← Österreich

{'item': 'W292 2246450-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum23.02.2023 GeschäftszahlW292 2246450-1 Spruch, W292 2246450-1/11E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

Art. 133Abs.

4 B-VG nicht zulässig.

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

  1. Mit dem angefochtenen Bescheid hat die belangte Behörde – soweit für das verwaltungsgerichtliche Verfahren noch maßgeblich – der Datenschutzbeschwerde des XXXX (Antragsteller im Verfahren vor der belangten Behörde, mitbeteiligte Partei im Verfahren vor dem BVwG) vom 19.06.2020 (verbessert am 25.09.2020) stattgegeben und festgestellt, dass die datenschutzrechtlich Verantwortliche die mitbeteiligte Partei in dessen Recht auf Geheimhaltung verletzt habe, indem sie
  2. Mit dem angefochtenen Bescheid hat die belangte Behörde – soweit für das verwaltungsgerichtliche Verfahren noch maßgeblich – der Datenschutzbeschwerde des römisch 40 (Antragsteller im Verfahren vor der belangten Behörde, mitbeteiligte Partei im Verfahren vor dem BVwG) vom 19.06.2020 (verbessert am 25.09.2020) stattgegeben und festgestellt, dass die datenschutzrechtlich Verantwortliche die mitbeteiligte Partei in dessen Recht auf Geheimhaltung verletzt habe, indem sie a. Daten der mitbeteiligten Partei nach Vertragsbeendigung zu Zwecken der Direktwerbung und des maschinellen Lernens weiterverarbeitet habe und b. Adressdaten der mitbeteiligten Partei zum Datenabgleich an die österreichische XXXX übermittelt habe.b. Adressdaten der mitbeteiligten Partei zum Datenabgleich an die österreichische römisch 40 übermittelt habe. Die belangte Behörde ging dabei – soweit hier von Interesse – von folgendem Sachverhalt aus: Die Beschwerdegegnerin sei ein Unternehmen, welches Onlinedienste anbietet und der Beschwerdeführer sei Kunde der Beschwerdegegnerin gewesen und habe sein Abonnement mit Wirksamkeit zum 31.08.2020 gekündigt. Mit Schreiben vom 31.05.2020 habe die Beschwerdegegnerin die Kündigung des Beschwerdeführers bestätigt und den 31.08.2020 als Austrittsdatum festgehalten, wobei sie im Zuge der Übermittlung der Kündigungsbestätigung in datenschutzrechtlicher Hinsicht die Informationen erteilte, wonach personenbezogene Daten des Beschwerdeführers nach Beendigung des Vertrages zu Zwecken der Direktwerbung und maschinellen Lernens aufgrund berechtigter Interessen weiterverarbeitet werden könnten, der Beschwerdeführer dieser Datenverarbeitung jedoch widersprechen könne.
  3. Die Bescheidbeschwerde richtet sich ausschließlich gegen Spruchpunkt 1 des angefochtenen Bescheides und führt inhaltlich aus, dass im Falle der mitbeteiligten Partei keine personenbezogenen Daten nach Vertragsbeendigung verarbeitet worden seien und weist darauf hin, dass seitens der belangten Behörde hierzu auch keinerlei Feststellungen getroffen worden seien. Weiterhin führt die Beschwerde in rechtlicher Hinsicht aus, dass selbst unter der Annahme, dass die behaupteten Datenverarbeitungsvorgänge zu Zwecken der Direktwerbung nach Beendigung des Kundenvertrages durchgeführt worden wären, diese im Rahmen einer rechtmäßigen Zweckänderung von Art. 5 Abs. 1 lit. b iVm Art. 6 Abs. 4 DSGVO gedeckt wären.
  4. Die Bescheidbeschwerde richtet sich ausschließlich gegen Spruchpunkt 1 des angefochtenen Bescheides und führt inhaltlich aus, dass im Falle der mitbeteiligten Partei keine personenbezogenen Daten nach Vertragsbeendigung verarbeitet worden seien und weist darauf hin, dass seitens der belangten Behörde hierzu auch keinerlei Feststellungen getroffen worden seien. Weiterhin führt die Beschwerde in rechtlicher Hinsicht aus, dass selbst unter der Annahme, dass die behaupteten Datenverarbeitungsvorgänge zu Zwecken der Direktwerbung nach Beendigung des Kundenvertrages durchgeführt worden wären, diese im Rahmen einer rechtmäßigen Zweckänderung von Artikel 5, Absatz eins, Litera b, in Verbindung mit Artikel 6, Absatz 4, DSGVO gedeckt wären.
  5. Im Rahmen der durchgeführten mündlichen Verhandlung vor dem Bundesverwaltungsgericht gibt die mitbeteiligte Partei sodann an, dass – entgegen der seitens der belangten Behörde getroffenen Feststellungen – das Vertragsverhältnis zwischen ihm und der XXXX GmbH nicht am 31.08.2020 geendet habe, sondern vielmehr bis dato ein aufrechtes Vertragsverhältnis bestehe.
  6. Im Rahmen der durchgeführten mündlichen Verhandlung vor dem Bundesverwaltungsgericht gibt die mitbeteiligte Partei sodann an, dass – entgegen der seitens der belangten Behörde getroffenen Feststellungen – das Vertragsverhältnis zwischen ihm und der römisch 40 GmbH nicht am 31.08.2020 geendet habe, sondern vielmehr bis dato ein aufrechtes Vertragsverhältnis bestehe. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
  7. Feststellungen: 1.
  8. Zwischen der XXXX GmbH (als datenschutzrechtlich Verantwortlicher, Beschwerdeführerin im verwaltungsgerichtlichen Verfahren) und Dr. XXXX (als datenschutzrechtlich Betroffenen, mitbeteiligte Partei im hg Verfahren) besteht (jedenfalls) seit Mai 2020 ein aufrechtes Vertragsverhältnis zur Erbringung von Mediendienstleistungen im Bereich des Bezahlfernsehangebotes der Beschwerdeführerin. Zwar war eine Kündigung des Vertragsverhältnisses von der mitbeteiligten Partei intendiert, jedoch ging das zunächst gekündigte Vertragsverhältnis nahtlos in ein neu vereinbartes Vertragsverhältnis über. Die mitbeteiligte Partei steht damit – jedenfalls seit Mai 2020 bis zum Entscheidungszeitpunkt – in einem aufrechten Vertragsverhältnis zur Beschwerdeführerin als deren (Fernseh-)Kunde.1.
  9. Zwischen der römisch 40 GmbH (als datenschutzrechtlich Verantwortlicher, Beschwerdeführerin im verwaltungsgerichtlichen Verfahren) und Dr. römisch 40 (als datenschutzrechtlich Betroffenen, mitbeteiligte Partei im hg Verfahren) besteht (jedenfalls) seit Mai 2020 ein aufrechtes Vertragsverhältnis zur Erbringung von Mediendienstleistungen im Bereich des Bezahlfernsehangebotes der Beschwerdeführerin. Zwar war eine Kündigung des Vertragsverhältnisses von der mitbeteiligten Partei intendiert, jedoch ging das zunächst gekündigte Vertragsverhältnis nahtlos in ein neu vereinbartes Vertragsverhältnis über. Die mitbeteiligte Partei steht damit – jedenfalls seit Mai 2020 bis zum Entscheidungszeitpunkt – in einem aufrechten Vertragsverhältnis zur Beschwerdeführerin als deren (Fernseh-)Kunde. 1.
  10. Die mitbeteiligte Partei hat der Beschwerdeführerin gegenüber, jedenfalls seit Mai 2020 bis zum Entscheidungszeitpunkt, keinen Widerspruch gegen die Verarbeitung personenbezogener Daten zum Zweck der Direktwerbung und maschinellen Lernens abgegeben. 1.
  11. Im Rahmen des verfahrenseinleitenden Antrages vom 19.06.2020, dessen Inhalt aus vom Antragsteller zu vertretenden technischen Gründen in Bezug auf das Feld „Sachverhalt“ nicht lesbar war, sodass der vollständige Inhalt der Eingabe erst anhand des Anbringens vom 03.01.2021 zur Anregung der amtswegigen Behebung eines in der Sache ergangenen Zurückweisungsbescheides ersichtlich wurde, führte die mitbeteiligte Partei hinsichtlich des Sachverhaltes, der zur behaupteten Verletzung im Recht auf Geheimhaltung geführt haben soll, wörtlich aus wie folgt [Hervorhebungen durch das Bundesverwaltungsgericht]: „Infolge meiner Vertragskündigung wurde mir mit Schreiben vom 31.5.2020 mitgeteilt, dass
  12. meine Adressdaten zu Werbezwecken und
  13. "Rahmendaten" aus meinem Vertrag für "maschinelles Lernen" genutzt werden. Für beide Verarbeitungen wird als Rechtsgrundlage berechtigtes Interesse nach Art 6 Abs. 1 lit f DSGVO angeführt.Für beide Verarbeitungen wird als Rechtsgrundlage berechtigtes Interesse nach Artikel 6, Absatz eins, Litera f, DSGVO angeführt. Dieses kann mA nicht einmal im Ansatz vorliegen. Es handelt sich um eine Scheinbegründung, deren Unrichtigkeit den Verantwortlichen bewusst sein muss, auch wenn sie nur über rudimentäre Rechtskenntnisse verfügten. Nachdem ich kürzlich ein Schreiben von XXXX erhalten hatte, dass sie meine Adressdaten zur Prüfung auf ihre Aktualität mit der österr. XXXX abgleichen werden, wenn ich nicht binnen kurzer Frist widerspreche (bemerkenswerterweise anstatt mich selbst zu fragen, ob sie aktuell ist) und hierfür dieselbe Rechtsgrundlage behauptet wurde, bin ich nunmehr nachhaltig verärgert über den Umgang von XXXX mit den Datenschutzrechten ihrer Kunden, was mich nun zu dieser Beschwerde veranlasst.“Nachdem ich kürzlich ein Schreiben von römisch 40 erhalten hatte, dass sie meine Adressdaten zur Prüfung auf ihre Aktualität mit der österr. römisch 40 abgleichen werden, wenn ich nicht binnen kurzer Frist widerspreche (bemerkenswerterweise anstatt mich selbst zu fragen, ob sie aktuell ist) und hierfür dieselbe Rechtsgrundlage behauptet wurde, bin ich nunmehr nachhaltig verärgert über den Umgang von römisch 40 mit den Datenschutzrechten ihrer Kunden, was mich nun zu dieser Beschwerde veranlasst.“ 1.
  14. Die Beschwerdeführerin informierte ihre Kunden – darunter auch die mitbeteiligte Partei – mit E-Mail vom 06.05.2020, dass im Zeitraum von 21.05.2020 bis 04.06.2020 Adressdaten aller Bestandskunden mit der Österreichischen XXXX AG abgeglichen werden, um die Aktualität der Kundenanschriften zu gewährleisten. Mit dem genannten E-Mail wurde auch darauf hingewiesen, dass dies aufgrund eines berechtigten Interesses im Sinne von Art. 6 Abs. 1 lit f DSGVO durchgeführt werde sowie der jeweilige Kunde gegen diese Datenübermittlung widersprechen könne. Die mitbeteiligte Partei hat hierzu keinen Widerspruch eingelegt.1.
  15. Die Beschwerdeführerin informierte ihre Kunden – darunter auch die mitbeteiligte Partei – mit E-Mail vom 06.05.2020, dass im Zeitraum von 21.05.2020 bis 04.06.2020 Adressdaten aller Bestandskunden mit der Österreichischen römisch 40 AG abgeglichen werden, um die Aktualität der Kundenanschriften zu gewährleisten. Mit dem genannten E-Mail wurde auch darauf hingewiesen, dass dies aufgrund eines berechtigten Interesses im Sinne von Artikel 6, Absatz eins, Litera f, DSGVO durchgeführt werde sowie der jeweilige Kunde gegen diese Datenübermittlung widersprechen könne. Die mitbeteiligte Partei hat hierzu keinen Widerspruch eingelegt.
  16. Beweiswürdigung: 2.
  17. Die Feststellungen zum Unternehmen der Beschwerdeführerin sowie der per E-Mail erteilten Information in Bezug auf einen Adressdatenabgleich mit der Österreichischen XXXX AG ergeben sich aufgrund der diesbezüglich unstrittigen Aktenlage sowie der damit übereinstimmenden Aussagen im Rahmen der Beweisaufnahme im Zuge der mündlichen Verhandlung vor dem Bundesverwaltungsgericht. 2.
  18. Die Feststellungen zum Unternehmen der Beschwerdeführerin sowie der per E-Mail erteilten Information in Bezug auf einen Adressdatenabgleich mit der Österreichischen römisch 40 AG ergeben sich aufgrund der diesbezüglich unstrittigen Aktenlage sowie der damit übereinstimmenden Aussagen im Rahmen der Beweisaufnahme im Zuge der mündlichen Verhandlung vor dem Bundesverwaltungsgericht. 2.
  19. Die Feststellungen in Bezug auf ein nach wie vor aufrechtes Vertragsverhältnis zwischen der Beschwerdeführerin und der mitbeteiligten Partei ergeben sich anhand der übereinstimmenden Aussagen der Parteien im Rahmen der mündlichen Beschwerdeverhandlung. 2.
  20. Die Feststellung in Bezug auf den verfahrenseinleitenden Antrag des Beschwerdeführers ergibt sich anhand der diesbezüglich unstrittigen Aktenlage [vgl. Antrag vom 19.06.2020, in Zusammenschau mit dem Anbringen vom 03.01.2021 „Anregung der Behebung des Zurückweisungsbescheides“ seitens der mitbeteiligten Partei].
  21. Rechtliche Beurteilung: Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Aufgrund von § 27 DSG liegt gegenständlich Senatszuständigkeit vor.Aufgrund von Paragraph 27, DSG liegt gegenständlich Senatszuständigkeit vor. Zu A) 3.
  22. Anzuwendendes Recht: 3.1.
  23. Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten auszugsweise wie folgt:3.1.
  24. Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) in der Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, lauten auszugsweise wie folgt: „Grundrecht auf Datenschutz § 1.

(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins,
(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. […] Beschwerde an die Datenschutzbehörde § 24
(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24,
(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
(2)Die Beschwerde hat zu enthalten:
  1. die Bezeichnung des als verletzt erachteten Rechts,
  2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
  3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
  4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
  5. das Begehren, die behauptete Rechtsverletzung festzustellen und
  6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
(3)Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
(4)[…]
(5)Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
(6)Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.
(6)Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (Paragraph 13, Absatz 8, AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen. (7 – 10) […]“ 3.1.
  1. Die relevanten Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten:3.1.
  2. Die relevanten Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Amtsblatt L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten: „Artikel 4 Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:
(1)„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
(2)„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
(3)„Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;
(4)„Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
(5)„Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;
(6)„Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
(7)„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
(8)„Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
(9)„Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;
(10)„Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten
(11)„Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
(12)-
(17)…
(18)„Unternehmen“ eine natürliche und juristische Person, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von ihrer Rechtsform, einschließlich Personengesellschaften oder Vereinigungen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen;
(19)„Unternehmensgruppe“ eine Gruppe, die aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen besteht;
(20)…
(21)„Aufsichtsbehörde“ eine von einem Mitgliedstaat gemäß Artikel 51 eingerichtete unabhängige staatliche Stelle;
(22)–
(26)… Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten
(1)Personenbezogene Daten müssen
  1. a)auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
  2. b)für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
  3. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
  4. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
  5. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
  6. f)in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2)Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“). Artikel 6 Rechtmäßigkeit der Verarbeitung
(1)Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
  1. a)Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
  2. b)die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
  3. c)die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
  4. d)die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
  5. e)die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
  6. f)die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2)Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.
(2)Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel römisch neun.
(3)Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
  1. a)Unionsrecht oder
  2. b)das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4)… Artikel 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1)Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2)Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis
  1. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. […]“ 3.
  2. Stattgabe der Beschwerde: 3.2.
  3. Den äußeren Rahmen für die Prüfungsbefugnis des Verwaltungsgerichtes bildet die Sache des bekämpften Bescheids bzw. die Angelegenheit, die den Inhalt des Spruchs des angefochtenen Bescheides gebildet hat (VwGH vom 22.01.2015, Ra 2014/06/0055; 28.4.2016, Ra 2015/07/0057; 30.6.2016, Ra 2016/11/0044; 31.5.2017, Ra 2016/22/0107). 3.2.
  4. Wie vom erkennenden Senat im Zuge der Beweisaufnahme im Rahmen der mündlichen Verhandlung festgestellt, hat die belangte Behörde ihrer Entscheidung offenkundig einen unrichtigen Sachverhalt unterstellt. So stützt sich der Spruch des angefochtenen Bescheides darauf, dass die (nunmehrige Beschwerdeführerin) als datenschutzrechtlich Verantwortliche die Kundendaten des datenschutzrechtlich Betroffenen – zu Zwecken der Direktwerbung und des maschinellen Lernens – (weiter-)verarbeitet habe, nachdem das Vertragsverhältnis durch Kündigung des in Rede stehenden Pay-TV Vertrages mit 31.08.2020 bereits beendet war, wobei diese Form der Weiterverarbeitung gegen Art. 5 Abs. 1 lit. a und lit b iVm Art 13 DSGVO verstoßen habe, wodurch der Betroffene im Ergebnis in dessen Recht auf Geheimhaltung nach § 1 DSG verletzt worden sei. 3.2.
  5. Wie vom erkennenden Senat im Zuge der Beweisaufnahme im Rahmen der mündlichen Verhandlung festgestellt, hat die belangte Behörde ihrer Entscheidung offenkundig einen unrichtigen Sachverhalt unterstellt. So stützt sich der Spruch des angefochtenen Bescheides darauf, dass die (nunmehrige Beschwerdeführerin) als datenschutzrechtlich Verantwortliche die Kundendaten des datenschutzrechtlich Betroffenen – zu Zwecken der Direktwerbung und des maschinellen Lernens – (weiter-)verarbeitet habe, nachdem das Vertragsverhältnis durch Kündigung des in Rede stehenden Pay-TV Vertrages mit 31.08.2020 bereits beendet war, wobei diese Form der Weiterverarbeitung gegen Artikel 5, Absatz eins, Litera a und Litera b, in Verbindung mit Artikel 13, DSGVO verstoßen habe, wodurch der Betroffene im Ergebnis in dessen Recht auf Geheimhaltung nach Paragraph eins, DSG verletzt worden sei. 3.2.
  6. Da aber – wie nach kurzer Befragung der Parteien anlässlich der Verhandlung vor dem Bundesverwaltungsgericht festgestellt – zwischen den Parteien des Ausgangsverfahrens vor der belangten Behörde bis dato ein aufrechtes Vertragsverhältnis zur Erbringung von Pay-TV Dienstleistungen besteht, kann die festgestellte Verletzung des datenschutzrechtlich Betroffenen (durch eine rechtswidrige Weiterverarbeitung seiner Daten nach Vertragsbeendigung) denkunmöglich verwirklicht worden sein. Der Bescheid war bereits deshalb mit Rechtswidrigkeit belastet und im Umfang der Anfechtung abzuändern. Zudem kann eine Verletzung des Grundrechts auf Geheimhaltung nur ex post betrachtet festgestellt werden, weshalb eine Beschwerde über möglicherweise in Zukunft eintretende Verletzungen bereits aus diesem Grunde abzuweisen wäre (vgl. hierzu DSB 13.9.2018, DSB-D123.070/0005-DSB/2018). Davon abgesehen ist – entgegen der seitens der belangten Behörde geäußerten Rechtsansicht – eine Weiterverarbeitung von Kontaktdaten bestehender oder ehemaliger Kunden zu Zwecken der Bewerbung eigener Produktangebote durch den Verantwortlichem anhand der Kriterien, die Art. 6 Abs. 4 DSGVO hierzu normiert, zu prüfen (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO (Stand 1.12.2020, Rz 104). Eine solche Prüfung der Kompatibilität der Zwecke der Weiterverarbeitung mit den Zwecken der ursprünglichen Datenverarbeitung konnte im vorliegenden Fall jedoch unterbleiben, da der angefochtene Bescheid bereits aufgrund der verfehlten Sachverhaltsfeststellungen abzuändern war. 3.2.
  7. Da aber – wie nach kurzer Befragung der Parteien anlässlich der Verhandlung vor dem Bundesverwaltungsgericht festgestellt – zwischen den Parteien des Ausgangsverfahrens vor der belangten Behörde bis dato ein aufrechtes Vertragsverhältnis zur Erbringung von Pay-TV Dienstleistungen besteht, kann die festgestellte Verletzung des datenschutzrechtlich Betroffenen (durch eine rechtswidrige Weiterverarbeitung seiner Daten nach Vertragsbeendigung) denkunmöglich verwirklicht worden sein. Der Bescheid war bereits deshalb mit Rechtswidrigkeit belastet und im Umfang der Anfechtung abzuändern. Zudem kann eine Verletzung des Grundrechts auf Geheimhaltung nur ex post betrachtet festgestellt werden, weshalb eine Beschwerde über möglicherweise in Zukunft eintretende Verletzungen bereits aus diesem Grunde abzuweisen wäre vergleiche hierzu DSB 13.9.2018, DSB-D123.070/0005-DSB/2018). Davon abgesehen ist – entgegen der seitens der belangten Behörde geäußerten Rechtsansicht – eine Weiterverarbeitung von Kontaktdaten bestehender oder ehemaliger Kunden zu Zwecken der Bewerbung eigener Produktangebote durch den Verantwortlichem anhand der Kriterien, die Artikel 6, Absatz 4, DSGVO hierzu normiert, zu prüfen vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 6, DSGVO (Stand 1.12.2020, Rz 104). Eine solche Prüfung der Kompatibilität der Zwecke der Weiterverarbeitung mit den Zwecken der ursprünglichen Datenverarbeitung konnte im vorliegenden Fall jedoch unterbleiben, da der angefochtene Bescheid bereits aufgrund der verfehlten Sachverhaltsfeststellungen abzuändern war. 3.2.
  8. An dieser Stelle war – mit Blick auf das mangelhafte Ermittlungsverfahren der belangten Behörde – darauf hinzuweisen, dass § 39 Abs. 2 iVm § 37 AVG normiert, dass die Behörde von sich aus den vollständigen (VwGH
  10. 2000, 99/20/0092;
  12. 2003, 2002/01/0522) und wahren entscheidungsrelevanten (VwGH
  14. 2002, 99/08/0138) Sachverhalt („Prozessstoff“ [VwGH
  16. 1996, 94/12/0298]) durch Aufnahme aller nötigen Beweise feststellen muss (VwGH
  18. 1968, 189/68;
  20. 1992, 91/08/0096;
  22. 2018, Ro 2016/05/0009), ohne in tatsächlicher Hinsicht an das Parteienvorbringen gebunden zu sein (= Untersuchungsgrundsatz [VwGH
  24. 1980, 1230/78;
  26. 1992, 92/08/0023;
  28. 1993, 92/08/0212); die Schaffung der für die Entscheidung notwendigen sachverhaltsmäßigen Grundlagen ist danach also auch im Fall der Verfahrenseinleitung auf Antrag die amtswegig wahrzunehmende Aufgabe der Behörde (VwGH
  30. 2018, Ro 2017/07/0031; Rz 13, 19). 3.2.
  31. An dieser Stelle war – mit Blick auf das mangelhafte Ermittlungsverfahren der belangten Behörde – darauf hinzuweisen, dass Paragraph 39, Absatz 2, in Verbindung mit Paragraph 37, AVG normiert, dass die Behörde von sich aus den vollständigen (VwGH
  33. 2000, 99/20/0092;
  35. 2003, 2002/01/0522) und wahren entscheidungsrelevanten (VwGH
  37. 2002, 99/08/0138) Sachverhalt („Prozessstoff“ [VwGH
  39. 1996, 94/12/0298]) durch Aufnahme aller nötigen Beweise feststellen muss (VwGH
  41. 1968, 189/68;
  43. 1992, 91/08/0096;
  45. 2018, Ro 2016/05/0009), ohne in tatsächlicher Hinsicht an das Parteienvorbringen gebunden zu sein (= Untersuchungsgrundsatz [VwGH
  47. 1980, 1230/78;
  49. 1992, 92/08/0023;
  51. 1993, 92/08/0212); die Schaffung der für die Entscheidung notwendigen sachverhaltsmäßigen Grundlagen ist danach also auch im Fall der Verfahrenseinleitung auf Antrag die amtswegig wahrzunehmende Aufgabe der Behörde (VwGH
  53. 2018, Ro 2017/07/0031; Rz 13, 19). 3.2.
  54. Fallbezogen hätte die Behörde sohin – bei gesetzmäßiger Führung des Ermittlungsverfahrens festzustellen gehabt, dass eine Vertragsbeendigung zwischen dem datenschutzrechtlich Betroffenen und der datenschutzrechtlich Verantwortlichen nie stattgefunden hat. Dabei darf jedoch auch nicht übersehen werden, dass das von § 39 Abs. 2 AVG normierte Prinzip der Amtswegigkeit in Verfahren vor der Datenschutzbehörde durch § 24 Abs. 2 DSG (in Verbindung mit § 39 Abs. 2a AVG) abgeschwächt wird. So wäre die mitbeteiligte Partei (als Antragsteller im Beschwerdeverfahren vor der Datenschutzbehörde) verpflichtet gewesen, wahrheitsgemäß den Sachverhalt darzulegen, aus dem die behauptete Rechtsverletzung abgeleitet wird (§ 24 Abs. 2 Z 3 DSG in Zusammenschau mit der in § 39 Abs. 2a AVG normierten Verfahrensförderungspflicht). Die mitbeteiligte Partei ist jedoch ihrer Verpflichtung zur Mitwirkung an der Feststellung des entscheidungserheblichen Sachverhaltes insoweit praktisch nicht nachgekommen; so legte die mitbeteiligte Partei trotz Erteilung eines Verbesserungsauftrages durch die belangte Behörde zu keinem Zeitpunkt im behördlichen Verfahren offen, dass zur datenschutzrechtlich Verantwortlichen nach wie vor ein aufrechtes Vertragsverhältnis besteht. Dies nicht einmal anlässlich des erneuten Anbringens vom 03.01.2021, mit welchem die mitbeteiligte Partei bei der belangten Behörde die Behebung des im Verfahren ergangenen Zurückweisungsbescheides anregte, wobei letzterer gerade wegen der Nichterfüllung eines behördlich erteilten Verbesserungsauftrages, der auf die Erfüllung der von § 24 Abs. 2 DSG normierten Formalerfordernisse abzielte, ergangen ist. Weshalb die mitbeteiligte Partei es selbst zu diesem Zeitpunkt im Verfahren noch unterlassen hat, die Behörde über diesen – für die Beurteilung der behaupteten Rechtsverletzung zentralen – Umstand in Kenntnis zu setzen, kann bei verständiger Betrachtung sämtlicher Umstände nicht nachvollzogen werden. Wenn die mitbeteiligte Partei hierzu vor dem Bundesverwaltungsgericht ausführt, ihr sei nicht bewusst gewesen, dass sie die (individuelle) Feststellung einer Verletzung im Recht auf Geheimhaltung beantragte, sondern mit seinen Anbringen die Intention verfolgt habe, ein Verwaltungsstrafverfahren gegen die datenschutzrechtlich Verantwortliche anzuregen, verfängt dieses Vorbringen vor dem Hintergrund des Umstandes, dass die mitbeteiligte Partei selbst rechtskundig ist und ein – von der belangten Behörde bereitgestelltes – Formular zur Einbringung einer „Datenschutzbeschwerde wegen Verletzung im Recht auf Geheimhaltung nach § 1 DSG“ verwendete, schließlich mit seiner Eingabe vom 03.01.2021 wörtlich zum Ausdruck brachte, dass er „nachhaltig verärgert über den Umgang von XXXX mit den Datenschutzrechten ihrer Kunden“ sei, was ihn „nun zu dieser Beschwerde“ veranlasse, nicht. Vielmehr war festzustellen, dass das Verhalten der mitbeteiligten Partei im Verfahren vor der belangten Behörde – insbesondere in dem er die Behörde über einen durch ihn leicht aufzuklärenden Umstand im Dunkeln ließ –, die Ermittlung des entscheidungserheblichen Sachverhaltes im verwaltungsbehördlichen Verfahren erheblich beeinträchtigte. 3.2.
  55. Fallbezogen hätte die Behörde sohin – bei gesetzmäßiger Führung des Ermittlungsverfahrens festzustellen gehabt, dass eine Vertragsbeendigung zwischen dem datenschutzrechtlich Betroffenen und der datenschutzrechtlich Verantwortlichen nie stattgefunden hat. Dabei darf jedoch auch nicht übersehen werden, dass das von Paragraph 39, Absatz 2, AVG normierte Prinzip der Amtswegigkeit in Verfahren vor der Datenschutzbehörde durch Paragraph 24, Absatz 2, DSG (in Verbindung mit Paragraph 39, Absatz 2 a, AVG) abgeschwächt wird. So wäre die mitbeteiligte Partei (als Antragsteller im Beschwerdeverfahren vor der Datenschutzbehörde) verpflichtet gewesen, wahrheitsgemäß den Sachverhalt darzulegen, aus dem die behauptete Rechtsverletzung abgeleitet wird (Paragraph 24, Absatz 2, Ziffer 3, DSG in Zusammenschau mit der in Paragraph 39, Absatz 2 a, AVG normierten Verfahrensförderungspflicht). Die mitbeteiligte Partei ist jedoch ihrer Verpflichtung zur Mitwirkung an der Feststellung des entscheidungserheblichen Sachverhaltes insoweit praktisch nicht nachgekommen; so legte die mitbeteiligte Partei trotz Erteilung eines Verbesserungsauftrages durch die belangte Behörde zu keinem Zeitpunkt im behördlichen Verfahren offen, dass zur datenschutzrechtlich Verantwortlichen nach wie vor ein aufrechtes Vertragsverhältnis besteht. Dies nicht einmal anlässlich des erneuten Anbringens vom 03.01.2021, mit welchem die mitbeteiligte Partei bei der belangten Behörde die Behebung des im Verfahren ergangenen Zurückweisungsbescheides anregte, wobei letzterer gerade wegen der Nichterfüllung eines behördlich erteilten Verbesserungsauftrages, der auf die Erfüllung der von Paragraph 24, Absatz 2, DSG normierten Formalerfordernisse abzielte, ergangen ist. Weshalb die mitbeteiligte Partei es selbst zu diesem Zeitpunkt im Verfahren noch unterlassen hat, die Behörde über diesen – für die Beurteilung der behaupteten Rechtsverletzung zentralen – Umstand in Kenntnis zu setzen, kann bei verständiger Betrachtung sämtlicher Umstände nicht nachvollzogen werden. Wenn die mitbeteiligte Partei hierzu vor dem Bundesverwaltungsgericht ausführt, ihr sei nicht bewusst gewesen, dass sie die (individuelle) Feststellung einer Verletzung im Recht auf Geheimhaltung beantragte, sondern mit seinen Anbringen die Intention verfolgt habe, ein Verwaltungsstrafverfahren gegen die datenschutzrechtlich Verantwortliche anzuregen, verfängt dieses Vorbringen vor dem Hintergrund des Umstandes, dass die mitbeteiligte Partei selbst rechtskundig ist und ein – von der belangten Behörde bereitgestelltes – Formular zur Einbringung einer „Datenschutzbeschwerde wegen Verletzung im Recht auf Geheimhaltung nach Paragraph eins, DSG“ verwendete, schließlich mit seiner Eingabe vom 03.01.2021 wörtlich zum Ausdruck brachte, dass er „nachhaltig verärgert über den Umgang von römisch 40 mit den Datenschutzrechten ihrer Kunden“ sei, was ihn „nun zu dieser Beschwerde“ veranlasse, nicht. Vielmehr war festzustellen, dass das Verhalten der mitbeteiligten Partei im Verfahren vor der belangten Behörde – insbesondere in dem er die Behörde über einen durch ihn leicht aufzuklärenden Umstand im Dunkeln ließ –, die Ermittlung des entscheidungserheblichen Sachverhaltes im verwaltungsbehördlichen Verfahren erheblich beeinträchtigte. 3.2.
  56. In Spruchpunkt 1.b des angefochtenen Bescheides wurde der Abgleich von Adressdaten des Betroffenen mit der Österreichischen XXXX AG, die belangte Behörde verzichtete auf eine rechtliche Begründung hierzu gänzlich, ebenfalls als Verletzung der mitbeteiligten Partei im Grundrecht auf Geheimhaltung qualifiziert. In Anbetracht des verfahrenseinleitenden Antrages und der dazu ergangenen Ergänzungen erscheint fraglich, ob ein solcher Verarbeitungsvorgang überhaupt Gegenstand des Ausgangsverfahrens wurde. Diese Frage kann jedoch beim vorliegenden Ergebnis dahinstehen, da – wie bereits zu Rz 3.2.3 ausgeführt – die Behörde insgesamt bei der Erlassung des angefochtenen Bescheides vom Nichtbestehen eines Kundenverhältnisses – sohin von völlig verfehlten (weil tatsachenwidrigen) Sachverhaltsannahmen – ausgegangen ist, was den Bescheid bereits deshalb mit Rechtswidrigkeit belastete und dieser – mit der im Spruch bezeichneten Maßgabe – abzuändern war. 3.2.
  57. In Spruchpunkt 1.b des angefochtenen Bescheides wurde der Abgleich von Adressdaten des Betroffenen mit der Österreichischen römisch 40 AG, die belangte Behörde verzichtete auf eine rechtliche Begründung hierzu gänzlich, ebenfalls als Verletzung der mitbeteiligten Partei im Grundrecht auf Geheimhaltung qualifiziert. In Anbetracht des verfahrenseinleitenden Antrages und der dazu ergangenen Ergänzungen erscheint fraglich, ob ein solcher Verarbeitungsvorgang überhaupt Gegenstand des Ausgangsverfahrens wurde. Diese Frage kann jedoch beim vorliegenden Ergebnis dahinstehen, da – wie bereits zu Rz 3.2.3 ausgeführt – die Behörde insgesamt bei der Erlassung des angefochtenen Bescheides vom Nichtbestehen eines Kundenverhältnisses – sohin von völlig verfehlten (weil tatsachenwidrigen) Sachverhaltsannahmen – ausgegangen ist, was den Bescheid bereits deshalb mit Rechtswidrigkeit belastete und dieser – mit der im Spruch bezeichneten Maßgabe – abzuändern war. 3.2.
  58. Selbst wenn man jedoch mit der belangten Behörde davon ausgeht, dass der Adressdatenabgleich mit der Österreichischen XXXX AG Beschwerdegegenstand im Verfahren vor der belangten Behörde war, war in rechtlicher Hinsicht hierzu festzustellen, dass ein Abgleich von Adressdaten bestehender Kunden, im Wege der Übermittlung der Adressdaten an einen Dienstleister im Rahmen einer Vereinbarung nach Art. 28 DSGVO, im berechtigten Interesse des Verantwortlichen gelegen sein kann. Dies um eine reibungslose Kundenkommunikation zu ermöglichen oder offene Forderungen von Kunden gerichtlich oder außergerichtlich zu betreiben; dies auch vor dem Hintergrund, dass die Beschwerdeführerin als Unternehmen, deren Dienstleistungen im Bereich des Pay-TV Angebotes regelmäßig über einen langen Zeitraum von einer hohen Anzahl an Kunden genutzt werden, in der Regel nicht davon ausgehen muss, dass Kunden Änderungen ihrer Adressdaten stets von sich aus bekanntgeben. Zudem hat die Verantwortliche vor der beabsichtigten Durchführung des Adressdatenabgleiches ihre Kunden (so auch die mitbeteiligte Partei) informiert und auf die Möglichkeit eines Widerspruches dagegen nachweislich hingewiesen.3.2.
  59. Selbst wenn man jedoch mit der belangten Behörde davon ausgeht, dass der Adressdatenabgleich mit der Österreichischen römisch 40 AG Beschwerdegegenstand im Verfahren vor der belangten Behörde war, war in rechtlicher Hinsicht hierzu festzustellen, dass ein Abgleich von Adressdaten bestehender Kunden, im Wege der Übermittlung der Adressdaten an einen Dienstleister im Rahmen einer Vereinbarung nach Artikel 28, DSGVO, im berechtigten Interesse des Verantwortlichen gelegen sein kann. Dies um eine reibungslose Kundenkommunikation zu ermöglichen oder offene Forderungen von Kunden gerichtlich oder außergerichtlich zu betreiben; dies auch vor dem Hintergrund, dass die Beschwerdeführerin als Unternehmen, deren Dienstleistungen im Bereich des Pay-TV Angebotes regelmäßig über einen langen Zeitraum von einer hohen Anzahl an Kunden genutzt werden, in der Regel nicht davon ausgehen muss, dass Kunden Änderungen ihrer Adressdaten stets von sich aus bekanntgeben. Zudem hat die Verantwortliche vor der beabsichtigten Durchführung des Adressdatenabgleiches ihre Kunden (so auch die mitbeteiligte Partei) informiert und auf die Möglichkeit eines Widerspruches dagegen nachweislich hingewiesen. Zu B) Unzulässigkeit der Revision: Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinaus – Bedeutung zukommt.

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinaus – Bedeutung zukommt. Das Bundesverwaltungsgericht konnte sich bei der Lösung der zentralen Rechtsfragen im Hinblick auf die Rechtsfolgen in Fällen, in denen die Behörde bei der Erlassung des Bescheides von tatsachenwidrigen Sachverhaltsannahmen ausgegangen ist bzw. den gesetzlichen Vorgaben zur amtswegigen Ermittlung des vollständigen und wahren Sachverhaltes, auf die oben unter A) dargestellte ständige Rechtsprechung des Verwaltungsgerichtshofes stützen. Es war sohin spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:BVWG:2023:W292.2246450.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.