Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Mag. Kovacs, über die Revision der Ö AG, vertreten durch die Schönherr Rechtsanwälte GmbH in 1010 Wien, Schottenring 19, gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 28. November 2022, Zl. W214 2244517 1/17E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; mitbeteiligte Partei: G R, vertreten durch Mag. Robert Haupt, Rechtsanwalt in 1010 Wien, Rotenturmstraße 29/12; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Die Revision wird als unbegründet abgewiesen.
I.
1 1. Die Mitbeteiligte richtete im Jahr 2019 ein Auskunftsersuchen gemäß Art. 15 Datenschutz Grundverordnung (DSGVO) an die Revisionswerberin.
2 Im Antwortschreiben vom 21. Oktober 2019 gab die Revisionswerberin (u.a.) an, im Zuge ihrer Tätigkeit als Adressverlag personenbezogene Daten sowie statistische Hochrechnungen zu verwenden und diese Daten Geschäftskunden für Marketingzwecke anzubieten. In einer Anlage waren die von der Revisionswerberin verarbeiteten personenbezogenen Daten der Mitbeteiligten und deren Herkunft aufgelistet, wobei der Mitbeteiligten (so genannte) Sinus Geo Milieus jeweils mit einem bestimmten Wahrscheinlichkeitswert zugeordnet waren und das Sinus Geo Milieu „Postmaterielle“ als dominantes Geo Milieu ausgewiesen war.
3 Mit Eingabe vom 10. Februar 2020 erhob die Mitbeteiligte bei der Datenschutzbehörde (DSB, belangte Behörde) eine gegen die Revisionswerberin als Beschwerdegegnerin gerichtete Datenschutzbeschwerde, in der Verstöße gegen Art. 5, Art. 9 und Art. 15 DSGVO geltend gemacht wurden. Begründend führte sie aus, die Revisionswerberin habe zum einen ihre Anfrage mit dem Antwortschreiben vom 21. Oktober 2019 nicht gemäß den Anforderungen des Art. 15 DSGVO beauskunftet und zum anderen habe die Revisionswerberin Daten zu ihren weltanschaulichen Überzeugungen verarbeitet und damit gegen die Bestimmungen der Art. 5 und 9 DSGVO verstoßen.
4 In einer dazu erstatteten Stellungnahme hielt die Revisionswerberin fest, Sinus GeoMilieus seien Marketingklassifikationen im Sinn des § 151 Gewerbeordnung 1994 (GewO 1994). Im Rahmen ihrer Tätigkeit als Adressverlag habe sie ausschließlich Sinus Geo Milieus verarbeitet, die sie vom Lieferanten A GmbH erhalten und unverändert übernommen sowie vertrieben habe.
5 2.Mit Bescheid vom 2. Juni 2021 gab die belangte Behörde (nachdem sie gemäß § 39 Abs. 2 AVG bekannt gegeben hatte, das Verfahren betreffend die behauptete Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO vom vorliegenden Verfahren getrennt zu führen) der Datenschutzbeschwerde der Mitbeteiligten statt und stellte fest, die Revisionswerberin habe durch die ohne Einwilligung der Mitbeteiligten erfolgte Verarbeitung der Daten der Sinus Geo Milieus gegen die Grundsätze für die Verarbeitung personenbezogener Daten verstoßen und die Mitbeteiligte dadurch in ihrem Recht auf Geheimhaltung verletzt.
6 3. Die gegen diesen Bescheid erhobene Beschwerde der Revisionswerberin wies das Bundesverwaltungsgericht (BVwG) mit dem angefochtenen Erkenntnis vom 28. November 2022 als unbegründet ab. Die Revision an den Verwaltungsgerichtshof nach Art. 133 Abs. 4 B VG wurde für nicht zulässig erklärt.
7 Das BVwG stellte zusammengefasst fest, die Revisionswerberin betreibe das Gewerbe „Adressverlag und Direktmarketingunternehmen“. Sie habe im Rahmen dieser Tätigkeit bis längstens zum 13. November 2019 (spätestens zu diesem Zeitpunkt seien sämtliche Sinus Geo Milieus physisch gelöscht worden) Datensätze zu den Sinus Geo Milieus über die Mitbeteiligte verarbeitet. Diese Datensätze würden Marketingklassifikationen darstellen, welche eine Wahrscheinlichkeitsaussage betreffend die Zugehörigkeit der Betroffenen zu einem bestimmten Sinus Geo Milieu beinhalteten. Die Datensätze seien von der Revisionswerberin im Rahmen ihrer Tätigkeit als Adressverlag verwendet und Geschäftskunden für Marketingzwecke angeboten worden. Eine Zustimmung der Mitbeteiligten zur Verarbeitung dieser Daten liege nicht vor.
Anschließend traf das BVwG nähere Feststellungen zu Sinus Milieus und führte auf das Wesentliche zusammengefasst aus, diese würden eine Gesellschafts und Zielgruppen Typologie darstellen, die auf sozialen Milieus basiere. Sie würden Menschen mit ähnlichen Werten und einer vergleichbaren sozialen Lage zu „Gruppen Gleichgesinnter“ zusammenfassen. Die Milieu Einteilung erfolge entlang zweier Dimensionen: „Soziale Lage“ (Unter , Mittel oder Oberschicht) und „Grundorientierung“ („Tradition“, „Modernisierung/Individualisierung“ und „Neuorientierung“). Die Sinus Milieus würden somit Menschen nach ihrer Grundhaltung und Lebensweise gruppieren und dadurch Menschen zusammenfassen, die sich in Lebensauffassung und Lebensweise ähnelten. Anschließend gab das BVwG die (für Österreich von der I GmbH vorgenommene) Beschreibung der einzelnen Sinus Milieus („Konservative“, „Traditionelle“, „Etablierte“, „Performer“, „Postmaterielle“, „Digitale Individualisten“, „Bürgerliche Mitte“, „Adaptiv Pragmatische“, „Konsumorientierte Basis“, „Hedonisten“) wieder.
In weiterer Folge hielt das BVwG fest, dass die Revisionswerberin die (von der M GmbH errechneten) Datensätze zu den Sinus Geo Milieus im Rahmen ihrer Gewerbeberechtigung als Adressverlag vom Datenlieferanten A GmbH bezogen habe. Bei den Sinus Geo Milieus erfolge eine auf einer Wahrscheinlichkeitsrechnung basierende Einstufung nach den Geo Milieus (der M GmbH), welche die Sinus Milieus „auf den geografischen Raum umlegen“ würden. Diese Wahrscheinlichkeitsdaten seien durch eine Verknüpfung repräsentativer Befragungsdaten aus der Sinus Milieuforschung mit Adressdaten der M GmbH entwickelt worden. Mittels mathematisch statistischer Verfahren würden die Wahrscheinlichkeitswerte für an bestimmten Adressen befindliche Gebäude errechnet und diesen zugeordnet werden. Für jeden Haushalt in Österreich werde die statistische Wahrscheinlichkeit berechnet, mit welcher die einzelnen Sinus Milieus vorkämen, und zusätzlich das dominante Sinus Geo Milieu bestimmt.
Der Revisionswerberin seien von der A GmbH zwei Datentabellen übermittelt worden. Eine habe die Adressdaten einzelner Personen, die andere die auf Gebäudeebene errechneten Sinus Geo Milieus enthalten. Weiters sei der Revisionswerberin von der A GmbH der Schlüssel zur Verknüpfung der Sinus Geo Milieus auf Gebäudeebene mit den Adressdaten zur Verfügung gestellt worden. Die Revisionswerberin habe in der Folge diese Struktur in ihre eigene Datenbank übernommen und durch Kombination der Listen einzelnen Personen jeweils Wahrscheinlichkeitswerte über die Zugehörigkeit zu einem bestimmten Sinus Geo Milieu zugeschrieben. Der Mitbeteiligten seien etwa die Wahrscheinlichkeitswerte „Konservative: 5,72 %“, „Traditionelle: 2,82 %“ oder „Bürgerliche Mitte: 17,5 %“ zugeschrieben und als dominantes Geo Milieu „Postmaterielle: 23,55 %“ ausgewiesen worden.
8 In seiner Beweiswürdigung verwies das BVwG auf den Akteninhalt bzw. hinsichtlich der Feststellungen zu den Sinus Geo Milieus auf die von der Revisionswerberin der Beschwerde beigefügte Präsentation der I GmbH sowie eine Internetrecherche. Zudem habe das BVwG als weiteres Beweismittel die Niederschrift über die mündliche Verhandlung in einem anderen beim BVwG anhängigen (Parallel)Verfahren (betreffend dieselben Rechtsfragen) eingebracht, wobei in dieser Verhandlung (wie von der Revisionswerberin beantragt) der Geschäftsführer der I GmbH als Zeuge einvernommen worden sei. Daraus seien jedoch keine über das schriftliche Verfahren hinausgehenden relevanten Erkenntnisse zu gewinnen gewesen. So habe der Zeuge etwa ausgeführt, dass sein Unternehmen selbst keine personenbezogenen Zuordnungen vornehme und die konkrete Zuordnung daher in der Verantwortung der Personen liege, die die Daten vom Unternehmen erhalten würden.
9 In seiner rechtlichen Beurteilung bejahte das BVwG zunächst den ungeachtet der Löschung der Daten bestehenden Rechtsanspruch der Mitbeteiligten auf Feststellung der (in der Vergangenheit erfolgten) Verletzung im Recht auf Geheimhaltung.
Zur Frage des Vorliegens personenbezogener Daten gemäß Art. 4 Z 1 DSGVO führte das BVwG aus, dieser Begriff sei weit zu verstehen und umfasse etwa auch Meinungen oder Überzeugungen sowie Einschätzungen zu einer Person, wobei unerheblich sei, ob diese Einschätzungen zutreffend seien. Der Verwaltungsgerichtshof habe sich so wie der Oberste Gerichtshof bereits mit dem Personenbezug der von der Revisionswerberin verarbeiteten „Parteiaffinitäten“, die jeweils eine Wahrscheinlichkeitsaussage über die Neigungen einer Person zu einer bestimmten Partei enthalten würden, auseinandergesetzt und sei zum Ergebnis gelangt, dass „Parteiaffinitäten“ als personenbezogene Daten im Sinn des Art. 4 Z 1 DSGVO zu qualifizieren seien. Auch Sinus Geo Milieus seien als personenbezogene Daten zu betrachten, zumal sie der Mitbeteiligten direkt zugeordnet seien und Aussagen über ihre Grundhaltung und Lebensweise enthielten. Dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet worden seien, ändere nichts am Vorliegen des Personenbezugs. Unerheblich sei auch, dass die Daten in einem ersten Schritt lediglich Gebäuden bzw. Adressen zugewiesen worden seien, weil die Datensätze in einem weiteren Schritt einzelnen Personen zugeordnet und in dieser Form von der Revisionswerberin in ihrer Datenbank verarbeitet worden seien.
An dieser Beurteilung würden auch die Verhaltensregeln der Revisionswerberin gemäß Art. 40 DSGVO für die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen gemäß § 151 GewO 1994 nichts ändern, weil diese nicht zu einer Beschneidung der aus der DSGVO resultierenden Betroffenenrechte führen könnten. Sinus Geo Milieus seien zudem auch nicht wie von der Revisionswerberin behauptet mit so genannten „Selektionskriterien“ vergleichbar, mit denen sich der Gerichtshof der Europäischen Union (EuGH) in seiner (näher zitierten) Rechtsprechung befasst habe. Schließlich resultiere auch aus der Einstellung des von der DSB gegen die A GmbH geführten amtswegigen Verfahrens keine Bindungswirkung für den vorliegenden Fall. Dem Einwand der Revisionswerberin, es handle sich bei den Sinus GeoMilieus um Marketingklassifikationen im Sinn des § 151 Abs. 6 GewO 1994, hielt das BVwG entgegen, dass dies an der Einstufung als von der DSGVO erfasste personenbezogene Daten nichts ändere.
Entgegen der Ansicht der Revisionswerberin so das BVwG unter Verweis auf näher zitierte Rechtsprechung des Obersten Gerichtshofes sowie des Europäischen Gerichtshofes für Menschenrechte weiter gelange auch das in Art. 9 Abs. 1 DSGVO normierte Verarbeitungsverbot zur Anwendung. Mit Sinus Geo Milieus würden Menschen nach ihren Lebensauffassungen und Lebensweisen gruppiert werden. Selbst wenn die Definitionen der einzelnen Sinus Geo Milieus alleine nicht immer eindeutig auf eine konkrete Weltanschauung schließen lassen würden, sei in Anbetracht der Gliederung der Gesellschaft in im Wesentlichen drei Schichten, denen die einzelnen Milieus (wie etwa „Konservative“, „Traditionelle“, „Postmaterielle“, oder „Bürgerliche Mitte“) zugeordnet seien, ersichtlich, dass diese unter den Begriff der Weltanschauung im Sinn des Art. 9 Abs. 1 DSGVO zu subsumieren seien. Für eine Subsumtion unter Art. 9 Abs. 1 DSGVO sei es ausreichend, dass aus den Daten die vermutete Zugehörigkeit zu einem bestimmten Sinus Geo Milieu und dadurch das vermutete Vorliegen einer bestimmten Weltanschauung des Einzelnen hervorgehe. Auch im vorliegenden Fall lasse sich aus den der Mitbeteiligten mit einem bestimmten Wahrscheinlichkeitswert zugeordneten Sinus Geo Milieus sehr wohl eine (wahrscheinliche) weltanschauliche Überzeugung ableiten. Die Mitbeteiligte sei mit der deutlich dominanten Wahrscheinlichkeit von 23,55 % dem Milieu „Postmaterielle“ zugeordnet worden, alle anderen Milieus hätten einen Wahrscheinlichkeitswert unter 20 % aufgewiesen (die Milieus „Konservative“ bzw. „Traditionelle“ etwa Werte von knapp über bzw. unter 5 %). Der Mitbeteiligten sei daher die (wahrscheinliche) Haltung als „weltoffene Gesellschaftskritikerin, in einem gebildeten, vielfältig kulturinteressierten Milieu“ zugeschrieben worden, sie sei „kosmopolitisch orientiert, aber kritisch gegenüber Globalisierung“ und „sozial engagiert“. Diese Haltung könne auch eindeutig von anderen Überzeugungen abgegrenzt werden. Schließlich könnten durch die Verarbeitung der Datensätze zu den Sinus Geo Milieus jene Gefahren bestehen, vor denen Art. 9 DSGVO schützen wolle, nämlich die Gefahr einer Diskriminierung auf Grund einer (unterstellten) weltanschaulichen Überzeugung.
Abschließend legte das BVwG (mit näherer Begründung) noch dar, dass kein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO verwirklicht sei, weshalb die Verarbeitung der Daten rechtswidrig gewesen sei.
10 4. Gegen dieses Erkenntnis richtet sich die vorliegende außerordentliche Revision.
II.
Der Verwaltungsgerichtshof hat erwogen:
11 1. Zur Zulässigkeit ihrer Revision bringt die Revisionswerberin zusammengefasst vor, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Frage, ob es sich bei den verfahrensgegenständlichen Sinus Geo Milieus um weltanschauliche Überzeugungen im Sinn des Art. 9 Abs. 1 DSGVO handle. Zudem gebe es keine Rechtsprechung des Verwaltungsgerichtshofes zur Frage, ob die Einhaltung von durch die belangte Behörde genehmigten Verhaltensregeln nach Art. 40 DSGVO eine Datenverarbeitung rechtfertigen könne.
12 2. Die Revision erweist sich vor diesem Hintergrund als zulässig, aus nachstehenden Erwägungen jedoch nicht als berechtigt.
13 3.Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung [DSGVO]) lauten auszugsweise:
„[Erwägungsgründe]
(51) Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. [...] Derartige personenbezogene Daten sollten nicht verarbeitet werden, es sei denn, die Verarbeitung ist in den in dieser Verordnung dargelegten besonderen Fällen zulässig, [...].
(52) Ausnahmen vom Verbot der Verarbeitung besonderer Kategorien von personenbezogenen Daten sollten auch erlaubt sein, wenn sie im Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen sind, und vorbehaltlich angemessener Garantien zum Schutz der personenbezogenen Daten und anderer Grundrechte wenn dies durch das öffentliche Interesse gerechtfertigt ist, insbesondere für die Verarbeitung von personenbezogenen Daten auf dem Gebiet des Arbeitsrechts und des Rechts der sozialen Sicherheit einschließlich Renten und zwecks Sicherstellung und Überwachung der Gesundheit und Gesundheitswarnungen, Prävention oder Kontrolle ansteckender Krankheiten und anderer schwerwiegender Gesundheitsgefahren. Eine solche Ausnahme kann zu gesundheitlichen Zwecken gemacht werden, wie der Gewährleistung der öffentlichen Gesundheit und der Verwaltung von Leistungen der Gesundheitsversorgung, [...]
[...]
(98) Verbände oder andere Vereinigungen, die bestimmte Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, sollten ermutigt werden, in den Grenzen dieser Verordnung Verhaltensregeln auszuarbeiten, um eine wirksame Anwendung dieser Verordnung zu erleichtern, wobei den Besonderheiten der in bestimmten Sektoren erfolgenden Verarbeitungen und den besonderen Bedürfnissen der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen Rechnung zu tragen ist. Insbesondere könnten in diesen Verhaltensregeln unter Berücksichtigung des mit der Verarbeitung wahrscheinlich einhergehenden Risikos für die Rechte und Freiheiten natürlicher Personen die Pflichten der Verantwortlichen und der Auftragsverarbeiter bestimmt werden.
[...]
Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. ,personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ,betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. ,Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
[...]
7. ,Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
[...]
Artikel 9
Verarbeitung besonderer Kategorien personenbezogener Daten
(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
(2) Absatz 1 gilt nicht in folgenden Fällen:
a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,
[...]
g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich,
[...]
Artikel 40
Verhaltensregeln
(1) Die Mitgliedstaaten, die Aufsichtsbehörden, der Ausschuss und die Kommission fördern die Ausarbeitung von Verhaltensregeln, die nach Maßgabe der Besonderheiten der einzelnen Verarbeitungsbereiche und der besonderen Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen zur ordnungsgemäßen Anwendung dieser Verordnung beitragen sollen.
(2) Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, können Verhaltensregeln ausarbeiten oder ändern oder erweitern, mit denen die Anwendung dieser Verordnung beispielsweise zu dem Folgenden präzisiert wird:
a) faire und transparente Verarbeitung;
b) die berechtigten Interessen des Verantwortlichen in bestimmten Zusammenhängen;
c) Erhebung personenbezogener Daten;
[...]
(5) Verbände und andere Vereinigungen gemäß Absatz 2 des vorliegenden Artikels, die beabsichtigen, Verhaltensregeln auszuarbeiten oder bestehende Verhaltensregeln zu ändern oder zu erweitern, legen den Entwurf der Verhaltensregeln bzw. den Entwurf zu deren Änderung oder Erweiterung der Aufsichtsbehörde vor, die nach Artikel 55 zuständig ist. Die Aufsichtsbehörde gibt eine Stellungnahme darüber ab, ob der Entwurf der Verhaltensregeln bzw. der Entwurf zu deren Änderung oder Erweiterung mit dieser Verordnung vereinbar ist und genehmigt diesen Entwurf der Verhaltensregeln bzw. den Entwurf zu deren Änderung oder Erweiterung, wenn sie der Auffassung ist, dass er ausreichende geeignete Garantien bietet.
(6) Wird durch die Stellungnahme nach Absatz 5 der Entwurf der Verhaltensregeln bzw. der Entwurf zu deren Änderung oder Erweiterung genehmigt und beziehen sich die betreffenden Verhaltensregeln nicht auf Verarbeitungstätigkeiten in mehreren Mitgliedstaaten, so nimmt die Aufsichtsbehörde die Verhaltensregeln in ein Verzeichnis auf und veröffentlicht sie.
[...]“
4. Qualifikation der Sinus Geo Milieus als personenbezogene Daten
14 4.1. Die Revisionswerberin bringt zusammengefasst vor, das BVwG habe keine ausreichenden Feststellungen zu den Sinus Geo Milieus getroffen bzw. eine unvertretbare Beweiswürdigung vorgenommen. Sinus Geo Milieus entstünden, indem die Sinus Milieus in den geographischen Raum umgelegt und somit auf Gebäude und nicht auf Personen angewendet würden. Da Gebäude mit Adressen ausgestattet seien, könnten zwar sämtliche Personen, die in den Gebäuden wohnen, über ihre Adressen mit den Sinus Geo Milieus verknüpft werden. Das ändere aber nichts daran, dass die Sinus Geo Milieus selbst nur auf Gebäude projiziert würden und insofern „anonyme geographische Kriterien“ seien. So habe der Geschäftsführer der die Sinus Geo Milieus (in Österreich) entwickelnden I GmbH, der vom BVwG in einem anderen (Parallel)Verfahren niederschriftlich einvernommen worden sei, ausgesagt, dass die I GmbH natürlichen Personen keine Wahrscheinlichkeitswerte zuordne. Das Verfahren, in dem die Sinus Milieus in den geographischen Raum umgelegt würden, führe auch zu einer „Verwässerung“ der Ausgangsinformationen. Das Ziel sei nicht die Bewertung individueller Personen, dies sei auch gar nicht möglich.
15 4.2. Art. 4 Z 1 DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (betroffene Person) beziehen.
16Der Verwaltungsgerichtshof hat zum Begriff der personenbezogenen Daten im Erkenntnis VwGH 14.12.2021, Ro 2021/04/0007, Folgendes festgehalten:
„27 Der Begriff ist weit zu verstehen ( Hödl in Knyrim , DatKomm Art. 4 DSGVO Rz 9; Eßer in Eßer/Kramer/von Lewinski , DSGVO BDSG 6 Art. 4 DSGVO Rz 7). Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf ( Hödl aaO; Klar/Kühling in Kühling/Buchner , DS GVO Art. 4 Nr 1 Rz 10; ebenso persönliche Überzeugungen, Vorlieben, Verhaltensweisen oder Einstellungen nennend Ernst in Paal/Pauly , DSGVO BDSG² Art. 4 DSGVO Rz 14). Damit umfasst der Begriff der ,Information‘ nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa ,X ist ein zuverlässiger Mitarbeiter‘ ( Klabunde in Ehmann/Selmayer , DS GVO² Art. 4 Rz 9; vgl. auch Gola in Gola , DSGVO² Art 4 Rz 13). In diesem Sinne sind Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend sind ( Reimer in Sydow , DSGVO² Art. 4 Rz 41); der Wahrheitsgehalt ist für die Betrachtung unerheblich ( Klabunde aaO). Wahrscheinlichkeitsangaben haben Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen ( ErnstaaO; vgl. zu alldem OGH 18.2.2021, 6 Ob 127/20z).“
17 Zur Frage, ob Daten betreffend die „Parteiaffinität“ als personenbezogene Daten im Sinn des Art. 4 Z 1 DSGVO anzusehen sind, wurde in diesem Erkenntnis Folgendes ausgeführt:
„28 [...] Die den Betroffenen zugeordneten ,Parteiaffinitäten‘ enthalten jeweils eine Wahrscheinlichkeitsaussage über die Neigungen dieser Personen, die im Rahmen der verfahrensgegenständlichen Verarbeitung unstrittig namentlich bezeichnet und damit zweifelsfrei identifiziert im Sinne des Art. 4 Z 1 DSGVO waren. Im Sinne der dargestellten Rechtslage sind die verfahrensgegenständlichen Angaben über die Betroffenen als personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO anzusehen, handelt es sich doch um konkret bezeichneten Personen zugeordnete Aussagen und damit Informationen ,über‘ diese Personen. Ob diese Einschätzungen zutreffend sind, ist dabei wie oben erwähnt unerheblich. An diesem Ergebnis kann der Umstand nichts ändern, dass die betreffenden Informationen im Wege der Auswertung von Statistiken bzw. Meinungsumfragen aggregiert wurden.
29Die insofern zutreffende Auslegung des Art. 4 Z 1 DSGVO durch das Bundesverwaltungsgericht steht auch in Einklang mit der Entscheidung des Gerichtshofs der Europäischen Union (EuGH) vom 20. Dezember 2017, Rs C 434/16, Nowak [ECLI:EU:C:2017:994]: Dort führt der EuGH in Ansehung der Vorgängerregelung des Art. 2 lit. a RL 95/46/EG aus, in der Verwendung des Ausdrucks ,alle Informationen‘ im Zusammenhang mit der Bestimmung des Begriffs ,personenbezogene Daten‘ komme das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen. Er sei nicht auf sensible oder private Informationen beschränkt, sondern umfasse potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen ,über‘ die in Rede stehende Person handelt (vgl. EuGH, C 434/16, Nowak , Rz 34). Der EuGH beantwortete dort weiter das Vorliegen personenbezogener Daten anhand der Fragestellung, ob aufgrund der Daten Informationen über die betroffene Person vorlägen, ob diese Daten einen mit dem Betroffenen verbundenen Zweck erfüllen würden bzw. ob sich die Verwendung der Daten auf die Rechte und Interessen der betroffenen Person auswirken könnten (vgl. EuGH, C 434/16, Nowak , Rz 37 bis 39; vgl. dazu auch die Stellungnahme 4/2007 der Art 29 Datenschutzgruppe zum Begriff ,personenbezogene Daten‘, S 11 ff).
30Dass die hier in Frage stehenden, in Bezug auf einzelne bestimmte Personen getroffene Wahrscheinlichkeitsaussagen hinsichtlich deren Affinität zu bestimmten wahlwerbenden Parteien Informationen ,über‘ die betreffenden Personen im Sinne der genannten Entscheidung des Gerichtshofs der Europäischen Union sind, kann nicht ernstlich in Zweifel gezogen werden. So dienen diese dem Zweck, Betroffenen Werbung verstärkt oder in geringerem Ausmaß zukommen zu lassen, und haben insofern Auswirkungen auf das Verhalten von Dritten den Betroffenen gegenüber. Vor dem Hintergrund der oben dargestellten Rechtslage sind die Daten daher als ,personenbezogen‘ im Sinne des Art. 4 Z 1 DSGVO anzusehen.“
18 4.3. Im vorliegenden Fall enthalten die der namentlich bezeichneten (und somit identifizierten) Mitbeteiligten zugeordneten Sinus Geo Milieus Wahrscheinlichkeitsaussagen über ihre Grundhaltung und Lebensweise. Ob diese Einschätzungen zutreffend sind, istwie schon im Erkenntnis VwGH Ro 2021/04/0007 dargelegt unerheblich. Es kann daher nicht in Zweifel gezogen werden, dass es sich bei den konkret der Mitbeteiligten zugeordneten Aussagen um Informationen „über“ diese Person handelt (vgl. in diesem Sinn erneut das bereits genannte Urteil des EuGH C 434/16, Rn. 34, wonach der Begriff „personenbezogene Daten“ [in der Vorgängerregelung des Art. 2 lit. a RL 95/46/EG] nicht auf sensible oder private Informationen beschränkt ist, sondern potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt).
19 Somit sind wie schon die „Parteiaffinitäten“ auch die gegenständlichen Informationen zu den Sinus Geo Milieus als personenbezogene Daten im Sinn des Art. 4 Z 1 DSGVO zu qualifizieren. Dies steht in Einklang mit der Rechtsprechung des Obersten Gerichtshofes, der (einer Person mit Wahrscheinlichkeitswert zugeordnete) Sinus GeoMilieus als personenbezogene Daten gemäß Art. 4 Z 1 DSGVO erachtet hat (vgl. OGH 24.3.2023, 6 Ob 19/23x, Rn. 14 f).
20 Soweit die Revisionswerberin in diesem Zusammenhang darauf verweist, diese Daten seien über statistische Wahrscheinlichkeiten berechnet worden und lediglich Wohnadressen zugeordnet, weshalb Sinus Geo Milieus mit einer natürlichen Person „nichts zu tun“ hätten, ist dem entgegenzuhalten, dass die Revisionswerberin als datenschutzrechtliche Verantwortliche im Sinn des Art. 4 Z 7 DSGVO unbestritten über Datensätze verfügt hat, in denen der namentlich genannten Mitbeteiligten (und somit einer natürlichen Person) aufgrund bestimmter Korrelationen konkrete Wahrscheinlichkeitswerte der einzelnen Sinus Geo Milieus zugeordnet waren. Dass diese Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet worden sind, ändert wie bereits dargelegtnichts am Vorliegen personenbezogener Daten (vgl. in diesem Sinn auch OGH 18.2.2021, 6 Ob 127/20z, Rn. 19; weiters [dort wiederum iZm Parteiaffinitäten] VwGH Ro 2021/04/0007, Rn. 35). Gleiches gilt für den von der Revisionswerberin ins Treffen geführten Umstand, dass Sinus Geo Milieus (in einem ersten Schritt) mit Objekten (Gebäuden) verknüpft werden, weil im vorliegenden Fall in weiterer Folge eben auch eine Verknüpfung mit natürlichen Personen (wie der Mitbeteiligten) erfolgte.
21 Im vorliegenden Fall ist auch unstrittig (siehe dazu oben Rn. 4) und wird in der Revision nicht in Abrede gestellt, dass die Revisionswerberin Daten zu Sinus Geo Milieus von der A GmbH bezogen, diese in einer Datenbank gespeichert und zu Marketingzwecken weiterverwendet hat. Angesichts dessen ist nicht zweifelhaft, dass eine Verarbeitung personenbezogener Daten im Sinn des Art. 4 Z 2 DSGVO, worunter unter anderem das Ordnen, die Speicherung, die Verwendung und die Offenlegung durch Übermittlung fallen, vorliegt (vgl. in diesem Zusammenhang auch EuGH 24.2.2022, C 175/20, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], Rn. 35, wonach der Begriff „Verarbeitung“ weit zu verstehen ist).
22 4.4.Der in der Revision erstatteten Rüge betreffend die Beweiswürdigung ist entgegenzuhalten, dass die Beweiswürdigung des Verwaltungsgerichtes nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes nur in beschränktem Maße, nämlich nur hinsichtlich ihrer Schlüssigkeit, nicht aber hinsichtlich ihrer Richtigkeit, einer Überprüfung durch den Verwaltungsgerichtshof unterliegt (vgl. VwGH 16.12.2022, Ro 2021/04/0017, Rn. 23, mwN). Eine vom Verwaltungsgerichtshof aufzugreifende Unschlüssigkeit der Beweiswürdigung des BVwG vermag die Revisionswerberin vorliegend aber nicht aufzuzeigen. Gleiches gilt für das Vorbringen, wonach das BVwG bestimmte, konkret ausformulierte Feststellungen (bestimmten Inhalts) zu treffen gehabt hätte, weil auch damit der Sache nach die Beweiswürdigung gerügt wird. Soweit die Revisionswerberin darüberhinausgehend (ungeachtet dessen, dass sie an anderer Stelle davon spricht, der maßgebliche Sachverhalt sei erhoben worden) Feststellungen (zu bestimmten Themen) vermisst, wird die Relevanz der damit geltend gemachten Feststellungsmängel nicht aufgezeigt (vgl. zum Erfordernis der Relevanzdarlegung etwa VwGH 26.9.2022, Ro 2020/04/0036, Rn. 21; bzw. iZm einem behaupteten Verstoß gegen den UnmittelbarkeitsgrundsatzVwGH 1.9.2022, Ra 2022/09/0090, Rn. 7, jeweils mwN). Gleiches gilt für das Vorbringen der Revisionswerberin, ihr sei hinsichtlich der vom BVwG ins Treffen geführten Internetrecherche kein Parteiengehör eingeräumt worden (vgl. diesbezüglich zum Erfordernis einer Relevanzdarstellung VwGH 5.3.2021, Ra 2018/04/0141 bis 0143, Rn. 82).
23 4.5. Der Auffassung, bei den verfahrensgegenständlichen Informationen handle es sich um personenbezogene Daten im Sinn des Art. 4 Z 1 DSGVO, stehen auch nicht die von der Revisionswerberin ins Treffen geführten Ausführungen des EuGH (in näher bezeichneten Entscheidungen) zu so genannten „Selektionskriterien“ bzw. „im Voraus festgelegten Kriterien“ entgegen.
24 In seinem Urteil vom 5. April 2022, C 140/20, Commissioner of An Garda Síochána , hat der EuGH anerkannt, dass eine Maßnahme gezielter Vorratsdatenspeicherung (von Telekommunikationsdaten) auf der Grundlage objektiver und nicht diskriminierender Anhaltspunkte auch auf ein „geografisches Kriterium“ gestützt werden könne, ohne dass dies zu Diskriminierungen führe (Rn. 79 f). In seinem Urteil vom 21. Juni 2022, C 817/19, Ligue des droits humains , hat sich der EuGH mit den „im Voraus festgelegten Kriterien“ im Sinn des Art. 6 Abs. 3 lit. b der Richtlinie 2016/681/EU über die Verwendung von Fluggastdatensätzen (PNR Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (PNR RL) befasst, die wiederum so die Revisionswerberin wie Sinus Geo Milieus auf mathematisch statistischen Modellen beruhten. Der EuGH hat in diesem Urteil (ua.) Aussagen dazu getroffen, welchen Erfordernissen diese „im Voraus festgelegten Kriterien“ entsprechen müssen, aber auch festgehalten, dass die von der PNR RL erfassten Verarbeitungen von PNR Daten unter Art. 8 GRC fallen, weil sie Verarbeitungen personenbezogener Daten im Sinn dieses Artikels darstellen und deshalb zwangsläufig die dort vorgesehenen Erfordernisse des Datenschutzes erfüllen müssen (Rn. 95 bzw. 193 ff).
25 Die Revisionswerberin vermag mit ihrem Vorbringen allerdings nicht in einer für den Verwaltungsgerichtshof nachvollziehbaren Weise aufzuzeigen, inwieweit aus diesen Entscheidungen für die Frage, ob es sich bei den hier gegenständlichen Daten zu Sinus Geo Milieus betreffend die Mitbeteiligte um personenbezogene Daten handle, etwas abzuleiten sei bzw. inwieweit die dort zu beurteilende Problematik mit der hier gegenständlichen Konstellation (in der bestimmte Aussagen einer identifizierten natürlichen Person zugeschrieben wurden) vergleichbar wäre. Angesichts dessen lässt sich auch aus dem von der Revisionswerberin ins Treffen geführten Umstand, wonach der EuGH diese (Selektions- bzw. im Voraus festgelegten) Kriterien in den zitierten Urteilen an keiner Stelle als personenbezogene Daten bezeichnet habe, für den vorliegenden Fall nichts gewinnen.
5. Verarbeitung besonderer Kategorien personenbezogener Daten
26 5.1. Die Revisionswerberin macht zusammengefasst geltend, aus den verfahrensgegenständlichen Informationen ließen sich keine weltanschaulichen Überzeugungen im Sinn des Art. 9 Abs. 1 DSGVO ableiten. Der Oberste Gerichtshof habe etwa ausgesprochen, selbst aus dem Begriff „Burschenschaft“ bzw. aus einer kritischen Haltung zur Asylgesetzgebung oder zu Covid 19 Maßnahmen gehe keine Weltanschauung hervor (Verweis auf OGH 25.11.2021, 9 ObA 130/21i). Eine Weltanschauung setze eine gefestigte innere Überzeugung voraus, zumal es ansonsten unmöglich wäre, zwischen einer Weltanschauung und einer punktuellen, abänderlichen Meinung zu unterscheiden. Es könne daher niemandem eine Weltanschauung einfach (gemeint offenbar: von einem Dritten) zugeschrieben werden.
27 Des Weiteren sei es unzulässig, zur Auslegung der Sinus GeoMilieus Zusatzinformationen heranzuziehen, weil nach der Rechtsprechung des Verwaltungsgerichtshofes (Verweis auf VwGH 14.12.2021, Ro 2021/04/0007) die sensible Information zumindest mittelbar aus dem zugeschriebenen Begriff hervorgehen müsse. Selbst wenn man die vom BVwG herangezogenen Zusatzinformationen anwende (etwa die Definition des Begriffs „Postmaterielle“: „ Weltoffene Gesellschaftskritiker: Gebildetes, vielfältig kulturinteressiertes Milieu; kosmopolitisch orientiert, aber kritisch gegenüber Globalisierung; sozial engagiert“), würde sich daraus keine weltanschauliche Überzeugung ergeben. Vielmehr sei damit eine „Lifestyle Entscheidung“ umschrieben. Dies sei so die Revisionswerberin auch schlüssig, weil Werbetreibende ihre Zielgruppen nicht aufgrund weltanschaulicher Überzeugungen, sondern aufgrund ihres Konsumverhaltens wählen würden. Beim Begriff „Konservative“ könne man zwar die Qualität als weltanschauliche Überzeugung diskutieren, dieses Milieu sei der Mitbeteiligten aber nur mit einer Wahrscheinlichkeit von 5,72 % zugeschrieben worden. Schließlich verneint die Revisionswerberin auch das Vorliegen eines Gefahrenpotentials, auf Grund dessen die Sinus Geo Milieus dem Schutzzweck des Art. 9 DSGVO unterworfen werden sollten. Es handle sich um bloße geografische Kriterien, die zur Diskriminierung oder Verfolgung betroffener Personen völlig ungeeignet seien.
28 5.2. Gemäß Art. 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt. Art. 9 Abs. 2 DSGVO sieht Ausnahmen von diesem Verbot vor (siehe diesbezüglich Rn. 39).
29 Nach der Rechtsprechung des EuGH besteht der Zweck von Art. 9 Abs. 1 DSGVO darin, einen erhöhten Schutz vor Datenverarbeitungen zu gewährleisten, die aufgrund der besonderen Sensibilität der Daten, die Gegenstand der Verarbeitungen sind, einen besonders schweren Eingriff in die durch die Art. 7 und 8 der Charta verbürgten Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellen können (vgl. EuGH 21.12.2023, C 667/21, Krankenversicherung Nordrhein , Rn. 41).
30Für die Anwendbarkeit des Art. 9 Abs. 1 DSGVO reicht es aus, wenn hinsichtlich der Datenkategorien rassische und ethnische Herkunft, politische Meinungen, religiöse und weltanschauliche Überzeugung und Gewerkschaftszugehörigkeit die sensible Information nur mittelbar hervorgeht. Es werden somit auch indirekte Hinweise auf diese Merkmale dem besonderen Schutz unterworfen, wobei die Erkennbarkeit für einen durchschnittlichen, objektiven Dritten genügen soll (vgl. [wiederum zu den „Parteiaffinitäten“] VwGH 14.12.2021, Ro 2021/04/0007, Rn. 46, mwH).
31 Der EuGH hat zur Auslegung des Begriffs „besondere Kategorien personenbezogener Daten“ sowie zum „Hervorgehen“ im Sinn des Art. 9 Abs. 1 DSGVO in seinem Urteil vom 1. August 2022, C 184/20, Vyriausioji tarnybinės etikos komisija , Folgendes ausgeführt:
„122 [...] Art. 9 Abs. 1 der DSGVO bestimmt seinerseits, dass u. a. die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit ,hervorgehen‘, sowie die Verarbeitung von ,Gesundheitsdaten‘ oder Daten ,zum‘ Sexualleben oder zur sexuellen Orientierung einer natürlichen Person untersagt sind.
123 Wie der Generalanwalt in Nr. 85 seiner Schlussanträge der Sache nach ausgeführt hat, spricht die Verwendung des Verbs ,hervorgehen‘ in diesen Bestimmungen dafür, dass eine Verarbeitung erfasst ist, die sich nicht nur auf ihrem Wesen nach sensible Daten bezieht, sondern auch auf Daten, aus denen sich mittels eines Denkvorgangs der Ableitung oder des Abgleichs indirekt sensible Informationen ergeben [...].
[...]
125 Für eine weite Auslegung der Begriffe ,besondere Kategorien personenbezogener Daten‘ und ,sensible Daten‘ spricht auch das in Rn. 61 des vorliegenden Urteils genannte Ziel der Richtlinie 95/46 und der DSGVO, das darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen insbesondere ihres Privatlebens bei der Verarbeitung sie betreffender personenbezogener Daten zu gewährleisten [...].
[...]
127 Folglich können diese Bestimmungen nicht dahin ausgelegt werden, dass die Verarbeitung personenbezogener Daten, die indirekt sensible Informationen über eine natürliche Person offenbaren können, von der in diesen Bestimmungen vorgesehenen verstärkten Schutzregelung ausgenommen ist, da andernfalls die praktische Wirksamkeit dieser Regelung und der von ihr bezweckte Schutz der Grundrechte und Grundfreiheiten natürlicher Personen beeinträchtigt würden.“
32 5.3.Soweit die Revisionswerberin mit Verweis auf VwGH Ro 2021/04/0007, Rn. 46, geltend macht, die sensible Information müsse aus dem zugeschriebenen Begriff selbst hervorgehen, ist dem entgegenzuhalten, dass der Verwaltungsgerichtshof in diesem Erkenntnis auch festgehalten hat, dass indirekte Hinweise auf die in Art. 9 Abs. 1 DSGVO genannten Merkmale dem besonderen Schutz unterworfen sind, wobei die Erkennbarkeit für einen durchschnittlichen, objektiven Dritten genügen soll. Damit korrespondiert auch die zitierte Rechtsprechung des EuGH, wonach Art. 9 Abs. 1 DSGVO nicht dahin ausgelegt werden kann, dass die Verarbeitung personenbezogener Daten, die indirekt sensible Informationen über eine natürliche Person offenbaren können, von der in diesen Bestimmungen vorgesehenen verstärkten Schutzregelung ausgenommen ist (vgl. in diesem Zusammenhang auch Schiff in Ehmann/Selmayer , DS GVO² Art. 9 Rn. 20, dem zufolge die Anforderungen an das „Hervorgehen“ nicht allzu hoch angelegt werden sollten).
33Entgegen dem Revisionsvorbringen ist es im vorliegenden Fall auch nicht entscheidungswesentlich, ob es sich bei den verfahrensgegenständlichen Informationen betreffend eine Weltanschauung um eine gefestigte „innere“ Überzeugung der Mitbeteiligten handelt. So hat der Oberste Gerichtshof, dessen Ausführungen sich der Verwaltungsgerichtshof in seinem (eben genannten) Erkenntnis Ro 2021/04/0007 angeschlossen hat, in Bezug auf „Parteiaffinitäten“ ausgesprochen, dass Art. 9 DSGVO insbesondere auch davor schützen soll, dass betroffene Personen durch die Datenverarbeitung dem Risiko besonders schwerwiegender Diskriminierungen ausgesetzt sind, und es dann geboten erscheint, nicht nur solche Daten in den Schutzbereich des Art. 9 Abs. 1 DSGVO einzubeziehen, aus denen die tatsächliche politische Einstellung des Betroffenen hervorgeht, sondern gerade auch Daten über vermutete politische Vorlieben des Einzelnen, birgt doch deren Verarbeitung ebenfalls das Risiko besonderer negativer Folgen für den Betroffenen in sich (vgl. OGH 15.4.2021, 6 Ob 35/21x, Rn. 34). Es kommt daher beim Schutz nach Art. 9 Abs. 1 DSGVO nicht darauf an, ob die Zuordnung intendiert ist bzw. ob sie in Bezug auf den Betroffenen (inhaltlich) zutrifft (vgl. in diesem Sinn auch Weichert in Kühling/Buchner , DS GVO BDSG 3 [2020] Art. 9 DS GVO Rn. 24). Nichts Anderes kann aber für die hier gegenständlichen Zuschreibungen von Sinus Geo Milieus gelten.
34 Weiters ist erneut darauf zu verweisen, dass der Begriff „besondere Kategorien personenbezogener Daten“ gemäß Art. 9 Abs. 1 DSGVO nach der oben (Rn. 31) zitierten Rechtsprechung des EuGH weit auszulegen ist (vgl. von einem weiten Begriff sprechend auch Kastelitz/Hötzendorfer/Tschohl , in Knyrim , DatKomm Art. 9 Rn. 24; siehedort iZm mit Art. 19 AEUV zu einem weiten Verständnis des Begriffs Weltanschauung weiters Holoubek , in Schwarze , EUKommentar [2019] Art. 19 AEUV Rn. 16).
35 Damit übereinstimmend wurde in den Erläuterungen zu der (der Umsetzung der Richtlinie 2000/78/EG [Gleichbehandlungsrichtlinie] dienenden) Novelle zum Bundesgleichbehandlungsgesetz BGBl. I Nr. 65/2004, RV 285 BlgNR 22. GP 11, Folgendes festgehalten (vgl. diesbezüglich auch die Ausführungen in OGH 24.2.2009, 9 ObA 122/07t):
„Auch die Begriffe ,Religion oder Weltanschauung‘ sind auf europarechtlicher Ebene nicht definiert. Wegen des Ziels der Rahmen Gleichbehandlungsrichtlinie sind sie weit auszulegen. [...] Der Oberbegriff ,Weltanschauung‘ [...] dient als Sammelbezeichnung für alle religiösen, ideologischen, politischen, uä. Leitauffassungen vom Leben und von der Welt als einem Sinnganzen sowie zur Deutung des persönlichen und gemeinschaftlichen Standortes für das individuelle Lebensverständnis. Weltanschauungen sind keine wissenschaftliche[n] Systeme, sondern Deutungsauffassungen in der Form persönlicher Überzeugungen von der Grundstruktur, Modalität und Funktion des Weltganzen. [...]“
36 Vor diesem Hintergrund ist das BVwG zutreffend davon ausgegangen, dass sich unter Berücksichtigung des Schutzzwecks des Art. 9 DSGVO, die Benachteiligung von Personen aufgrund ihrer Zugehörigkeit zu einem bestimmten Milieu bzw. einer bestimmten Weltanschauung hintanzuhalten, aus den der Mitbeteiligten mit einem Wahrscheinlichkeitswert zugeschriebenen Sinus Geo Milieus weltanschauliche Überzeugungen im Sinn des Art. 9 Abs. 1 DSGVO ergeben. In diesem Zusammenhang ist es nicht erheblich, ob jedem einzelnen Milieu bzw. jeder einzelnen Zuschreibung einer Wahrscheinlichkeit für sich allein betrachtet eine weltanschauliche Überzeugung zu entnehmen ist. Maßgeblich ist vielmehr, dass jedenfalls einzelnen dieser Milieus Hinweise auf weltanschauliche Überzeugungen zu entnehmen sind und dass sich ausgehend davon aus dem Zusammenspiel der den einzelnen Milieus zugeordneten Wahrscheinlichkeitswerte bzw. einer Gesamtsicht darauf Schlussfolgerungen auf (wenn auch nur vermutete) weltanschauliche Überzeugungen ziehen lassen.
37 An dieser Sichtweise vermögen auch die von der Revisionswerberin konkret auf die Mitbeteiligte bezogenen Ausführungen nichts zu ändern: Soweit die Revisionswerberin darauf verweist, der Mitbeteiligten sei bei dem allenfalls als weltanschauliche Überzeugung einzustufendenBegriff „Konservative“ nur eine sehr geringe Wahrscheinlichkeit zugeschrieben worden, ist auf die Ausführungen des Verwaltungsgerichtshofes im Erkenntnis Ro 2021/04/0007 (Rn. 50) hinzuweisen, wonach nicht nur die Unterstellung eines gesteigerten Interesses für eine bestimmte Partei, sondern ebenso die sich aus den Daten allenfalls ergebende Ablehnung oder auch die Gleichgültigkeit gegenüber einer oder allen die Schlussfolgerung auf eine bestimmte politische Haltung erlaubt. Auch diesbezüglich kann hinsichtlich der hier gegenständlichen Zuschreibungen von Sinus Geo Milieus nichts Anderes gelten.
38 Im vorliegenden Fall hat das BVwG seiner Entscheidung zugrunde gelegt, dass die Mitbeteiligte mit deutlich dominanter Wahrscheinlichkeit dem Milieu „Postmaterielle“ zugeordnet worden und ihr die Eigenschaft bzw. Haltung als „weltoffene Gesellschaftskritikerin, in einem gebildeten, vielfältig kulturinteressierten Milieu“ zugeschrieben werde. Sie sei aufgrund dieser Zuordnung „kosmopolitisch orientiert, aber kritisch gegenüber Globalisierung“ und „sozial engagiert“. Im Zusammenspiel mit den fallbezogen der Mitbeteiligten mit geringen Wahrscheinlichkeitswerten zugeordneten Sinus Geo Milieus „Konservative“, und „Traditionelle“, die sich nach den Feststellungen des BVwG (in ähnlicher Weise) durch Traditionalismus und einer kritischen Haltung gegenüber aktuellen gesellschaftlichen Entwicklungen bzw. einer Fokussierung auf Sicherheit und Ordnung auszeichnen, ergibt sich daher entgegen dem Revisionsvorbringen in einer Gesamtbetrachtung unter Berücksichtigung des Schutzzwecks des Art. 9 DSGVO sehr wohl, dass aus den verfahrensgegenständlichen Informationen ausreichend deutlich weltanschauliche Überzeugungen im Sinn dieser Bestimmung hervorgehen.
39 Die gegenständlichen der Mitbeteiligten mit einem Wahrscheinlichkeitswert zugeschriebenen Sinus Geo Milieus sind daher unter den Begriff der besonderen Kategorie personenbezogener Daten des Art. 9 Abs. 1 DSGVO zu subsumieren und fallen somit unter den besonderen Schutz dieser Bestimmung (vgl. in diesem Sinn auch Mangelberger/Scheichenbauer , Die Grenzen der weltanschaulichen Überzeugung in der DS GVO, in jusIT 5/2021, 202 [207 f]). Ihre Verarbeitung wäre daher nur bei Vorliegen eines Ausnahmetatbestandes nach Art. 9 Abs. 2 DSGVO zulässig (vgl. diesbezüglich EuGH 21.12.2023, C 667/21, Krankenversicherung Nordrhein , Rn. 42); dass ein solcher Tatbestand vorgelegen wäre, wird in der Revision nicht behauptet.
6. Verhaltensregeln nach Art. 40 DSGVO
40 6.1 . Die Revisionswerberin bringt zur Rechtfertigung der Datenverarbeitung vielmehr vor, sie habe die Sinus Geo Milieus aus dem Marketingdateisystem des Adressverlags und Direktmarketingunternehmens A GmbH bezogen. Nach § 6 Abs. 1 Z 3 der von der belangten Behörde mit Bescheid genehmigtenVerhaltensregeln gemäß Art. 40 DSGVO für die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen gemäß § 151 GewO 1994 sei im Fall der Verarbeitung sensibler Daten das Vorliegen der erforderlichen Einwilligungen der Betroffenen durch den die Daten liefernden Adressverlag sicherzustellen. Die Revisionswerberin habe daher darauf vertrauen dürfen, dass der die Daten liefernde Adressverlag A GmbH die erforderlichen Einwilligungen tatsächlich eingeholt habe. Durch die Genehmigung der Verhaltensregeln sei von der belangten Behörde ein Vertrauenstatbestand sowie ein Rechtfertigungsgrund geschaffen worden, auf den sich die Revisionswerberin verlassen habe dürfen. Es bestehe keine Verpflichtung der Revisionswerberin, zu prüfen, ob der liefernde Adressverlag allenfalls erforderliche Einwilligungen tatsächlich eingeholt habe.
41 6.2. Nach Art. 40 Abs. 1 DSGVO fördern die Mitgliedstaaten, die Aufsichtsbehörden, der Ausschuss und die Kommission die Ausarbeitung von Verhaltensregeln, die nach Maßgabe der Besonderheiten der einzelnen Verarbeitungsbereiche und der besonderen Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen zur ordnungsgemäßen Anwendung dieser Verordnung beitragen sollen. Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, können gemäß Art. 40 Abs. 2 DSGVO Verhaltensregeln ausarbeiten, mit denen die Anwendung der DSGVO präzisiert wird. Nach Art. 40 Abs. 5 DSGVO gibt die Aufsichtsbehörde eine Stellungnahme darüber ab, ob der Entwurf der Verhaltensregeln mit dieser Verordnung vereinbar ist, und genehmigt diesen Entwurf der Verhaltensregeln, wenn sie der Auffassung ist, dass er ausreichende geeignete Garantien bietet.
42 Nach Erwägungsgrund 98 zur DSGVO sollten Verbände oder andere Vereinigungen, die bestimmte Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, ermutigt werden, in den Grenzen der DSGVO Verhaltensregeln auszuarbeiten, um eine wirksame Anwendung der DSGVO zu erleichtern.
43 Bei Verhaltensregeln handelt es sich um ein Instrument der Selbstregulierung bzw. Selbstbindung. Verhaltensregeln sollen durch bereichsspezifische Präzisierungen der DSGVO praxisnah dazu beitragen, auf die Besonderheiten einzelner Branchen einzugehen und damit für die jeweiligen Unternehmer die ordnungsgemäße Anwendbarkeit der DSGVO zu erleichtern (vgl. Jahnel , DSGVO [2021] Art. 40 Rn. 2). Mit dieser Zielsetzung wäre es nicht vereinbar, sollten die Verhaltensregeln das in der DSGVO vorgesehene Niveau unterschreiten. Dies lässt sich auch Erwägungsgrund 98 entnehmen, dem zufolge sich die Verhaltensregeln innerhalb der Grenzen der DSGVO halten müssen (vgl. ebenso auf Erwägungsgrund 98 verweisend Strohmaier in Knyrim , DatKomm Art. 40 Rn. 46; weiters Paal/Kumkar in Paal/Pauly , DSGVO BDSG 3 [2021] Art. 40 DSGVO Rn. 15).
44 Diese Auffassung hat auch der EuGH in seinem Urteil vom 7. Dezember 2023, C 26/22, C 64/22, SCHUFA Holding , zu den Verhaltensregeln gemäß Art. 40 DSGVO zum Ausdruck gebracht:
„102Darüber hinaus wird nach Art. 40 Abs. 5 DSGVO ein Entwurf der Verhaltensregeln der zuständigen Aufsichtsbehörde vorgelegt, die ihn genehmigt, wenn sie der Auffassung ist, dass er ausreichende geeignete Garantien bietet.
103Im vorliegenden Fall wurden die Verhaltensregeln, um die es in den Ausgangsverfahren geht, von dem Verband der Wirtschaftsauskunfteien ausgearbeitet und von der zuständigen Aufsichtsbehörde genehmigt.
104Obwohl Verhaltensregeln zwar nach Art. 40 Abs. 1 und 2 DSGVO zur ordnungsgemäßen Anwendung dieser Verordnung beitragen und ihre Anwendung präzisieren sollen, können jedoch, wie der Generalanwalt in den Nrn. 103 und 104 seiner Schlussanträge ausgeführt hat, die in solchen Verhaltensregeln festgelegten Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten nicht von den in Art. 6 Abs. 1 DSGVO festgelegten Bedingungen abweichen.
105Daher können Verhaltensregeln, die zu einer anderen Beurteilung führen würden als derjenigen, die sich nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO ergibt, bei der Abwägung nach dieser Bestimmung nicht berücksichtigt werden.“
45 6.3.Im vorliegenden Fall ist unstrittig, dass die belangte Behörde als nationale Aufsichtsbehörde die Verhaltensregeln gemäß Art. 40 DSGVO für die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen gemäß § 151 GewO 1994 (mit Bescheid vom 7. August 2020) genehmigt hat. Diese Verhaltensregeln sehen in § 6 Abs. 1 Z 3 vor, für den Fall, dass die Ermittlung sensibler oder strafrelevanter Daten im Zuge des Zukaufs oder der Anmietung aus Marketing Dateisystemen anderer Adressverlage und Direktmarketingunternehmen erfolgt, ist das Vorliegen der erforderlichen Einwilligungen der Betroffenen vom Daten liefernden Adressverlag oder Direktmarketingunternehmen sicherzustellen. Nach den unbestritten gebliebenen Feststellungen im angefochtenen Erkenntnis hat die Mitbeteiligte im vorliegenden Fall keine Zustimmung zur Verarbeitung der gegenständlichen Daten erteilt.
46 Der Argumentation der Revisionswerberin, durch die Genehmigung der Verhaltensregeln sei ihr Verhalten gerechtfertigt gewesen, ist im vorliegenden Fall schon deshalb nicht zu folgen, weil die hier zugrundeliegenden Verhaltensregeln vor dem Hintergrund der dargestellten Rechtslage nicht dahingehend verstanden werden können, dass sie eine Rechtmäßigkeit der Verarbeitung sensibler Daten ohne Vorliegen eines Ausnahmetatbestandes vorsehen würden. Die Sichtweise der Revisionswerberin würde in einem Fall wie dem vorliegenden nämlich dazu führen, dass der Adressverlag, der von einem anderen Adressverlag Daten erhält, von seiner datenschutzrechtlichen Verantwortlichkeit gegenüber der betroffenen Person entbunden wäre, selbst wenn keine Einwilligung zur Verarbeitung erteilt wurde und damit auch keine Datenverarbeitung im Einklang mit den Verhaltensregeln vorliegt. Somit könnten personenbezogene Daten, aus denen weltanschauliche Überzeugungen hervorgehen, entgegen Art. 9 Abs. 1 DSGVO verarbeitet werden, obwohl keine Einwilligung im Sinn des Art. 9 Abs. 2 lit. a DSGVO (und auch kein sonstiger Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO) vorliegt. Dies wäre jedoch mit der oben genannten Zielsetzung, die ordnungsgemäße Anwendbarkeit der DSGVO zu erleichtern, unvereinbar, weil damit das in der DSGVO vorgesehene Niveau unterschritten werden würde. Zudem ist zu beachten, dass die Einhaltung von genehmigten Verhaltensregeln in Art. 9 Abs. 2 DSGVO nicht als Ausnahmetatbestand angeführt wird (gleiches gilt im Übrigen hinsichtlich der in Art. 6 DSGVO aufgezählten Tatbestände für eine Rechtmäßigkeit der Verarbeitung personenbezogener Daten).
47 Ausgehend davon ist für die Revisionswerberin im vorliegenden Fall auch mit ihrem Vorbringen zu den genehmigten Verhaltensregeln nach Art. 40 DSGVO nichts zu gewinnen.
7. Ergebnis
48Da bereits der Inhalt der Revision aus den dargelegten Erwägungen erkennen lässt, dass die behaupteten Rechtsverletzungen nicht vorliegen, war die Revision gemäß § 35 Abs. 1 VwGG ohne weiteres Verfahren als unbegründet abzuweisen.
49Von der Durchführung der beantragten mündlichen Verhandlung konnte gemäß § 39 Abs. 2 Z 6 VwGG abgesehen werden, zumal die Revisionswerberin in ihrer Revision einleitend selbst festhält, dass der maßgebliche Sachverhalt (durch Heranziehen der Niederschrift der mündlichen Verhandlung aus dem Parallelverfahren) erhoben worden sei, wodurch eine (von der Revisionswerberin beantragte) Entscheidung des Verwaltungsgerichtshofes in der Sache möglich sei.
Wien, am 17. Mai 2024
Rückverweise
RIS