2022-0.616.013 – Datenschutzbehörde Entscheidung

GZ: 2022-0.616.013 vom 1. September 2022 (Verfahrenszahl: DSB-D123.284)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Bernhard A*** (Beschwerdeführer) aus **** K***berg vom 1. August 2018 gegen die N*** (Österreich) GmbH (Beschwerdegegnerin, eingetragen im Firmenbuch zu FN *4*3*8k durch das Handelsgericht Wien) aus **** Wien, vertreten durch Dr. Erich W***, Rechtsanwalt in **** Wien, wegen Verletzung im Auskunftsrecht wie folgt:

- Die Beschwerde wird abgewiesen .

Rechtsgrundlagen : Art. 4 Z 11 und 25, Art. 5 Abs. 1 lit. a und b, Art. 8 Abs. 1 und 3, Art, 15 Abs. 1, Art. 17 Abs. 1 lit. a, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. In seiner vom 1. August 2018 datierenden und am selben Tag per E-Mail bei der Datenschutzbehörde eingelangten Beschwerde hat der Beschwerdeführer vorgebracht, am 1. Juli 2018 einen Antrag auf Auskunft gemäß Art. 15 DSGVO per E-Mail an die Beschwerdegegnerin gerichtet zu haben. Auf diesen habe er jedoch lediglich die Mitteilung erhalten, dass sein Account gelöscht worden sei, weil sich im Laufe des Verarbeitungsprozesses seiner Anfrage herausgestellt habe, dass er noch nicht volljährig sei. Seine Daten seien gelöscht worden, obwohl er lediglich eine Auskunft beantragt habe. Er habe keine falschen Angaben zu seinen Geburtsdaten gemacht. Dass er einen Antrag auf Auskunft gestellt habe, sei gegen ihn verwendet worden, was sicherlich nicht zweckgemäß sei. Der Beschwerdeführer hat beantragt, eine Verletzung seines Auskunftsrechts festzustellen.

2. Die Datenschutzbehörde hat, da die vollständige Antwort der Beschwerdegegnerin der Beschwerde nicht angeschlossen war, einen Mangelbehebungsauftrag erlassen (Verfahrensanordnung vom 13. August 2018, GZ: DSB-D123.284/0001-DSB/2018). Nachdem dieser nicht vollständig erfüllt worden war, ist die Beschwerde zunächst mit Bescheid vom 25. Oktober 2018, GZ: DSB-D123.284/0006-DSB/2018, gemäß § 13 Abs. 3 AVG zurückgewiesen worden.

3. Dieser Bescheid ist mit Erkenntnis des Bundesverwaltungsgerichts vom 24. Mai 2022, GZ: W256 2228170-1/5E, als rechtswidrig aufgehoben worden, da der Mangelbehebungsauftrag nicht zu Handen der gesetzlichen Vertreter (Eltern) des Beschwerdeführers zugestellt worden und daher unwirksam war. Daher ist der Mangelbehebungsauftrag - der Beschwerdeführer ist inzwischen volljährig - wiederholt worden (Verfahrensanordnung vom 3. Juni 2022, GZ: 2022-0.407.513). Mit Schreiben vom 9. Juni 2022 hat der Beschwerdeführer die fehlenden Dokumente vorgelegt.

4. Daraufhin ist das Ermittlungsverfahren eingeleitet worden. Die Beschwerdegegnerin hat, rechtsfreundlich vertreten, nach entsprechender Aufforderung durch die Datenschutzbehörde (Verfahrensanordnung vom 10. Juni 2022, GZ: 2022-0.422.857) in ihrer Stellungnahme vom 4. Juli 2022 Folgendes vorgebracht: Die Beschwerdegegnerin habe den Beschwerdeführer nach Einlangen seines Antrags auf Auskunft zu einem Identitätsnachweis aufgefordert. An 1. August 2018 sei die verlangte datenschutzrechtliche Auskunft dann auch in vollem Umfang erteilt worden. Bei Prüfung des Anbringens sei aber erstmals aufgefallen, dass sich der Beschwerdeführer als Minderjähriger (mit 14 Jahren) für das Kundenbindungsprogramm „N***Card Programm“ registriert habe. Dies sei nach den Geschäftsbedingungen der Beschwerdegegnerin eigentlich nicht zulässig gewesen. Als Konsequenz habe man ihm die Mitgliedschaft aufgekündigt und ihn vom „N***Card Programm“ wieder abgemeldet. Dass dies als Reaktion auf den Antrag auf Auskunft geschehen sei, entspreche nicht den Tatsachen. Weder durch die Beendigung seiner Mitgliedschaft im „N***Card Programm“ , noch durch die erfolgte Auskunftserteilung sei das Auskunftsrecht des Beschwerdeführers gemäß Art. 15 DSGVO verletzt worden.

5. Der Beschwerdeführer , dem zu diesen Ergebnissen des Ermittlungsverfahrens Parteiengehör eingeräumt worden ist (Verfahrensanordnung vom 11. Juli 2022, GZ: 2022-0.485.835), hat keine weitere Stellungnahme abgegeben.

B. Beschwerdegegenstand

6. Aufgrund des Vorbringens der Parteien ergibt sich, dass Verfahrensgegenstand die Frage ist, ob die Beschwerdegegnerin dem Beschwerdeführer auf dessen Antrag vom 1. Juli 2018 hin eine gesetzmäßige datenschutzrechtliche Auskunft erteilt hat, und ob durch eine eventuell erfolgte Löschung seiner Daten im Zusammenhang mit diesem Auskunftsantrag eine Verletzung im Auskunftsrecht eingetreten ist.

C. Sachverhaltsfeststellungen

7. Der Beschwerdeführer ist am 22. März 2003 geboren worden und hat daher am 22. März 2018 sein fünfzehntes Lebensjahr vollendet.

8. Beweiswürdigung : Das Geburtsdatum des Beschwerdeführers ist bei der Datenschutzbehörde aus mehreren von ihm initiierten Beschwerdeverfahren amtsbekannt und aktenkundig.

9. Am 22. Februar 2018 hat sich der Beschwerdeführer für das Kundenbindungsprogramm der Beschwerdegegnerin mit der Bezeichnung „N***Card Programm“ als Mitglied registriert. Die Beschwerdegegnerin begann aus diesem Anlass und mit dem Zweck der Verwaltung seiner Mitgliedschaft mit der Verarbeitung personenbezogener Daten des Beschwerdeführers.

10. Beweiswürdigung : Diese Feststellungen stützen sich auf die glaubwürdigen (und nicht bestrittenen) Angaben der Beschwerdegegnerin (Stellungnahme vom 4. Juli 2022, einliegend als Eingangsstück in GZ: 2022-0.485.835).

11. Am 1. Juli 2018 richtete der Beschwerdeführer per E-Mail ein Schreiben mit folgendem Inhalt an die Beschwerdegegnerin:

„Von: Bernhard A*** bernhard.a***@h***com.at

An: service@n***.at

Cc:

Gesendet: 01.07.18 21:**:**

Betreff: Antrag auf Auskunft gemäß DSGVO

Sehr geehrte Damen und Herren!

Hiermit stelle ich gemäß Art.15 Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, DSGVO) einen Antrag auf Auskunft über meine personenbezogenen Daten. Bitte informieren Sie mich über folgende Punkte:

Art.15 DSGVO Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 DSGVO und —zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 DSGVO im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Ich habe den Antrag elektronisch gestellt und wünsche auf elektronischem Weg zu unterrichtet zu werden.

Sie sind verpflichtet, mich innerhalb eines Monats nach Eingang des Antrags zu informieren, welche Maßnahmen Sie getroffen haben. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Sie haben mich innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung, zu informieren. Wenn Sie der Meinung sind, dass Sie auf den Antrag nicht eingehen müssen, so haben Sie mich spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe dafür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen zu informieren.

Mit freundlichen Grüßen

Bernhard A***“

12. Die Beschwerdegegnerin reagiert darauf am 2. Juli, ebenfalls per E-Mail, mit einem Schreiben mit folgendem Inhalt:

„Von: service@n***.at service@n***.at

Gesendet: Montag, 2. Juli 2018 08:**

An: bernhard.a***@h***com.at

Betreff: Antrag auf Auskunft gemäß DSGVO

Sehr geehrter Herr A***,

vielen Dank für Ihre Mitteilung.

Nach Prüfung Ihrer Daten teile ich Ihnen mit, dass ich Ihnen keinerlei Auskunft geben darf.

Ihr Geburtsdatum besagt, dass Sie noch nicht volljährig sind und somit besteht unsererseits keine Informationspflicht.

Sollten Sie volljährig sein, senden Sie uns bitte eine Kopie von Ihrem Ausweis zur Identifizierung.

Vielen Dank für Ihre Mühe.

Mit freundlichen Grüßen

Franziska B***

N*** Kundenservice“

13. Der Beschwerdeführer antwortete darauf am 2. Juli 2018 per E-Mail wie folgt:

„Von: bernhard.a***@h***com.at

An: service@n***.at

Cc:

Gesendet: 02.07.18 23:**:**

Betreff: AW: Antrag auf Auskunft gemäß DSGVO

Sehr geehrte Damen und Herren!

Ich beziehe mich auf Ihre Nachricht vom 2.Juli 2018.

Das österreichische Datenschutzgesetz (DSG) i.d.F. des Datenschutz-Anpassungsgesetzes 2018 und des Datenschutz-Deregulierungs-Gesetzes 2018 setzt die Altersgrenze für die Rechtmäßigkeit der Einwilligung eines Kindes bei einem Angebot von Diensten einer Informationsgesellschaft mit dem vollendeten 14. Lebensjahr fest.

Ich bin daher der Meinung, dass Sie mir die Auskunft erteilen dürfen und ersuche Sie Ihrer Informationspflicht gemäß § 44 Datenschutzgesetz und Art.15 Datenschutz-Grundverordnung nachzukommen. Dazu sende ich Ihnen im Anhang eine Kopie meines Reisepasses, um meine Identität nachzuweisen. Andersfalls sehe ich mich gezwungen Beschwerde gemäß Art. 77 Datenschutz-Grundverordnung bei der zuständigen Behörde zu erheben.

Mit freundlichen Grüßen

Bernhard A***“

14. Die Beschwerdegegnerin antwortete darauf am 3. Juli 2018 per E-Mail wie folgt:

„Von: SERVICE@N***.AT SERVICE@N***.AT

Gesendet: Dienstag, 3. Juli 2018 08:**

An: bernhard.a***@h***com.at

Betreff: [Ticket# *6*4*23**1] AW: Antrag auf Auskunft gemäß DSGVO

Sehr geehrter Herr A***,

bitte entschuldigen Sie, dass Ihre erste Anfrage nicht mit der notwendigen Aufmerksamkeit bearbeitet wurde.

Damit ich Ihre Anfrage bearbeiten kann, senden Sie mir das angehängte Formular ausgefüllt und unterschrieben an die darauf angegebene Adresse zurück.

Nachdem das ausgefüllte Schreiben eingegangen ist, werde ich die weitere Bearbeitung vornehmen.

Ich bedanke mich für Ihre Unterstützung und bin bei weiteren Fragen gerne für Sie da.

Mit freundlichen Grüßen

Robert C***

N*** Kundenservice“

15. Nach Übermittlung der von der Beschwerdegegnerin verlangten Unterlagen erhielt der Beschwerdeführer am 1. August 2018 von der Beschwerdegegnerin per E-Mail ein Schreiben mit folgendem Inhalt (E-Mail-Text und Anhänge):

„Von: SERVICE@N***.AT

Gesendet: Mittwoch, 1. August 2018 10:**

An: bernhard.a***@h***com.at

Betreff: [Ticket# *6*4*23**1] AW: Antrag auf Auskunft gemäß DSGVO

Anlagen: Auskunft gemäß EU DSGVO - Bernhard A***.pdf;

Datenschutzabfrage_Daten_Bernhard A***.pdf; Retail

Kundenstammdaten.pdf

Hallo Herr A***,

meine Kollegen und ich haben die Daten gesammelt und ich habe die Auskunft erstellt.

Die Auskunft und die dazugehörigen Unterlagen befinden sich als PDF Dateien im Anhang.

Da wir nun wissen, dass Sie noch keine 18 Jahre alt sind, habe ich Sie vom N***Card Programm abgemeldet und die Mitgliedschaft gekündigt.

Gemäß unserer Teilnahmebedingungen wird die Volljährigkeit vorausgesetzt.

Bitte haben Sie Verständnis dafür, dass Sie produktionsbedingt in den kommenden 6 Wochen noch Kataloge erhalten können.

Bei weiteren Fragen bin ich gerne für Sie da.

Mit freundlichen Grüßen

Robert C***

N*** Kundenservice“

[Anmerkung Bearbeiter/in: Das an dieser Stelle als Faksimile (in Form mehrerer PDF-Dateien) wiedergegebene umfassende Auskunftsschreiben der Beschwerdegegnerin wäre nur mit großem Aufwand zu pseudonymisieren gewesen. Da es überdies inhaltlich vom Beschwerdeführer nicht beanstandet wurde, wurde es entfernt.]

16. Beweiswürdigung : Diese Feststellungen stützen sich auf die vom Beschwerdeführer vorgelegten Dokumente (Beilagen zur Beschwerde vom 1. August 2018, Eingangsstück in GZ: DSB-D123.284/0001-DSB/2018, und Beilagen zur Beschwerdeergänzung vom 9. Juni 2022, Eingangsstück in GZ: 2022-0.422.857).

17. Nach der erfolgten Auskunftsverteilung sind die für Zwecke des Kundenbindungsprogramms „N***Card Programm“ verarbeiteten Daten des Beschwerdeführers gelöscht worden.

18. Beweiswürdigung : wie oben, Rz 10. Dass eine Löschung erfolgt ist, entspricht dem Beschwerdevorbringen (siehe oben Rz 1).

D. In rechtlicher Hinsicht folgt daraus:

D.1. Summe :

19. Die Beschwerde hat sich als nicht berechtigt erwiesen, da weder aus Art. 15 (Auskunftsrecht), noch aus Art. 17 (Recht auf Löschung) ein Recht auf Nicht-Löschung von Daten bzw. Speicherung von Daten abgeleitet werden kann, und der Verarbeitungszweck durch die Beendigung der Mitgliedschaft des Beschwerdeführers im Kundenbindungsprogramm „N***Card Programm“ weggefallen ist. Inhalt und Umfang der erteilten Auskunft entsprechen dem Gesetz und sind auch inhaltlich nicht beanstandet worden. Insofern unterscheidet sich der vorliegende Fall von jenem, der dem Bescheid vom 30. September 2021, GZ: 2021-0.664.183, zugrunde lag.

D.2. anzuwendende Rechtsvorschriften - Auskunftsrecht :

20. Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

21. Das Recht auf Auskunft ist schon nach dem Wortlaut von Art. 15 Abs. 1 ( „Auskunft über diese“ – d.h. die vom Verantwortlichen verarbeiteten – „personenbezogenen Daten“ ) im Kern auf jene Daten beschränkt, die im Zeitpunkt des Einlangens des Antrags auf Auskunft tatsächlich verarbeitet werden. Aus Art. 15 DSGVO oder anderen Bestimmungen der DSGVO kann kein Recht auf Verarbeitung personenbezogener Daten abgeleitet werden.

22. Die Datenschutzbehörde hat dazu zur früheren Rechtslage (§ 26 DSG 2000) festgehalten (Unterstreichung nicht im Original):

23. In Verbindung mit dem Recht auf Erhalt einer Auskunft über eigene Daten besteht kein Recht, durch eine solche Auskunft Informationen zu oder Beweismittel für bestimmte Tatsachen zu erhalten oder einen Auftraggeber zum Eingestehen solcher Tatsachen zu zwingen. Die Grundlage jeder datenschutzrechtlichen Auskunftserteilung ist der Istzustand an gespeicherten Personendaten und verfügbaren Informationen über deren Verwendung , nicht ein wie immer gearteter Sollzustand. Selbst wenn in einem hypothetischen Fall Daten etwa nachweislich entgegen § 26 Abs. 7 DSG 2000 gelöscht worden sein sollten, besteht dennoch im Beschwerdeverfahren wegen Verletzung des Auskunftsrechts kein Recht auf technische Rekonstruktion dieser Daten oder auf eine sonstige Beweisaufnahme zur nachträglichen Feststellung ihres Inhalts (DSB, Bescheid vom 17.12.2015, GZ: DSB-D122.259/0008-DSB/2015, RIS, RS 2).

24. Diese Auslegung kann auf die geltende Rechtslage übertragen werden.

25. Anders als der frühere § 26 Abs. 7 DSG 2000 kennt die DSGVO auch keine ausdrücklich angeordnete oder gar strafbewehrte „Löschungssperre“ während eines laufenden auskunftsrechtlichen Verfahrens. Eine Löschung von Daten nach Eingang eines Auskunftsantrags aber vor der Antwort auf den Auskunftsantrag entspricht jedoch nicht dem Grundsatz der Verarbeitung nach Treu und Glauben und stellt damit verbunden eine Verletzung des Rechts auf Auskunft der betroffenen Person dar (Art 15 iVm Art 5 Abs. 1 lit. a DSGVO) (DSB, Bescheid vom 27.6.2019, GZ: DSB-D124.071/0005-DSB/2019, RIS).

D.3. Wegfall der Rechtsgrundlage der Verarbeitung

26. Im Beschwerdeverfahren ist festgestellt worden, dass die Beschwerdegegnerin die Daten des Beschwerdeführers nach Auskunftserteilung – also nicht entgegen Treu und Glauben – gelöscht hat, weil sie der Ansicht war, dass die Registrierung des Beschwerdeführers für ein Kundenbindungsprogramm wegen der Minderjährigkeit des Beschwerdeführers nicht wirksam erfolgt war, und damit ein rechtmäßiger Zweck der Datenverarbeitung nicht gegeben war. Dieser Ansicht kann angesichts von Art. 5 Abs. 1 lit. a und b und der in Erwägungsgrund 38 zum Ausdruck gebrachten Pflicht des Verantwortlichen zur besonderen Vorsicht und Zurückhaltung bei der Verarbeitung der Daten Minderjähriger nicht entgegengetreten werden.

27. Wenn der Beschwerdeführer dagegen vorbringt, gemäß Art. 8 Abs. 1 DSGVO iVm § 4 Abs. 4 DSG sei ihm mit Vollendung seines vierzehnten Lebensjahrs das Recht eingeräumt gewesen, in die Verarbeitung seiner Daten wirksam einzuwilligen, so ist ihm zu erwidern, dass dies nur für den Rechtsakt der Einwilligung in eine Datenverarbeitung gemäß Art. 4 Z 11 und Art. 7 DSGVO gilt, und diese Wirksamkeit überdies auf die Nutzung von „Diensten der Informationsgesellschaft“ beschränkt ist. Gemäß Art. 1 Abs. 1 lit. b Richtlinie (EU) 2015/1535, auf den Art. 4 Z 25 DSGVO verweist, ist dies „jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“ .

28. Art. 8 Abs. 3 DSGVO stellt überdies klar, dass die Frage der Gültigkeit der Einwilligung eines Minderjährigen keinen Einfluss auf die Frage der Gültigkeit eines vom Beschwerdeführer als Minderjähriger geschlossenen Vertrags hat.

29. Die Beschwerdegegnerin hat weiters vorgebracht, dass sie in ihren Geschäftsbedingungen das Rechtsgeschäfts eines Beitritts zum Kundenbindungsprogramm „N***Card Programm“ volljährigen Personen vorbehält, und sie daher das entsprechende Vertragsverhältnis beendet habe (siehe oben Rz 15). Damit ist, unabhängig von der Frage, ob es sich bei dem Kundenbindungsprogramm „N***Card Programm“ um einen Dienst der Informationsgesellschaft handelt, jedenfalls die Grundlage der Datenverarbeitung im Sinne des rechtmäßigen Zwecks (Art. 5 Abs. 1 lit. a und b DSGVO) weggefallen , und die Beschwerdegegnerin war gemäß Art. 17 Abs. 1 lit. a DSGVO auch ohne ein entsprechendes Verlangen verpflichtet, die Daten des Beschwerdeführers zu löschen. Ein rechtmäßiger Zweck für die Verarbeitung muss stets gegeben sein, selbst wenn die Einwilligung, isoliert und losgelöst von ihrem Kontext betrachtet, wirksam sein sollte.

30. Die Prüfung der Frage, ob die Beschwerdegegnerin berechtigt war, dieses Vertragsverhältnis zu beenden (und dem Beschwerdeführer eventuell auch damit verbundene materielle Vorteile wie besondere Kundenrabatte oder gesammelte Bonuspunkte zu entziehen), fällt nicht in die Zuständigkeit der Datenschutzbehörde.

D.4. Schlussfolgerungen :

31. Die Beschwerdegegnerin hat dem Beschwerdeführer gesetzmäßig über die zu seiner Person verarbeiteten Daten Auskunft erteilt. Die gleichzeitig erteilte Information, dass nun eine Löschung dieser Daten erfolgen werde, stellt keine Verletzung des Auskunftsrechts des Beschwerdeführers gemäß Art. 15 DSGVO dar.

32. Die Beschwerde war daher gemäß § 24 Abs. 5 dritter Satz DSG als nicht berechtigt abzuweisen.