4 B-VG nicht zulässig.Die Revision ist
Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: 1. Mit gemeinsamer, durch ihre rechtsfreundliche Vertretung verfasster, Eingabe vom 08.01.2020 brachten die Erstbeschwerdeführerin (BF1) und der Zweitbeschwerdeführer (BF2) bei der Datenschutzbehörde (im Folgenden: belangte Behörde) gegen die Mitbeteiligte Partei (MP) eine Datenschutzbeschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung sowie im Recht auf Information ein und brachten dazu zusammengefasst vor, die BF1 habe am 19.08.2022 in einer Filiale der MP für sich und ihren Ehemann (den BF2) ein Urlaubspostfach beantragt und dafür einem Mitarbeiter der MP ihren Namen – sowie den Namen und das Geburtsdatum ihres Ehemannes (BF2) – nennen müssen und sich mit ihrem Führerschein ausgewiesen. Im Anschluss habe ihr der Mitarbeiter ein Signatur-Pad überreicht, auf welchem sie die vom Mitarbeiter eingepflegten Daten auf ihre Richtigkeit überprüfen und diese mit ihrer Unterschrift bestätigen sollte. Ein Hinweis darüber, ob und zu welchen anderen Zwecken als zur Einrichtung des Urlaubspostfaches die MP die Daten der beiden BF verarbeite, sei vonseiten des Mitarbeiters nicht erfolgt. Deshalb habe die BF1 die Angaben auf dem Signatur-Pad ausschließlich im Hinblick auf ihre Richtigkeit betrachtet. Die sehr kleine Schrift auf dem spiegelnden Display des Signatur-Pads und Begleitumstände, wie zum Beispiel eine lange Warteschlange in der Filiale, hätten ein schnelles, konzentriertes und präzises Erfassen der auf dem Display dargestellten Inhalte verhindert. Wie sich später für die BF1 herausgestellt habe, sei nicht nur der Vertragsinhalt für das Urlaubspostfach, sondern – in derselben Ansicht, unter den persönlichen Daten ohne Separierung oder Hervorhebung – auch ein Kästchen mit Ankreuzmöglichkeit zur Nicht-Erteilung des Einverständnisses (Opt-Out) zur Datenweitergabe zu Marketingzwecken angezeigt worden. Näher angeführte Umstände hätten dazu geführt, dass die BF1 das Kästchen für ein Opt-Out zur Datenverarbeitung für Marketingzwecke nicht angekreuzt und nur die Angaben im Hinblick auf ihre Richtigkeit mit einer Unterschrift bestätigt habe. Danach sei ihr ein ausgefertigtes Formular über das „Postfach Urlaub“ für die beiden BF übergeben worden, welches einerseits eine Zusammenfassung der Signatur-Pad-Inhalte samt eingescannter und mitausgedruckter Unterschrift der BF1 dargestellt habe und andererseits eine weiterführende „Information über die Datenverwendung
Datenschutz-Grundverordnung (DSGVO)"“ mitumfasst habe. Darauf sei sie vom Mitarbeiter nicht hingewiesen worden. Zu einem späteren Zeitpunkt habe die BF1 anhand des ausgehändigten Formulars festgestellt, dass sie auf dem Signatur-Pad ihre Einwilligung dafür erteilt habe, dass die MP ihre Daten und jene des BF2 für Werbezwecke an Dritte übermitteln dürfe. Deshalb habe sie am 22.08.2019 erneut die Filiale der MP aufgesucht, um ihre (ungewollte und vermeintliche) Zustimmung zurückzuziehen. Diesbezüglich sei eine Mitarbeiterin ihrem Ansuchen nachgekommen und habe das Formular entsprechend korrigiert, indem sie das Feld in ihrem Computer elektronisch angekreuzt habe, das korrigierte Formular ausgedruckt, abgezeichnet und der BF1 ausgehändigt habe. In datenschutzrechtlicher Hinsicht beanstandeten die BF schließlich, dass die Informationen über die Datennutzung nach § 151 Gewerbeordnung (GewO) im Hinblick auf ihre Zugänglichkeit, Verständlichkeit und Vollständigkeit nicht den Vorgaben der Art 12 und 13 DSGVO entsprächen. Der BF1 sei nicht bewusst gewesen, dass die MP gleichzeitig mit der Beantragung eines Urlaubsfaches ihre Daten
O verarbeite. Die Informationen – auf einem kleinen, spiegelnden Display dargestellt, ohne Hervorhebung oder Trennung von anderen vertraglichen Textteilen, sondern versteckt unter Vertragsinformationen – seien nicht den Formvorgaben der DSGVO entsprechend. Der betreffende Informationstext sei Teil des Fließtextes gewesen. Der bloße Verweis auf § 151 GewO sei unzureichend. Weiters seien die zu Vertragszwecken erhobenen Daten dadurch entgegen Art. 6 Abs. 4 DSGVO zu inkompatiblen Zwecken weiterverarbeitet worden, demnach seien Daten zu Zwecken der Vertragserfüllung bei den BF erhoben worden und stelle eine Datenübermittlung an Dritte für Marketingzwecke eine Zweckänderung dar. Insofern sei die Weiterverarbeitung mit dem Ursprungszweck nicht vereinbar. Darüber hinaus sei keine Einwilligung eingeholt worden, womit die Bedingungen für eine rechtmäßige Verarbeitung nach Art. 6 DSGVO nicht erfüllt seien. § 151 Abs. 1 GewO sei zu entnehmen, dass auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden seien, soweit im Folgenden nicht Besonderes angeordnet sei. Jedoch sei § 151 GewO deshalb allein für sich betrachtet keine taugliche Rechtsgrundlage für die vorliegende Datenverarbeitung. In Bezug auf Art. 6 Abs. 1 lit f DSGVO könne zwar ein berechtigtes Interesse der MP bejaht werden, wiewohl das Interesse der BF fallbezogen überwiegen würde, ihr Selbstbestimmungsrecht durch einen aktiv gesetzten Schritt der Zustimmung gegenüber dem Interesse an einer Weiterverarbeitung auszuüben. Letztlich wurde von den BF noch releviert, dass die BF1 auch hinsichtlich des BF2 über die Datennutzung nach § 151 GewO nicht entscheiden könne.In datenschutzrechtlicher Hinsicht beanstandeten die BF schließlich, dass die Informationen über die Datennutzung nach Paragraph 151, Gewerbeordnung (GewO) im Hinblick auf ihre Zugänglichkeit, Verständlichkeit und Vollständigkeit nicht den Vorgaben der Artikel 12 und 13 DSGVO entsprächen. Der BF1 sei nicht bewusst gewesen, dass die MP gleichzeitig mit der Beantragung eines Urlaubsfaches ihre Daten
Paragraph 151, GewO verarbeite. Die Informationen – auf einem kleinen, spiegelnden Display dargestellt, ohne Hervorhebung oder Trennung von anderen vertraglichen Textteilen, sondern versteckt unter Vertragsinformationen – seien nicht den Formvorgaben der DSGVO entsprechend. Der betreffende Informationstext sei Teil des Fließtextes gewesen. Der bloße Verweis auf Paragraph 151, GewO sei unzureichend. Weiters seien die zu Vertragszwecken erhobenen Daten dadurch entgegen Artikel 6, Absatz 4, DSGVO zu inkompatiblen Zwecken weiterverarbeitet worden, demnach seien Daten zu Zwecken der Vertragserfüllung bei den BF erhoben worden und stelle eine Datenübermittlung an Dritte für Marketingzwecke eine Zweckänderung dar. Insofern sei die Weiterverarbeitung mit dem Ursprungszweck nicht vereinbar. Darüber hinaus sei keine Einwilligung eingeholt worden, womit die Bedingungen für eine rechtmäßige Verarbeitung nach Artikel 6, DSGVO nicht erfüllt seien. Paragraph 151, Absatz eins, GewO sei zu entnehmen, dass auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden seien, soweit im Folgenden nicht Besonderes angeordnet sei. Jedoch sei Paragraph 151, GewO deshalb allein für sich betrachtet keine taugliche Rechtsgrundlage für die vorliegende Datenverarbeitung. In Bezug auf Artikel 6, Absatz eins, Litera f, DSGVO könne zwar ein berechtigtes Interesse der MP bejaht werden, wiewohl das Interesse der BF fallbezogen überwiegen würde, ihr Selbstbestimmungsrecht durch einen aktiv gesetzten Schritt der Zustimmung gegenüber dem Interesse an einer Weiterverarbeitung auszuüben. Letztlich wurde von den BF noch releviert, dass die BF1 auch hinsichtlich des BF2 über die Datennutzung nach Paragraph 151, GewO nicht entscheiden könne. 2. Über Aufforderung der belangten Behörde erstattete die MP am 05.06.2020 eine Stellungnahme, in welcher sie zusammengefasst ausführte, dass auf dem Bildschirm des U-Pads zu lesen gewesen sei, dass die Daten der BF1 zu Marketingzwecken Dritter weitergegeben werden könnten. Ebenfalls sei der BF1 die Möglichkeit eingeräumt worden, dieser Datenverarbeitung zu widersprechen. Der überwiegende Textteil habe sich mit der Information über die Datennutzung
O befasst. Die Checkbox, durch deren Ankreuzen das Ausüben des Widerspruchsrechts ermöglicht worden sei, sei deutlich vom Fließtext abgesetzt und die Checkbox optisch markant hervorgehoben worden, zumal diese fett umrandet und größer als der Fließtext sei. Die Formulierung sei auch einfach, klar verständlich und präzise. Zusätzlich sei der BF1 ein Formular über das „Postfach Urlaub“ ausgehändigt worden, welches ausführliche Informationen über die Datenverarbeitung der MP zu Marketingzwecke Dritter enthalten habe. Die Daten der BF seien nicht weitergegeben worden; sowohl bei der BF1 als auch beim BF2 sei ein aufrechter Widerspruch hinterlegt worden. Überdies habe die BF1 der Datenweitergabe innerhalb von drei Tagen widersprochen, aufgrund einer 21-tägigen Sperrfrist würden die Daten der beiden BF auch aus diesem Grund nicht weitergegeben werden. 2. Über Aufforderung der belangten Behörde erstattete die MP am 05.06.2020 eine Stellungnahme, in welcher sie zusammengefasst ausführte, dass auf dem Bildschirm des U-Pads zu lesen gewesen sei, dass die Daten der BF1 zu Marketingzwecken Dritter weitergegeben werden könnten. Ebenfalls sei der BF1 die Möglichkeit eingeräumt worden, dieser Datenverarbeitung zu widersprechen. Der überwiegende Textteil habe sich mit der Information über die Datennutzung
Paragraph 151, GewO befasst. Die Checkbox, durch deren Ankreuzen das Ausüben des Widerspruchsrechts ermöglicht worden sei, sei deutlich vom Fließtext abgesetzt und die Checkbox optisch markant hervorgehoben worden, zumal diese fett umrandet und größer als der Fließtext sei. Die Formulierung sei auch einfach, klar verständlich und präzise. Zusätzlich sei der BF1 ein Formular über das „Postfach Urlaub“ ausgehändigt worden, welches ausführliche Informationen über die Datenverarbeitung der MP zu Marketingzwecke Dritter enthalten habe. Die Daten der BF seien nicht weitergegeben worden; sowohl bei der BF1 als auch beim BF2 sei ein aufrechter Widerspruch hinterlegt worden. Überdies habe die BF1 der Datenweitergabe innerhalb von drei Tagen widersprochen, aufgrund einer 21-tägigen Sperrfrist würden die Daten der beiden BF auch aus diesem Grund nicht weitergegeben werden. Was das Vorbringen der BF bezüglich mangelnder Transparenz bei der Datenverwendung iSd § 151 GewO anlangt, sei diesbezüglich ein zweistufiger Prozess eingeführt worden, wobei vertragsunterfertigende Personen zunächst an Ort und Stelle beim Vertragsabschluss informiert würden. Im Anschluss (wenige Werktage später) würde ein ausführliches Informationsschreiben versendet werden, in dem nochmals über die Verarbeitung der Daten zu Marketingzwecken Dritter informiert würde. Diese Sendung ergehe auch an etwaige Dritte, zudem sei im Briefumschlag eine Antwortkarte, mit der die vertragsunterfertigende Person als auch ein Dritter sein jeweiliges Widerspruchsrecht einfach ausüben könne. Hierdurch werde die Sicherstellung angestrebt, dass jeder über alle erforderlichen Informationen iZm einer Datenweitergabe
O verfüge. Zwecks Berücksichtigung nachträglicher Widersprüche seien die Daten für eine Verarbeitung zu Marketingzwecken für die ersten 21 Tage gesperrt. Dieser zweistufige Prozess sei auch bei den BF eingehalten worden. Sohin sei das Vorbringen, wonach die BF1 im Recht auf Information
Dem BF2 sei die
DSGVO geschuldete Information innerhalb weniger Tage zugeschickt worden, was angesichts des hinterlegten Widerspruches nicht mehr geschuldet gewesen sei.Was das Vorbringen der BF bezüglich mangelnder Transparenz bei der Datenverwendung iSd Paragraph 151, GewO anlangt, sei diesbezüglich ein zweistufiger Prozess eingeführt worden, wobei vertragsunterfertigende Personen zunächst an Ort und Stelle beim Vertragsabschluss informiert würden. Im Anschluss (wenige Werktage später) würde ein ausführliches Informationsschreiben versendet werden, in dem nochmals über die Verarbeitung der Daten zu Marketingzwecken Dritter informiert würde. Diese Sendung ergehe auch an etwaige Dritte, zudem sei im Briefumschlag eine Antwortkarte, mit der die vertragsunterfertigende Person als auch ein Dritter sein jeweiliges Widerspruchsrecht einfach ausüben könne. Hierdurch werde die Sicherstellung angestrebt, dass jeder über alle erforderlichen Informationen iZm einer Datenweitergabe
Paragraph 151, GewO verfüge. Zwecks Berücksichtigung nachträglicher Widersprüche seien die Daten für eine Verarbeitung zu Marketingzwecken für die ersten 21 Tage gesperrt. Dieser zweistufige Prozess sei auch bei den BF eingehalten worden. Sohin sei das Vorbringen, wonach die BF1 im Recht auf Information
Dem BF2 sei die
, DSGVO geschuldete Information innerhalb weniger Tage zugeschickt worden, was angesichts des hinterlegten Widerspruches nicht mehr geschuldet gewesen sei. Die MP erhalte im Zuge des Vertragsabschlusses Stammdaten (Anrede, Titel, Vorname, Nachname, Geburtsdatum, Adresse) und dürfe diese Daten als Adressverlags- und Direktmarketingunternehmen
O verarbeiten. Bei Vertragsabschluss hole sie keine Einwilligung zur Datenweitergabe
O; demgemäß müsse sie über die Möglichkeit der Datenweitergabe zu Marketingzwecken und das Recht zum Widerruf im Sinne eines opt-outs informieren, nicht aber eine diesbezügliche opt-in Einwilligung einholen. Der § 151 GewO stelle den geltenden Rechtsbestand dar, dieser sei auch im Zuges des Inkrafttretens der DSGVO novelliert worden. Außerdem habe die belangte Behörde am 11.04.2019 Verhaltensregeln für Adressverlage und Direktmarketingunternehmen genehmigt. Die MP verarbeite in Bezug auf Marketingzwecke bloß Stammdaten (Name, Adresse). Hätte der Gesetzgeber diesen Datenkategorien eine besondere Sensibilität beigemessen, hätte er § 151 Abs. 5 GewO nie formuliert, der diese Datenkategorien für unbedenklich erkläre. Weiters gehe aus dem ErwGr 47 zur DSGVO hervor, dass das Direktmarketing als ein „berechtigtes Interesse“ betrachtet werden könne und erkenne damit an, dass das unternehmerische Interesse an Marketing den Interessen der Betroffenen übergeordnet sei.Die MP erhalte im Zuge des Vertragsabschlusses Stammdaten (Anrede, Titel, Vorname, Nachname, Geburtsdatum, Adresse) und dürfe diese Daten als Adressverlags- und Direktmarketingunternehmen
Paragraph 151, GewO verarbeiten. Bei Vertragsabschluss hole sie keine Einwilligung zur Datenweitergabe
O; demgemäß müsse sie über die Möglichkeit der Datenweitergabe zu Marketingzwecken und das Recht zum Widerruf im Sinne eines opt-outs informieren, nicht aber eine diesbezügliche opt-in Einwilligung einholen. Der Paragraph 151, GewO stelle den geltenden Rechtsbestand dar, dieser sei auch im Zuges des Inkrafttretens der DSGVO novelliert worden. Außerdem habe die belangte Behörde am 11.04.2019 Verhaltensregeln für Adressverlage und Direktmarketingunternehmen genehmigt. Die MP verarbeite in Bezug auf Marketingzwecke bloß Stammdaten (Name, Adresse). Hätte der Gesetzgeber diesen Datenkategorien eine besondere Sensibilität beigemessen, hätte er Paragraph 151, Absatz 5, GewO nie formuliert, der diese Datenkategorien für unbedenklich erkläre. Weiters gehe aus dem ErwGr 47 zur DSGVO hervor, dass das Direktmarketing als ein „berechtigtes Interesse“ betrachtet werden könne und erkenne damit an, dass das unternehmerische Interesse an Marketing den Interessen der Betroffenen übergeordnet sei.
cit. ermöglichen solle. Dies erschließe sich im Übrigen auch aus den Informationsschreiben der MP sowie der auf deren Internetauftritt zur Verfügung gestellten Informationen, aus welchen klar ersichtlich werde, dass die Datenverarbeitung zu Marketingzwecken Dritter auf der Rechtsgrundlage des Art 6 Abs. 1 lit. f DSGVO erfolge und von welchen die BF laut eigenen Angaben auch Kenntnis erlangt hätten. Die BF hätten am 22.08.2019 in der Filiale der MP Widerspruch eingelegt und sei infolgedessen keine Weitergabe noch eine sonstige Verarbeitung ihrer personenbezogenen Daten zu Marketingzwecken erfolgt.In rechtlicher Hinsicht hielt die belangte Behörde (sofern für das gegenständliche Beschwerdeverfahren relevant) fest, dass gegenständlich zwar unbestrittenermaßen personenbezogene Daten der beiden BF im Rahmen des Vertragsabschlusses „Postfach Urlaub“ erfasst und folglich auch iSd Artikel 4, Ziffer 2, DSGVO zum Zwecke der Vertragserfüllung durch die MP verarbeitet worden seien. Aber allein dieser Umstand reiche nicht aus, dass eine festzustellende Rechtsverletzung vorliege oder vorgelegen habe. Es sei weder eine Einholung einer datenschutzrechtlichen Einwilligung noch eine (Weiter-)Verarbeitung zu Marketingzwecken Dritter erfolgt. Aus dem Wortlaut der Vereinbarung des Postfaches „Urlaub“ aus dem August 2019 werde ersichtlich, dass das Anklicken der „Checkbox“ („Ich bin mit einer Datenweitergabe nicht einverstanden.“) keine affirmative Willensbekundung zur Datenverarbeitung iSd Artikel 4, Ziffer 11, DSGVO ausdrücke, sondern vielmehr eine Ablehnung in Form eines Widerspruches
cit. ermöglichen solle. Dies erschließe sich im Übrigen auch aus den Informationsschreiben der MP sowie der auf deren Internetauftritt zur Verfügung gestellten Informationen, aus welchen klar ersichtlich werde, dass die Datenverarbeitung zu Marketingzwecken Dritter auf der Rechtsgrundlage des Artikel 6, Absatz eins, Litera f, DSGVO erfolge und von welchen die BF laut eigenen Angaben auch Kenntnis erlangt hätten. Die BF hätten am 22.08.2019 in der Filiale der MP Widerspruch eingelegt und sei infolgedessen keine Weitergabe noch eine sonstige Verarbeitung ihrer personenbezogenen Daten zu Marketingzwecken erfolgt. Zur behaupteten Verletzung im Recht auf Information führte die belangte Behörde aus, dass die BF stets davon ausgehen würden, die Datenverarbeitung zum Zwecke des Direktmarketings hänge von einer Einwilligung ab und könne eben nicht auf ein berechtigtes Interesse der MP gestützt werden. Schon zum Zeitpunkt des Vertragsabschlusses über die Einrichtung eines Urlaubspostfaches sei es möglich gewesen, der Datenverarbeitung zu Marketingzwecken zu widersprechen. Aus dem in den Feststellungen inkludierten Unterschriftenpad gehe eindeutig hervor, dass die BF darüber in Kenntnis gewesen sein müssten, dass unabhängig von der Möglichkeit des Widerspruches zur Datenverarbeitung zu Marketingzwecken die Daten zur Einrichtung des Urlaubpostfaches und zur dortigen Vertragserfüllung benötigt würden. Die MP habe zu keinem Zeitpunkt den Eindruck erweckt, die Unterschrift begründe eine wie immer geartete datenschutzrechtliche Einwilligung. Richtigerweise hätten die BF daher annehmen müssen, dass die Unterschrift nur den Auftrag zur Einrichtung des Urlaubspostfaches begründe. Betreffend die BF1 wurde hierzu angeführt, dass die personenbezogenen Daten der beiden BF bei der BF1 anlässlich der Beauftragung des Urlaubspostfaches anhand des Touch Pad-Terminals in die das hierfür erforderliche System eingepflegt, somit zu diesem Zeitpunkt erhoben worden seien. Der BF1 sei vor Abschluss der Urlaubspostfach-Vereinbarung auf dem Touch Pad-Terminal selbst schon der Hinweis erteilt worden, dass personenbezogene Daten (konkret Anrede, Titel, Vorname, Nachname, Geburtsdatum und Adresse) von der MP an Dritte
O zur Marketingzwecken übermittelt werden könnten und dass sie diese Übermittlung untersagen könne. Schon dadurch sei dem gesetzlichen Erfordernis Genüge getan, weil die BF darüber Kenntnis haben müssten, dass die MP keine Einwilligung zur Datenverarbeitung zu Marketingzwecken gebracht oder abverlangt habe, die Möglichkeit der sofortigen Untersagung sei gegeben gewesen. Der BF1 seien auch sogleich alle in Art. 13 Abs. 1 und Abs. 2 DSGVO – fallbezogen relevanten - genannten Informationen bereitgestellt worden. Da die Verarbeitung nicht aufgrund einer erteilten Einwilligung erfolgt sei, habe auch (vorab) eine Information nach Art. 13 Abs. 2 lit. c DSGVO unterbleiben können. Das Vorbringen der BF, demgemäß die hinsichtlich der Datenweitergabe an Dritte bzw. eines diesbezüglichen Widerspruchsrechts erteilten Information nicht hinreichend transparent und verständlich gewesen sei, treffe nicht zu, da die betreffenden Hinweise auf der Seite des Touch Pad-Terminals in zwei separaten, aufeinander folgenden Absätzen zu lesen gewesen seien, welche überdies direkt über dem Unterschriftsfeld und über jener Checkbox stünden, durch deren Ankreuzen eine Weitergabe untersagt werden hätte können. Die gegenständliche Weitergabe personenbezogener Daten zu Marketingzwecken Dritter sei nicht aufgrund einer erteilten Einwilligung (Art 6 Abs. 1 lit. a DSGVO) erfolgt, sondern aufgrund der Rechtsgrundlage „berechtigte Interessen“ (Art. 6 Abs. 1 lit. f DSGVO). In Ansehung des gegenständlichen Sachverhaltes sei ebenfalls keine Zweckänderung erkennbar, da der Zweck bereits zu Beginn deklariert worden sei und folglich keine Informationspflicht bestanden habe. Im Ergebnis sei damit die MP ihrer aus Art. 13 DSGVO erwachsenen Informationspflicht nachgekommen.Betreffend die BF1 wurde hierzu angeführt, dass die personenbezogenen Daten der beiden BF bei der BF1 anlässlich der Beauftragung des Urlaubspostfaches anhand des Touch Pad-Terminals in die das hierfür erforderliche System eingepflegt, somit zu diesem Zeitpunkt erhoben worden seien. Der BF1 sei vor Abschluss der Urlaubspostfach-Vereinbarung auf dem Touch Pad-Terminal selbst schon der Hinweis erteilt worden, dass personenbezogene Daten (konkret Anrede, Titel, Vorname, Nachname, Geburtsdatum und Adresse) von der MP an Dritte
Paragraph 151, GewO zur Marketingzwecken übermittelt werden könnten und dass sie diese Übermittlung untersagen könne. Schon dadurch sei dem gesetzlichen Erfordernis Genüge getan, weil die BF darüber Kenntnis haben müssten, dass die MP keine Einwilligung zur Datenverarbeitung zu Marketingzwecken gebracht oder abverlangt habe, die Möglichkeit der sofortigen Untersagung sei gegeben gewesen. Der BF1 seien auch sogleich alle in Artikel 13, Absatz eins und Absatz 2, DSGVO – fallbezogen relevanten - genannten Informationen bereitgestellt worden. Da die Verarbeitung nicht aufgrund einer erteilten Einwilligung erfolgt sei, habe auch (vorab) eine Information nach Artikel 13, Absatz 2, Litera c, DSGVO unterbleiben können. Das Vorbringen der BF, demgemäß die hinsichtlich der Datenweitergabe an Dritte bzw. eines diesbezüglichen Widerspruchsrechts erteilten Information nicht hinreichend transparent und verständlich gewesen sei, treffe nicht zu, da die betreffenden Hinweise auf der Seite des Touch Pad-Terminals in zwei separaten, aufeinander folgenden Absätzen zu lesen gewesen seien, welche überdies direkt über dem Unterschriftsfeld und über jener Checkbox stünden, durch deren Ankreuzen eine Weitergabe untersagt werden hätte können. Die gegenständliche Weitergabe personenbezogener Daten zu Marketingzwecken Dritter sei nicht aufgrund einer erteilten Einwilligung (Artikel 6, Absatz eins, Litera a, DSGVO) erfolgt, sondern aufgrund der Rechtsgrundlage „berechtigte Interessen“ (Artikel 6, Absatz eins, Litera f, DSGVO). In Ansehung des gegenständlichen Sachverhaltes sei ebenfalls keine Zweckänderung erkennbar, da der Zweck bereits zu Beginn deklariert worden sei und folglich keine Informationspflicht bestanden habe. Im Ergebnis sei damit die MP ihrer aus Artikel 13, DSGVO erwachsenen Informationspflicht nachgekommen. In Bezug auf den BF2 wurde festgehalten, dass das der BF1 ausgehändigte Vertragsformular und die darin erteilten Informationen auch an den BF2 gerichtet seien und ihm dieses unstrittig zugegangen sei. Somit habe der BF2 bereits über die
Sd Art 14 Abs. 2 lit. f leg. cit. sei dem BF2 bekannt, da die ihn betreffenden Daten bei der BF1 erhoben worden seien und dies anlässlich der Beauftragung eines Urlaubspostfaches geschehen sei. Aus Sicht der MP sei daher grundsätzlich von keiner weiterführenden Informationspflicht betreffend den BF2 iSd Art 12. Abs. 1 iVm Art. 14 DSGVO auszugehen.In Bezug auf den BF2 wurde festgehalten, dass das der BF1 ausgehändigte Vertragsformular und die darin erteilten Informationen auch an den BF2 gerichtet seien und ihm dieses unstrittig zugegangen sei. Somit habe der BF2 bereits über die
, Absatz eins, Litera a bis e und Absatz 2, Litera a bis e DSGVO zu erteilenden Informationen verfügt. Auch die Datenquelle iSd Artikel 14, Absatz 2, Litera f, leg. cit. sei dem BF2 bekannt, da die ihn betreffenden Daten bei der BF1 erhoben worden seien und dies anlässlich der Beauftragung eines Urlaubspostfaches geschehen sei. Aus Sicht der MP sei daher grundsätzlich von keiner weiterführenden Informationspflicht betreffend den BF2 iSd Artikel 12, Absatz eins, in Verbindung mit Artikel 14, DSGVO auszugehen. 5. Gegen diesen Bescheid erhoben beide BF fristgerecht eine gemeinsame Beschwerde an das Bundesverwaltungsgericht: Die Sachverhaltsfeststellungen seien im Wesentlichen zutreffend mit Ausnahme des auf dem Signatur-Pad dargestellten Inhalts. Den von der MP in ihrer Eingabe vom 05.06.2020 als „Testversion“ präsentierten Inhalt habe die BF1 nie gesehen, dieser sei bei ihrer Bestellung des Urlaubspostfaches nicht verwendet worden. Ein Hinweis des Mitarbeiters der MP auf eine Datenverwendung für Marketingzwecke Dritter sei nicht erfolgt. Weiters hätten die BF keine Gelegenheit gehabt, dem festgestellten Sachverhalt wie auch den rechtlichen Schlussfolgerungen zu widersprechen und hätten insofern eingeschränktes Parteiengehör gehabt. Unabhängig von einer allfälligen Weitergabe der Daten sei bereits die Erfassung der Daten zum Zweck des Direktmarketings an Dritte nicht rechtmäßig erfolgt. Für den Verstoß reiche es, dass die MP die Daten originär für zwei getrennte Zwecke erhoben habe, um sie Dritten zur Verfügung zu stellen, ohne dabei die Zustimmung der Betroffenen einzuholen. Das Oberlandesgericht (OLG) Wien sei in der Entscheidung vom 24.06.2020, Zl. 4R 18/20a, u.a. zu dem Schluss gekommen, dass die MP sich nicht mit Erfolg auf § 151 GewO und auf die Zulässigkeit des in Abs. 5 leg. cit. vorgesehenen Opt-out-Verfahren berufen könne und kein berechtigtes Interesse der MP vorliege. Vielmehr habe die MP das in Art. 25 Abs. 2 DSGVO normierte Opt-in-Verfahren anzuwenden. Dass die Rechtsgebiete Vertragsklauseln und Datenschutzrecht in der Beurteilung nach dem Willen des Unionsgesetzgebers nicht losgelöst voneinander zu betrachten seien, ergebe sich auch aus EG 42 zur DSGVO, der explizit festhalte, dass die Bestimmungen der Klausel-RL auch in Angelegenheiten der DSGVO zu berücksichtigen seien. Des Weiteren habe das OLG Wien ausgeführt, dass die Voraussetzungen des § 151 Ans. 3 und 5 GewO von der Mitbeteiligten nicht eingehalten würden. Die vorliegenden Datenerfassungen zum Zweck des Direktmarketings an Dritte seien somit gegen die Vorgaben von § 151 GewO sowie § 4 CoC erfolgt. Unabhängig von einer allfälligen Weitergabe der Daten sei bereits die Erfassung der Daten zum Zweck des Direktmarketings an Dritte nicht rechtmäßig erfolgt. Für den Verstoß reiche es, dass die MP die Daten originär für zwei getrennte Zwecke erhoben habe, um sie Dritten zur Verfügung zu stellen, ohne dabei die Zustimmung der Betroffenen einzuholen. Das Oberlandesgericht (OLG) Wien sei in der Entscheidung vom 24.06.2020, Zl. 4R 18/20a, u.a. zu dem Schluss gekommen, dass die MP sich nicht mit Erfolg auf Paragraph 151, GewO und auf die Zulässigkeit des in Absatz 5, leg. cit. vorgesehenen Opt-out-Verfahren berufen könne und kein berechtigtes Interesse der MP vorliege. Vielmehr habe die MP das in Artikel 25, Absatz 2, DSGVO normierte Opt-in-Verfahren anzuwenden. Dass die Rechtsgebiete Vertragsklauseln und Datenschutzrecht in der Beurteilung nach dem Willen des Unionsgesetzgebers nicht losgelöst voneinander zu betrachten seien, ergebe sich auch aus EG 42 zur DSGVO, der explizit festhalte, dass die Bestimmungen der Klausel-RL auch in Angelegenheiten der DSGVO zu berücksichtigen seien. Des Weiteren habe das OLG Wien ausgeführt, dass die Voraussetzungen des Paragraph 151, Ans. 3 und 5 GewO von der Mitbeteiligten nicht eingehalten würden. Die vorliegenden Datenerfassungen zum Zweck des Direktmarketings an Dritte seien somit gegen die Vorgaben von Paragraph 151, GewO sowie Paragraph 4, CoC erfolgt. Sowohl die MP als auch die belangte Behörde seien es ferner schuldig geblieben, darzulegen, wieso im vorliegenden Fall ein berechtigtes Interesse vorliegen würde. Eine Interessensabwägung müsse zu dem Ergebnis kommen, dass fallbezogen die Interessen der BF überwiegen. Die MP nutze die Daten nicht bloß für Direktwerbung für eigene Produkte, sie gebe diese auch an Dritte weiter, was einen viel weitgehenderen Eingriff in die Selbstbestimmungsrechte der Betroffenen darstelle, da diesen eine Kontrolle darüber, an wen und auch wie häufig Daten übermittelt würden, damit entzogen sei. Direktwerbung für Dritte könne folglich nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Allenfalls könnte ein berechtigtes Interesse für Direktwerbung im eigenen Namen vorliegen, was sich aus EG 47 zur DSGVO ergebe. Warum Direktwerbung für Dritte ein überwiegendes Interesse darstellen solle, erschließe sich nicht und werde von der MP und der DSB auch nicht näher ausgeführt. Nach den Rechtsgrundsätzen des Art. 6 DSGVO wäre für die vom Vertragszweck getrennte Erhebung der Daten für Marketingzwecke Dritter die Einwilligung der Betroffenen einzuholen gewesen. Somit sei die betreffende Datenverarbeitung unabhängig von einem allfälligen späteren Widerspruch von vornherein unrechtmäßig und verstoße gegen den privacy-by-design Grundsatz des Art. 25 Abs. 2 DSGVO. Die Möglichkeit eines nachträglichen Widerspruchs ändere daran nichts, auch die 21-tägige Sperrfrist sei kein Heilmittel für eine an sich unrechtmäßige Datenverarbeitung. Sowohl die MP als auch die belangte Behörde seien es ferner schuldig geblieben, darzulegen, wieso im vorliegenden Fall ein berechtigtes Interesse vorliegen würde. Eine Interessensabwägung müsse zu dem Ergebnis kommen, dass fallbezogen die Interessen der BF überwiegen. Die MP nutze die Daten nicht bloß für Direktwerbung für eigene Produkte, sie gebe diese auch an Dritte weiter, was einen viel weitgehenderen Eingriff in die Selbstbestimmungsrechte der Betroffenen darstelle, da diesen eine Kontrolle darüber, an wen und auch wie häufig Daten übermittelt würden, damit entzogen sei. Direktwerbung für Dritte könne folglich nicht auf Artikel 6, Absatz eins, Litera f, DSGVO gestützt werden. Allenfalls könnte ein berechtigtes Interesse für Direktwerbung im eigenen Namen vorliegen, was sich aus EG 47 zur DSGVO ergebe. Warum Direktwerbung für Dritte ein überwiegendes Interesse darstellen solle, erschließe sich nicht und werde von der MP und der DSB auch nicht näher ausgeführt. Nach den Rechtsgrundsätzen des Artikel 6, DSGVO wäre für die vom Vertragszweck getrennte Erhebung der Daten für Marketingzwecke Dritter die Einwilligung der Betroffenen einzuholen gewesen. Somit sei die betreffende Datenverarbeitung unabhängig von einem allfälligen späteren Widerspruch von vornherein unrechtmäßig und verstoße gegen den privacy-by-design Grundsatz des Artikel 25, Absatz 2, DSGVO. Die Möglichkeit eines nachträglichen Widerspruchs ändere daran nichts, auch die 21-tägige Sperrfrist sei kein Heilmittel für eine an sich unrechtmäßige Datenverarbeitung. Bezüglich der Verletzung im Recht auf Information gehe die belangte Behörde wiederum von einem unrichtigen Sachverhalt aus; es liege damit ein Verstoß gegen eine Datenverarbeitung nach Treu und Glauben, das Transparenzgebot sowie die Informationspflichten vor. Aber selbst ausgehend vom unrichtig festgestellten Sachverhalt lasse die belangte Behörde außer Acht, dass unter Abstellung auf einen Durchschnittsadressaten die Informationen so darzustellen seien, dass die betroffene Person ohne übermäßigen kognitiven oder zeitlichen Aufwand tatsächlich nachvollziehen könne. Die Ausgestaltung des betreffenden Signatur-Pads vermische vertragsrechtliche mit datenschutzrechtlichen Informationen. Zudem sei das Signatur-Pad vor Ort nicht so gut wahrnehmbar gewesen und das Display sei mit den Informationen sehr klein und schlecht lesbar. Dieser Umstand wiege schwer, weil der Durchschnittsadressat im Rahmen seiner Bestellung des Urlaubs-Postfaches ausschließlich den Vertragsabschluss mit der Post jedoch nicht ihr Gewerbe nach § 151 GewO im Blick habe. Das wesentlich kleinere Feld für ein Opt-Out zur Datenweitergabe gehe für einen Durchschnittskunden unter. Sohin führe die fehlende Transparenz zu einer ungewollten Datenweitergabe.Bezüglich der Verletzung im Recht auf Information gehe die belangte Behörde wiederum von einem unrichtigen Sachverhalt aus; es liege damit ein Verstoß gegen eine Datenverarbeitung nach Treu und Glauben, das Transparenzgebot sowie die Informationspflichten vor. Aber selbst ausgehend vom unrichtig festgestellten Sachverhalt lasse die belangte Behörde außer Acht, dass unter Abstellung auf einen Durchschnittsadressaten die Informationen so darzustellen seien, dass die betroffene Person ohne übermäßigen kognitiven oder zeitlichen Aufwand tatsächlich nachvollziehen könne. Die Ausgestaltung des betreffenden Signatur-Pads vermische vertragsrechtliche mit datenschutzrechtlichen Informationen. Zudem sei das Signatur-Pad vor Ort nicht so gut wahrnehmbar gewesen und das Display sei mit den Informationen sehr klein und schlecht lesbar. Dieser Umstand wiege schwer, weil der Durchschnittsadressat im Rahmen seiner Bestellung des Urlaubs-Postfaches ausschließlich den Vertragsabschluss mit der Post jedoch nicht ihr Gewerbe nach Paragraph 151, GewO im Blick habe. Das wesentlich kleinere Feld für ein Opt-Out zur Datenweitergabe gehe für einen Durchschnittskunden unter. Sohin führe die fehlende Transparenz zu einer ungewollten Datenweitergabe. Außerdem hätten bereits zum Zeitpunkt der erstmaligen Datenerhebung durch den Mitarbeiter und der Darstellung der Daten zur Kontrolle und Bestätigung am Signatur-Pad die Informationen nach Art. 13 DSGVO auf dem Signatur-Pad aufscheinen und eindeutig auf eine mögliche Datenweitergabe zu Marketingzwecken Dritter hinweisen müssen. Zudem würden die Informationen in Bezug auf Art. 21 Abs. 2 und DSGVO bzw. zum Recht der Untersagung der Datenübermittlung
O sowie dem Löschungsrecht nach § 151 Abs. 8 GewO auf dem Pad unbestrittenerweise fehlen.Außerdem hätten bereits zum Zeitpunkt der erstmaligen Datenerhebung durch den Mitarbeiter und der Darstellung der Daten zur Kontrolle und Bestätigung am Signatur-Pad die Informationen nach Artikel 13, DSGVO auf dem Signatur-Pad aufscheinen und eindeutig auf eine mögliche Datenweitergabe zu Marketingzwecken Dritter hinweisen müssen. Zudem würden die Informationen in Bezug auf Artikel 21, Absatz 2 und DSGVO bzw. zum Recht der Untersagung der Datenübermittlung
Paragraph 151, Absatz 5, GewO sowie dem Löschungsrecht nach Paragraph 151, Absatz 8, GewO auf dem Pad unbestrittenerweise fehlen. Hinsichtlich des BF2 wurde ausgeführt, dass die BF1 nicht wirksam über die Daten des BF2 zu Zwecken des Direktmarketings für Dritte verfügen habe können, da der von ihm erteilte Auftrag und die Vollmacht sich nicht auf die Verwendung seiner Daten zu Zwecken des Direktmarketings Dritter erstreckt habe. Mit Rücksicht auf das zitierte Urteil des OLG Wien müsse ein Verantwortlicher nicht nur die Bestimmungen der DSGVO einhalten, sondern auch in der Lage sein, dies nachzuweisen. Ferner seien die vom BF2 verarbeiteten Daten nicht aus einer in § 151 Abs. 3 GewO genannten Quelle bzw. mittels Befragung ermittelt worden. Dass der BF2 unabhängig davon nachträglich
2 DSGVO durch ein an ihn gerichtetes Schreiben informiert worden sei, vermöge diese Unrechtmäßigkeit der Verwendung seiner Daten nicht zu beseitigen, überdies hätten die BF das nachfolgende Schreiben nie erhalten.Hinsichtlich des BF2 wurde ausgeführt, dass die BF1 nicht wirksam über die Daten des BF2 zu Zwecken des Direktmarketings für Dritte verfügen habe können, da der von ihm erteilte Auftrag und die Vollmacht sich nicht auf die Verwendung seiner Daten zu Zwecken des Direktmarketings Dritter erstreckt habe. Mit Rücksicht auf das zitierte Urteil des OLG Wien müsse ein Verantwortlicher nicht nur die Bestimmungen der DSGVO einhalten, sondern auch in der Lage sein, dies nachzuweisen. Ferner seien die vom BF2 verarbeiteten Daten nicht aus einer in Paragraph 151, Absatz 3, GewO genannten Quelle bzw. mittels Befragung ermittelt worden. Dass der BF2 unabhängig davon nachträglich
, Absatz 2, DSGVO durch ein an ihn gerichtetes Schreiben informiert worden sei, vermöge diese Unrechtmäßigkeit der Verwendung seiner Daten nicht zu beseitigen, überdies hätten die BF das nachfolgende Schreiben nie erhalten. 6. Mit Schreiben vom 19.11.2021 legte die belangte Behörde die Beschwerde dem Bundesverwaltungsgericht unter Anschluss der Verfahrensakten vor. In ihrer angeschlossenen Stellungnahme brachte sie zunächst vor, dass den BF der auf dem verfahrensgegenständlichen Touch-Pad-Terminal dargestellte Inhalt nicht nur zweimal im Rahmen der Akteneinsicht elektronisch übermittelt worden sei, sondern sie durch die belangte Behörde auch explizit darauf hingewiesen worden seien, dass dieser als Beweismittel zur Sachverhaltsfeststellung herangezogen würde. Sohin hätten die BF Gelegenheit gehabt, Stellung zu nehmen bzw. die Echtheit und Richtigkeit des beigezogenen Beweismittels zu bestreiten, und sei ihr Recht auf Parteiengehör jedenfalls gewahrt worden. Gegenständlich seien unbestrittenermaßen personenbezogene Daten der BF im Rahmen des Vertragsabschlusses „Postfach Urlaub“ erhoben bzw. erfasst worden. Dies stelle nur einen der in Art. 4 Z 2 DSGVO aufgezählten Verarbeitungsschritte dar und sei dies unzweifelhaft zum Zweck der Vertragserfüllung erfolgt. Ob des innerhalb der 21-tägigen Sperrfrist erklärten Widerspruchs der BF sei es fallbezogen tatsächlich zu keiner Verarbeitung iSd Art. 4 Z 2 DSGVO von personenbezogenen Daten zu Marketingzwecken gekommen, da angesichts des Widerspruchs Daten zu diesem Zweck weder erfasst bzw. gespeichert, noch weitergeleitet worden seien. Die MP stütze eine etwaige Verarbeitung von Daten zu Marketingzwecken nicht auf eine etwaige Einwilligung, eine solche Verarbeitung wäre auf das Vorliegen von „berechtigten Interessen“ iSd Art. 6 Abs. 1 lit. f DSGVO iVm § 151 GewO gestützt. Das von der BF zitierte Urteil des OLG Wien sei für den vorliegenden Fall nicht einschlägig, da diesem ein anderer Verfahrensgegenstand zugrunde liege. Das OLG Wien verneine darin, dass dem Vorbringen der dortigen Beklagten, sich in diesem Zusammenhang gestützt auf
Abs. 3 und 5 GewO auf eine Einwilligung durch Opt-out berufen zu können, mangels Einhalten der hierin vorgesehenen Modalitäten nicht gefolgt werden könne. Aus § 151 GewO lasse sich nicht ableiten, dass außerhalb des Anwendungsbereichs dieser Bestimmung die übrigen Erlaubnistatbestände des Art. 6 Abs. 1 nicht (auch) in Betracht kämen bzw. diese ergänzen würden. Folglich erkenne die belangte Behörde an, dass die Verarbeitung von Daten grundsätzlich auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden könne. Das Anklicken der gegenständlichen Checkbox drücke keine affirmative Willensbekundung zur Datenverarbeitung iSd Art. 4 Z 11 DSGVO aus, sondern solle vielmehr eine Ablehnung in Form eines Widerspruchs
DSGVO ermöglichen.Gegenständlich seien unbestrittenermaßen personenbezogene Daten der BF im Rahmen des Vertragsabschlusses „Postfach Urlaub“ erhoben bzw. erfasst worden. Dies stelle nur einen der in Artikel 4, Ziffer 2, DSGVO aufgezählten Verarbeitungsschritte dar und sei dies unzweifelhaft zum Zweck der Vertragserfüllung erfolgt. Ob des innerhalb der 21-tägigen Sperrfrist erklärten Widerspruchs der BF sei es fallbezogen tatsächlich zu keiner Verarbeitung iSd Artikel 4, Ziffer 2, DSGVO von personenbezogenen Daten zu Marketingzwecken gekommen, da angesichts des Widerspruchs Daten zu diesem Zweck weder erfasst bzw. gespeichert, noch weitergeleitet worden seien. Die MP stütze eine etwaige Verarbeitung von Daten zu Marketingzwecken nicht auf eine etwaige Einwilligung, eine solche Verarbeitung wäre auf das Vorliegen von „berechtigten Interessen“ iSd Artikel 6, Absatz eins, Litera f, DSGVO in Verbindung mit Paragraph 151, GewO gestützt. Das von der BF zitierte Urteil des OLG Wien sei für den vorliegenden Fall nicht einschlägig, da diesem ein anderer Verfahrensgegenstand zugrunde liege. Das OLG Wien verneine darin, dass dem Vorbringen der dortigen Beklagten, sich in diesem Zusammenhang gestützt auf
Absatz 3 und 5 GewO auf eine Einwilligung durch Opt-out berufen zu können, mangels Einhalten der hierin vorgesehenen Modalitäten nicht gefolgt werden könne. Aus Paragraph 151, GewO lasse sich nicht ableiten, dass außerhalb des Anwendungsbereichs dieser Bestimmung die übrigen Erlaubnistatbestände des Artikel 6, Absatz eins, nicht (auch) in Betracht kämen bzw. diese ergänzen würden. Folglich erkenne die belangte Behörde an, dass die Verarbeitung von Daten grundsätzlich auf Artikel 6, Absatz eins, Litera f, DSGVO gestützt werden könne. Das Anklicken der gegenständlichen Checkbox drücke keine affirmative Willensbekundung zur Datenverarbeitung iSd Artikel 4, Ziffer 11, DSGVO aus, sondern solle vielmehr eine Ablehnung in Form eines Widerspruchs
Hinsichtlich der behaupteten Verletzung im Recht auf Information sei im Hinblick auf Art. 13 und 14 DSGVO gegenständlich keine konkrete Beschwer erkennbar. Die belangte Behörde habe sich umfassend mit Art und Inhalt der erteilten Informationen iSd Art. 13 und 14 DSGVO auseinandergesetzt. Schon auf dem Internetauftritt der MP sei eine (umfassende) Information zu einer etwaigen Verarbeitung personenbezogener Daten im Interesse der MP sowie von Dritten zu Marketingzwecken bereitgestellt gewesen, womit jedenfalls im Zeitpunkt der Beauftragung des Urlaubpostfachs alle
und 14 DSGVO geforderten Informationen auf dem Internetauftritt der MP veröffentlicht gewesen seien und sohin den beiden BF unzweifelhaft zur Verfügung gestanden seien. Ob die BF1 befugt gewesen sei, einen Nachsendeauftrag im Namen des BF2 abzuschließen, sei unter Berücksichtigung der fallgegenständlichen Beschwerde nicht zu klären gewesen. Die MP habe zudem wohl berechtigterweise davon ausgehen können, dass sich (zumindest) der BF2 von der BF1 freiwillig und gewillkürt vertreten habe lassen.Hinsichtlich der behaupteten Verletzung im Recht auf Information sei im Hinblick auf Artikel 13 und 14 DSGVO gegenständlich keine konkrete Beschwer erkennbar. Die belangte Behörde habe sich umfassend mit Art und Inhalt der erteilten Informationen iSd Artikel 13 und 14 DSGVO auseinandergesetzt. Schon auf dem Internetauftritt der MP sei eine (umfassende) Information zu einer etwaigen Verarbeitung personenbezogener Daten im Interesse der MP sowie von Dritten zu Marketingzwecken bereitgestellt gewesen, womit jedenfalls im Zeitpunkt der Beauftragung des Urlaubpostfachs alle
und 14 DSGVO geforderten Informationen auf dem Internetauftritt der MP veröffentlicht gewesen seien und sohin den beiden BF unzweifelhaft zur Verfügung gestanden seien. Ob die BF1 befugt gewesen sei, einen Nachsendeauftrag im Namen des BF2 abzuschließen, sei unter Berücksichtigung der fallgegenständlichen Beschwerde nicht zu klären gewesen. Die MP habe zudem wohl berechtigterweise davon ausgehen können, dass sich (zumindest) der BF2 von der BF1 freiwillig und gewillkürt vertreten habe lassen.
O mangels Öffnungsklausel überhaupt der DSGVO entspreche. An der Datenverarbeitung zu Marketingzwecken Dritter könne es kein überwiegendes berechtigtes Interesse der MP geben. Für die MP sei es nicht erforderlich, Daten für ihre Gewerbetätigkeit im Rahmen eines Vertragsabschlusses über ein Urlaubspostfach vor Ort in einer Filiale zu erheben. Weiters stelle das OLG Wien sehr wohl datenschutzrechtliche Überlegungen an und weise auch auf eine notwendige Interessensabwägung iSd Art. 6 Abs. 1 lit. f als Rechtmäßigkeitsgrund hin. Die Wertungen des EuGH – zu C-132/21, 12.01.2023 – seien auch fallbezogen übertragbar, da zwei sich widersprechende Entscheidungen, die sich mit derselben datenschutzrechtlichen Klausel auseinandersetzen, den Zielen der DSGVO schaden würden. Das Urteil des OLG Wien sei daher insgesamt für den vorliegenden Fall einschlägig. 8. In ihrer Stellungnahme vom 23.03.2023 führten die BF im Wesentlichen aus, dass der Text auf dem von der MP der Behörde beigebrachten Abbildung nicht dem Touchpad-Text, der der BF1 bei Vertragsabschluss präsentiert worden sei, entspreche. Es entspreche zudem der allgemeinen Lebenserfahrung, dass Rechts- und Vertragstexte laufend überarbeitet und angepasst würden. Beigelegt wurden Fotos von einem Touchpad-Text in einer Filiale der MP, welche anlässlich einer Nachschau durch die römisch 40 angefertigt worden seien. Die Informationen in Papierform seien zum einen umfangreicher gewesen, aber zum anderen irrelevant, da es auf die Informationen bei Bekanntgabe der Daten ankomme, nicht auf eine Information danach. Die DSB habe eine unrichtige Beweiswürdigung getroffen. Schon beim bloßen Erfassen von Daten liege eine Verarbeitung vor, die Erhebung der Daten zu Marketingzwecken Dritter sei bereits an sich unrechtmäßig, weswegen die BF in ihrem Recht auf Geheimhaltung verletzt worden seien. In diesem Erheben der Daten sei ein Verstoß gegen den Grundsatz von Treu und Glauben
O mangels Öffnungsklausel überhaupt der DSGVO entspreche. An der Datenverarbeitung zu Marketingzwecken Dritter könne es kein überwiegendes berechtigtes Interesse der MP geben. Für die MP sei es nicht erforderlich, Daten für ihre Gewerbetätigkeit im Rahmen eines Vertragsabschlusses über ein Urlaubspostfach vor Ort in einer Filiale zu erheben. Weiters stelle das OLG Wien sehr wohl datenschutzrechtliche Überlegungen an und weise auch auf eine notwendige Interessensabwägung iSd Artikel 6, Absatz eins, Litera f, als Rechtmäßigkeitsgrund hin. Die Wertungen des EuGH – zu C-132/21, 12.01.2023 – seien auch fallbezogen übertragbar, da zwei sich widersprechende Entscheidungen, die sich mit derselben datenschutzrechtlichen Klausel auseinandersetzen, den Zielen der DSGVO schaden würden. Das Urteil des OLG Wien sei daher insgesamt für den vorliegenden Fall einschlägig. Bezüglich Art. 13 DSGVO sei im Falle der vollständigen Nachholung der Informationserteilung immer noch die Rechtsverletzung festzustellen. Überdies seien nicht alle fehlenden Informationspflichten zu einem späteren Zeitpunkt nachgeholt worden (nämlich jene nach Art 13 Abs. 1 lit. d, e und Abs. 2 lit. f bzw. Art 14 Abs. 1 lit e, Abs. 2 lit b. und g). Zudem müsse sich der unbedarfte Kunde nicht vorher auf den Webseiten des Vertragspartners informieren, ob Datenverarbeitungen vorgenommen würden, mit denen er iZm seinem Vertrag keinesfalls rechnen müsse. Letztlich könne eine Pflicht der Auftraggeberin eines Urlaubspostfaches, nachweisen zu müssen, sie sei für ihren Ehemann zum Abschluss desselben beauftragt und bevollmächtigt, nicht wirksam vereinbart werden, da die sie selbst keine Daten verarbeite und keine Verantwortliche iSd DSGVO sei.Bezüglich Artikel 13, DSGVO sei im Falle der vollständigen Nachholung der Informationserteilung immer noch die Rechtsverletzung festzustellen. Überdies seien nicht alle fehlenden Informationspflichten zu einem späteren Zeitpunkt nachgeholt worden (nämlich jene nach Artikel 13, Absatz eins, Litera d, e und Absatz 2, Litera f, bzw. Artikel 14, Absatz eins, Litera e,, Absatz 2, Litera b, und g). Zudem müsse sich der unbedarfte Kunde nicht vorher auf den Webseiten des Vertragspartners informieren, ob Datenverarbeitungen vorgenommen würden, mit denen er iZm seinem Vertrag keinesfalls rechnen müsse. Letztlich könne eine Pflicht der Auftraggeberin eines Urlaubspostfaches, nachweisen zu müssen, sie sei für ihren Ehemann zum Abschluss desselben beauftragt und bevollmächtigt, nicht wirksam vereinbart werden, da die sie selbst keine Daten verarbeite und keine Verantwortliche iSd DSGVO sei. 9. In der Folge übermittelte das Bundesverwaltungsgericht die unter den Punkten 8. und 9. dargestellten Schriftsätze den übrigen Verfahrensparteien. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen: 1. Feststellungen: 1.1. Der Entscheidung wird zum einen der unter Punkt I. dargestellte Sachverhalt zugrunde gelegt.1.1. Der Entscheidung wird zum einen der unter Punkt römisch eins. dargestellte Sachverhalt zugrunde gelegt. 1.2. Darüber hinaus wird festgestellt: Die MP ist Universaldienstbetreiberin im Sinne des § 12 Abs. 1 PMG und erbringt unter anderem Post-, Paket- und Logistikdienstleistungen aller Art. Außerdem ist sie Gewerbetreibende aus dem Bereich Adressverlag und Direktmarketingunternehmen
O. Im Rahmen dieser Tätigkeit bietet die MP ihren Kundinnen und Kunden die Möglichkeit an, (innerhalb eines im Voraus bestimmten Zeitraums) einlangende Sendungen bei der zuständigen Geschäftsstelle der Wohn- bzw. Firmenanschrift zu lagern. Die Einrichtung eines solchen Postfachs „Urlaub“ kann sowohl online wie auch vor Ort in einer Filiale beauftragt werden.Die MP ist Universaldienstbetreiberin im Sinne des Paragraph 12, Absatz eins, PMG und erbringt unter anderem Post-, Paket- und Logistikdienstleistungen aller "Art". Außerdem ist sie Gewerbetreibende aus dem Bereich Adressverlag und Direktmarketingunternehmen
Paragraph 151, GewO. Im Rahmen dieser Tätigkeit bietet die MP ihren Kundinnen und Kunden die Möglichkeit an, (innerhalb eines im Voraus bestimmten Zeitraums) einlangende Sendungen bei der zuständigen Geschäftsstelle der Wohn- bzw. Firmenanschrift zu lagern. Die Einrichtung eines solchen Postfachs „Urlaub“ kann sowohl online wie auch vor Ort in einer Filiale beauftragt werden. Am 19.08.2019 beauftragte die BF1 bei der MP für sich selbst und den BF2 die Einrichtung eines Urlaubspostfaches („Postfach Urlaub‘“). Dies erfolgte in einer Filiale der MP in XXXX bzw. die Aufnahme der hierfür erforderlichen Daten erfolgte unter Verwendung eines vor Ort zur Verfügung gestellten Touch Pad-Terminals. Konkret wurden die Daten von der BF1 einem Mitarbeiter der MP mündlich bekannt und von diesem Vor- und Zuname, die Adresse sowie die Geburtsdaten der beiden BF anhand des Touch Pad-Terminals in das hierfür vorgesehene System eingegeben. Die Richtigkeit und Vollständigkeit der dafür erforderlichen Daten wurden mittels Unterschrift beurkundet und im System eingegeben.Am 19.08.2019 beauftragte die BF1 bei der MP für sich selbst und den BF2 die Einrichtung eines Urlaubspostfaches („Postfach Urlaub‘“). Dies erfolgte in einer Filiale der MP in römisch 40 bzw. die Aufnahme der hierfür erforderlichen Daten erfolgte unter Verwendung eines vor Ort zur Verfügung gestellten Touch Pad-Terminals. Konkret wurden die Daten von der BF1 einem Mitarbeiter der MP mündlich bekannt und von diesem Vor- und Zuname, die Adresse sowie die Geburtsdaten der beiden BF anhand des Touch Pad-Terminals in das hierfür vorgesehene System eingegeben. Die Richtigkeit und Vollständigkeit der dafür erforderlichen Daten wurden mittels Unterschrift beurkundet und im System eingegeben. Die BF1 bediente das Touch Pad-Terminal nur insoweit, als ihr die Möglichkeit eingeräumt wurde, die eingepflegten Daten bzw. den angezeigten Text zu lesen bzw. nachzukontrollieren, die Unterschriftsleistung erfolgte direkt auf dem Touch Pad-Terminal. Auf der diesbezüglichen Seite wurde auf dem Touch Pad-Terminal über dem für die Unterschriftsleistung vorgesehenen Feld folgender Text angezeigt (Formatierung nicht in 1:1 wiedergegeben): Durch das Anklicken der – neben dem für die Unterschriftsleistung vorgesehenen Feld – (nicht vorangekreuzte) Checkbox hätte eine Datenweitergabe untersagt werden können. Weder der Mitarbeiter der MP noch die BF1 setzte ein entsprechendes Kreuz hierin und leistete die BF1 ihre Unterschrift in dem dafür vorgesehenen Feld auf dem Touch Pad-Terminal. Im Anschluss an die Unterschriftsleistung wurde der BF1 eine an sie und den BF2 gerichtete Bestätigung über die getroffene Vereinbarung in Papierform (im Folgenden: Vertragsformular) ausgehändigt, in welchen der folgend abgebildete Text enthalten war (Auszüge soweit verfahrensrelevant, Formatierung nicht in 1:1 wiedergegeben): Außerdem war auf dem Internetauftritt der MP Folgendes veröffentlicht (Abbildung soweit verfahrensrelevant, Formatierung nicht in 1:1 wiedergegeben): Die anhand der ausgehändigten Schreiben erteilten Informationen, insbesondere dass seitens der MP personenbezogene Daten für Werbezwecke an Dritte übermittelt werden können, gelangten den beiden BF zu einem späteren – vor dem 22.08.2019 gelegenen – Zeitpunkt zur Kenntnis. Am 22.08.2019 suchte die BF1 dieselbe (obengenannte) Filiale der MP erneut auf und widersprach der Datenweitergabe zu Marketingzwecken. Es wurden die im Zusammenhang mit der Einrichtung des Urlaubspostfaches erfassten Daten der BF1 oder des BF2 zu keinem Zeitpunkt an Dritte zu Marketingzwecken weitergeleitet. Am 19.08.2019 war im System der MP der Datensatz bezüglich des BF2 in Hinblick auf einen hinterlegten Widerspruch für Adressverlagszwecke gesperrt.
GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.3.1.1. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, Bundesgesetzblatt Teil eins, Nr. 33 aus 2013,, geregelt (Paragraph eins, leg.cit.).
Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden
1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden
, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
GVG haben die Verwaltungsgerichte die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.
Paragraph 28, Absatz eins, VwGVG haben die Verwaltungsgerichte die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. 3.1.2. Zu den anzuwendenden Rechtsnormen:
1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. Art. 4 DSGVO normiert folgende für das gegenständliche Verfahren relevanten Legaldefinitionen:Artikel 4, DSGVO normiert folgende für das gegenständliche Verfahren relevanten Legaldefinitionen:
1 lit. f DSGVO ist die Verarbeitung von personenbezogenen Daten rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
, Absatz eins, Litera f, DSGVO ist die Verarbeitung von personenbezogenen Daten rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
1 DSGVO hat der Verantwortliche geeignete Maßnahmen zu treffen, um der betroffenen Person alle Informationen
den Artikeln 13 und 14 und alle Mitteilungen
den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen hat schriftlich oder in anderer Form, gegebenenfalls auch elektronisch zu erfolgen.
, Absatz eins, DSGVO hat der Verantwortliche geeignete Maßnahmen zu treffen, um der betroffenen Person alle Informationen
den Artikeln 13 und 14 und alle Mitteilungen
den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen hat schriftlich oder in anderer Form, gegebenenfalls auch elektronisch zu erfolgen.
1 hat der Verantwortliche der betroffenen Person, wenn personenbezogene Daten bei der betroffenen Person erhoben wurden, zum Zeitpunkt der Erhebung dieser Daten Folgendes mitzuteilen:
, Absatz eins, hat der Verantwortliche der betroffenen Person, wenn personenbezogene Daten bei der betroffenen Person erhoben wurden, zum Zeitpunkt der Erhebung dieser Daten Folgendes mitzuteilen:
oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
2 DSGVO hat der Verantwortliche der betroffenen Person zusätzlich zu den Informationen
Abs. 1 zum Zeitpunkt der Erhebung dieser Daten die folgenden Informationen, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, zur Verfügung zu stellen:
, Absatz 2, DSGVO hat der Verantwortliche der betroffenen Person zusätzlich zu den Informationen
Absatz eins, zum Zeitpunkt der Erhebung dieser Daten die folgenden Informationen, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, zur Verfügung zu stellen:
Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
3 DSGVO hat der Verantwortliche der betroffenen Person, wenn er beabsichtigt, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen
Absatz 2 zur Verfügung zu stellen.
, Absatz 3, DSGVO hat der Verantwortliche der betroffenen Person, wenn er beabsichtigt, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen
Absatz 2 zur Verfügung zu stellen.
4 DSGVO finden die Absätze 1, 2 und 3 keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
, Absatz 4, DSGVO finden die Absätze 1, 2 und 3 keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
1 DSGVO hat der Verantwortliche der betroffenen Person, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden, Folgendes mitzuteilen:
, Absatz eins, DSGVO hat der Verantwortliche der betroffenen Person, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden, Folgendes mitzuteilen:
oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.
2 DSGVO hat der Verantwortliche der betroffenen Person zusätzlich zu den Informationen
Abs. 1 die folgenden Informationen, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, zur Verfügung zu stellen:
, Absatz 2, DSGVO hat der Verantwortliche der betroffenen Person zusätzlich zu den Informationen
Absatz eins, die folgenden Informationen, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, zur Verfügung zu stellen:
Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
3 DSGVO hat der Verantwortliche die Informationen
Abs. 1 und 2 zu den folgenden Zeitpunkten zu erteilen:
, Absatz 3, DSGVO hat der Verantwortliche die Informationen
Absatz eins und 2 zu den folgenden Zeitpunkten zu erteilen:
5 DSGVO finden die Abs. 1 bis 4 keine Anwendung, wenn und soweit:
, Absatz 5, DSGVO finden die Absatz eins bis 4 keine Anwendung, wenn und soweit:
dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.
O sind auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.
Paragraph 151, Absatz eins, GewO sind auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.
O sind die in Abs. 1 genannten Gewerbetreibenden berechtigt, für ihre Tätigkeiten
Abs. 1 und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit fürGemäß Paragraph 151, Absatz 3, GewO sind die in Absatz eins, genannten Gewerbetreibenden berechtigt, für ihre Tätigkeiten
Absatz eins und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für 1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder 2. das Listbroking erforderlich und
Abs. 4 und 5 zulässig ist.erforderlich und
Absatz 4 und 5 zulässig ist.
O dürfen, soweit keine Einwilligung der betroffenen Personen
Z 11 DSGVO zur Übermittlung ihrer Daten für Marketingzwecke Dritter vorliegt, die in Abs. 1 genannten Gewerbetreibenden aus einem Kunden- und Interessentendateisystem eines Dritten nur die DatenGemäß Paragraph 151, Absatz 5, GewO dürfen, soweit keine Einwilligung der betroffenen Personen
, Ziffer 11, DSGVO zur Übermittlung ihrer Daten für Marketingzwecke Dritter vorliegt, die in Absatz eins, genannten Gewerbetreibenden aus einem Kunden- und Interessentendateisystem eines Dritten nur die Daten
1 lit f DSGVO zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG vgl. EuGH 04.05.2017, C-13/16, Rīgas satiksme, Rz 31). Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (mögliche Geschäftspartner der MP) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen (ErwG 47 DSGVO). Das berechtigte Interesse kann sich aus der gesamten Rechtsordnung ergeben (Haidinger in Knyrim, Datenschutzrecht4, Kap 5, Rz 5.76).Die Verarbeitung personenbezogener Daten ist
, Absatz eins, Litera f, DSGVO zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Artikel 7, Litera f, Datenschutzrichtlinie 95/46/EG vergleiche EuGH 04.05.2017, C-13/16, Rīgas satiksme, Rz 31). Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (mögliche Geschäftspartner der MP) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen (ErwG 47 DSGVO). Das berechtigte Interesse kann sich aus der gesamten Rechtsordnung ergeben (Haidinger in Knyrim, Datenschutzrecht4, Kap 5, Rz 5.76). Das Interesse an der Datenverarbeitung ist weit zu verstehen (Frenzel in Paal/Pauly, DS-GVO/BDSG³ [2021] Art 6 DSGVO Rz 28). In Betracht kommen rechtliche, wirtschaftliche und ideelle Interessen (Schulz in Gola, Datenschutz-Grundverordnung² [2018] Art 6 DSGVO Rz 57).Das Interesse an der Datenverarbeitung ist weit zu verstehen (Frenzel in Paal/Pauly, DS-GVO/BDSG³ [2021] Artikel 6, DSGVO Rz 28). In Betracht kommen rechtliche, wirtschaftliche und ideelle Interessen (Schulz in Gola, Datenschutz-Grundverordnung² [2018] Artikel 6, DSGVO Rz 57). Auch die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann nach EG 47 einem berechtigten Interesse des Verantwortlichen dienen. Unter Werbung ist in Anlehnung an Art. 2 lit. a Richtlinie 2006/114/EG jede Äußerung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel zu verstehen, den Absatz von Waren oder die Erbringung von Dienstleistungen, einschließlich unbeweglicher Sachen, Rechte und Verpflichtungen zu fördern. Auch der Begriff der Direktwerbung ist in diesem Sinne zu verstehen, stets geht es also um eine Äußerung, die darauf abzielt, den Absatz von Waren oder Dienstleistungen zu fördern. Unabhängig davon, ob man dem Datenschutzrecht auch eine wettbewerbsschützende Funktion zusprechen möchte oder nicht, ist dieses wettbewerbsrechtliche Begriffsverständnis auch dem Datenschutzrecht zugrundezulegen (Buchner/Petri in Kühling/Buchner, DS-GVO – BDSG2, Art. 6 Rz 175).Auch die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann nach EG 47 einem berechtigten Interesse des Verantwortlichen dienen. Unter Werbung ist in Anlehnung an Artikel 2, Litera a, Richtlinie 2006/114/EG jede Äußerung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel zu verstehen, den Absatz von Waren oder die Erbringung von Dienstleistungen, einschließlich unbeweglicher Sachen, Rechte und Verpflichtungen zu fördern. Auch der Begriff der Direktwerbung ist in diesem Sinne zu verstehen, stets geht es also um eine Äußerung, die darauf abzielt, den Absatz von Waren oder Dienstleistungen zu fördern. Unabhängig davon, ob man dem Datenschutzrecht auch eine wettbewerbsschützende Funktion zusprechen möchte oder nicht, ist dieses wettbewerbsrechtliche Begriffsverständnis auch dem Datenschutzrecht zugrundezulegen (Buchner/Petri in Kühling/Buchner, DS-GVO – BDSG2, Artikel 6, Rz 175). Ursprünglich sah die Kommission in ihren Vorschlägen für die DSGVO noch das Erfordernis einer Einwilligung in eine Datenverarbeitung zu Zwecken der Direktwerbung vor, nahm davon letztlich wieder Abstand und sah stattdessen lediglich ein Widerspruchsrecht des Betroffenen vor, wie es jetzt auch in Art. 21 Abs. 2 normiert ist. Wird dieses Widerspruchsrecht ausgeübt, kommt eine Interessenabwägung nicht mehr in Betracht. Gleiches muss gelten, wenn die betroffene Person nicht oder nicht ordnungsgemäß nach Art. 21 Abs. 4 auf ihr Widerspruchsrecht hingewiesen worden ist (wie oben, Rz 176).Ursprünglich sah die Kommission in ihren Vorschlägen für die DSGVO noch das Erfordernis einer Einwilligung in eine Datenverarbeitung zu Zwecken der Direktwerbung vor, nahm davon letztlich wieder Abstand und sah stattdessen lediglich ein Widerspruchsrecht des Betroffenen vor, wie es jetzt auch in Artikel 21, Absatz 2, normiert ist. Wird dieses Widerspruchsrecht ausgeübt, kommt eine Interessenabwägung nicht mehr in Betracht. Gleiches muss gelten, wenn die betroffene Person nicht oder nicht ordnungsgemäß nach Artikel 21, Absatz 4, auf ihr Widerspruchsrecht hingewiesen worden ist (wie oben, Rz 176). Nach Art. 21 Abs. 4 DSGVO muss der Hinweis „ausdrücklich“ und in einer „verständlichen und von den anderen Informationen getrennten Form“ erfolgen. Art. 12 Abs. 1 DSGVO verlangt, dass Mitteilungen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erfolgen und zwar „schriftlich oder in anderer Form, gegebenenfalls auch elektronisch“; falls die betroffene Person dies verlangt, kann der Hinweis auch mündlich erteilt werden, falls die Identität der betroffenen Person in anderer Form nachgewiesen wurde. Art. 12 Abs. 7 und 8 DSGVO sehen im Übrigen die Möglichkeit vor, dass Informationen in Kombination mit standardisierten Bildsymbolen bereitgestellt werden und dass die Kommission hierzu delegierte Rechtsakte erlässt. Die Häufung von solchen einander ähnlichen Merkmalen, die kaum in differenzierender Weise definiert werden können, soll offenbar zum Ausdruck bringen, dass die Hinweise jedenfalls auch für Menschen mit geringem Bildungsstand (etwa auch für Kinder, die in Art. 12 Abs. 1 DSGVO explizit genannt werden) verständlich sein müssen. Das Widerspruchsrecht muss als solches benannt werden („ausdrücklich“), und der Hinweis muss von anderen Informationen getrennt sein; für Letzteres dürfte eine optische Abtrennung oder Hervorhebung des Hinweises genügen, eine eigenständige Mitteilung ist nicht erforderlich (Herbst in Kühling/Buchner, DS-GVO – BDSG2, Art. 21 Rz 39). Nach Artikel 21, Absatz 4, DSGVO muss der Hinweis „ausdrücklich“ und in einer „verständlichen und von den anderen Informationen getrennten Form“ erfolgen. Artikel 12, Absatz eins, DSGVO verlangt, dass Mitteilungen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erfolgen und zwar „schriftlich oder in anderer Form, gegebenenfalls auch elektronisch“; falls die betroffene Person dies verlangt, kann der Hinweis auch mündlich erteilt werden, falls die Identität der betroffenen Person in anderer Form nachgewiesen wurde. Artikel 12, Absatz 7 und 8 DSGVO sehen im Übrigen die Möglichkeit vor, dass Informationen in Kombination mit standardisierten Bildsymbolen bereitgestellt werden und dass die Kommission hierzu delegierte Rechtsakte erlässt. Die Häufung von solchen einander ähnlichen Merkmalen, die kaum in differenzierender Weise definiert werden können, soll offenbar zum Ausdruck bringen, dass die Hinweise jedenfalls auch für Menschen mit geringem Bildungsstand (etwa auch für Kinder, die in Artikel 12, Absatz eins, DSGVO explizit genannt werden) verständlich sein müssen. Das Widerspruchsrecht muss als solches benannt werden („ausdrücklich“), und der Hinweis muss von anderen Informationen getrennt sein; für Letzteres dürfte eine optische Abtrennung oder Hervorhebung des Hinweises genügen, eine eigenständige Mitteilung ist nicht erforderlich (Herbst in Kühling/Buchner, DS-GVO – BDSG2, Artikel 21, Rz 39). 3.2.1.3. Angewendet auf den vorliegenden Sachverhalt bedeutet das: Zum berechtigten Interesse an der Datenverarbeitung: Jedes Unternehmen betreibt heute Werbung. Sei es durch Werbezusendungen per Post, E-Mail, Telefonmarketing oder durch den Zukauf von Adressen Dritter oder unter Mithilfe von Werbeagenturen, Adressverlagen und Direktmarketingunternehmen. Für viele Unternehmen ist die Bewerbung eigener, bestehender Kunden sehr wichtig (siehe dazu Illibauer in Knyrim, Datenschutzrecht4 Kap 17, Rz 17.1 f). Da die MP, wie festgestellt, das Gewerbe der Adressverlage und Direktmarketingunternehmen ausübt, liegt zweifelsohne ein berechtigtes Interesse der MP an der gegenständlichen Datenverarbeitung vor. Dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann, findet überdies ausdrückliche Erwähnung in ErwG 47 S. 7 DSGVO. Zur Erforderlichkeit der Datenverarbeitung: Die verarbeiteten personenbezogenen Daten müssen für den Verwendungszweck objektiv angemessen, für den Zweck auch erheblich und auf das für den Zweck notwendige Maß beschränkt sein (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO Rz 76 (Stand 1.12.2020, rdb.at).Die verarbeiteten personenbezogenen Daten müssen für den Verwendungszweck objektiv angemessen, für den Zweck auch erheblich und auf das für den Zweck notwendige Maß beschränkt sein (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 6, DSGVO Rz 76 (Stand 1.12.2020, rdb.at). Die Verarbeitung der personenbezogenen Daten der BF ist auch zur Wahrung dieser Interessen erforderlich. Wie schon die belangte Behörde richtigerweise anführte, sind Adressverlage und Direktmarketingunternehmen für ihre Verrichtungen hinsichtlich der (wirtschaftlich sinnvollen) Durchführung ihrer gewerblichen Tätigkeit zum einen auf die Beschaffung entsprechender Daten und zum anderen auf das Erstellen und Bereitstellen des eigenen Adressenangebots angewiesen. Die gegenständliche Verarbeitung ist daher für den Zweck des Gewerbes der Adressverlage und Direktmarketingunternehmen erheblich und notwendig, um diesen zu verwirklichen. Sofern die BF vermeinen, die gegenständlich Datenverarbeitung sei für die MP nicht erforderlich gewesen, ist festzuhalten, dass diese keine Alternativen dazu aufzeigten, wie die MP auf andere Weise die entsprechenden Daten zur Erreichung dieses Zweckes hätte ermitteln können. Zur Interessensabwägung: Dieses Interesse der MP an der Nutzung der gegenständlichen Daten im Rahmen des oben beschriebenen Gewerbes ist gegen das Interesse der BF an der Nichtverarbeitung ihrer personenbezogenen Daten abzuwägen. Als maßgeblich ist hierbei zu Beginn herauszustreichen, dass fallgegenständlich ein Widerspruch gegen die etwaige Weitergabe der personenbezogenen Daten der BF zu Marketingzwecken Dritter erhoben wurde. Somit ist es zu einer Datenweitergabe erst gar nicht gekommen. Der maßgebende Zeitpunkt für die hier vorzunehmende Interessensabwägung ist sohin jener der Erhebung des Widerspruches, welcher zugunsten der MP im gegebenen Fall ausschlägt. Vorweg erfolgte dabei auch der ordnungsgemäße Hinweis (
4 DSGVO) auf die Möglichkeit, gegen die Übermittlung von Daten zu Marketingzwecken Dritter einen Widerspruch zu erheben. Dieser Hinweis war auch von anderen Informationen inhaltlich in einem eigenen Absatz getrennt (vgl. hierzu die in den Feststellungen enthaltene Abbildung des Touch-Pads). Mag es auch Einzelfälle geben, wo der gegenständliche Hinweis für Personen etwa in Hinblick auf ihr Alter allein nicht ausreicht, um den Anforderungen des Art. 21 Abs. 4 DSGVO zu genügen, kann gleichwohl fallbezogen angenommen werden, dass der betreffende Hinweis auch für Menschen mit geringem Bildungsstand ausreichend verständlich ist, womit die Voraussetzungen des Art. 21 Abs. 4 DSGVO erfüllt waren.Vorweg erfolgte dabei auch der ordnungsgemäße Hinweis (
, Absatz 4, DSGVO) auf die Möglichkeit, gegen die Übermittlung von Daten zu Marketingzwecken Dritter einen Widerspruch zu erheben. Dieser Hinweis war auch von anderen Informationen inhaltlich in einem eigenen Absatz getrennt vergleiche hierzu die in den Feststellungen enthaltene Abbildung des Touch-Pads). Mag es auch Einzelfälle geben, wo der gegenständliche Hinweis für Personen etwa in Hinblick auf ihr Alter allein nicht ausreicht, um den Anforderungen des Artikel 21, Absatz 4, DSGVO zu genügen, kann gleichwohl fallbezogen angenommen werden, dass der betreffende Hinweis auch für Menschen mit geringem Bildungsstand ausreichend verständlich ist, womit die Voraussetzungen des Artikel 21, Absatz 4, DSGVO erfüllt waren. Daran anknüpfend ist auch aus dem Verweis der BF, demgemäß die MP den BF als Dienstleister entgegengetreten ist und auf ihre damit verknüpfte Erwartungshaltung, für sie nichts gewonnen. Soweit die BF in diesem Kontext auf die Entscheidung des OLG Wien zu Zl. 4R 18/20a hinweisen, ist zu konstatieren, dass dieser Entscheidung keine konkrete Datenverarbeitung zugrunde lag – wie im gegebenen Fall –, sondern vielmehr eine objektive Klauselkontrolle durchgeführt wurde, weswegen eine Übertragung der darin tragenden rechtlichen Erwägungen auf den vorliegenden Fall ausscheidet. In Anbetracht dieser beiden unterschiedlichen Verfahrensgegenstände geht zudem der Hinweis der BF auf die Entscheidung des EuGH vom 12.01.2023, RS C-132/21, hinsichtlich der Frage der unterschiedlichen Rechtsdurchsetzungsmöglichkeiten, ins Leere, zumal die zitierte Entscheidung des OLG Wien nicht rechtskräftig ist und die Revision gegen diese beim Obersten Gerichtshof anhängig ist. Im Besonderen ist hier der Vollständigkeit halber auch festzuhalten, dass die Zulässigkeitsprüfung der gegenständlichen Datenverarbeitung auf der Grundlage des Art. 6 Abs. 1 lit. f DSGVO erfolgt. Wie dies von der MP und der belangten Behörde zutreffend angeführt wurde, können die in der DSGVO vorgesehenen Erlaubnistatbestände iSd des Anwendungsvorranges des Unionsrechtes nicht durch innerstaatliche Rechtsvorschriften eingeschränkt werden. Sofern die BF insoweit geltend machen, dass die Voraussetzungen des § 151 GewO nicht eingehalten worden seien, vermag dieser Einwand folglich im Rahmen der hier anhand des Art
1 DSGVO hielt die belangte Behörde im angefochtenen Bescheid eingangs fest, dass, ausgehend vom Vorbringen der BF, wonach die erteilte Informatio
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.