Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger, die Hofrätin Mag. Hainz Sator und den Hofrat Dr. Pürgy als Richter, unter Mitwirkung des Schriftführers Mag. Schara, über die Revision der Datenschutzbehörde in 1030 Wien, Barichgasse 40 42, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 31. August 2021, Zl. W256 2227693 1/10E, betreffend Verfahren gemäß Art. 58 Datenschutz Grundverordnung (mitbeteiligte Partei: U GmbH, vertreten durch die CMS Reich Rohrwig Hainz Rechtsanwälte GmbH in 1010 Wien, Gauermanngasse 2), zu Recht erkannt:
Der Revision wird teilweise Folge gegeben und das angefochtene Erkenntnis im Umfang der ersatzlosen Behebung des Spruchpunktes 2. und 3. der Beschwerdevorentscheidung vom 11. Dezember 2019 wegen Rechtswidrigkeit des Inhalts aufgehoben.
In ihrem darüberhinausgehenden Anfechtungsumfang betreffend die ersatzlose Behebung des Spruchpunktes 1. der Beschwerdevorentscheidung vom 11. Dezember 2019 wird die Revision abgewiesen.
Es findet kein Aufwandersatz statt.
1 1. Aus dem angefochtenen Erkenntnis ergibt sich folgender unstrittiger Sachverhalt:
2 1.1. Die Mitbeteiligte betreibt ein unternehmens- und branchenübergreifendes Kundenbindungsprogramm unter der Bezeichnung „J*Club“. Kunden der teilnehmenden Handelsgeschäfte können sich als Mitglieder registrieren, auf Basis ihrer Einkäufe Punkte sammeln und diese in der Folge für den Erhalt von Rabatten etc. einlösen. Im Rahmen der Mitgliederregistrierung wird in Punkt 4.4. der Datenschutzerklärung unter der Überschrift „Automationsunterstützte Verarbeitung und Analyse (Profiling für Zielgruppenselektionen, [...])“ darauf hingewiesen, dass der Betreiber mit Einwilligung des (Club)Mitglieds als alleiniger Verantwortlicher die beim ihm selbst und bei den Partnern verarbeiteten Mitgliederstammdaten und Einkaufsdaten der Mitglieder zur automationsunterstützten Personalisierung von Werbe und Marketingmaßnahmen verwende, analysiere und so neue Marketing Profilingdaten gewinne. Rechtsgrundlage für die Verarbeitung sei die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Laut Punkt 4.4.6. der Datenschutzerklärung sei diese Einwilligung freiwillig und könne jederzeit widerrufen werden.
3 1.2. Die belangte Behörde vor dem Verwaltungsgericht (im Weiteren: Revisionswerberin) leitete gegen die Mitbeteiligte ein amtswegiges Prüfverfahren im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der von der Mitbeteiligten für das Kundenbindungsprogramm durchgeführten Registrierung von Kundendaten zum Zweck personalisierter Werbestrategien ein. Die Mitbeteiligte wurde unter anderem aufgefordert, darzulegen, in welcher Form die Einwilligungen der betroffenen Personen für den Erhalt personalisierter Werbung eingeholt und den Informationspflichten gemäß Art. 13 DSGVO nachgekommen werde.
4 Mit Bescheid vom 23. Oktober 2019, sprach die Revisionswerberin hier zusammengefasst aus, das amtswegige Prüfverfahren sei berechtigt gewesen, und traf die Feststellung, dass das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den beim „J*Club“ registrierten Personen zum Zweck des Profiling durch die Mitbeteiligte mit einem bestimmten Wortlaut nicht den Anforderungen an eine Einwilligung gemäß Art. 4 Z 11 DSGVO und Art. 7 DSGVO entspreche und folglich die Verarbeitung von personenbezogenen Daten mangels gültiger Einwilligung unzulässig sei (Spruchpunkt 1.). Ferner wurde die Mitbeteiligte angewiesen, innerhalb einer Frist von drei Monaten bei sonstiger Exekution die Einholung der Einwilligung gemäß Art. 4 Z 11 DSGVO und Art. 7 DSGVO anzupassen (Spruchpunkt 2.). Ferner wurden der Mitbeteiligten untersagt, die gemäß Spruchpunkt 1. eingeholten Einwilligungen ab 1. Mai 2020 zum Zweck des Profiling zu verwenden, außer es würde von den betroffenen Personen innerhalb derselben Frist eine gültige Einwilligung eingeholt werden (Spruchpunkt 3.).
Die Revisionswerberin stellte in diesem Bescheid fest, dass die verfahrensgegenständlichen Einwilligungen zum Profiling in unterschiedlichen Formen der Anmeldung von den Mitgliedern eingeholt würden, wobei den Anforderungen des Art. 4 Z 11 DSGVO bzw. Art. 7 DSGVO an die Form der Einwilligungen in keiner der möglichen Anmeldearten entsprochen werde. Die Informationen über Profiling würden nämlich nicht in einer leicht zugänglichen Form verfügbar sein, und ebenso wenig in klarer und einfacher Sprache formuliert werden. Die Einwilligungen könnten daher nicht als Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. a DSGVO herangezogen werden. Auf berechtigte Interessen habe sich die Mitbeteiligte nicht gestützt. Eine Interessensabwägung würde überdies nicht zugunsten der Mitbeteiligten ausfallen. Es komme somit weder die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO noch ein anderer Tatbestand als Rechtsgrundlage für die Verarbeitung in Betracht, weshalb in Spruchpunkt 1. festzustellen gewesen sei, dass die verfahrensgegenständliche Verarbeitung von personenbezogenen Daten mangels gültiger Einwilligung der registrierten Personen unzulässig sei. Wegen der Feststellung eines Verstoßes gegen Art. 7 Abs. 2 DSGVO und fehlender Rechtsgrundlage für die gegenständliche Datenverarbeitung seien die entsprechenden Abhilfeaufträge zu erteilen gewesen. Es stehe der Mitbeteiligten frei, durch Einholung neuer Einwilligungserklärungen eine rechtmäßige Datenverarbeitung herzustellen.
1.3. Gegen diese Entscheidung erhob die Mitbeteiligte Beschwerde an das Bundesverwaltungsgericht. Unter anderem brachte diese vor, es komme als Rechtsgrundlage für die Verarbeitung nicht nur die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, sondern auch das berechtigte Interesse der Mitbeteiligten nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Das Zusammenführen verschiedener Daten und Selektionskriterien mit dem Ziel, Werbemaßnahmen möglichst nahe an den tatsächlichen Interessen der Betroffenen zu orientieren, diene nämlich dem berechtigten Interesse beider Parteien. Der Betroffene werde auf diese Weise nicht mit unnötiger Werbung belästigt. Darüber hinaus könne die Datenverarbeitung auch auf Art. 6 Abs. 4 DSGVO und die Möglichkeit der Weiterverarbeitung gestützt werden. Die Bescheidbegründung stütze sich ausschließlich auf die Prüfung der Rechtsgrundlage der Einwilligung. Andere Rechtsgrundlagen seien nicht geprüft worden. In keiner Weise habe sich die Revisionswerberin mit den Interessen der Mitbeteiligten und die jener betroffenen Personen auseinandergesetzt und dazu auch keinerlei Feststellungen getroffen.
1.4. Die Revisionswerberin fasste in der Folge am 11. Dezember 2019 die verfahrensgegenständliche Beschwerdevorentscheidung und änderte den Spruch des Erstbescheides dahingehend ab, dass dieser insgesamt lautete (Anonymisierung durch den Verwaltungsgerichtshof):
„1. Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass
a) das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den am ‚J*Club‘ registrierten betroffenen Personen zum Zweck des Profiling durch die Beschwerdeführerin mit dem Wortlaut ‚[...]‘ unter Verwendung der Methoden
i) Webseite ‚www.J* Club.at‘ und ii) Anmeldebroschüre (‚Flyer‘)
nicht den Anforderungen an eine Einwilligung gemäß Art. 4 Z 11 DSGVO und Art. 7 DSGVO entspricht und dass
b) für die bisherige Verarbeitung von personenbezogenen Daten von den am ‚J*Club‘ registrierten betroffenen Personen zum Zweck des Profiling durch die Ö*Club GmbH neben der Einwilligung, die unter Verwendung der Methoden i) Webseite ‚www.J* Club.at‘ und ii) Anmeldebroschüre (‚Flyer‘) eingeholt wurden, keine andere Rechtsgrundlage nach Art. 6 DSGVO in Betracht kommt und die genannte bisherige Verarbeitung daher unrechtmäßig ist.
2. Der Ö*Club GmbH wird die Verarbeitung von personenbezogenen Daten von den am ‚J*Club‘ registrierten betroffenen Personen zum Zweck des Profiling im Umfang von Spruchpunkt 1 untersagt.
3. Für die Umsetzung von Spruchpunkt 2. wird der Beschwerdeführerin eine Frist von sechs Monaten eingeräumt.“
Begründend führte die Revisionswerberin aus, dass es sich bei den in Spruchpunkt 1. genannten Methoden, der Anmeldung via Webseite und Flyer, nicht um eine den Anforderungen an eine transparente und gut sichtbare Einholung einer Einwilligung handle, weshalb diese nicht als gültige Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. a DSGVO herangezogen werden könne. Die Mitbeteiligte habe sich im gesamten Verfahren ausschließlich auf diese Rechtsgrundlage gestützt, weshalb andere in der Beschwerde ins Treffen geführte Rechtsgrundlagen nicht in Betracht zu ziehen seien. Die Aufsichtsbehörde habe die Verarbeitungsvorgänge anhand des Verarbeitungsverzeichnisses zu überprüfen, wo verfahrensgegenständlich als alleinige Rechtsgrundlage die Einwilligung angeführt sei. Es sei nicht Aufgabe der Aufsichtsbehörde, einen „Ersatzerlaubnistatbestand“ heranzuziehen. Vielmehr sei es Sache des Verantwortlichen, nachzuweisen, dass er die Grundsätze der DSGVO einhalte. Zudem müsse sich der Verantwortliche bereits im Vorfeld entscheiden, auf welche Rechtsgrundlage er seine Verarbeitung stütze. Es widerspreche dem Grundsatz von Treu und Glauben, wenn sich ein Verantwortlicher, nachdem sich eine Einwilligung als ungültig herausgestellt habe, nachträglich auf einen anderen Erlaubnistatbestand stütze. Insofern sich die Mitbeteiligte bei der Verarbeitung der personenbezogenen Daten auf die Rechtsgrundlage der Einwilligung gestützt habe und nicht auf eine zusätzliche Rechtsgrundlage oder die Weiterverarbeitung nach Art. 6 Abs. 4 DSGVO hingewiesen habe, könne sie die Datenverarbeitung nicht mehr auf diese Rechtsgrundlagen stützen. Zudem würde eine Interessenabwägung zu Ungunsten der Mitbeteiligten ausfallen, weil auf Grundlage des Profiling ein genaues Bild über die wirtschaftliche und soziale Situation der betroffenen Personen erstellt werde. Dies sei nicht als harmloser Eingriff in die Privatsphäre zu qualifizieren. Der wirtschaftliche Vorteil könne den Eingriff in diese nicht rechtfertigen. Art. 6 Abs. 4 DSGVO stelle überdies keine eigenständige Rechtsgrundlage dar, sondern setze eine gültige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO voraus. Mangels Vorliegens einer Rechtsgrundlage sei ein entsprechendes Verbot zu verhängen.
Mit Schreiben vom 27. Dezember 2019 stellte die Mitbeteiligte einen Vorlageantrag und wies in diesem auf die Überschreitung der Prüfbefugnisse durch die Revisionswerberin hin. Zudem führte die Mitbeteiligte aus, ein gesetzlicher Erlaubnistatbestand würde nicht deshalb entfallen, weil zusätzlich eine Einwilligung eingeholt werde. Der Widerruf einer Einwilligung führe nach der Systematik der DSGVO nicht per se zu einer unzulässigen Datenverarbeitung. Auch hinge die Anwendbarkeit der gesetzlichen Erlaubnistatbestände nicht davon ab, dass sich der Verantwortliche darauf berufen habe, die für das Profiling verwendeten Teilnahmedaten und Einkaufsdaten gemäß Punkt 4.1. und Punkt 4.2. der Datenschutzerklärung würden auf der Rechtsgrundlage nach Art. 6 Abs. 1 lit. b DSGVO zur Verwaltung der Mitgliedschaft sowie zur Abwicklung des Kundenbindungsprogramms verwendet werden. Art. 6 Abs. 4 DSGVO komme daher bezüglich der Weiterverarbeitung der Daten sehr wohl in Betracht. Auch sei eine Interessenabwägung gemäß Art. 6 Abs. 1 lit. f DSGVO keineswegs ausgeschlossen.
2. Mit dem hier angefochtenen Erkenntnis gab das Bundesverwaltungsgericht ohne Durchführung einer mündlichen Verhandlung der Beschwerde der Mitbeteiligten statt und hob die Beschwerdevorentscheidung insgesamt ersatzlos auf. Die Revision erklärte es für zulässig.
2.1. Ohne über die Darstellung des Verfahrensverlaufs hinausgehend Feststellungen zu treffen, führte das Verwaltungsgericht aus, die Revisionswerberin habe in ihrem Ausgangsbescheid den Prüfgegenstand allein auf die Überprüfung der Einwilligungserklärungen als Rechtsgrundlage für die verfahrensgegenständliche Datenverarbeitung beschränkt. Eine Prüfung der sonstigen allenfalls nach Art. 6 DSGVO in Frage kommenden Rechtsgrundlagen habe nicht stattgefunden. Dies sei offensichtlich auch nicht Gegenstand des von Amts wegen durchgeführten Prüf und Ermittlungsverfahrens gewesen. Dabei habe sich die Revisionswerberin bei der Bescheiderlassung auf ihre Befugnisse nach Art. 58 Abs. 2 lit. d und f DSGVO berufen. Diese Abhilfebefugnisse würden jeweils voraussetzen, dass ein (festgestellter) Verstoß gegen die DSGVO vorliege. Die Revisionswerberin habe jedoch verkannt, dass die Prüfung der Rechtmäßigkeit einer Datenverarbeitung allein ihr selbst obliege und sie bei dieser Beurteilung nicht an einen Normanwendungsanspruch des Verantwortlichen gebunden sei. Der die Berechtigung bzw. die Verpflichtung zur Verarbeitung regelnde Grundsatz der Rechtmäßigkeit stehe mit den die Art und Weise der Verarbeitung regelnden Grundsätzen der Transparenz und der Verarbeitung nach Treu und Glauben nicht in einem notwendigen Zusammenhang. Eine andere Sichtweise hätte zur Folge, dass jeder Verstoß gegen die Art und Weise der Verarbeitung die Unrechtmäßigkeit der Datenverarbeitung nach sich ziehen würde und es selbst im Falle einer berechtigten oder sogar allenfalls verpflichtenden Datenverarbeitung zu einer Löschung kommen müsse. Eine solche ausnahmslose Löschungsverpflichtung könne der DSGVO aber nicht entnommen werden. Im Übrigen gehe schon aus dem Wortlaut des Art. 6 Abs. 1 DSGVO deutlich hervor, dass die Rechtmäßigkeit einer Datenverarbeitung nicht nur auf eine, sondern gegebenenfalls auf mehrere gleichrangig nebeneinander stehende Rechtsgrundlagen gestützt werden könne. Dass im Falle einer ungültigen Einwilligung generell ein Rückgriff auf sonstige Erlaubnistatbestände des Art. 6 DSGVO bei fehlender vorangehender Information der betroffenen Person nicht möglich sei, könne den von der Revisionswerberin zitierten Leitlinien der Art. 29 Datenschutzgruppe nicht entnommen werden. Vielmehr bezögen sich die dortigen Ausführungen auf die Konstellation des Widerrufs einer Einwilligungserklärung. Auch Erwägungsgrund 47 der DSGVO könne nicht entnommen werden, dass das Fehlen einer Einwilligungserklärung jegliche Abwägung mit möglichen berechtigten Interessen eines Verantwortlichen an der Verarbeitung von vornherein überflüssig mache. Der Ansicht der Revisionswerberin, eine ungültige Einwilligungserklärung führe in Zusammenhang mit mangelnder Information der betroffenen Person über weitere Rechtsgrundlagen in jedem Fall zu einer unrechtmäßigen Datenverarbeitung und mache eine Überprüfung der sonstigen möglichen Rechtsgrundlagen entbehrlich, könne daher nicht gefolgt werden. Die alleinige Auseinandersetzung mit der Rechtsgrundlage der Einwilligung könne daher nicht ohne weiteres einen Verstoß gegen den Grundsatz der Rechtmäßigkeit und damit auch keine darauf gestützte Berechtigung zur Abhilfebefugnis nach Art. 58 Abs. 2 lit. d und f DSGVO begründen. Die Beschwerdevorentscheidung sei daher insgesamt ersatzlos zu beheben. Der Revisionswerberin sei es nicht verwehrt, in einem neuerlichen amtswegigen Verfahren mit geändertem Verfahrensgegenstand etwaige Anweisungen nach Art. 58 Abs. 2 DSGVO zu tätigen. Bei diesem Ergebnis erübrige sich eine Auseinandersetzung mit der (Un )Gültigkeit der vorliegenden Einwilligungserklärungen bzw. der in Anspruch genommenen Abhilfebefugnis an sich. Eine mündliche Verhandlung habe unterbleiben können, weil bereits auf Grund der Aktenlage festgestanden sei, dass der angefochtene Bescheid aufzuheben sei.
2.2. Die Revision sei gemäß Art. 133 Abs. 4 B VG zulässig, weil es an höchstgerichtlicher Rechtsprechung zu der Frage fehle, ob zur Beurteilung der Rechtmäßigkeit einer Datenverarbeitung im Falle einer ungültigen Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ein nachträglicher Rückgriff auf sonstige Erlaubnistatbestände des Art. 6 DSGVO zulässig sei.
3. Gegen dieses Erkenntnis richtet sich die vorliegende Revision der belangten Behörde vor dem Verwaltungsgericht.
Die Mitbeteiligte erstattete eine Revisionsbeantwortung und eine Stellungnahme.
4. Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 2 VwGG gebildeten Senat erwogen:
4.1. Zur Begründung der Zulässigkeit bringt die Revision unter anderem vor, das Verwaltungsgericht sei von der Rechtsprechung des Verwaltungsgerichtshofes abgewichen, weil die ersatzlose Behebung eines Bescheides voraussetze, dass dieser nicht hätte ergehen dürfen und der dem materiellen Recht entsprechende Zustand nur durch Kassation hergestellt werden könne. Eine ersatzlose Behebung setze demnach voraus, dass über den betreffenden Antrag nicht neuerlich entschieden werden dürfe. Der angefochtenen Entscheidung sei indes nicht zu entnehmen, weshalb das Verwaltungsgericht nicht mit einer Änderung des bekämpften Bescheides vorgegangen sei.
Die Revision ist bereits aus diesem Grund zulässig und im Ergebnis teilweise begründet.
4.2. Die im Revisionsfall maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO), ABl. L 119 vom 4. Mai 2016, lauten auszugsweise:
„Art. 6 Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
...
Art. 7 Bedingungen für die Einwilligung
(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.
...
Art. 57 Aufgaben
(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet
a) die Anwendung dieser Verordnung überwachen und durchsetzen;
...
h) Untersuchungen über die Anwendung dieser Verordnung durchführen, auch auf der Grundlage von Informationen einer anderen Aufsichtsbehörde oder einer anderen Behörde;
...
Art. 58 Befugnisse
(1) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Untersuchungsbefugnisse, die es ihr gestatten,
a) den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind,
b) Untersuchungen in Form von Datenschutzüberprüfungen durchzuführen,
...
d) den Verantwortlichen oder den Auftragsverarbeiter auf einen vermeintlichen Verstoß gegen diese Verordnung hinzuweisen,
...
(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,
b) einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,
...
d) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,
...
f) eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,
...
i) eine Geldbuße gemäß Artikel 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,
...
Art. 78 Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde
(1) Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.
...
(3) Für Verfahren gegen eine Aufsichtsbehörde sind die Gerichte des Mitgliedstaats zuständig, in dem die Aufsichtsbehörde ihren Sitz hat.
... .“
5 Die für den Revisionsfall relevanten Erwägungsgründe der DSGVO sind:
„(129) Um die einheitliche Überwachung und Durchsetzung dieser Verordnung in der gesamten Union sicherzustellen, sollten die Aufsichtsbehörden in jedem Mitgliedstaat dieselben Aufgaben und wirksamen Befugnisse haben, darunter, insbesondere im Fall von Beschwerden natürlicher Personen, Untersuchungsbefugnisse, Abhilfebefugnisse und Sanktionsbefugnisse und Genehmigungsbefugnisse und beratende Befugnisse, sowie unbeschadet der Befugnisse der Strafverfolgungsbehörden nach dem Recht der Mitgliedstaaten die Befugnis, Verstöße gegen diese Verordnung den Justizbehörden zur Kenntnis zu bringen und Gerichtsverfahren anzustrengen. Dazu sollte auch die Befugnis zählen, eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen. Die Mitgliedstaaten können andere Aufgaben im Zusammenhang mit dem Schutz personenbezogener Daten im Rahmen dieser Verordnung festlegen. Die Befugnisse der Aufsichtsbehörden sollten in Übereinstimmung mit den geeigneten Verfahrensgarantien nach dem Unionsrecht und dem Recht der Mitgliedstaaten unparteiisch, gerecht und innerhalb einer angemessenen Frist ausgeübt werden. Insbesondere sollte jede Maßnahme im Hinblick auf die Gewährleistung der Einhaltung dieser Verordnung geeignet, erforderlich und verhältnismäßig sein, wobei die Umstände des jeweiligen Einzelfalls zu berücksichtigen sind, das Recht einer jeden Person, gehört zu werden, bevor eine individuelle Maßnahme getroffen wird, die nachteilige Auswirkungen auf diese Person hätte, zu achten ist und überflüssige Kosten und übermäßige Unannehmlichkeiten für die Betroffenen zu vermeiden sind. Untersuchungsbefugnisse im Hinblick auf den Zugang zu Räumlichkeiten sollten im Einklang mit besonderen Anforderungen im Verfahrensrecht der Mitgliedstaaten ausgeübt werden, wie etwa dem Erfordernis einer vorherigen richterlichen Genehmigung. Jede rechtsverbindliche Maßnahme der Aufsichtsbehörde sollte schriftlich erlassen werden und sie sollte klar und eindeutig sein; die Aufsichtsbehörde, die die Maßnahme erlassen hat, und das Datum, an dem die Maßnahme erlassen wurde, sollten angegeben werden und die Maßnahme sollte vom Leiter oder von einem von ihm bevollmächtigen Mitglied der Aufsichtsbehörde unterschrieben sein und eine Begründung für die Maßnahme sowie einen Hinweis auf das Recht auf einen wirksamen Rechtsbehelf enthalten. Dies sollte zusätzliche Anforderungen nach dem Verfahrensrecht der Mitgliedstaaten nicht ausschließen. Der Erlass eines rechtsverbindlichen Beschlusses setzt voraus, dass er in dem Mitgliedstaat der Aufsichtsbehörde, die den Beschluss erlassen hat, gerichtlich überprüft werden kann.
...
(143) ... Unbeschadet dieses Rechts nach Artikel 263 AEUV sollte jede natürliche oder juristische Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf bei dem zuständigen einzelstaatlichen Gericht gegen einen Beschluss einer Aufsichtsbehörde haben, der gegenüber dieser Person Rechtswirkungen entfaltet. Ein derartiger Beschluss betrifft insbesondere die Ausübung von Untersuchungs , Abhilfe und Genehmigungsbefugnissen durch die Aufsichtsbehörde oder die Ablehnung oder Abweisung von Beschwerden. Das Recht auf einen wirksamen gerichtlichen Rechtsbehelf umfasst jedoch nicht rechtlich nicht bindende Maßnahmen der Aufsichtsbehörden wie von ihr abgegebene Stellungnahmen oder Empfehlungen. Verfahren gegen eine Aufsichtsbehörde sollten bei den Gerichten des Mitgliedstaats angestrengt werden, in dem die Aufsichtsbehörde ihren Sitz hat, und sollten im Einklang mit dem Verfahrensrecht dieses Mitgliedstaats durchgeführt werden. Diese Gerichte sollten eine uneingeschränkte Zuständigkeit besitzen, was die Zuständigkeit, sämtliche für den bei ihnen anhängigen Rechtsstreit maßgebliche Sach und Rechtsfragen zu prüfen, einschließt. Wurde eine Beschwerde von einer Aufsichtsbehörde abgelehnt oder abgewiesen, kann der Beschwerdeführer Klage bei den Gerichten desselben Mitgliedstaats erheben.“
6 4.3. Zu Spruchpunkt 1. des Bescheides:
4.3.1. Vorweg ist festzuhalten, dass die vor dem Verwaltungsgericht bekämpften Bescheidspruchpunkte insofern trennbar sind, als der in Spruchpunkt 1. enthaltene Abspruch als solcher keine notwendige Grundlage für den Abspruch in Spruchpunkt 2. und 3. bildet. Die Ausübung der Abhilfebefugnis gemäß Art. 58 Abs. 2 lit. d DSGVO setzt nämlich weder einen separaten Abspruch über die Berechtigung des von der Revisionswerberin durchgeführten amtswegigen Prüfverfahrens noch einen selbstständigen Abspruch über eine Feststellung betreffend das Nichtvorliegen eines bestimmten Erlaubnistatbestandes des Art. 6 DSGVO bzw. die Unrechtmäßigkeit der Datenverarbeitung voraus. Spruchpunkt 2. und 3. können sohin ungeachtet der Beseitigung von Spruchpunkt 1. selbstständig rechtlichen Bestand haben.
4.3.2. Die Revisionswerberin übte fallgegenständlich die ihr durch Art. 58 Abs. 2 lit. d und f DSGVO eingeräumten Abhilfebefugnisse aus, den Verantwortlichen fallbezogen die Mitbeteiligte oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums im Einklang mit dieser Verordnung zu bringen (lit. d) bzw. eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots zu verhängen (lit. f). Schon aus systematischen Gründen setzt die Ausübung der genannten Abhilfebefugnisse voraus, dass die Aufsichtsbehörde im Zuge der Wahrnehmung geeigneter Untersuchungsbefugnisse den maßgeblichen Sachverhalt ermittelt und einen durch die in Frage stehenden Datenverarbeitungsvorgänge bedingten Verstoß gegen die Bestimmungen der DSGVO festgestellt hat (vgl. Polenz in Simitis/Hornung/Spiecker (Hrsg), Datenschutzrecht (2019), Art. 58, Rz. 33).
Daher mag die in Spruchpunkt 1. der Beschwerdevorentscheidung enthaltene Feststellung, wonach im vorliegenden Fall das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten zum Zweck des Profiling durch die Mitbeteiligte nicht den Anforderungen an eine Einwilligung gemäß Art. 4 Z 11 DSGVO und Art. 7 DSGVO entspreche bzw. dass für die bisherige Verarbeitung von personenbezogenen Daten keine andere Rechtsgrundlage nach Art. 6 DSGVO in Betracht komme und die genannte bisherige Verarbeitung daher rechtmäßig sei, eine inhaltliche Voraussetzung für die in Spruchpunkt 2. ausgesprochene Anweisung sein. Anders als die revisionswerbende belangte Behörde offenbar vermeint, bietet Art. 58 Abs. 2 lit. d und lit. f DSGVO jedoch jeweils keine rechtliche Grundlage für einen gesonderten Abspruch in Form der Feststellung des Verstoßes, der jeweils den Anlass für die Abhilfeentscheidung darstellt. Eine gesetzliche Grundlage für eine separate Feststellung der Rechtmäßigkeit des von der Behörde durchgeführten amtswegigen Prüfverfahrens ist nicht ersichtlich.
Aus diesen Gründen hat das Verwaltungsgericht im Ergebniszu Recht die ersatzlose Behebung des Spruchpunktes 1. der Beschwerdevorentscheidung ausgesprochen, weshalb der Revision in diesem Umfang kein Erfolg beschieden sein kann. Es hat bei der ersatzlosen Behebung der dort ausgesprochenen Feststellungen zu bleiben (vgl. VwGH 14.12.2021, Ro 2020/04/0032).
7 4.4. Zu Spruchpunkt 2. und 3. des Bescheides :
4.4.1. Gemäß Art. 78 Abs. 1 und 3 DSGVO iVm Erwägungsgrund 143 richtet sich das Verfahren über Beschwerden gegen Entscheidungen der nationalen Aufsichtsbehörde nach dem jeweiligen mitgliedstaatlichen Verfahrensrecht (vgl. Jahnel , Kommentar zur Datenschutz Grundverordnung [DSGVO], Art. 78, Rz 8; Nemitz in Ehmann/Selmayr [Hrsg], Datenschutz Grundverordnung [2017], Art. 78, Rn 7).
8Der durch die Beschwerde gemäß § 27 VwGVG festgelegte Prüfungsumfang ist nach der Rechtsprechung des Verwaltungsgerichtshofes nicht ausschließlich an das Vorbringen der Beschwerdeführerin gebunden. Der äußerste Rahmen für die Prüfbefugnis ist die „Sache“ des bekämpften Bescheides (VwGH 16.3.2016, Ra 2015/04/0042). Nach der Rechtsprechung des Verwaltungsgerichtshofes ist „Sache“ des Bescheidbeschwerdeverfahrens vor dem Verwaltungsgericht (nur) jene Angelegenheit, die den Inhalt des Spruchs der belangten Behörde gebildet hat (VwGH 9.9.2015, Ro 2015/03/0032, mwN), d.h. jene Angelegenheit, die von der belangten Behörde entschieden wurde (VwGH Ra 2015/04/0042).
94.4.2. Fallgegenständlich ist maßgeblicher Inhalt des Spruchpunktes 2. der Beschwerdevorentscheidung die Untersagung der Verarbeitung von personenbezogenen Daten der durch Beteiligung am J*Club beteiligten und der damit registrierten betroffenen Personen zum Zweck des Profiling. „Sache“ des Beschwerdeverfahrens war fallgegenständlich daher die Überprüfung der Rechtmäßigkeit der Ausübung der durch Art. 58 Abs. 2 lit. f DSGVO eingeräumten Abhilfebefugnis und damit verbunden die Frage, ob die betreffende Datenverarbeitung durch die Mitbeteiligte rechtmäßig im Sinne des Art. 6 DSGVO erfolgte (siehe VwGH 17.12.2014, Ra 2014/03/0049, und 27.11.2020, Ra 2020/03/0086, zu insofern vergleichbaren Konstellationen). Dass die rechtliche Beurteilung durch die Revisionswerberin im behördlichen Verfahren zu kurz gegriffen haben mag, weil diese wie das Verwaltungsgericht zu Unrecht vermeintlediglich einen von mehreren möglichen Rechtfertigungstatbeständen geprüft hat, hat auf den Umfang der „Sache“ keinen Einfluss. Dies betrifft lediglich die Frage der rechtlichen Beurteilung eines festgestellten Sachverhalts durch die belangte Behörde. Es ist nicht ersichtlich, inwiefern der für das Verwaltungsgericht eröffnete Prüfungsumfang aufgrund einer vom Verwaltungsgericht als unrichtig angesehenen rechtlichen Beurteilung gegenüber der „Sache“ des bekämpften Bescheides eine Einengung erfahren hätte. Der Prüfung der Rechtmäßigkeit der in Frage stehenden Datenverarbeitung anhand der Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO durch das Verwaltungsgericht waren aufgrund einer allenfalls unrichtigen rechtlichen Beurteilung durch die Revisionswerberin keine Schranken gesetzt. Der Rechtsansicht des Verwaltungsgerichts, wonach eine Prüfung der Rechtmäßigkeit der fallgegenständlich gegebenen Datenverarbeitung anhand weiterer Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO eine Überschreitung des „Beschwerdegegenstandes“ bedeuten würde, ist nicht zu folgen (vgl zu einer ähnlichen Konstellation bereits VwGH 12.11.2021, Ra 2019/04/0055).
10Vor diesem Hintergrund kam eine ersatzlose Behebung der Beschwerdevorentscheidung, die eine meritorische Entscheidung in der Beschwerdesache darstellt, durch das Verwaltungsgericht fallbezogen nicht in Betracht. Der Spruch des angefochtenen Erkenntnisses lässt sich indes nicht als Vergreifen im Ausdruck und damit als Zurückverweisung an die Revisionswerberin im Sinne des § 28 Abs. 3 zweiter Satz VwGVG ansehen. Gegen eine solche Sichtweise spricht die ausdrückliche rechtliche Begründung des Verwaltungsgerichts, welches der belangten Behörde im Übrigen freistellt, ein neues Verfahren gemäß Art. 58 DSGVO einzuleiten.
11Indem das Verwaltungsgericht seine Entscheidung auf eine unrichtige rechtliche Beurteilung der „Sache“ des Beschwerdeverfahrens gestützt hat, hat es das angefochtene Erkenntnis hinsichtlich der Behebung der über den Spruchpunkt 1. der Beschwerdeentscheidung hinausgehenden Umfang mit Rechtswidrigkeit des Inhalts belastet. Es war daher bereits insoweit gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.
12 Mangels Feststellungen durch das Verwaltungsgericht zu den vorliegenden Einwilligungserklärungen und den übrigen Umständen der verfahrensgegenständlichen Datenverarbeitung erübrigen sich Ausführungen zu den Rechtfertigungstatbeständen des Art. 6 DSGVO.
13 4.5. Der Vollständigkeit halber ist für das fortgesetzte Verfahren darauf hinzuweisen, dass im Rahmen einer mündlichen Verhandlung mit der Mitbeteiligten das Vorliegen allfälliger Rechtfertigungstatbestände zu erörtern sein wird.
144.6. Ein Kostenzuspruch findet gemäß § 47 Abs. 4 VwGG nicht statt.
Wien, am 8. Februar 2022
Rückverweise
RIS