen – insbesondere zur Übermittlung von personenbezogenen in Drittländer – erhalten hätte.
Mit Schriftsatz vom 30.01.2026 legte die Beschwerdeführerin zwar diverse Dokumente vor, die im Zusammenhang mit den Abo-Verträgen der mitbeteiligten Partei stehen, allerdings kann aus diesen für das gegenständliche Verfahren nichts gewonnen werden. Dem von der Beschwerdeführerin als Beilage ./24 bezeichneten Dokument ist zwar ein Hinweis auf das Digital-Abo zu entnehmen, allerdings bezieht sich dieses Schreiben auf ein Abo, das vor dem gegenständlichen abgeschlossen wurde. Die Beschwerdeführerin beschreibt in ihrer Aktenvorlage, dass es ein Abo vom 01.04.2016 bis zum 15.04.2021 und ein Abo vom 30.04.2021 bis 29.04.2022 gab. Es kann jedoch vor dem Hintergrund des telefonischen Vertragsabschlusses, zu dem keine Aufzeichnungen vorliegen, nicht davon ausgegangen werden, dass die mitbeteiligte Partei auch mit Blick auf das spätere Abo alle Informationen iSd. DSGVO erhalten hat. Auch die Vorlage der AGB, die beim Abschluss des späteren Abos gegolten haben und auf die Datenschutzpolicy der Beschwerdeführerin verweisen, ist nichts gewonnen, da nicht nachgewiesen werden konnte, dass diese Vertragsinhalt wurden. Gleichsam hilft auch der Screenshot der Anmeldemaske für das Online-Konto nicht, da nicht nachgewiesen werden konnte, dass die mitbeteiligte Partei dieses Konto genutzt hat. Zudem hält die Beschwerdeführerin selbst fest, dass auf Rechnungen nicht mehr auf das E-Paper hingewiesen wurde, da dieses vom Print-Abo mitumfasst war und daher nicht mehr explizit ausgewiesen wurde. Auch hinsichtlich des ab Mai 2021 genutzten Software-Dienstleisters XXXX – und der damit angepassten Datenschutzpolicy – konnte keine entsprechende Information an die mitbeteiligte Partei vorgelegt werden.
Ebenso ergibt sich der Übergang vom ehemaligen Software-Service-Dienstleister zur hg. relevanten XXXX aus den insofern unstrittigen Angaben der Beschwerdeführerin.
2.3. Die Feststellungen bezüglich des Informations-E-Mails an die mitbeteiligte Partei vom 07.03.2022 basieren auf der dem Bundesverwaltungsgericht vorliegenden Datenschutzbeschwerde, in welcher ein Screenshot des E-Mails vorgelegt wurde. Dass ein paar der Textpassagen mit Verlinkungen zu anderen Webseiten hinterlegt waren, ergibt sich aus den dahingehend unstrittigen Vorbringen der Parteien. Die Feststellung, dass der Hyperlink des Textes „Von allen E-Mails abmelden“ zu einer von XXXX betriebenen Webseite führt, basiert zum einen auf dem insoweit unstrittigen Vorbringen der mitbeteiligten Partei und zum anderen auf der Vorlage eines Screenshots im Rahmen der Datenschutzbeschwerde. Dabei ist der Cursor auf den mit einem Hyperlink hinterlegten Text gerichtet und wird vom verwendeten Computerprogramm eine Vorschau des aufzurufenden URL dargestellt. Dieser enthält die Domain XXXX woraus sich der Bezug zu XXXX eindeutig ergibt.
2.4. Die Feststellungen zu II.1.4. basieren auf den entsprechenden Vorbringen der Beschwerdeführerin sowie einer gerichtlichen Nachschau im Impressum von XXXX . Der Sitz der XXXX und die Feststellungen zur Unternehmensstruktur, soweit XXXX betroffen ist, basieren auf dem dahingehend unstrittigen Akt der belangten Behörde.
2.5. Die Feststellung dahingehend, dass die mitbeteiligte Partei eine Datenschutzbeschwerde erhob und die Beschwerdeführerin im Zuge des verwaltungsbehördlichen Verfahrens die begehrte Auskunft der mitbeteiligten Partei nachreichte, ergibt sich aus dem insofern unstrittigen Verwaltungsakt.
2.6. Dass die Beschwerdeführerin die personenbezogenen Daten „Vor- und Nachname“ und „E-Mail-Adresse“ verarbeitete und an XXXX weiterleitete basiert auf dem entsprechenden Vorbringen der Beschwerdeführerin im verwaltungsbehördlichen Verfahren sowie der erhobenen Beschwerde. Dass XXXX diese Daten zumindest am 07.03.2025 verarbeitet hat ergibt sich aus dem Datum der dem Verfahren zugrundeliegenden E-Mail von eben diesem Tag. Da XXXX für den Versand der E-Mail vertraglich zuständig war, wurden die Daten offensichtlich auch an diesem Tag für den Versand genutzt.
Die Feststellung dahingehend, dass die Beschwerdeführerin personenbezogene Daten der mitbeteiligten Partei an XXXX übermittelte, damit diese in weiterer Folge Informations- bzw. Werbe-E-Mails versenden konnte basiert vor allem auf den von der Beschwerdeführerin vorgelegten Dokumenten. Diese legte unter anderem ein „ XXXX Data Processing Agreement“ vor, das von Vertretern der XXXX und der Beschwerdeführerin unterzeichnet wurde. Unter Annex 3 „List of Sub-Processors“ findet sich eine Tabelle, in der die XXXX als Sub-Processor angeführt wird, deren Aufgabe („Purpose“) Service und Unterstützung („Services&Support“) ist. Dabei wird XXXX explizit als „data importer“ und die Beschwerdeführerin explizit als „data exporter“ bezeichnet. Das erkennende Gericht geht daher davon aus, dass der Datenverarbeitungsvertrag zwischen der Beschwerdeführerin und XXXX selbst geschlossen wurde und die XXXX allenfalls als Auftragsverarbeiter der XXXX tätig wurde.
Diese Ansicht verstärkt sich zudem durch das Vorbringen der Beschwerdeführerin in ihrer ergänzenden Stellungnahme vom 08.09.2022 in der sie darlegte, dass aufgrund der globalen Ausrichtung von XXXX nicht ausgeschlossen werden könne, dass Daten in die USA übermittelt wurden.
Diesbezüglich ist weiters zu berücksichtigen: Die Beschwerdeführerin legte unter anderem eine Information von XXXX vor, die „das neue EU-Rechenzentrum von XXXX “ betreffe. Daraus geht hervor, dass die personenbezogenen Daten neuer Kundinnen und Kunden ab Juli 2021 in einem neuen EU-Rechenzentrum verarbeitet werden und für die Daten bestehender Kundinnen und Kunden eine Datenmigration ab 2022 vorgesehen sei. Nach Ansicht des erkennenden Gerichts wird dadurch impliziert, dass die Daten europäischer Kundinnen und Kunden bis 2022 eben nicht (ausschließlich) in der EU verarbeitet wurden und offensichtlich in einem Drittland verarbeitet wurden. Durch ergänzende Stellungnahme der Beschwerdeführerin vom 28.03.2023 wurde mitgeteilt, dass eben diese anvisierte Datenmigration am 23./24. März 2023 stattfand.
Die Feststellung dahingehend, dass die Beschwerdeführerin und XXXX ein Data-Processing-Agreement geschlossen haben, das Bezug auf die Standarddatenschutzklauseln der Europäischen Kommission ((EU) 2021/914 vom 04.06.2021) nimmt, basiert wiederum auf den von der Beschwerdeführerin vorgelegten und auch von ihr unterzeichneten Dokumenten.
Im Rahmen der mündlichen Verhandlung vom 15.01.2026 führte die Rechtsvertreterin der Beschwerdeführerin zwar aus, dass aus den Dokumenten zwar hervorgehe, dass der Datenverarbeitungsvertrag mit XXXX abgeschlossen worden sei, die personenbezogenen Daten jedoch faktisch nur nach Deutschland übermittelt worden seien. Das Datenschutzrecht beziehe sich auf tatsächliche Datenverarbeitungen und Gegebenheiten und nicht auf vertragliche Definitionen oder Rollen.
Diesem Argument kann sich der erkennende Senat jedoch nicht anschließen. Die vertragliche Ausgestaltung indiziert zweifellos eine Datenübermittlung in die USA – inwiefern die tatsächliche Rollenverteilung zwischen der Beschwerdeführerin und XXXX im Zuge der Zusammenarbeit von der vertraglichen Ausgestaltung abweichen soll, konnte die Beschwerdeführerin nicht restlos aufklären. Wie bereits dargelegt, wurde die Rolle der deutschen XXXX lediglich als „Service&Support“ ausgestaltet, weshalb davon auszugehen ist, dass die personenbezogenen Daten zur Vertragserfüllung auch in die USA übermittelt wurden.
Darüber hinaus legt auch die Argumentation im Laufe des verwaltungsbehördlichen und verwaltungsgerichtlichen Verfahrens nahe, dass eine Übermittlung personenbezogener Daten in USA stattfand. Zum einen führte die Beschwerdeführerin in ihrer Stellungnahme vom 08.09.2022 und in ihrer gegenständlichen Beschwerde aus, dass „nicht ausgeschlossen werden könne“, dass Daten in die USA übermittelt wurden. Zum anderen wurde regelmäßig betont, dass nach der Datenmigration in europäische Rechenzentren keine Daten mehr in den USA verarbeitet würden.
2.7. Die Feststellungen zu den von der Beschwerdeführerin und XXXX implementierten Maßnahmen, um einen geeigneten Schutz der personenbezogenen Daten garantieren zu können – technische, vertragliche und organisatorische Maßnahmen – basieren auf dem entsprechenden Vorbringen der Beschwerdeführerin im Rahmen der Beschwerde und des gesamten verwaltungsbehördlichen Verfahrens sowie der vorgelegten Dokumente.
2.8. Die Feststellungen zur Datenmigration basieren auf einer entsprechenden Stellungnahme der Beschwerdeführerin.
3. Rechtliche Beurteilung:
Im gegenständlichen Verfahren geht es um eine Datenübermittlung in ein Drittland iSd. Kapitels V DSGVO sowie um eine Verletzung von Informationspflichten iSd. Art. 13 DSGVO. Die Beschwerdeführerin bringt zusammengefasst vor, dass die erfolgte Datenübermittlung in die USA zulässig war, da aufgrund der vertraglichen Ausgestaltung der Übermittlung geeignete Garantien bestanden, um das Datenschutzniveau der Europäischen Union nicht zu untergraben. Hinsichtlich der Informationspflichten iSd. Art. 13 DSGVO sei der von der belangten Behörde festgestellte Sachverhalt ergänzungsbedürftig.
Zu A)
Zu Spruchpunkt I
3.1. Der Umstand, dass es sich bei der Beschwerdeführerin um die „Verantwortliche“ iSd. Art. 4 Z 7 DSGVO handelt und im gegenständlichen Sachverhalt auch personenbezogene Daten iSd. Art. 4 Z 1 DSGVO in Rede stehen ist soweit unstrittig. Vielmehr ist zu klären, ob eine (un)zulässige Datenübermittlung in die USA stattgefunden hat und, ob die mitbeteiligte Partei in ihrem Recht auf Auskunft iSd. Art. 13 DSGVO verletzt wurde.
3.2. Art. 5 DSGVO regelt die Grundsätze für die Verarbeitung personenbezogener Daten und normiert in Abs. 1 zusammengefasst, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und transparent verarbeitet werden müssen (lit. a); für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen (lit. b); dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt werden müssen (lit. c); sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen (lit. d); in einer Form gespeichert werden, die die Identifizierung der betroffenen Person nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist (lit. e) und in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet (lit. f). Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung des Abs. 1 nachweisen können.
Korrelierend dazu hielt der EuGH in seiner Rechtsprechung fest, dass sich die DSGVO grundsätzlich an „Verantwortliche“ richtet und diese nicht nur geeignete und wirksame Maßnahmen zum Schutz personenbezogener Maßnahmen treffen müssen, sondern auch nachweisen können müssen, dass ihre Verarbeitungstätigkeit im Einklang mit der DSGVO steht. (vgl. EuGH 05.12.2023, C-807/21 [Deutsche Wohnen] Rz 38; EuGH 24.02.2022, C-175/20 [„SS“ SIA] Rz 77; EuGH 04.07.2023, C-252/21 [Meta/Bundeskartellamt] Rz 95)
3.3. Kapitel V der DSGVO regelt die Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen.
Gemäß Art. 44 DSGVO ist eine Übermittlung in ein Drittland grundsätzlich nur dann zulässig, wenn der Verantwortliche bzw. Auftragsverarbeiter die Bedingungen des Kapitel V einhält und auch die sonstigen Bestimmungen der DSGVO eingehalten werden. Das durch die DSGVO gewährleistete Schutzniveau darf nicht untergraben werden.
Gemäß Art. 45 DSGVO darf eine Übermittlung iSd. Art. 44 DSGVO vorgenommen werden, wenn die Kommission beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet. Eine solche Datenübermittlung bedarf keiner besonderen Genehmigung.
Liegt kein Beschluss iSd. Art. 45 DSGVO vor, darf gemäß Art. 46 DSGVO ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.
Art. 49 DSGVO sieht für den Fall, dass kein Angemessenheitsbeschluss iSd. Art. 45 DSGVO oder keine geeigneten Garantien iSd. Art. 46 DSGVO vorliegen, vor, dass eine Übermittlung oder Reihe von Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation nur unter bestimmten, näher bezeichneten Bedingungen zulässig sind.
3.4. Im Sinne der Leitlinien 5/2021 über das Zusammenspiel zwischen der Anwendung des Artikels 3 und der Bestimmungen über internationale Übermittlungen nach Kapitel V DSGVO des European Data Protection Board (Version 2.0., 14.02.2023; idF „Leitlinien“) gibt es drei kumulative Kriterien, anhand derer festgestellt werden kann, ob es sich bei einem Verarbeitungsvorgang um eine Übermittlung iSd. Kapitel V DSGVO handelt: (i) ein Verantwortlicher oder Auftragsverarbeiter (Exporteur) unterliegt für die betreffende Verarbeitung des DSGVO, (ii) der Exporteur legt personenbezogene Daten, die Gegenstand dieser Verarbeitung sind, durch Übertragung oder auf andere Weise, gegenüber einem anderen Verantwortlichen, gemeinsam Verantwortlichen oder Auftragsverarbeiter („Importeur“) offen, (iii) der Importeur befindet sich in einem Drittland, unabhängig davon, ob dieser Importeur für die betreffende Verarbeitung gemäß Artikel 3 der DSGVO unterliegt, oder der Importeur ist eine internationale Organisation.
Aus Art. 8 Abs. 1 EU-GRC ergibt sich eine Pflicht zur Perpetuierung des unionsrechtlichen Schutzniveaus (EuGH 06.10.2015, C-362/14 (Schrems I), Rz 72). Die gegenständlichen Bestimmungen regeln die Bedingungen, welche es einem Verantwortlichen oder Auftragsverarbeiter (Exporteur) erlauben, personenbezogene Daten in ein Drittland zu übermitteln. Der nicht legaldefinierte Begriff der Übermittlung ist im Rahmen der Art. 44 ff schutzzweckbezogen zu verstehen. Er umfasst daher jede Weitergabe von personenbezogenen Daten an eine Stelle außerhalb des Territoriums der Europäischen Union oder an eine internationale Organisation (Kühling/Buchner, DSGVO·BDSG3, Art. 44, Rz 16; Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 44 DSGVO (Stand 1.12.2020, rdb.at), Rz 18).
3.5. In der Entscheidung C-311/18 vom 16.07.2020 (Schrems II) beschäftigte sich der EuGH intensiv mit Kapitel V der DSGVO und der Frage, unter welchen Voraussetzungen eine Übermittlung personenbezogener Daten in Drittländer zulässig ist. Sowohl im Urteil des EuGH, als auch im verfahrensgegenständlichen Sachverhalt geht es um eine Datenübermittlung in die USA.
Das zu C-311/18 verfahrensgegenständliche Vorabentscheidungsersuchen betraf zum einen die Auslegung von Art. 3 Abs. 2, 25, 26 und 28 Abs. 3 der Richtlinie 95/46/EG im Lichte von Art. 4 Abs. 2 EUV sowie Art. 7, 8 und 47 der EU-GRC. Zum anderen betraf es die Auslegung und Gültigkeit des Beschlusses 2010/87/EU betreffend Standardvertragsklauseln (SDK-Beschluss) sowie die Auslegung und Gültigkeit des Durchführungsbeschlusses (EU) 2016/1250 betreffend die Angemessenheit des vom EU-US-Datenschutzschild (DSS-Beschluss) gebotenen Schutzes.
Ausgangspunkt des Urteils war ein Beschwerdeverfahren des Herrn Schrems vor dem High Court of Ireland in welchem er im Wesentlichen vorbrachte, dass der SDK-Beschluss der Kommission keinen geeigneten Schutz personenbezogener Daten vor dem Zugriff durch US-Behörden iSd. Art. 7, 8 und 47 GRC biete. Unionsbürger besäßen demnach nicht die gleichen Rechte wie US-Staatsbürger.
Aus dem Urteil folgt, dass Datenübertragungen aus der EU ins EU-Ausland grundsätzlich der DSGVO unterliegen, auch dann, wenn die Daten im Ausland für Zwecke der öffentlichen Sicherheit, der Landesverteidigung und der Sicherheit des Staates verarbeitet werden können. (Rz 89)
Hinsichtlich des Schutzniveaus, das bei einer Datenübertragung iSd. Art. 46 Abs. 1 und Abs.2 lit. c DSGVO bestehen muss, führte der EuGH aus, Art. 46 DSGVO präzisiere zwar nicht die Art der Anforderungen, die sich aus der Bezugnahme auf „geeignete Garantien“, „durchsetzbare Rechte“ und „wirksame Rechtsbehelfe“ ergeben, das gewährleistete Schutzniveau der DSGVO dürfe jedoch nicht untergraben werden. Das Schutzniveau des Drittstaates muss dabei nicht identisch mit jenem der Unionsrechtsordnung sein, muss aber in Anbetracht der nationalen Rechtsordnung einen Schutz bieten, der jenem der DSGVO im Lichte der GRC gleichwertig ist. Bei der insoweit im Zusammenhang mit einer solchen Übermittlung erforderlichen Beurteilung sind insbesondere die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Unionansässigen Verantwortlichen bzw. seinem dort ansässigen Auftragsverarbeiter und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, sowie, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten personenbezogenen Daten betrifft, die maßgeblichen Elemente der Rechtsordnung dieses Landes. (Rz 90 ff)
Mit Blick auf den SDK-Beschluss hielt der Gerichtshof fest, dass unstrittig sei, dass die Standarddatenschutzklauseln gegenüber Behörden eines Drittlandes keine Wirkung entfalten können, da diese keine Vertragspartei sind. Insofern können die Standarddatenschutzklauseln mit Blick auf die nationale Rechtsordnung des Drittstaates einen ausreichenden Datenschutz garantieren oder eben auch nicht. So verhält es sich beispielsweise, wenn das Recht des Drittstaates dessen Behörden Eingriffe in die Rechte der betroffenen Personen bezüglich dieser Daten erlaubt. Die Garantien, die eine betroffene Person iSd. Art. 46 Abs. 1 DSGVO hat, müssen aber nicht zwangsläufig in einem Beschluss der Kommission wie dem SDK-Beschluss vorgesehen sein. Insoweit unterscheidet sich ein solcher Beschluss von einem nach Art. 45 Abs. 3 der DSGVO ergangenen Angemessenheitsbeschluss, der darauf abzielt – im Anschluss an eine Untersuchung des Rechts des betreffenden Drittlands, bei der insbesondere die maßgeblichen Vorschriften im Bereich der nationalen Sicherheit und des Zugangs der Behörden zu personenbezogenen Daten berücksichtigt werden –, verbindlich festzustellen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland ein angemessenes Schutzniveau bieten, so dass der Zugang der Behörden dieses Landes zu solchen Daten ihrer Übermittlung in dieses Land nicht entgegensteht. Insofern kann aus Art. 46 DSGVO nicht abgeleitet werden, dass die Kommission verpflichtet wäre, vor einem Erlass zu Standarddatenschutzklauseln die Angemessenheit des Schutzniveaus des Drittlandes zu beurteilen. Es ist bei Nichtvorliegen eines Angemessenheitsbeschlusses daher Sache des Daten exportierenden, in der EU ansässigen Verantwortlichen, geeignete Garantien vorzusehen. Insoweit kann die Notwendigkeit bestehen, Standarddatenschutzklauseln durch zusätzliche Garantien zu ergänzen. (Rz 122 ff)
Schließlich hat sich der Gerichtshof näher mit dem DSS-Beschluss der Kommission auseinandergesetzt und sich dabei insbesondere mit den vom vorlegenden Gericht aufgeworfenen Bedenken beschäftigt, wonach der Rechtsschutz betroffener Personen gegenüber US-Behörden nicht gleichwertig mit jenem nach Unionsrecht sei. Die amerikanische Regierung räumte auf Nachfrage durch den Gerichtshof ein, dass die Presidential Policy Directive 28 („PPD-28“), welche unter anderem die Zugriffsmodalitäten der US-Behörden auf Daten regelt, betroffenen Personen keine Rechte verleihe, die gegenüber diesen Behörden gerichtlich durchgesetzt werden könnten. Auch die für Datenverarbeitungen relevante Executive Order 12333 verleiht betroffenen Personen hinsichtlich Überwachungsprogrammen der US-Behörden keine Rechte, die gerichtlich durchgesetzt werden könnten. Es ist insgesamt davon auszugehen, dass weder Section 702 des FISA noch die E.O. 12333 in Verbindungmit der PPD-28 den im Unionsrecht nach dem Grundsatz der Verhältnismäßigkeit bestehenden Mindestanforderungen genügen, so dass nicht angenommen werden kann, dass die auf diese Vorschriften gestützten Überwachungsprogramme auf das zwingend erforderliche Maß beschränkt sind und sohin nicht vereinbar mit Art. 52 Abs. 1 Satz 2 GRC sind. Die Schaffung einer mit Datenschutzagenden befassten Ombudsmechanismus vermochte diesem Defizit nicht abzuhelfen. (Rz 150 ff)
3.6. Mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 erließ die Kommission das „Data-Privacy-Framework“ und damit einen neuerlichen Angemessenheitsbeschluss iSd. Art. 45 Abs. 3 DSGVO hinsichtlich Datenübertragungen in die USA. Verfahrensgegenständlich ist dieser Beschluss jedoch irrelevant, da dieser nach der verfahrensgegenständlichen Datenverarbeitung erlassen wurde.
3.7. Gemäß Art. 46 Abs. 1 DSGVO darf ein Verantwortlicher für den Fall, dass kein Angemessenheitsbeschluss der Kommission iSd. Art. 45 Abs. 3 DSGVO vorliegt, personenbezogene Daten nur dann in ein Drittland übermitteln, wenn geeignete Garantien vorgesehen werden und den betroffenen Personen durchsetzbare Recht und wirksame Rechtsbehelfe zur Verfügung stehen. Die Abs. 2 und 3 des Art. 46 DSGVO sehen sodann Maßnahmen vor, die geeignete Garantien darstellen können.
Art. 46 Abs. 2 lit. c DSGVO normiert, dass Standarddatenschutzklauseln, die von der Kommission gemäß dem Prüfverfahren nach Art. 93 Abs. 2 DSGVO erlassen werden, geeignete Garantien darstellen können.
Im oben erwähnten Urteil des EuGH vom 16.07.2020 (Schrems II) führte dieser zwar aus, dass Standarddatenschutzklauseln als Instrument für den internationalen Datenverkehr in Drittländer dem Grund nach zwar nicht zu beanstanden sind, allerdings wies er auch darauf hin, dass Standarddatenschutzklauseln vertraglicher Natur sind und daher Dritte bzw. insbesondere Behörden nicht binden können. (vgl. Rz 126) Es komme vielmehr auf eine Gesamtbetrachtung der geeigneten Garantien an und darauf, ob unter Umständen zusätzliche Garantien neben den Standarddatenschutzklauseln bestehen. Es ist davon auszugehen, dass die von der Kommission gemäß Art. 46 Abs. 2 Buchst. c DSGVO erlassenen Standarddatenschutzklauseln nur darauf abzielen, den in der Union ansässigen Verantwortlichen bzw. ihren dort ansässigen Auftragsverarbeitern vertragliche Garantien zu bieten, die in allen Drittländern einheitlich gelten, d. h. unabhängig vom dort jeweils garantierten Schutzniveau. Da diese Standarddatenschutzklauseln ihrer Natur nach keine Garantien bieten können, die über die vertragliche Verpflichtung, für die Einhaltung des unionsrechtlich verlangten Schutzniveaus zu sorgen, hinausgehen, kann es je nach der in einem bestimmten Drittland gegebenen Lage erforderlich sein, dass der Verantwortliche zusätzliche Maßnahmen ergreift, um die Einhaltung dieses Schutzniveaus zu gewährleisten. (vgl. Rz 133)
Für den verfahrensgegenständlichen Sachverhalt bedeutet dies Folgendes:
3.8. Wie festgestellt wurde, schlossen die Beschwerdeführerin und das auf Marketing und Vertrieb spezialisierte Unternehmen XXXX , mit Sitz in den USA, einen Vertrag hinsichtlich des Versands von Informations- bzw. Werbe-E-Mails. Für den Versand eben dieser E-Mails wurden XXXX Name und E-Mail-Adresse der Kundinnen und Kunden der Beschwerdeführerin übermittelt. Kernfrage des gegenständlichen Verfahrens ist sohin, ob die Daten zulässigerweise in die USA als Drittland übermittelt wurden.
Wie eingangs festgehalten wurde, regeln die Art. 44 ff DSGVO die Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen und normieren Rahmenbedingungen unter welchen eine solche Übermittlung zulässig ist.
Die mitbeteiligte Partei erhielt das diesem Verfahren zugrundeliegende Werbe-E-Mail am 07.03.2022, weshalb feststeht, dass die Daten zumindest an diesem Tag durch den E-Mail-Versand Service von XXXX verarbeitet wurden.
Das oben ausführlich diskutierte Urteil des EuGH zu C-311/18 mit dem der Angemessenheitsbeschluss der Kommission hinsichtlich des EU-US-Datenschutzschildes iSd. Art. 45 DSGVO für ungültig erklärt wurde, wurde am 16. Juli 2020 erlassen und somit knapp zwei Jahre vor der verfahrensgegenständlichen Datenverarbeitung. Da das daraufhin ausgehandelte EU-US-Data-Privacy-Framework erst mit 10.07.2023 in Geltung getreten ist, gab es im Zeitpunkt der relevanten Datenverarbeitung keinen Angemessenheitsbeschluss der Europäischen Kommission hinsichtlich Datenübermittlungen in die USA. Der belangten Behörde ist diesbezüglich sohin zuzustimmen.
3.9. Die Beschwerdeführerin brachte im Zuge des Verfahrens wiederholt vor, dass die Datenverarbeitung durch XXXX von umfangreichen Maßnahmen begleitet sei, um ein der DSGVO gleichwertiges Niveau des Datenschutzes gewährleisten zu können. Dabei hob sie insbesondere die Zugrundelegung der Standarddatenschutzklauseln der Europäischen Kommission sowie zusätzliche technische, vertragliche und organisatorische Maßnahmen hervor wie beispielsweise Verschlüsselungen, Nutzungsbedingungen oder Speicher-Management-Systeme.
Im Ergebnis ist allerdings auch hierbei der belangten Behörde zuzustimmen, die zutreffend auf die Ausführungen des European Data Protection Boards Bezug nimmt, dass die dargelegten zusätzlichen Maßnahmen zwar das grundsätzliche Datenschutzniveau erhöhen, jedoch nicht die vom EuGH in seiner Entscheidung Schrems II geäußerten Bedenken ausräumen können. Der EuGH führte zusammengefasst aus, dass es von Datenübermittlungen Betroffenen trotz des EU-US-Datenschutzschildes, teilweise nicht möglich ist, gerichtlichen Rechtsschutz geltend zu machen. Dadurch ist das Datenschutzniveau nicht gleichwertig mit jenem der Europäischen Union. Zwar konnte die Beschwerdeführerin aufzeigen, dass sowohl sie, als auch XXXX einige Maßnahmen gesetzt haben, um ein hohes Datenschutzniveau zu gewährleisten, allerdings können diese Maßnahmen, wie die belangte Behörde richtig erkannt hat, die Mängel des Datenschutzschildes nicht sanieren. US-Behörden hätten trotz der Datenschutzmaßnahmen die gleichen Möglichkeiten und Rechte wie unter dem Datenschutzschild und ist damit kein mit der DSGVO vergleichbarer Datenschutz gegeben.
Auch mit Blick auf die Datenmigration in europäische Datenzentren Ende März 2023 ist für das erkennende Gericht nicht erkennbar, inwiefern dies ein Maßnahme darstellt, die in der Lage wäre, die Bedenken des EuGH auszuräumen.
Hinsichtlich einer allfälligen Ausnahme iSd. Art. 49 DSGVO wurde kein konkretes Vorbringen erstattet und ergibt sich nach Ansicht des Gerichts eine solche auch nicht aus der Aktenlage.
Zu Spruchpunkt II
3.10 Mit Spruchpunkt II gab die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Information verletzt habe, indem sie dieser zum Zeitpunkt der Datenerhebung nicht die gemäß Art. 13 DSGVO erforderlichen Informationen zur Verfügung gestellt habe und somit ihrer Informationspflicht gemäß Art. 13 DSGVO nicht nachgekommen sei.
3.11. Wie bereits zur Spruchpunkt I dargelegt wurde, regelt Art. 5 DSGVO die Grundsätze für die Verarbeitung personenbezogener Daten. Neben den oben näher beschriebenen Grundsätzen des Abs. 1 leg cit. hält Art. 5 Abs. 2 DSGVO fest, dass der Verantwortliche für die Einhaltung der Grundsätze nach Abs. 1 verantwortlich ist und dessen Einhaltung auch im Rahmen einer Rechenschaftspflicht nachweisen können muss.
Gemäß Art. 13 DSGVO haben Verantwortliche, die Daten bei betroffenen Personen erheben, diesen bestimmte Informationen zu erteilen. Die Auskunft iSd. Art. 13 DSGVO unterscheidet sich von der Auskunft iSd. Art. 15 DSGVO dahingehend, dass es sich bei jener nach Art. 13 DSGVO um eine aktive Erbringungspflicht des Verantwortlichen handelt, während Auskünfte nach Art. 15 DSGVO nur nach Aufforderung der betroffenen Person zu erteilen sind. Eine Auskunft nach Art. 13 DSGVO setzt sohin keinen Antrag voraus. (vgl. VwGH 06.03.2024, Ro 2021/04/0030, RS 13 und 18)
Gemäß Art. 13 Abs. 1 DSGVO sind nicht nur, aber insbesondere Kontaktdaten des Verantwortlichen (lit. a), Kontaktdaten des Datenschutzbeauftragten (lit. b), die Verarbeitungszwecke samt Rechtsgrundlage (lit. c), allenfalls berechtigte Interessen an der Datenverarbeitung (lit. d), Empfänger oder Kategorien von Empfängern der personenbezogenen Daten (lit. e) sowie gegebenenfalls die Absicht die personenbezogenen Daten in ein Drittland bzw. an eine internationale Organisation weiterzuleiten, zu beauskunften.
Art. 13 DSGVO ist damit als verschärfte Selbstverantwortung der Verantwortlichen anzusehen. Betroffene Personen sind zum Zeitpunkt der Datenerhebung zu informieren wobei das „Erheben“ als Beginn der Datenverarbeitung anzusehen ist. Dabei werden sowohl solche Daten erfasst, die die betroffene Person zur Verfügung stellt, als auch solche, die vom Verantwortlichen generiert werden. (vgl. Illibauer in Knyrim, DatKomm Art 13 DSGVO Rz 1 f, 20 f (Stand 1.7.2024, rdb.at))
Art. 12 DSGVO normiert die transparente Information, Kommunikation und Modalitäten für die Ausübung der Recht der betroffenen Personen und hält in Abs. 1 insbesondere fest, dass der Verantwortliche alle geeigneten Maßnahmen trifft, um der betroffenen Person alle Informationen gemäß den Art. 13 und 14 und aller Mitteilungen gemäß den Art. 15 bis 22 und Art. 34 DSGVO, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. „Leicht zugänglich“ betrifft dabei die äußere Darreichungsform der Information. (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 13 DSGVO Rz 11 (Stand 1.12.2020, rdb.at))
Mit Blick auf Art. 14 DSGVO führte der VwGH aus, dass die Informationspflicht des Verantwortlichen nach Art. 14 DSGVO unabhängig von einem vorherigen Antrag der betroffenen Person besteht. Demnach gibt es diesbezüglich aber auch kein Leistungsbegehren der betroffenen Person, das zunächst geltend zu machen ist und dem aufgrund dessen zu entsprechen ist. Dem zufolge liegt insoweit aber auch keine in der Nichterfüllung eines solchen Leistungsbegehrens bestehende Rechtsverletzung vor, die (nachträglich) beseitigt werden könnte. Vielmehr liegt die Rechtsverletzung in der Unterlassung der (antragslos zu erfolgenden) Mitteilung, die nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Art. 15 DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann. (vgl. VwGH 06.03.2024, Ro 2021/04/0030, RS 14)
Die Pflicht zur Mitteilung der Informationen ist Voraussetzung dafür, dass die von der Verarbeitung ihrer personenbezogenen Daten betroffene Person ihre Rechte auf Auskunft, Berichtigung oder Löschung (u.ä.) ausüben kann (vgl. die insoweit auf die DSGVO übertragbare Aussage des EuGH in seinem Urteil vom 1.10.2015, C-201/14, [Smaranda Bara ua.]). Um dieser Funktion gerecht zu werden, ist es aber wiederum erforderlich, dass diese Informationen für die betroffene Person leicht zugänglich sind. Dies kann in einem Fall, in dem die personenbezogenen Daten nicht bei der betroffenen Person erhoben worden sind, die betroffene Person auch sonst in keiner Verbindung mit dem Verantwortlichen steht und daher keine Kenntnis von einer Verarbeitung ihrer personenbezogenen Daten durch die Verantwortliche haben muss, durch die bloße Möglichkeit der Abrufbarkeit einer Datenschutzerklärung auf einer Website aber nicht gewährleistet werden. Vor dem Hintergrund der auch vom EuGH zum Ausdruck gebrachten Zielsetzung kann Art. 14 Abs. 1 DSGVO daher nicht dahingehend verstanden werden, dass die Verfügbarkeit der darin genannten Informationen auf einer Website ohne eine aktive, ausdrückliche Verständigung der betroffenen Person von dieser Form der Bereitstellung auch dann ausreichend ist, wenn die betroffene Person auch dem Grunde nach keine Kenntnis vom Umstand einer Datenverarbeitung durch die Verantwortliche hatte. (vgl. VwGH 06.03.2024, Ro 2021/04/0030, RS 19) Dies gilt in weiterer Folge auch für Art. 13 DSGVO.
3.12. Für den gegenständlichen Sachverhalt bedeutet dies:
Wie festgestellt wurde, wurde das verfahrensgegenständliche Zeitschriften-Abo am 30.04.2021 telefonisch abgeschlossen. Der Beschwerdeführerin ist es im Zuge des Verfahrens nicht gelungen gem. Art. 5 Abs. 2 DSGVO nachzuweisen, dass der mitbeteiligten Partei alle relevanten Informationen iSd. Art. 13 DSGVO erteilt wurden. Der erkennende Senat verkennt dabei nicht, dass unmittelbar vor dem verfahrensgegenständlichen Abo ein im Grunde gleiches Abo geendet hat und der mitbeteiligten Partei daher durchaus bestimmte Informationen iSd. Art. 13 DSGVO bekannt gewesen sein müssen. Allerdings darf dabei nicht übersehen werden, dass die Beschwerdeführerin keinerlei Nachweise zum verfahrensgegenständlichen Abo vorlegen konnte und auch unmittelbar nach Abschluss des verfahrensgegenständlichen Abos mit der Beauftragung des verfahrensgegenständlichen Marketing-Software-Dienstleisters wesentliche Änderungen eingetreten sind, über die die mitbeteiligte Partei ebenso wenig informiert wurde.
Zwar verwies die Beschwerdeführerin auf die aktualisierten Datenschutzerklärungen und Allgemeinen Geschäftsbedingungen (AGB), die online abrufbar sind bzw. waren, allerdings konnte sie nicht hinreichend darlegen, dass die mitbeteiligte Partei auf diese hingewiesen wurde bzw. ihr übermittelt wurden und auch nicht, dass die AGB auch tatsächlich Vertragsinhalt wurden. Diesbezüglich ist auf die mündliche Verhandlung vor dem erkennenden Gericht hinzuweisen, in der die Beschwerdeführerin explizit nach entsprechenden Informationen befragt wurde, solche aber nicht vorlegen konnte.
Die Beschwerdeführerin ist damit ihrer Rechenschaftspflicht iSd. Art. 5 Abs. 2 DSGVO nicht nachgekommen.
3.13. Es war daher spruchgemäß zu entscheiden.
Zu B) Unzulässigkeit der Revision:
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Vor dem Hintergrund des verfahrensgegenständlichen Sachverhalts und der damit einhergehenden Rechtsfragen, konnte sich das erkennende Gericht auf umfangreiche höchstgerichtliche Rechtsprechung beziehen. Rechtsfragen, die einer Klärung durch den VwGH bedürfen sind nicht hervorgekommen. Die Revision war daher im Ergebnis nicht zuzulassen.
Rückverweise
Keine Ergebnisse gefunden
RIS