GZ: 2025-0.757.551 vom 30. September 2025 (Verfahrenszahl: DSB-D124.0496/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Stephan A*** (Beschwerdeführer) vom 25. Februar 2025 gegen die R***therme N*** Kurzentrum Bad N*** Ges.m.b.H. Co. KG (Erstbeschwerdegegnerin), vertreten durch Rechtsanwalt Dr. Bernhard J*** und T***soft GmbH (Zweitbeschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wie folgt:
1. Die Beschwerde gegen die Erstbeschwerdegegnerin wird als unbegründet abgewiesen .
2. Der Beschwerde gegen die Zweitbeschwerdegegnerin wird stattgegeben und es wird festgestellt , dass die Zweitbeschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, indem sie seinen Auskunftsbegehren vom 6. Februar 2025 nicht entsprochen hat.
3. Der Zweitbeschwerdegegnerin wird aufgetragen , innerhalb einer Frist von zwei Wochen dem Antrag auf Auskunft vom 6. Februar 2025 zu entsprechen.
Rechtsgrundlagen: Art. 4 Z 7, Art. 15, Art. 28, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Sachverhaltsfeststellungen
Aufgrund des durchgeführten Ermittlungsverfahrens, in dem den Verfahrensparteien die Möglichkeit zur Stellungnahme gewährt wurde, wird der nachfolgende Sachverhalt festgestellt.
1. Der Beschwerdeführer erhält von der Erstbeschwerdegegnerin regelmäßig Trainingspläne. Dafür liegt eine Einverständniserklärung des Beschwerdeführers vor. Die Erstbeschwerdegegnerin hat die Zweitbeschwerdegegnerin beauftragt, die von ihr erhobenen E-Mail-Adressen zur Versendung der automatisierten Trainingspläne zu verwenden. Der Einsatz von „Tracking-Pixeln” beim E-Mail-Versand ist nicht Gegenstand der Beauftragung.
Mit Schreiben vom 14. Februar 2025 wurde die Zweitbeschwerdegegnerin als Auftragsverarbeiterin der Erstbeschwerdegegnerin zudem schriftlich Weisung erteilt, die überlassenen E-Mail-Adressen ausschließlich zur automatisierten Zusendung des Trainingsplans zu verwenden. Von der beauftragten Datenverarbeitung ausgenommen ist insbesondere die Datenverarbeitungstätigkeit „Tracking-Pixel“.
Beweiswürdigung : Die getroffenen Feststellungen ergeben sich aus der Stellungnahme der Erstbeschwerdegegnerin vom 18. März 2025, ihrer Stellungnahme vom 22. September 2025 sowie dem darin enthaltenen Angebot der Zweitbeschwerdegegnerin über deren Leistungen an die Erstbeschwerdegegnerin, das in Kopie beigefügt ist. Ebenfalls beigefügt wurde eine Kopie des Vertrags über eine Auftragsdatenverarbeitung gemäß Artikel 28 DSGVO zwischen der Zweitbeschwerdegegnerin und der Erstbeschwerdegegnerin.
2. Die Zweitbeschwerdegegnerin nutzt für ihr System „T***soft“ die Software „L***kat“. Über L***kat erfolgt ein Tracking der versendeten E-Mails durch die Zweitbeschwerdegegnerin.
Beweiswürdigung : Die getroffenen Feststellungen beruhen auf der Stellungnahme der Zweitbeschwerdegegnerin vom 11. März 2025 sowie auf der in Kopie beigelegten E-Mail der Zweitbeschwerdegegnerin an die Erstbeschwerdegegnerin vom 20. Januar 2025.
3. Am 16. Jänner 2025 stellte der Beschwerdeführer ein Auskunftsersuchen an die Erstbeschwerdegegnerin (Formatierung nicht 1:1 wiedergeben):
[Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Faksimile im grafischen Format PNG dargestellte E-Mail wurde in ein Textdokument umgewandelt und wird hier pseudonymisiert und leicht gekürzt wiedergegeben.]
„[Kopfdaten entfernt]
Sehr geehrte Damen und Herren,
Ich habe untenstehende Mail zugesendet bekommen.
Ich muss allerdings feststellen, dass Ihre Mail ein sogenanntes Tracking Pixel enthält: img src="https://l***katapp.com/track/open.php?u=9**5*3*1t*b001*“height=“1“ width=“1“ alt="“.
Damit kann festgestellt werden, wann und insbesondere wo diese Mail gelesen wurde, ohne dass es einer Interaktion mit der Mail (z.B. Klicken auf einen Link} bedarf.
Damit sammeln Sie, verbunden über meine E-Mail personenbezogene Daten über mich, obwohl ich nie in diese Verwendung eingestimmt habe.
Ich bitte Sie um Auskunft auf welcher Rechtsgrundlage dieses Tracking erfolgt.
Zum Schutz meiner Privatsphäre fordere ich Sie auf, dies in jeder Korrespondenz mit mir zukünftig zu unterlassen.
Ich bitte Sie, mir nach Art. 15 DSGVO die dazu angefallenen personenbezogen Daten, insbesondere auch bei Ihren Auftragsverarbeiter T***soft bzw. L***katlApp, in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 (1) DSGVO) zukommen zu lassen. Zudem bitte ich um sofortige Maßnahmen nach Art. 18 DSGVO zur Einschränkung der Verarbeitung, bis die Rechtmäßigkeit der Datenerfassung geklärt ist.
Insbesondere erwarte ich. dass die Daten nicht gelöscht werden, bevor die Auskunft nach Art. 15 DSGVO erteilt wurde.
Ich bitte um Auskunft bis spätestens zum 15. Februar 2025
Vielen Dank
Stephan A***“
4. Der Beschwerdeführer erhielt am 4. Februar 2025 eine Auskunftsbeantwortung von der Erstbeschwerdegegnerin (Formatierung nicht 1:1 wiedergegeben):
[Anmerkung Bearbeiter/in: Das im Original an dieser Stelle als Faksimile im grafischen Format PNG wiedergegebene Schreiben wurde in ein Textdokument umgewandelt und wird hier (unter Weglassung unwesentlicher Elemente wie Grafiken, Unternehmenslogos etc.) pseudonymisiert und leicht gekürzt wiedergegeben.]
„ Auskunftsbeantwortung iSv Art 15 DSGVO
Dr. Stephan A***
Z***straße *5
**** W***stadt
E-Mail: stephan.a***@r*** at
Bad N***, am 03. Februar 2025
Auskunftsbeantwortung gemäß Art 15 DSGVO
Sehr geehrter Herr Dr. A***,
gemäß Ihrem per E-Mail gestellten Auskunftsbegehren vom 16. Jänner 2025 erteilen wir Ihnen innerhalb der gesetzlichen Frist die in Art 15 DSGVO geforderten gesetzlichen Informationen über die Sie betreffenden, bei uns verarbeiteten Personenbezogenen Daten:
[Anmerkung Bearbeiter/in: Wiedergabe des Auskunftsantrags des Beschwerdeführers gekürzt]
An Ihrer Identität bestehen zum Zeitpunkt der Auskunftserteilung keine berechtigten Zweifel, sodass derzeit kein gesonderter Identitätsnachweis Ihrerseits erforderlich ist.
A. Zum Umfang der Auskunftsbeantwortung
Ihr Verlangen vom 16.01.2025 enthalt die klare Aufforderung, ausschließlich über die Datenverarbeitung zur Nachverfolgung der elektronischen Nachricht Auskunft zu erteilen, nämlich dass die elektronische Post an Ihre Adresse stephan.a***@r***.at mit dem Betreff „New training plan 2025-01-16 / Neuer Trainingsplan 2025-01-16" ein sogenanntes Tracking Pixel enthält: img src="https://l***katapp.com/track/open.php?u=9**5*3*1t*b001*“height=“1“ width=“1“ alt="“. womit festgestellt werden kann, wann und insbesondere wo diese Mail gelesen wurde, ohne dass es einer Interaktion mit der Mail (z.B. Klicken auf einen Link) bedarf.
Demzufolge beschränkt sich Ihr Auskunftsersuchen nach Zweck und Hintergrund ausgehend von einem objektiven Maßstab allein auf das Setzen und Auswerten des Tracking-Pixels.
B. Stammdatenauskunft
In Beantwortung Ihres Ersuchens wird Ihnen die Auskunft erteilt, dass die im Folgenden aufgelisteten. Sie persönlich betreffenden personenbezogenen (Stamm-) Daten bei der Kurzentrum Bad N*** GmbH Co. KG (nachfolgend: R***therme N***), O***straße *4/2*, **** Bad N***, verarbeitet werden, sofern für den beanstandeten Verarbeitungsvorgang „Tracking-Pixel" relevant:
Nachname: A***
Vorname; Stephan
E-Mail-Adresse: stephan.a***@r***.at
Dieser Datensatz dient der Erfüllung von gesetzlichen Verpflichtungen der R***therme N*** als Krankenanstalt (Heil- und Pflegeanstalt) gemäß Art 6 Abs 1 lit c, Art 9 Abs 2 lit h DSGVO, § 10 Bundesgesetz über Krankenanstalten und Kuranstalten (KAKuG), BGBl Nr. 1/1957 idgF, § 34a Salzburger Krankenanstaltengesetz 2000 (SKAG), LGBI Nr 24/2000 idgF, sowie zur Erfüllung von vertraglichen Pflichten und resultiert aus Ihrem Patientenverhältnis sowie Ihrer Anfrage, die im Beschwerdemanagement (siehe unten) bearbeitet wird. Schließlich beruht die Stammdatenverarbeitung auf der von Ihnen erteilten Einverständniserklärung zur therapeutischen Nachbetreuung.
C. Auskunft über die Verarbeitungstätigkeit „Tracking-Pixel"
Vorauszuschicken ist. dass die R***therme N*** nicht Verantwortlicher iSv Art 4 Z 7 DSGVO für diese besondere Verarbeitungstätigkeit ist. Denn sie entscheidet weder über Zweck noch Mittel des Tracking-Pixels. Sie hat diesen auch technisch nicht implementiert.
Wie Sie der Absenderadresse der elektronischen Post vom 16.01.2025 entnehmen können, liegt diese nicht in der Domäne der R***therme N***.
Der von Ihnen beanstandete Tracking-Pixel ist herkunftsmäßig klar gekennzeichnet ( this is a notfication sent by T***soft ) und weist das Unternehmen T***soft GmbH, V***platz *7/*2/17, **** M***berg. Austria (kurz: T***soft), als Urheberin gemäß der 2-Click-Regel (https://www.t***soft.at/) aus.
T***soft hat ihre eigene Absender-Adresse und eine weitere Empfänger-Adresse eingegeben, sodass vom CMS der T***soft an die von der R***therme N*** benannte E-Mail-Adresse eine automatisch generierte E-Mail versandt wird, die auf den Internetauftritt der T***soft und ihre Tätigkeit hinweist. Bei dem Empfänger der E-Mail geht der Hinweis auf die Internetseite der T***soft als von dieser versandt ein. Als einzigen Inhalt hat die Planungs-E-Mail den neuen individuellen Trainingsplan des Empfängers. Die Rechtsprechung hat bereits festgehalten, dass für diese Art dar Informationsübermittlung ein berechtigtes Interesse an der Überlassung der Empfänger-Adresse besteht, jedoch ausschließlich der Domain-Inhaber der Absender-Adresse für die Gestaltung, technische Umsetzung und allfällige Datenerhebungen und über den bloßen Versand hinausgehende Datenverarbeitungen allein verantwortlich zeichnet. Dies entspricht auch der gesetzlichen Regelung von § 174 TKG 2021, BGBL I 190/2021.
Zusammengefasst haben wir daher mitzuteilen, dass die Firma
T***soft GmbH,
V***platz *7/*2/17, **** M***berg, Austria,
office@t***soft.at
https://www.t***soft.at/
für das von Ihnen beanstandete Tracking-Pixel allein verantwortlich iSv Art 4 Z 7 DSGVO ist und daher ein weiteres Auskunftsersuchen an dieses Unternehmen zu richten ist.
D. Auskunft zum Beschwerdemanagement
Anlässlich Ihres gestellten Auskunftsbegehrens, welches wir mit der Bekanntgabe des Allein-Verantwortlichen erfüllt haben, verarbeiten wir Ihre oben genannten personenbezogenen Daten zum Zweck der Abwicklung und Erfüllung Ihres Anbringens. Eine Speicherung ist bis zur Abwicklung Ihres Anlassfalles, darüber hinaus bis zur Beendigung von allfälligen Rechtsstreitigkeiten zulässig. Eine Weitergabe oder Offenlegung Ihrer personenbezogenen Daten erfolgt nicht. Sofern für den Zweck allerdings erforderlich, kann eine Datenweitergabe an Rechtsvertreter, zuständige Behörden oder Gerichte erfolgen. Darüber hinaus geben wir gemäß Art 15 Abs 1 lit c DSGVO bekannt zum Zweck des Beschwerdemanagements Ihre in diesem Schreiben angeführten personenbezogenen Daten an I***law® J***, Rechtsanwalt, P***-Gasse *2, **** M***berg, offengelegt zu haben. Eine Übermittlung in ein Drittland oder eine internationale Organisation findet nicht statt.
Es werden, bis auf die in diesem Schreiben angeführten Daten zu Ihrer Person, keine weiteren personenbezogenen Daten im Zusammenhang mit den von Ihnen angefragten Datenverarbeitungen (Siehe Punkt A: Zum Umfang der Auskunftsbeantwortung) verarbeitet, welche sich im Rahmen Ihres Auskunftsverlangens, der damit zusammenhängenden Korrespondenz und der entsprechenden internen Dokumentation halten.
Zur Wahrung Ihrer datenschutzrechtlichen Betroffenenrechte verweisen wir Im Übrigen auf die unter https://www.r***therme.com/de/***/datenschutzinfo abrufbar Datenschutzinformation auf der Homepage.
[Anmerkung Bearbeiter/in: Fertigung nicht wiedergegeben]“
Beweiswürdigung : Die getroffenen Feststellungen beruhen auf der beigefügten Korrespondenz zur verfahrenseinleitenden Eingabe des Beschwerdeführers vom 25. Februar 2025 und wurden von der Erstbeschwerdegegnerin nicht bestritten.
5. Am 6. Februar übermittelte der Beschwerdeführer ein Auskunftsbegehren an die Zweitbeschwerdegegnerin (Formatierung nicht 1:1 wiedergegeben):
[Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Faksimile im grafischen Format PNG dargestellte E-Mail wurde in ein Textdokument umgewandelt und wird hier pseudonymisiert und leicht gekürzt wiedergegeben.]
„ Betreff : WG; TrackingPixel was: New training plan 2025-01-16 / Neuer Trainingsplan 2025-01-16
Sehr geehrter Herr Mayer,
Ich darf Ihnen folgendes Schreiben der R***therme Bad N*** zukommen lassen,
Ich bitte um Aufklärung, ob T***soft als Auftragsverarbeiter i.S. Art. 28 DSGVO für die R***therme Bad N*** tätig ist und wer nun tatsächlich der Ansprechpartner für Anfragen nach Art. 15 DSGVO ist.
Sollte T***soft, wie von der R***therme behauptet, nicht als Auftragsverarbeiter tätig sein, so bitte ich um Auskunft, wann ich über die Speicherung meiner Daten und insbesondere die Nutzung von Trackingpixel informiert wurde. Insbesondere bitte ich auch um Auskunft, warum T***soft sowohl im Absender als auch im Text als R***therme auftritt.
Zudem bitte ich in diesem Fall vorsorglich um die Beauskunftung meiner Daten nach Art. 15 DSGVO (zusammen mit sämtlichen Daten im Rahmen des Mailverkehrs).
Ich bitte um Beantwortung meiner Anfrage bis spätestens 6. März 2025.
Mit freundlichen Grüßen
Stephan A***“
Die Zweitbeschwerdegegnerin antwortete darauf am 24. Februar 2025 wie folgt (Formatierung nicht 1:1 wiedergegeben):
[Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Faksimile im grafischen Format PNG dargestellte E-Mail wurde in ein Textdokument umgewandelt und wird hier pseudonymisiert und leicht gekürzt wiedergegeben.]
„[Anmerkung Bearbeiter/in: Kopfzeilen nicht wiedergegeben]
Sehr geehrter Herr A***,
herzlichen Dank für ihre E-Mail vom 06.02.2025 mit lhre Anfrage betreffend des mitgeschickten Schreibens der R***therme und Ihr Auskunftsbegehren vom 12.02.2025.
Die R***therme {Kurzentrum Bad N***) ist unser Kunde und nutzt unsere Software Applikation. Die R***therme hat die Möglichkeit, Personen mit Namen und E-Mail Adresse in dieser Applikation anzulegen und ihre Kunden dann über die Applikation mit Übungsprogrammen zu versorgen.
Wir sind in diesem Zusammenhang Auftragsverarbeiter für unsere Kunden und haben keinen Einfluss darauf, wie diese die Software Applikation nutzen (welche Personen mit welchen Daten eingepflegt werden, ob bzw. auch wann und wie oft Übungsprogramme gesendet werden, etc.).
Als Auftragsverarbeiter dürfen wir Ihnen formalrechtlich leider keine Auskunft erteilen. Wir bitten dafür um Ihr Verständnis.
Allerdings haben wir bereits bei der Geschäftsführung der R***therme angefragt, damit diese uns die entsprechende Erlaubnis erteilt und wir Ihnen Auskunft geben dürfen.
Sobald wir diese Erlaubnis haben, werden wir Sie umgehend und umfassend informieren, sollte diese Erlaubnis wider Erwarten nicht erteilt werden, würden wir Ihnen das auch ohne Verzögerung mitteilen.
Es tut uns sehr leid, dass wir nur Ihre Rückfrage zu unserem Status als Auftragsverarbeiter beantworten können. Ihnen aber keine Auskunft zu den angefragten Informationen geben dürfen.
Mit freundlichen Grüßen,
Heinrich K. G***
Prokurist“
Beweiswürdigung : Die getroffenen Feststellungen beruhen auf der beigefügten Korrespondenz zur verfahrenseinleitenden Eingabe des Beschwerdeführers vom 25. Februar 2025 und wurden von der Zweitbeschwerdegegnerin nicht bestritten.
B. Beschwerdegegenstand
Beschwerdegegenstand ist einerseits die Frage, ob die Erstbeschwerdegegnerin den Beschwerdeführer in seinem Recht auf Auskunft gemäß Artikel 15 DSGVO verletzt hat, indem sie ihm keine ausreichende Auskunft über seine personenbezogenen Daten im Zusammenhang mit der Verarbeitung von "Tracking-Pixeln" erteilt hat, und andererseits, ob die Zweitbeschwerdegegnerin den Beschwerdeführer in seinem Recht auf Auskunft gemäß Artikel 15 DSGVO verletzt hat, indem sie ihm keine Auskunft gemäß Artikel 15 DSGVO erteilt hat, insbesondere über seine personenbezogenen Daten im Zusammenhang mit der Verarbeitung von "Tracking-Pixeln".
C. In rechtlicher Hinsicht folgt daraus:
C.1. Zum Verantwortlichen gemäß Art. 4 Z 7 DSGVO
Die Festlegung der Rollenverteilung ist für das Beschwerdeverfahren nach § 24 DSG bzw. Art. 77 Abs. 1 DSGVO von entscheidender Bedeutung, da bestimmt wird, wer für die Einhaltung der jeweiligen Datenschutzbestimmungen verantwortlich ist.
Verantwortliche:r i. S. d. Art. 4 Z 7 DSGVO ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Wesentliches Kriterium ist folglich die Entscheidungskomponente . Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Der „Zweck“ beschreibt dabei ein erwartetes Ergebnis, während die „Mittel“ die Art und Weise festlegen, wie das erwartete Ergebnis erreicht werden soll (vgl. die Leitlinien 07/2020 des Europäischen Datenschutzausschusses zum Konzept des Verantwortlichen und Auftragsverarbeiters, Version 2.0, Rz. 15 ff).
Vom Verantwortlichen ist der Auftragsverarbeiter zu unterscheiden: Ein Auftragsverarbeiter ist gemäß Art. 4 Z 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Gemäß Art. 28 Abs. 3 DSGVO hat die Verarbeitung durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zu erfolgen, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Art. 28 Abs. 3 und 4 DSGVO legen den näheren Inhalt des Vertrags bzw. Rechtsinstruments fest.
Ob jemand „Auftragsverarbeiter“ ist, hängt aber nicht von der Erfüllung des Art. 28 DSGVO und somit vom Abschluss eines Auftragsverarbeitervertrages, sondern allein von der Erfüllung der Begriffsdefinition des Auftragsverarbeiters in Art. 4 Z 8 DSGVO ab (vgl. in diesem Sinn auch Martini in Paal/Pauly (Hrsg.), Datenschutz-Grundverordnung, Art. 28 Rz 2). Wenngleich der bloße Abschluss eines Auftragsverarbeitervertrages also nicht festlegt, wer „Auftragsverarbeiter“ ist, kann der Vertrag dennoch eine bestimmte datenschutzrechtliche Rollenverteilung indizieren. Letzten Endes kommt es nur darauf an, ob eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Die Datenschutzbehörde verkennt nicht, dass die ausdrückliche Weisung, beim Versand der von der Erstbeschwerdegegnerin überlassenen E-Mails keine Tracking-Pixel zu verwenden, erst am 14. Februar 2025 erteilt wurde. Aus der Erteilung einer ausdrücklichen Weisung nach Annahme des Leistungsangebots und Abschlusses der Vereinbarung über eine Auftragsdatenverarbeitung gemäß Artikel 28 DSGVO kann jedoch nicht abgeleitet werden, dass das Einsetzen sogenannter „Tracking-Pixel” bei den von der Erstbeschwerdegegnerin erhobenen E-Mail-Adressen zuvor erlaubt war.
In einem Zwischenschritt ist daher festzuhalten, dass die Erstbeschwerdegegnerin im vorliegenden Fall nicht als Verantwortliche für die Datenverarbeitung mittels Tracking-Pixel anzusehen ist. Dies ergibt sich aus dem nachvollziehbaren Vorbringen der Erstbeschwerdegegnerin, dem von ihr vorgelegten Angebot der Zweitbeschwerdegegnerin mit definierten Leistungen sowie der Vereinbarung über eine Auftragsverarbeitung nach Art. 28 DSGVO. Hinzu kommt die ausdrückliche Weisung, keine Tracking-Pixel einzusetzen.
C.2. Zum Spruchpunkt 1
Gemäß Art. 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in lit. a bis lit. h leg. cit. genannten Informationen.
Aus Art. 12 Abs. 3 iVm Art. 15 Abs. 1 DSGVO ergibt sich, dass es sich beim Recht auf Auskunft um ein antragsbedürftiges Recht handelt, womit der Antrag als (einziger) maßgeblicher Ausgangspunkt sowohl für die Reaktionsverpflichtung gem. Art. 12 Abs. 3 und Abs. 4 leg. cit. an sich, als auch in weiterer Folge für den Umfang der konkret zu erteilenden Information nach Art. 15 Abs. 1 leg. cit. dienen muss.
Bei der inhaltlichen Auslegung von Begehren nach der DSGVO - dabei insbesondere von solchen nach Art. 12 Abs. 3 leg. cit. - ist jener Maßstab anzulegen, der auch für einseitige privatrechtliche Willenserklärungen gilt. Demnach sind der Wortlaut und das Verständnis der Erklärung aus objektiver Sicht, nämlich so wie sie der Empfänger nach ihrem Wortlaut und ihrem Zweck bei objektiver Betrachtung verstehen konnte (sog. „ objektiver Erklärungswert“), zu betrachten (vgl. Erkenntnis des BVwG vom 3. Mai 2018, W256 2190554-1, zum Auskunftsbegehren nach § 26 DSG 2000 und betreffend die Auslegung unter Verweis auf die Rechtsprechung des OGH, etwa OGH 15.9.1999, 9 ObA 148/99a).
Eingangs kann festgehalten werden, dass es sich beim unter Punkt A.3. genannten Schreiben zweifellos um einen Antrag auf Auskunft iSv Art. 15 Abs. 1 iVm Art. 12 Abs. 3 DSGVO handelt, welcher unbestrittenermaßen in den Machtbereich der Erstbeschwerdegegnerin gelangt ist.
Hinsichtlich des Umfangs des Begehrens ist jedoch hervorzuheben, dass dem Schreiben ein ausdrücklicher Hinweis auf die Tatsache, dass die erhaltene E-Mail der Erstbeschwerdegegnerin ein Tracking-Pixel enthält, zu entnehmen ist. Zudem wird darin ausdrücklich Auskunft darüber verlangt, auf welcher Rechtsgrundlage dieses Tracking erfolgt (vgl. Punkt A.3.).
Aus Sicht eines objektiven Erklärungsempfängers war es daher evident, dass der Beschwerdeführer (und Antragsteller) keine "pauschale" (vollumfängliche) Auskunft, sondern lediglich Informationen über jene ihn betreffenden personenbezogenen Daten begehrte, welche im Rahmen des Tracking Tools verarbeitet werden.
Im (Zwischen-)Ergebnis war daher von einem auf bestimmte Verarbeitungstätigkeit (konkret: Tracking-Pixel) eingeschränkten Auskunftsbegehren auszugehen.
Wie bereits festgestellt, ist die Erstbeschwerdegegnerin allerdings nicht als Verantwortliche gemäß Artikel 4 Z 7 DSGVO für die Verarbeitung im Zusammenhang mit den eingesetzten Tracking-Pixeln des Tools „L***kat” zu qualifizieren. Sie war daher diesbezüglich auch nicht auskunftspflichtig gegenüber dem Beschwerdeführer.
Die Beschwerde gegen die Erstbeschwerdegegnerin bezüglich der Verletzung im Recht auf Auskunft gemäß Artikel 15 DSGVO war daher im Ergebnis abzuweisen .
C.3. Zum Spruchpunkt 2 und 3
Die Zweitbeschwerdegegnerin erhielt am 6. Februar 2025 ein Auskunftsbegehren gemäß Artikel 15 DSGVO des Beschwerdeführers. Mit Schreiben vom 24. Februar teilte die Zweitbeschwerdegegnerin dem Beschwerdeführer mit, dass sie für die Datenverarbeitung im Zusammenhang mit dem eingesetzten Tracking-Tool „L***kat“ und seinen personenbezogenen Daten nicht verantwortlich sei und daher keine Auskunft erteilen könne.
Wie unter A.1. festgestellt, wurde die Zweitbeschwerdegegnerin von der Erstbeschwerdegegnerin beauftragt, die von ihr erhobenen E-Mail-Adressen zur Versendung der automatisierten Trainingspläne zu verwenden. Die Verarbeitung durch das Tracking-Tool „L***kat“ ist davon nicht umfasst. Daher ist die Zweitbeschwerdegegnerin gemäß Art. 4 Z 7 DSGVO als Verantwortliche für die Verarbeitung durch das eingesetzte Tracking-Tool zu qualifizieren und war entsprechend zur Erteilung der Auskunft gemäß Art. 15 DSGVO verpflichtet.
Da die Zweitbeschwerdegegnerin dem Beschwerdeführer bis zum Ende des Verfahrens keine Auskunft erteilt hat und somit die behauptete Rechtsverletzung nicht beseitigt hat, war spruchgemäß zu entscheiden .
Der Leistungsauftrag stützt sich auf Art. 58 Abs. 2 lit. c DSGVO. Eine Frist von zwei Wochen scheint angemessen, um den Leistungsauftrag zu erfüllen.
Rückverweise
Keine Verweise gefunden
