← Österreich

{'item': 'W292 2248672-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum23.04.2024 GeschäftszahlW292 2248672-1 Spruch, W292 2248672-1/5E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter, Mag.a Martina CHLESTIL und Mag. René BOGENDORFER als Beisitzer, über die Beschwerde der XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP & Co KG, gegen die Spruchpunkte 1. und 2. des Bescheides der Datenschutzbehörde vom 15.10.2021, Zl. D124.3813 / 2021-0.516.280 (mitbeteiligte Partei: XXXX , vertreten durch Fritsch, Kollmann, Zauhar & Partner Rechtsanwälte), zu Recht erkannt:Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter, Mag.a Martina CHLESTIL und Mag. René BOGENDORFER als Beisitzer, über die Beschwerde der römisch 40 , vertreten durch Baker McKenzie Rechtsanwälte LLP & Co KG, gegen die Spruchpunkte 1. und 2. des Bescheides der Datenschutzbehörde vom 15.10.2021, Zl. D124.3813 / 2021-0.516.280 (mitbeteiligte Partei: römisch 40 , vertreten durch Fritsch, Kollmann, Zauhar & Partner Rechtsanwälte), zu Recht erkannt: A) Der Beschwerde wird teilweise Folge gegeben und der angefochtene Bescheid dahingehend abgeändert, dass dessen Spruchpunkte 1. und 2. nunmehr zu lauten haben wie folgt: „1. Der Beschwerde wird stattgegeben und es wird festgestellt, dass

  1. a)die XXXX (als datenschutzrechtlich Verantwortliche) bei der Verarbeitung personenbezogener Daten des XXXX (als datenschutzrechtlich Betroffener) zum Zweck der Berechnung von Wahrscheinlichkeitsprognosen zu dessen zukünftigem Zahlungsverhalten („Bonitäts-Score“) gegen die Grundsätze für die Verarbeitung personenbezogener Daten der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben und der Transparenz gemäß Art. 5 Abs. 1 lit. a DSGVO verstoßen hat; dies indem die Verantwortliche die Berechnung des Bonitäts-Scores ohne Vorhandensein konkreter Zahlungserfahrungsdaten zum Betroffenen vorgenommen hat und diesen Umstand nicht hinreichend verständlich und transparent im Rahmen der Bonitätsauskunft zum Betroffenen, welche gegenüber der XXXX erteilt wurde, dargelegt hat;
  2. a)die römisch 40 (als datenschutzrechtlich Verantwortliche) bei der Verarbeitung personenbezogener Daten des römisch 40 (als datenschutzrechtlich Betroffener) zum Zweck der Berechnung von Wahrscheinlichkeitsprognosen zu dessen zukünftigem Zahlungsverhalten („Bonitäts-Score“) gegen die Grundsätze für die Verarbeitung personenbezogener Daten der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben und der Transparenz gemäß Artikel 5, Absatz eins, Litera a, DSGVO verstoßen hat; dies indem die Verantwortliche die Berechnung des Bonitäts-Scores ohne Vorhandensein konkreter Zahlungserfahrungsdaten zum Betroffenen vorgenommen hat und diesen Umstand nicht hinreichend verständlich und transparent im Rahmen der Bonitätsauskunft zum Betroffenen, welche gegenüber der römisch 40 erteilt wurde, dargelegt hat;
  3. b)die Verantwortliche den Betroffenen dadurch im Recht auf Auskunft gemäß Art. 15 DSGVO verletzt hat, indem sie dem Betroffenen bis zum Abschluss des gegenständlichen Verfahrens keine vollständige Auskunft gemäß Art. 15 Abs. 1 lit. h DSGVO erteilt hat.
  4. b)die Verantwortliche den Betroffenen dadurch im Recht auf Auskunft gemäß Artikel 15, DSGVO verletzt hat, indem sie dem Betroffenen bis zum Abschluss des gegenständlichen Verfahrens keine vollständige Auskunft gemäß Artikel 15, Absatz eins, Litera h, DSGVO erteilt hat. 2. Die Verantwortliche wird gemäß Art. 58 Abs. 2 lit. c DSGVO angewiesen, dem Betroffenen innerhalb einer Frist von acht Wochen bei sonstiger Exekution eine Auskunft im Umfang von Spruchpunkt 1.
  5. b)zu erteilen.“ 2. Die Verantwortliche wird gemäß Artikel 58, Absatz 2, Litera c, DSGVO angewiesen, dem Betroffenen innerhalb einer Frist von acht Wochen bei sonstiger Exekution eine Auskunft im Umfang von Spruchpunkt 1.
  6. b)zu erteilen.“ B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig. , TextEntscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: I.1. Die mitbeteiligte Partei, XXXX , brachte in seiner verfahrenseinleitenden Datenschutzbeschwerde vom 04.10.2021 an die Datenschutzbehörde (belangte Behörde) zusammengefasst vor, er erachte sich durch die XXXX (Beschwerdeführerin im verwaltungsgerichtlichen Verfahren) in seinem Recht auf Auskunft nach Art. 15 iVm Art. 12 DSGVO, im Recht auf Datenrichtigkeit nach Art. 5 Abs. 1 lit. d DSGVO, hinsichtlich des „Transparenzprinzips“ und des Prinzips der Verarbeitung nach „Treu und Glauben“ gemäß Art. 5 Abs. 1 lit. a DSGVO, im Recht auf Information gemäß Art. 14 iVm Art. 12 DSGVO sowie im Recht nicht einer automatisierten Entscheidung im Einzelfall einschließlich Profiling gemäß Art. 22 DSGVO unterworfen zu werden, verletzt. Konkret habe die XXXX im Rahmen deren gewerblicher Tätigkeit als Kreditauskunftei einer ihrer Vertragspartner, der XXXX , auf deren Anfrage hin Informationen zur (wahrscheinlichen) Bonität der mitbeteiligten Partei in Form eines Scoring-Wertes übermittelt. Die solcherart erteilte Auskunft sei jedoch unzureichend geblieben, da die Verantwortliche der mitbeteiligten Partei und Betroffenen lediglich einen „mittleren“ Bonitätswert zugeschrieben habe, obwohl keine Informationen zum Betroffenen vorlägen, die dies sachlich begründen könnten. Hinzu komme, dass die Daten ohne Wissen der mitbeteiligten Partei verarbeitet worden seien, weshalb Art. 5 Abs. 1 lit. a DSGVO verletzt worden sei. Die Beschwerdeführerin hätte die mitbeteiligte Partei überdies gemäß Art. 14 Abs. 1 DSGVO informieren müssen. Außerdem sei die Bonitätsauskunft zum Betroffenen als Entscheidung gemäß Art. 22 Abs. 1 DSGVO zu qualifizieren, da davon auszugehen sei, dass die Berechnung mittels rein automatisierter Verarbeitung erfolgt sei. römisch eins.1. Die mitbeteiligte Partei, römisch 40 , brachte in seiner verfahrenseinleitenden Datenschutzbeschwerde vom 04.10.2021 an die Datenschutzbehörde (belangte Behörde) zusammengefasst vor, er erachte sich durch die römisch 40 (Beschwerdeführerin im verwaltungsgerichtlichen Verfahren) in seinem Recht auf Auskunft nach Artikel 15, in Verbindung mit Artikel 12, DSGVO, im Recht auf Datenrichtigkeit nach Artikel 5, Absatz eins, Litera d, DSGVO, hinsichtlich des „Transparenzprinzips“ und des Prinzips der Verarbeitung nach „Treu und Glauben“ gemäß Artikel 5, Absatz eins, Litera a, DSGVO, im Recht auf Information gemäß Artikel 14, in Verbindung mit Artikel 12, DSGVO sowie im Recht nicht einer automatisierten Entscheidung im Einzelfall einschließlich Profiling gemäß Artikel 22, DSGVO unterworfen zu werden, verletzt. Konkret habe die römisch 40 im Rahmen deren gewerblicher Tätigkeit als Kreditauskunftei einer ihrer Vertragspartner, der römisch 40 , auf deren Anfrage hin Informationen zur (wahrscheinlichen) Bonität der mitbeteiligten Partei in Form eines Scoring-Wertes übermittelt. Die solcherart erteilte Auskunft sei jedoch unzureichend geblieben, da die Verantwortliche der mitbeteiligten Partei und Betroffenen lediglich einen „mittleren“ Bonitätswert zugeschrieben habe, obwohl keine Informationen zum Betroffenen vorlägen, die dies sachlich begründen könnten. Hinzu komme, dass die Daten ohne Wissen der mitbeteiligten Partei verarbeitet worden seien, weshalb Artikel 5, Absatz eins, Litera a, DSGVO verletzt worden sei. Die Beschwerdeführerin hätte die mitbeteiligte Partei überdies gemäß Artikel 14, Absatz eins, DSGVO informieren müssen. Außerdem sei die Bonitätsauskunft zum Betroffenen als Entscheidung gemäß Artikel 22, Absatz eins, DSGVO zu qualifizieren, da davon auszugehen sei, dass die Berechnung mittels rein automatisierter Verarbeitung erfolgt sei. I.2. Mit dem angefochtenen Bescheid der belangten Behörde vom 15.10.2021, Zl. D124.3813 / 2021-05.16.280, gab diese der Datenschutzbeschwerde der mitbeteiligten Partei wegen 1. Verletzung der Grundsätze der Datenverarbeitung, 2. Verletzung im Recht auf Geheimhaltung, 3. Verletzung im Recht auf Auskunft, 4. Verletzung im Recht auf Information und 5. Verletzung im Recht nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruht und 6. den Anträgen auf Verhängung eines Verarbeitungsverbotes und einer Geldstrafe teilweise statt und stellte fest, dass die Beschwerdeführerin bei der Verarbeitung der Daten der mitbeteiligten Partei zur Berechnung der Wahrscheinlichkeitsaussage über dessen zukünftiges Zahlungsverhalten (Bonitätsscore) gegen den Grundsatz der Rechtmäßigkeit und den Grundsatz der Verarbeitung nach Treu und Glauben verstoßen habe, da sie diese Berechnung ohne Vorhandensein von konkreten Zahlungserfahrungsdaten zur Person der mitbeteiligten Partei durchgeführt und diesen Umstand nicht hinreichend verständlich auf dem Bonitätsauszug der mitbeteiligten Partei gegenüber der XXXX angeführt habe (Spruchpunkt 1.a)). römisch eins.2. Mit dem angefochtenen Bescheid der belangten Behörde vom 15.10.2021, Zl. D124.3813 / 2021-05.16.280, gab diese der Datenschutzbeschwerde der mitbeteiligten Partei wegen 1. Verletzung der Grundsätze der Datenverarbeitung, 2. Verletzung im Recht auf Geheimhaltung, 3. Verletzung im Recht auf Auskunft, 4. Verletzung im Recht auf Information und 5. Verletzung im Recht nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruht und 6. den Anträgen auf Verhängung eines Verarbeitungsverbotes und einer Geldstrafe teilweise statt und stellte fest, dass die Beschwerdeführerin bei der Verarbeitung der Daten der mitbeteiligten Partei zur Berechnung der Wahrscheinlichkeitsaussage über dessen zukünftiges Zahlungsverhalten (Bonitätsscore) gegen den Grundsatz der Rechtmäßigkeit und den Grundsatz der Verarbeitung nach Treu und Glauben verstoßen habe, da sie diese Berechnung ohne Vorhandensein von konkreten Zahlungserfahrungsdaten zur Person der mitbeteiligten Partei durchgeführt und diesen Umstand nicht hinreichend verständlich auf dem Bonitätsauszug der mitbeteiligten Partei gegenüber der römisch 40 angeführt habe (Spruchpunkt 1.a)). Die belangte Behörde stellte zudem fest, dass die mitbeteiligte Partei bei der in Spruchpunkt 1.
  7. a)genannten Verarbeitung der Daten der mitbeteiligten Partei gegen den Grundsatz der Transparenz verstoßen habe, da diese nicht verständlich dargestellt habe, ob sie die personenbezogenen Daten der mitbeteiligten Partei, die sie zum Zweck der Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse verarbeite, auch zum Zweck der Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen und des Gewerbes für Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik weiterverarbeite (Spruchpunkt 1.b)). Die belangte Behörde stellte außerdem fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem sie die Daten der mitbeteiligten Partei unrechtmäßig verarbeitet habe (Spruchpunkt 1.c)) und dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Auskunft verletzt habe, da sie dieser bis zum Abschluss des gegenständlichen Verfahrens keine Auskunft gemäß Art. 15 Abs. 1 lit. h DSGVO erteilt habe (Spruchpunkt 1.d)).Die belangte Behörde stellte außerdem fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem sie die Daten der mitbeteiligten Partei unrechtmäßig verarbeitet habe (Spruchpunkt 1.c)) und dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Auskunft verletzt habe, da sie dieser bis zum Abschluss des gegenständlichen Verfahrens keine Auskunft gemäß Artikel 15, Absatz eins, Litera h, DSGVO erteilt habe (Spruchpunkt 1.d)). Die Beschwerdeführerin wurde von der belangten Behörde angewiesen, der mitbeteiligten Partei innerhalb einer Frist von acht Wochen bei sonstiger Exekution dahingehende Informationen zur Verfügung zu stellen, ob beabsichtigt werde, die personenbezogenen Daten der mitbeteiligten Partei neben der Verarbeitung zum Zwecke der Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse für Zwecke der Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen und des Gewerbes für Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik weiterzuverarbeiten (Spruchpunkt 2.a)) sowie eine Auskunft im Umfang von Spruchpunkt 1.
  8. d)zu erteilen (Spruchpunkt 2.b)) . Im Übrigen wies sie die Beschwerde ab (Spruchpunkt 3.). Die Anträge auf Verhängung eines Verarbeitungsverbots und auf Verhängung einer Geldbuße wies die belangte Behörde zurück (Spruchpunkt 4.). I.3. Gegen Spruchpunkte 1. und 2. des oben bezeichneten Bescheides der Datenschutzbehörde richtet sich die am 15.11.2021 erhobene Beschwerde. römisch eins.3. Gegen Spruchpunkte 1. und 2. des oben bezeichneten Bescheides der Datenschutzbehörde richtet sich die am 15.11.2021 erhobene Beschwerde. I.4. Die belangte Behörde hat die gegenständliche Beschwerde samt den Bezug habenden Verwaltungsakten dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) mit Aktenvorlage vom 23.11.2021 vorgelegt.römisch eins.4. Die belangte Behörde hat die gegenständliche Beschwerde samt den Bezug habenden Verwaltungsakten dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) mit Aktenvorlage vom 23.11.2021 vorgelegt. I.5. Die gegenständliche Rechtssache wurde der vormals zuständigen Gerichtsabteilung mit Verfügung des Geschäftsverteilungsausschusses mit Wirksamkeit vom 06.10.2022 abgenommen und der Gerichtsabteilung W292 neu zugewiesen. römisch eins.5. Die gegenständliche Rechtssache wurde der vormals zuständigen Gerichtsabteilung mit Verfügung des Geschäftsverteilungsausschusses mit Wirksamkeit vom 06.10.2022 abgenommen und der Gerichtsabteilung W292 neu zugewiesen. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen: II.1. Feststellungen:römisch zwei.1. Feststellungen: II.1.1. Zur Beschwerdeführerinrömisch zwei.1.1. Zur Beschwerdeführerin Die Beschwerdeführerin besitzt eine Gewerbeberechtigung für die Tätigkeit „Auskunftei über Kreditverhältnisse“ gemäß § 152 GewO 1994. Sie erteilt im Rahmen ihrer gewerbsmäßigen Tätigkeit Bonitätsauskünfte zu natürlichen Personen an ihre Vertragspartner, darunter u.a. Handelsunternehmen, Telekommunikationsanbieter und Energieversorger. Die Beschwerdeführerin besitzt eine Gewerbeberechtigung für die Tätigkeit „Auskunftei über Kreditverhältnisse“ gemäß Paragraph 152, GewO 1994. Sie erteilt im Rahmen ihrer gewerbsmäßigen Tätigkeit Bonitätsauskünfte zu natürlichen Personen an ihre Vertragspartner, darunter u.a. Handelsunternehmen, Telekommunikationsanbieter und Energieversorger. II.1.2. Zur XXXX römisch zwei.1.2. Zur römisch 40 Die mitbeteiligte Partei führte im September / Oktober 2020 mittels Antragsformular eine Bestellung für einen Energielieferungsvertrag bei dem Energieversorger XXXX durch. Die mitbeteiligte Partei führte im September / Oktober 2020 mittels Antragsformular eine Bestellung für einen Energielieferungsvertrag bei dem Energieversorger römisch 40 durch. Mit Schreiben vom 01.10.2020 wurde der mitbeteiligten Partei seitens der XXXX mitgeteilt, dass die Bestellung aufgrund eines nicht ausreichenden Bonitäts-Checks storniert wurde. Mit Schreiben vom 01.10.2020 wurde der mitbeteiligten Partei seitens der römisch 40 mitgeteilt, dass die Bestellung aufgrund eines nicht ausreichenden Bonitäts-Checks storniert wurde. II.1.3. Zum Vertragsverhältnis der Beschwerdeführerin mit der XXXX römisch zwei.1.3. Zum Vertragsverhältnis der Beschwerdeführerin mit der römisch 40 Zwischen der Beschwerdeführerin und der XXXX bestand von 30.06.2017 bis zum 30.06.2021 ein Vertragsverhältnis zur Bereitstellung von Bonitätsauskünften betreffend potenzieller Kunden der XXXX GmbH. Zwischen der Beschwerdeführerin und der römisch 40 bestand von 30.06.2017 bis zum 30.06.2021 ein Vertragsverhältnis zur Bereitstellung von Bonitätsauskünften betreffend potenzieller Kunden der römisch 40 GmbH. II.1.4. Zum Auskunftsersuchen an die Beschwerdeführerin vom 07.10.2020römisch zwei.1.4. Zum Auskunftsersuchen an die Beschwerdeführerin vom 07.10.2020 Die mitbeteiligte Partei stellte am 07.10.2020 einen Antrag auf Auskunft im Sinne von Art. 15 DSGVO an die Beschwerdeführerin. Die mitbeteiligte Partei stellte am 07.10.2020 einen Antrag auf Auskunft im Sinne von Artikel 15, DSGVO an die Beschwerdeführerin. II.1.5. Zum Antwortschreiben der Beschwerdeführerin vom 08.10.2020römisch zwei.1.5. Zum Antwortschreiben der Beschwerdeführerin vom 08.10.2020 Mit Schreiben vom 08.10.2020 teilte die Beschwerdeführerin der mitbeteiligten Partei bezugnehmend auf das datenschutzrechtliche Auskunftsersuchen vom 07.10.2020 mit, welche personenbezogenen Daten, nämlich ihr Name und ihre Adresse, zu ihrer Person gespeichert wurden. Zudem wurde angeführt, dass die XXXX am 01.10.2020 eine Bonitätsanfrage zur Person der mitbeteiligten Partei an die XXXX (Beschwerdeführerin) getätigt hat. Mit Schreiben vom 08.10.2020 teilte die Beschwerdeführerin der mitbeteiligten Partei bezugnehmend auf das datenschutzrechtliche Auskunftsersuchen vom 07.10.2020 mit, welche personenbezogenen Daten, nämlich ihr Name und ihre Adresse, zu ihrer Person gespeichert wurden. Zudem wurde angeführt, dass die römisch 40 am 01.10.2020 eine Bonitätsanfrage zur Person der mitbeteiligten Partei an die römisch 40 (Beschwerdeführerin) getätigt hat. II.1.6. Zum Auskunftsersuchen an die Beschwerdeführerin vom 07.01.2021römisch zwei.1.6. Zum Auskunftsersuchen an die Beschwerdeführerin vom 07.01.2021 Mit Schreiben vom 07.01.2021 forderte die mitbeteiligte Partei die Beschwerdeführerin erneut auf, ihrer Auskunftsverpflichtung ordnungsgemäß nachzukommen. II.1.7. Zum Antwortschreiben der Beschwerdeführerin vom 13.01.2021römisch zwei.1.7. Zum Antwortschreiben der Beschwerdeführerin vom 13.01.2021 Am 13.01.2021 übermittelte die Beschwerdeführerin ein Schreiben an die mitbeteiligte Partei, in welchem sie im Wesentlichen darauf hinwies, dass hinsichtlich des Zustandekommens der an Kunden der mitbeteiligten Partei übermittelten Risikowerte kein Auskunftsrecht im Sinne von Art. 15 DSGVO bestünde und die Parameter und Methoden anhand derer sich ein Risikowert errechne, als Geschäftsgeheimnis der Beschwerdeführerin zu qualifizieren seien. Am 13.01.2021 übermittelte die Beschwerdeführerin ein Schreiben an die mitbeteiligte Partei, in welchem sie im Wesentlichen darauf hinwies, dass hinsichtlich des Zustandekommens der an Kunden der mitbeteiligten Partei übermittelten Risikowerte kein Auskunftsrecht im Sinne von Artikel 15, DSGVO bestünde und die Parameter und Methoden anhand derer sich ein Risikowert errechne, als Geschäftsgeheimnis der Beschwerdeführerin zu qualifizieren seien. II.1.8. Zur Datenschutzbeschwerde der mitbeteiligten Partei römisch zwei.1.8. Zur Datenschutzbeschwerde der mitbeteiligten Partei Die mitbeteiligte Partei hat am 17.03.2021 eine Datenschutzbeschwerde gegen die Beschwerdeführerin bei der Datenschutzbehörde eingebracht. II.1.9. Zur Stellungnahme sowie Auskunftserteilung der Beschwerdeführerin vom 28.04.2021 römisch zwei.1.9. Zur Stellungnahme sowie Auskunftserteilung der Beschwerdeführerin vom 28.04.2021 Mit Schreiben vom 28.04.2021 informierte die Beschwerdeführerin die mitbeteiligte Partei darüber, dass keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO erfolge und daher auch kein Anspruch auf Auskunft gemäß Art. 15 Abs. 1 lit. h DSGVO bestehe. Die Beschwerdeführerin verwies zudem erneut darauf, dass die von der mitbeteiligten Partei begehrten Informationen als Geschäftsgeheimnisse zu qualifizieren seien. Mit Schreiben vom 28.04.2021 informierte die Beschwerdeführerin die mitbeteiligte Partei darüber, dass keine automatisierte Entscheidungsfindung im Sinne des Artikel 22, DSGVO erfolge und daher auch kein Anspruch auf Auskunft gemäß Artikel 15, Absatz eins, Litera h, DSGVO bestehe. Die Beschwerdeführerin verwies zudem erneut darauf, dass die von der mitbeteiligten Partei begehrten Informationen als Geschäftsgeheimnisse zu qualifizieren seien. Die Beschwerdeführerin übermittelte einen aktuellen Datenauszug an die mitbeteiligte Partei, in dem die personenbezogenen Daten, welche zu der mitbeteiligten Partei bei ihr gespeichert sind, sowie die Unternehmen, an die Bonitätsdaten zur Person der mitbeteiligten Partei übermittelt wurden, und der an diese bekannt gegebene Wert angeführt waren. Festgehalten wurde von der Beschwerdeführerin, dass sich ihre Empfehlung [gemeint: an die anfragenden Unternehmen] insbesondere aufgrund der Parameter „qualifizierte Zahlungsausfälle (Inkassoeinträge, Insolvenz etc.), Alter und Wohnort“ berechne. II.1.10. Zum errechneten Bonitätsscorerömisch zwei.1.10. Zum errechneten Bonitätsscore Betreffend die mitbeteiligte Partei wurde von der XXXX (Beschwerdeführerin) ein „mittlerer“ Bonitäts-Score von 550-574 an die XXXX übermittelt. Bezogen auf die mitbeteiligte Partei lagen zur Ermittlung des Bonitäts-Scores im System der Beschwerdeführerin keine negativen Zahlungserfahrungsdaten vor. Betreffend die mitbeteiligte Partei wurde von der römisch 40 (Beschwerdeführerin) ein „mittlerer“ Bonitäts-Score von 550-574 an die römisch 40 übermittelt. Bezogen auf die mitbeteiligte Partei lagen zur Ermittlung des Bonitäts-Scores im System der Beschwerdeführerin keine negativen Zahlungserfahrungsdaten vor. II.1.11. Zum automatisierten Profiling der Beschwerdeführerin römisch zwei.1.11. Zum automatisierten Profiling der Beschwerdeführerin Festgestellt wird, dass die Empfehlung der Beschwerdeführerin betreffend die Zahlungsfähigkeit und Zahlungswilligkeit aufgrund der statistischen Wahrscheinlichkeit der Parameter qualifizierte Zahlungsausfälle (also Inkassoeinträge, Insolvenz etc), Alter und Wohnort der betroffenen Person errechnet wird. Die Daten werden von der Beschwerdeführerin aus öffentlich verfügbaren Quellen, Daten von Adressverlagen und Informationen zu Zahlungserfahrungen, die von Unternehmenskunden sowie von über 60 Inkassopartnern übermittelt werden, gesammelt. Die weitere Verarbeitung erfolgt elektronisch. II.1.12. Zu den Verarbeitungszwecken der Beschwerdeführerin: römisch zwei.1.12. Zu den Verarbeitungszwecken der Beschwerdeführerin: Die Daten werden von der Beschwerdeführerin zum Zweck der Ausübung der Gewerbe nach § 151 (Adressverlage und Direktmarketingunternehmen), § 152 (Auskunfteien über Kreditverhältnisse) und § 153 (Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik) Gewerbeordnung 1994 (GewO) zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert.Die Daten werden von der Beschwerdeführerin zum Zweck der Ausübung der Gewerbe nach Paragraph 151, (Adressverlage und Direktmarketingunternehmen), Paragraph 152, (Auskunfteien über Kreditverhältnisse) und Paragraph 153, (Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik) Gewerbeordnung 1994 (GewO) zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert. II.2. Beweiswürdigung:römisch zwei.2. Beweiswürdigung: Die getroffenen Feststellungen konnten aufgrund der unbedenklichen Aktenlage ergehen. Dazu im Einzelnen: II.2.1. Zu II.1.1. (Zur Beschwerdeführerin):römisch zwei.2.1. Zu römisch zwei.1.1. (Zur Beschwerdeführerin): Die Feststellung, wonach die Beschwerdeführerin eine Gewerbeberechtigung für die Tätigkeit „Auskunftei über Kreditverhältnisse“ gemäß § 152 GewO 1994 besitzt und im Rahmen dessen Bonitätsauskünfte an ihre Vertragspartner erteilt, folgt aus der diesbezüglich unbedenklichen Aktenlage und dem Internetauftritt der Beschwerdeführerin.Die Feststellung, wonach die Beschwerdeführerin eine Gewerbeberechtigung für die Tätigkeit „Auskunftei über Kreditverhältnisse“ gemäß Paragraph 152, GewO 1994 besitzt und im Rahmen dessen Bonitätsauskünfte an ihre Vertragspartner erteilt, folgt aus der diesbezüglich unbedenklichen Aktenlage und dem Internetauftritt der Beschwerdeführerin. II.2.2. Zu II.1.2. (Zur XXXX ): römisch zwei.2.2. Zu römisch zwei.1.2. (Zur römisch 40 ): Dass die mitbeteiligte Partei im September / Oktober 2020 eine Bestellung für einen Energielieferungsvertrag bei dem Energieversorger XXXX durchführte, diese jedoch mit Schreiben der XXXX vom 01.10.2020 storniert wurde, ergibt sich insbesondere aus den Angaben der Parteien im Verfahren vor der belangten Behörde in Zusammenschau mit dem betreffenden Schreiben der XXXX vom 01.10.2020, aus welchem hervorgeht, dass die Bestellung der mitbeteiligten Partei wegen eines nicht ausreichenden „Bonitäts-Checks“ storniert wurde. Dass die mitbeteiligte Partei im September / Oktober 2020 eine Bestellung für einen Energielieferungsvertrag bei dem Energieversorger römisch 40 durchführte, diese jedoch mit Schreiben der römisch 40 vom 01.10.2020 storniert wurde, ergibt sich insbesondere aus den Angaben der Parteien im Verfahren vor der belangten Behörde in Zusammenschau mit dem betreffenden Schreiben der römisch 40 vom 01.10.2020, aus welchem hervorgeht, dass die Bestellung der mitbeteiligten Partei wegen eines nicht ausreichenden „Bonitäts-Checks“ storniert wurde. II.2.3. Zu II.1.3. (Zum Vertragsverhältnis der Beschwerdeführerin mit der XXXX ):römisch zwei.2.3. Zu römisch zwei.1.3. (Zum Vertragsverhältnis der Beschwerdeführerin mit der römisch 40 ): Dass zwischen der Beschwerdeführerin und der XXXX von 30.06.2017 bis zum 30.06.2021 ein Vertragsverhältnis bestand, ergibt sich aus dem Vorbringen der Beschwerdeführerin im Verfahren vor der belangten Behörde, insbesondere aus dem Schreiben der Beschwerdeführerin an die XXXX vom 21.10.2020, mit dem diese unter Bezugnahme auf die AGB des Vertrages vom 30.06.2017 mitteilte, das Vertragsverhältnis per 30.06.2021 aufzukündigen. Dass zwischen der Beschwerdeführerin und der römisch 40 von 30.06.2017 bis zum 30.06.2021 ein Vertragsverhältnis bestand, ergibt sich aus dem Vorbringen der Beschwerdeführerin im Verfahren vor der belangten Behörde, insbesondere aus dem Schreiben der Beschwerdeführerin an die römisch 40 vom 21.10.2020, mit dem diese unter Bezugnahme auf die AGB des Vertrages vom 30.06.2017 mitteilte, das Vertragsverhältnis per 30.06.2021 aufzukündigen. II.2.4. Zu II.1.4. (Zum datenschutzrechtlichen Auskunftsersuchen der mitbeteiligten Partei an die Beschwerdeführerin vom 07.10.2020):römisch zwei.2.4. Zu römisch zwei.1.4. (Zum datenschutzrechtlichen Auskunftsersuchen der mitbeteiligten Partei an die Beschwerdeführerin vom 07.10.2020): Dass die mitbeteiligte Partei am 07.10.2020 einen Antrag auf Auskunft an die Beschwerdeführerin richtete, folgt zweifellos aus dem diesbezüglichen Schreiben der mitbeteiligten Partei an die Beschwerdeführerin. II.2.5. Zu II.1.5. (Zum Antwortschreiben der Beschwerdeführerin vom 08.10.2020 an die mitbeteiligte Partei):römisch zwei.2.5. Zu römisch zwei.1.5. (Zum Antwortschreiben der Beschwerdeführerin vom 08.10.2020 an die mitbeteiligte Partei): Die diesbezüglichen Feststellungen konnten aufgrund des Schreibens vom 08.10.2020 getroffen werden. II.2.6. Zu II.1.6. (Zum datenschutzrechtlichen Auskunftsersuchen an die Beschwerdeführerin vom 07.01.2021):römisch zwei.2.6. Zu römisch zwei.1.6. (Zum datenschutzrechtlichen Auskunftsersuchen an die Beschwerdeführerin vom 07.01.2021): Die diesbezüglichen Feststellungen konnten aufgrund des im Verwaltungsakt enthaltenen Schreibens vom 07.01.2021 getroffen werden. II.2.7. Zu II.1.7. (Zum Antwortschreiben der Beschwerdeführerin vom 13.01.2021):römisch zwei.2.7. Zu römisch zwei.1.7. (Zum Antwortschreiben der Beschwerdeführerin vom 13.01.2021): Die Feststellungen konnten aufgrund des Schreibens an die mitbeteiligte Partei vom 13.01.2021 getroffen werden. II.2.8. Zu II.1.8. (Zur Datenschutzbeschwerde der mitbeteiligten Partei)römisch zwei.2.8. Zu römisch zwei.1.8. (Zur Datenschutzbeschwerde der mitbeteiligten Partei) Dass die mitbeteiligte Partei am 17.03.2021 eine Datenschutzbeschwerde gegen die Beschwerdeführerin bei der Datenschutzbehörde eingebracht hat, war aufgrund der Aktenlage unstrittig. II.2.9. Zu II.1.9. (Zur Stellungnahme sowie Auskunftserteilung der Beschwerdeführerin vom 28.04.2021)römisch zwei.2.9. Zu römisch zwei.1.9. (Zur Stellungnahme sowie Auskunftserteilung der Beschwerdeführerin vom 28.04.2021) Die diesbezüglichen Feststellungen ergingen aufgrund des Schreibens der Beschwerdeführerin vom 28.04.2021. II.2.10. Zu II.1.10. (Zum errechneten Bonitätsscore)römisch zwei.2.10. Zu römisch zwei.1.10. (Zum errechneten Bonitätsscore) Dass betreffend die mitbeteiligte Partei von der Beschwerdeführerin ein „mittlerer“ Bonitätswert von 550-574 [Punkten im System der Beschwerdeführerin] an die XXXX übermittelt wurde, ohne, dass für die Errechnung des Wertes auch konkrete negative Zahlungserfahrungsdaten vorlagen oder einbezogen worden wären, geht aus den übereinstimmenden Angaben der mitbeteiligten Partei sowie der Beschwerdeführerin im Verfahren vor der belangten Behörde hervor und war insofern unstrittig. Dass betreffend die mitbeteiligte Partei von der Beschwerdeführerin ein „mittlerer“ Bonitätswert von 550-574 [Punkten im System der Beschwerdeführerin] an die römisch 40 übermittelt wurde, ohne, dass für die Errechnung des Wertes auch konkrete negative Zahlungserfahrungsdaten vorlagen oder einbezogen worden wären, geht aus den übereinstimmenden Angaben der mitbeteiligten Partei sowie der Beschwerdeführerin im Verfahren vor der belangten Behörde hervor und war insofern unstrittig. II.2.11. Zu II.1.11. (Zum automatisierten Profiling der Beschwerdeführerin):römisch zwei.2.11. Zu römisch zwei.1.11. (Zum automatisierten Profiling der Beschwerdeführerin): Die Feststellungen hinsichtlich der Berechnung des Bonitätsscores durch die Beschwerdeführerin, die Herkunft der Daten sowie zum Umstand, dass diese elektronisch verarbeitet werden, konnten aufgrund deren eigenen Angaben getroffen werden, insbesondere auf Basis der Ausführungen in der Stellungnahme vom 28.04.2021 im Verfahren vor der belangten Behörde, in der die Beschwerdeführerin angab, ihre Empfehlungen betreffend die Zahlungsfähigkeit und Zahlungswilligkeit bestimmter natürlicher Personen werden aufgrund statistischer Wahrscheinlichkeiten, insbesondere der Parameter qualifizierte Zahlungsausfälle (Inkassoeinträge, Insolvenz etc.), Alter und Wohnort der betroffenen Person, errechnet. II.2.12. Zu II.1.12. (Zu den Verarbeitungszwecken der Beschwerdeführerin): römisch zwei.2.12. Zu römisch zwei.1.12. (Zu den Verarbeitungszwecken der Beschwerdeführerin): Dass die Daten von der Beschwerdeführerin zum Zweck der Ausübung der Gewerbe nach § 151 (Adressverlage und Direktmarketingunternehmen), § 152 (Auskunfteien über Kreditverhältnisse) und § 153 (Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik) Gewerbeordnung 1994 (GewO) zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert werden, ergibt sich aus der Stellungnahme der Beschwerdeführerin vom 08.10.2020 sowie aus jener vom 28.04.2021. Aus der vorgelegten Datenschutzerklärung geht ebenfalls hervor, dass die Daten der Beschwerdeführerin zur Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse gemäß § 152 Gewerbeordnung 1994 sowie des Adressverlags gemäß § 151 Gewerbeordnung 1994 verwendet werden. Dass die Daten von der Beschwerdeführerin zum Zweck der Ausübung der Gewerbe nach Paragraph 151, (Adressverlage und Direktmarketingunternehmen), Paragraph 152, (Auskunfteien über Kreditverhältnisse) und Paragraph 153, (Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik) Gewerbeordnung 1994 (GewO) zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert werden, ergibt sich aus der Stellungnahme der Beschwerdeführerin vom 08.10.2020 sowie aus jener vom 28.04.2021. Aus der vorgelegten Datenschutzerklärung geht ebenfalls hervor, dass die Daten der Beschwerdeführerin zur Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse gemäß Paragraph 152, Gewerbeordnung 1994 sowie des Adressverlags gemäß Paragraph 151, Gewerbeordnung 1994 verwendet werden. II.3. Rechtliche Beurteilung:römisch zwei.3. Rechtliche Beurteilung: Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor. Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß Paragraph 27, DSG Senatszuständigkeit vor. II.3.1. Zu Spruchpunkt A) – Abänderung der Spruchpunkte 1 und 2 des angefochtenen Bescheides: römisch zwei.3.1. Zu Spruchpunkt A) – Abänderung der Spruchpunkte 1 und 2 des angefochtenen Bescheides: II.3.1.1. Anzuwendendes Recht:römisch zwei.3.1.1. Anzuwendendes Recht: Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten auszugsweise samt Überschrift wie folgt:Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) in der Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, lauten auszugsweise samt Überschrift wie folgt: „Grundrecht auf Datenschutz § 1.

(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins,
(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. […]“ „Beschwerde an die Datenschutzbehörde § 24.
(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24,
(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
(2)Die Beschwerde hat zu enthalten:
  1. die Bezeichnung des als verletzt erachteten Rechts,
  2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
  3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
  4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
  5. das Begehren, die behauptete Rechtsverletzung festzustellen und
  6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
(3)Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten. […]“ Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift:Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Amtsblatt L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift: „Artikel 4 Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:
(1)„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
(2)„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; … 4. "Profiling" jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen; …
(7)„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
(10)„Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten; … Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten
(1)Personenbezogene Daten müssen
  1. a)auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
  2. b)für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
  3. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
  4. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
  5. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
  6. f)in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2)Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“ Artikel 6 Rechtmäßigkeit der Verarbeitung
(1)Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
  1. a)Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
  2. b)die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
  3. c)die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
  4. d)die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
  5. e)die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
  6. f)die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2)Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.
(2)Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel römisch neun.
(3)Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
  1. a)Unionsrecht oder
  2. b)das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4)Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem
  1. a)jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
  2. b)den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
  3. c)die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
  4. d)die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
  5. e)das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann. […] Artikel 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1)Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2)Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3)Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4)Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
(5)Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
  1. a)ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
  2. b)sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.
(6)Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.
(7)Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.
(8)Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.“ Artikel 13 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person
(1)Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
  1. a)den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
  2. b)gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
  3. c)die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
  4. d)wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
  5. e)gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
  6. f)gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
(2)Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
  1. a)die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
  2. b)das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
  3. c)wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
  4. d)das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
  5. e)ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
  6. f)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3)Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
(4)Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.“ Artikel 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden
(1)Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:
  1. a)den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
  2. b)zusätzlich die Kontaktdaten des Datenschutzbeauftragten;
  3. c)die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
  4. d)die Kategorien personenbezogener Daten, die verarbeitet werden;
  5. e)gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
  6. f)gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.
(2)Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:
  1. a)die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
  2. b)wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
  3. c)das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
  4. d)wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
  5. e)das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
  6. f)aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;
  7. g)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3)Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2
  1. a)unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,
  2. b)falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,
  3. c)falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.
(4)Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
(5)Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit
  1. a)die betroffene Person bereits über die Informationen verfügt,
  2. b)die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,
  3. c)die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder
  4. d)die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen. Artikel 15 Auskunftsrecht der betroffenen Person
(1)Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
  1. a)die Verarbeitungszwecke;
  2. b)die Kategorien personenbezogener Daten, die verarbeitet werden;
  3. c)die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
  4. d)falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
  5. e)das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung
  6. f)das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
  7. g)wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
  8. h)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2)Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3)Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4)Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“ Artikel 22 Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
(1)Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
(2)Absatz 1 gilt nicht, wenn die Entscheidung
  1. a)für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist,
  2. b)aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten oder
  3. c)mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.
(3)In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.
(4)Entscheidungen nach Absatz 2 dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden. § 152 der Gewerbeordnung 1994 (GewO 1994), BGBl. I Nr. 111/2002, lautet samt Überschrift: Paragraph 152, der Gewerbeordnung 1994 (GewO 1994), Bundesgesetzblatt Teil eins, Nr. 111 aus 2002,, lautet samt Überschrift: „Auskunfteien über Kreditverhältnisse
(1)Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.
(2)Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.“
(2)Die im Absatz eins, genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.“ II.3.1.2. Fallbezogen brachte die mitbeteiligte Partei (in der Folge auch: „betroffene Person“) in ihren Eingaben an die belangte Behörde im Wesentlichen vor, die Beschwerdeführerin (in der Folge auch „datenschutzrechtlich Verantwortliche“) hätte ohne ihre Kenntnis einen „Bonitäts-Score“ zu ihrer Person berechnet und diesen im Anschluss an die XXXX , Vertragspartnerin der Verantwortlichen, auf deren Anfrage hin, weitergeleitet. Die Berechnung dieses „Bonitäts-Scores“ sei ohne Vorhandensein von Zahlungserfahrungsdaten über die mitbeteiligte Partei durchgeführt worden und habe daher zu einem unrichtigen Ergebnis geführt. römisch zwei.3.1.2. Fallbezogen brachte die mitbeteiligte Partei (in der Folge auch: „betroffene Person“) in ihren Eingaben an die belangte Behörde im Wesentlichen vor, die Beschwerdeführerin (in der Folge auch „datenschutzrechtlich Verantwortliche“) hätte ohne ihre Kenntnis einen „Bonitäts-Score“ zu ihrer Person berechnet und diesen im Anschluss an die römisch 40 , Vertragspartnerin der Verantwortlichen, auf deren Anfrage hin, weitergeleitet. Die Berechnung dieses „Bonitäts-Scores“ sei ohne Vorhandensein von Zahlungserfahrungsdaten über die mitbeteiligte Partei durchgeführt worden und habe daher zu einem unrichtigen Ergebnis geführt. II.3.1.3. Was die Verletzung der Grundsätze der Datenverarbeitung (Spruchpunkt 1.
  1. a)des angefochtenen Bescheides) betrifft, so war zunächst zu prüfen, ob die Beschwerdeführerin als datenschutzrechtlich Verantwortliche bei der Verarbeitung der personenbezogenen Daten der mitbeteiligten Partei als Betroffenen gegen den Grundsatz der Rechtmäßigkeit und den Grundsatz der Verarbeitung nach Treu und Glauben gemäß Art. 5 Abs. 1 lit. a DSGVO verstoßen hat. römisch zwei.3.1.3. Was die Verletzung der Grundsätze der Datenverarbeitung (Spruchpunkt 1.
  2. a)des angefochtenen Bescheides) betrifft, so war zunächst zu prüfen, ob die Beschwerdeführerin als datenschutzrechtlich Verantwortliche bei der Verarbeitung der personenbezogenen Daten der mitbeteiligten Partei als Betroffenen gegen den Grundsatz der Rechtmäßigkeit und den Grundsatz der Verarbeitung nach Treu und Glauben gemäß Artikel 5, Absatz eins, Litera a, DSGVO verstoßen hat. Vorauszuschicken ist bereits an dieser Stelle, dass der Argumentation der Beschwerdeführerin in Rahmen ihrer Bescheidbeschwerde, wonach ein Verstoß gegen die Grundsätze der Rechtmäßigkeit und der Datenverarbeitung nach Treu und Glauben (Art. 5 Abs. 1 lit. a DSGVO) nicht zum Gegenstand einer Beschwerde nach § 24 DSG [und Art. 77 DSGVO] gemacht werden könne, aus Sicht des erkennenden Senates nicht zu folgen war. Vorauszuschicken ist bereits an dieser Stelle, dass der Argumentation der Beschwerdeführerin in Rahmen ihrer Bescheidbeschwerde, wonach ein Verstoß gegen die Grundsätze der Rechtmäßigkeit und der Datenverarbeitung nach Treu und Glauben (Artikel 5, Absatz eins, Litera a, DSGVO) nicht zum Gegenstand einer Beschwerde nach Paragraph 24, DSG [und Artikel 77, DSGVO] gemacht werden könne, aus Sicht des erkennenden Senates nicht zu folgen war. Dass die Datenschutzbehörde eine Verletzung in subjektiven Rechten nur in jenen Fällen feststellen könnte, in welchen sich der Betroffene explizit auf ein Recht nach den Bestimmungen des Kapitels III „Rechte der betroffenen Person“, also der Art. 12ff DSGVO stützt, kann weder aus § 24 DSG – noch aus Art. 77 DSGVO – abgeleitet werden. Im Zusammenhang mit Art. 77 DSGVO ergibt sich eine Entscheidungspflicht der Datenschutzbehörde immer dann, wenn die betroffene Person „der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“. Entgegen der Rechtsansicht der Beschwerdeführerin ist jedoch Art. 77 DSGVO eine Einschränkung auf Betroffenenrechte gemäß Art. 12ff DSGVO nicht zu entnehmen, sondern kann eine betroffene Person eine Rechtsverletzung dem Grunde nach auf jede Bestimmung der DSGVO stützen, sofern die DSGVO-widrige Verarbeitung personenbezogener Daten auch zu einer Verletzung der Rechtsposition der betroffenen Person führt (vgl dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 77 DSGVO, Rz 11f). Dass die Datenschutzbehörde eine Verletzung in subjektiven Rechten nur in jenen Fällen feststellen könnte, in welchen sich der Betroffene explizit auf ein Recht nach den Bestimmungen des Kapitels römisch drei „Rechte der betroffenen Person“, also der Artikel 12 f, f, DSGVO stützt, kann weder aus Paragraph 24, DSG – noch aus Artikel 77, DSGVO – abgeleitet werden. Im Zusammenhang mit Artikel 77, DSGVO ergibt sich eine Entscheidungspflicht der Datenschutzbehörde immer dann, wenn die betroffene Person „der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“. Entgegen der Rechtsansicht der Beschwerdeführerin ist jedoch Artikel 77, DSGVO eine Einschränkung auf Betroffenenrechte gemäß Artikel 12 f, f, DSGVO nicht zu entnehmen, sondern kann eine betroffene Person eine Rechtsverletzung dem Grunde nach auf jede Bestimmung der DSGVO stützen, sofern die DSGVO-widrige Verarbeitung personenbezogener Daten auch zu einer Verletzung der Rechtsposition der betroffenen Person führt vergleiche dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 77, DSGVO, Rz 11f). Der EuGH hat zudem bereits festgehalten, dass Art. 77 DSGVO hinreichend klar, genau und unbedingt und damit unmittelbar anwendbar ist (vgl. EuGH 16.1.2024, C-33/22, Österreichische Datenschutzbehörde, Rn. 62). Art. 77 Abs. 1 DSGVO stellt seinem Wortlaut nach somit gerade nicht auf eine Verletzung in Rechten, sondern auf einen Verstoß der Datenverarbeitung gegen die DSGVO ab. Damit spricht aber nichts gegen die Annahme, dass Verstöße gegen die Grundsätze des Art. 5 Abs. 1 DSGVO (wie fallbezogen nach dessen lit. a und
  3. d)für sich allein in einer Beschwerde nach Art. 77 DSGVO geltend gemacht werden können, sofern dieser Verstoß die Verarbeitung von den Beschwerdeführer (hier somit den Mitbeteiligten) betreffenden personenbezogenen Daten betrifft (vgl. VwGH vom 06.03.2024, Ro 2021/04/0030, Rz 49).Der EuGH hat zudem bereits festgehalten, dass Artikel 77, DSGVO hinreichend klar, genau und unbedingt und damit unmittelbar anwendbar ist vergleiche EuGH 16.1.2024, C-33/22, Österreichische Datenschutzbehörde, Rn. 62). Artikel 77, Absatz eins, DSGVO stellt seinem Wortlaut nach somit gerade nicht auf eine Verletzung in Rechten, sondern auf einen Verstoß der Datenverarbeitung gegen die DSGVO ab. Damit spricht aber nichts gegen die Annahme, dass Verstöße gegen die Grundsätze des Artikel 5, Absatz eins, DSGVO (wie fallbezogen nach dessen Litera a und
  4. d)für sich allein in einer Beschwerde nach Artikel 77, DSGVO geltend gemacht werden können, sofern dieser Verstoß die Verarbeitung von den Beschwerdeführer (hier somit den Mitbeteiligten) betreffenden personenbezogenen Daten betrifft vergleiche VwGH vom 06.03.2024, Ro 2021/04/0030, Rz 49). II.3.1.4. Der Begriff „Profiling“ wird von der Legaldefinition in Art. 4 Z 10 DSGVO definiert als „jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen“.römisch zwei.3.1.4. Der Begriff „Profiling“ wird von der Legaldefinition in Artikel 4, Ziffer 10, DSGVO definiert als „jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen“. II.3.1.5. Zunächst war darauf zu verweisen, dass nach ständiger Rechtsprechung des Gerichtshofs der Europäischen Union jede Verarbeitung personenbezogener Daten mit den in Art. 5 DSGVO festgelegten Grundsätzen für die Verarbeitung personenbezogener Daten im Einklang stehen und in Anbetracht des in Art. 5 Abs. 1 Buchst. a vorgesehenen Grundsatzes der Rechtmäßigkeit der Verarbeitung eine der in Art. 6 dieser Verordnung aufgeführten Bedingungen für die Rechtmäßigkeit der Verarbeitung erfüllen muss (vgl. EuGH vom 07.12.2023, C-634/21, Rn 67 und die dort angeführte Rechtsprechung). Der Verantwortliche muss die Einhaltung dieser Grundsätze nach dem in Art. 5 Abs. 2 DSGVO niedergelegten Grundsatz der Rechenschaftspflicht nachweisen können (vgl. EuGH vom 20.10.2022, C‑77/21, Rn 24).römisch zwei.3.1.5. Zunächst war darauf zu verweisen, dass nach ständiger Rechtsprechung des Gerichtshofs der Europäischen Union jede Verarbeitung personenbezogener Daten mit den in Artikel 5, DSGVO festgelegten Grundsätzen für die Verarbeitung personenbezogener Daten im Einklang stehen und in Anbetracht des in Artikel 5, Absatz eins, Buchst. a vorgesehenen Grundsatzes der Rechtmäßigkeit der Verarbeitung eine der in Artikel 6, dieser Verordnung aufgeführten Bedingungen für die Rechtmäßigkeit der Verarbeitung erfüllen muss vergleiche EuGH vom 07.12.2023, C-634/21, Rn 67 und die dort angeführte Rechtsprechung). Der Verantwortliche muss die Einhaltung dieser Grundsätze nach dem in Artikel 5, Absatz 2, DSGVO niedergelegten Grundsatz der Rechenschaftspflicht nachweisen können vergleiche EuGH vom 20.10.2022, C‑77/21, Rn 24). Hinsichtlich der Rechtmäßigkeit einer Verarbeitung personenbezogener Daten enthält Art. 6 Abs. 1 DSGVO eine erschöpfende und abschließende Liste von sechs Fällen (zur Vorgängerbestimmung Art. 7 DS-RL: EuGH 24.11.2011, verb Rs C-468/10 und C-469/10, ASNEF, Rn 30 ff; 19.10.2016, C-582/14, Breyer, Rn 57). Hinsichtlich der Rechtmäßigkeit einer Verarbeitung personenbezogener Daten enthält Artikel 6, Absatz eins, DSGVO eine erschöpfende und abschließende Liste von sechs Fällen (zur Vorgängerbestimmung Artikel 7, DS-RL: EuGH 24.11.2011, verb Rs C-468/10 und C-469/10, ASNEF, Rn 30 ff; 19.10.2016, C-582/14, Breyer, Rn 57). Fallgegenständlich kommt – mangels Einwilligung der betroffenen Person bzw. mangels Vorliegens eines entsprechenden Vertragsverhältnisses zwischen den Parteien – als Erlaubnistatbestand ausschließlich Art. 6 Abs. 1 lit. f DSGVO – damit die Ausübung eines berechtigten Interesses an der Datenverarbeitung durch den Verantwortlichen oder eines Dritten – in Betracht. Fallgegenständlich kommt – mangels Einwilligung der betroffenen Person bzw. mangels Vorliegens eines entsprechenden Vertragsverhältnisses zwischen den Parteien – als Erlaubnistatbestand ausschließlich Artikel 6, Absatz eins, Litera f, DSGVO – damit die Ausübung eines berechtigten Interesses an der Datenverarbeitung durch den Verantwortlichen oder eines Dritten – in Betracht. Entsprechend der ständigen Rechtsprechung des Europäischen Gerichtshofes ist die Verarbeitung personenbezogener Daten auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO unter drei kumulativen Voraussetzungen zulässig: 1. Wahrnehmung eines berechtigten Interesses durch den für die Verarbeitung Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden, 2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und 3. kein Überwiegen der Grundrechte und Grundfreiheiten der von der Verarbeitung betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. EuGH, Urteil vom 04.05.2017, C-13/16, Rīgas satiksme, Rn 28; 11.12.2019, C-708/18, TK gegen Asociaţia de Proprietari bloc M5A-ScaraA, Rn 40; OGH 02.02.2022, 6 Ob 129/21w; 6 Ob 67/22d).Entsprechend der ständigen Rechtsprechung des Europäischen Gerichtshofes ist die Verarbeitung personenbezogener Daten auf Grundlage des Artikel 6, Absatz eins, Litera f, DSGVO unter drei kumulativen Voraussetzungen zulässig: 1. Wahrnehmung eines berechtigten Interesses durch den für die Verarbeitung Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden, 2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und 3. kein Überwiegen der Grundrechte und Grundfreiheiten der von der Verarbeitung betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche EuGH, Urteil vom 04.05.2017, C-13/16, Rīgas satiksme, Rn 28; 11.12.2019, C-708/18, TK gegen Asociaţia de Proprietari bloc M5A-ScaraA, Rn 40; OGH 02.02.2022, 6 Ob 129/21w; 6 Ob 67/22d). II.3.1.5.1. Im gegebenen Zusammenhang war auf das rezente Urteil des Gerichtshofes der Europäischen Union vom 07.12.2023, OQ / Land Hessen, C‑634/21, näher einzugehen, mit dem der EuGH im Zusammenhang mit der Tätigkeit von Kreditauskunfteien bei der Ermittlung von Wahrscheinlichkeitswerten zur Bonitätseinschätzung nachstehende Feststellungen getroffen hat: römisch zwei.3.1.5.1. Im gegebenen Zusammenhang war auf das rezente Urteil des Gerichtshofes der Europäischen Union vom 07.12.2023, OQ / Land Hessen, C‑634/21, näher einzugehen, mit dem der EuGH im Zusammenhang mit der Tätigkeit von Kreditauskunfteien bei der Ermittlung von Wahrscheinlichkeitswerten zur Bonitätseinschätzung nachstehende Feststellungen getroffen hat: „… Art. 22 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass„… Artikel 22, Absatz eins, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass eine „automatisierte Entscheidung im Einzelfall“ im Sinne dieser Bestimmung vorliegt, wenn ein auf personenbezogene Daten zu einer Person gestützter Wahrscheinlichkeitswert in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei automatisiert erstellt wird, sofern von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.“ Wie der Gerichtshof der Europäischen Union in der angeführten Entscheidung ausgesprochen hat, verleiht Art. 22 Abs. 1 DSGVO der betroffenen Person das „Recht“, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden. Wie sich aus Art. 22 Abs. 2 DSGVO in Verbindung mit dem 71. Erwägungsgrund dieser Verordnung ergebe, sei der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung nur in den in Art. 22 Abs. 2 genannten Fällen zulässig, somit, wenn sie für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich sei (lit. a), wenn sie aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliege, zulässig sei (lit.
  5. b)oder wenn sie mit ausdrücklicher Einwilligung der betroffenen Person erfolge (lit. c); (vgl Rz 53 des dg. Urteils).Wie der Gerichtshof der Europäischen Union in der angeführten Entscheidung ausgesprochen hat, verleiht Artikel 22, Absatz eins, DSGVO der betroffenen Person das „Recht“, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden. Wie sich aus Artikel 22, Absatz 2, DSGVO in Verbindung mit dem 71. Erwägungsgrund dieser Verordnung ergebe, sei der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung nur in den in Artikel 22, Absatz 2, genannten Fällen zulässig, somit, wenn sie für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich sei (Litera a,), wenn sie aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliege, zulässig sei (Litera b,) oder wenn sie mit ausdrücklicher Einwilligung der betroffenen Person erfolge (Litera c,); vergleiche Rz 53 des dg. Urteils). Darüber hinaus unterliege im Fall einer automatisierten Entscheidungsfindung, wie jener im Sinne von Art. 22 Abs. 1 DSGVO, zum einen der Verantwortliche zusätzlichen Informationspflichten nach Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g dieser Verordnung. Zum anderen stehe der betroffenen Person nach Art. 15 Abs. 1 lit. h DSGVO ein Auskunftsrecht gegenüber dem für die Verarbeitung Verantwortlichen zu, das insbesondere „aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person“ betreffe (vgl. Rz 56 des dg. Urteils).Darüber hinaus unterliege im Fall einer automatisierten Entscheidungsfindung, wie jener im Sinne von Artikel 22, Absatz eins, DSGVO, zum einen der Verantwortliche zusätzlichen Informationspflichten nach Artikel 13, Absatz 2, Litera f und Artikel 14, Absatz 2, Litera g, dieser Verordnung. Zum anderen stehe der betroffenen Person nach Artikel 15, Absatz eins, Litera h, DSGVO ein Auskunftsrecht gegenüber dem für die Verarbeitung Verantwortlichen zu, das insbesondere „aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person“ betreffe vergleiche Rz 56 des dg. Urteils). Diese erhöhten Anforderungen an die Rechtmäßigkeit einer automatisierten Entscheidungsfindung sowie die zusätzlichen Informationspflichten des Verantwortlichen und die damit verbundenen zusätzlichen Auskunftsrechte der betroffenen Person folgten aus dem Zweck, den Art. 22 DSGVO verfolge und der darin bestehe, Personen vor den besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten – einschließlich Profiling – verbunden seien (Rz 57 des dg. Urteils).Diese erhöhten Anforderungen an die Rechtmäßigkeit einer automatisierten Entscheidungsfindung sowie die zusätzlichen Informationspflichten des Verantwortlichen und die damit verbundenen zusätzlichen Auskunftsrechte der betroffenen Person folgten aus dem Zweck, den Artikel 22, DSGVO verfolge und der darin bestehe, Personen vor den besonderen Risiken für ihre Rechte und Freiheiten zu schützen, die mit der automatisierten Verarbeitung personenbezogener Daten – einschließlich Profiling – verbunden seien (Rz 57 des dg. Urteils). Weiters hat der EuGH in Rz 61 der dg. Entscheidung festgehalten, dass unter Umständen, wie jenen des Ausgangsverfahrens, an denen drei Akteure beteiligt seien, die Gefahr einer Umgehung von Art. 22 DSGVO und folglich eine Rechtsschutzlücke gegeben sei, wenn einer engen Auslegung dieser Bestimmung der Vorzug gegeben würde, nach der die Ermittlung des Wahrscheinlichkeitswertes nur als vorbereitende Handlung anzusehen wäre und nur die vom Dritten vorgenommene Handlung gegebenenfalls als „Entscheidung“ im Sinne von Art. 22 Abs. 1 dieser Verordnung eingestuft werden könne. Weiters hat der EuGH in Rz 61 der dg. Entscheidung festgehalten, dass unter Umständen, wie jenen des Ausgangsverfahrens, an denen drei Akteure beteiligt seien, die Gefahr einer Umgehung von Artikel 22, DSGVO und folglich eine Rechtsschutzlücke gegeben sei, wenn einer engen Auslegung dieser Bestimmung der Vorzug gegeben würde, nach der die Ermittlung des Wahrscheinlichkeitswertes nur als vorbereitende Handlung anzusehen wäre und nur die vom Dritten vorgenommene Handlung gegebenenfalls als „Entscheidung“ im Sinne von Artikel 22, Absatz eins, dieser Verordnung eingestuft werden könne. Wie der EuGH schließlich in Rz 67 seines dg. Urteils unter Verweis auf ständige Rechtsprechung festhält, muss jede Verarbeitung personenbezogener Daten mit den in Art. 5 DSGVO festgelegten Grundsätzen für die Verarbeitung personenbezogener Daten in Einklang stehen und in Anbetracht des in Art. 5 Abs. 1 lit. a vorgesehenen Grundsatzes der Rechtmäßigkeit der Verarbeitung eine der in Art. 6 dieser Verordnung angeführten Bedingungen für die Rechtmäßigkeit der Verarbeitung erfüllen. Wie der EuGH schließlich in Rz 67 seines dg. Urteils unter Verweis auf ständige Rechtsprechung festhält, muss jede Verarbeitung personenbezogener Daten mit den in Artikel 5, DSGVO festgelegten Grundsätzen für die Verarbeitung personenbezogener Daten in Einklang stehen und in Anbetracht des in Artikel 5, Absatz eins, Litera a, vorgesehenen Grundsatzes der Rechtmäßigkeit der Verarbeitung eine der in Artikel 6, dieser Verordnung angeführten Bedingungen für die Rechtmäßigkeit der Verarbeitung erfüllen. Ist nach den Rechtsvorschriften eines Mitgliedstaats gemäß Art. 22 Abs. 2 Buchst. b DSGVO der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung zulässig – so der EuGH weiter –, muss diese Verarbeitung somit nicht nur die in der letztgenannten Bestimmung und in Art. 22 Abs. 4 DSGVO aufgestellten Voraussetzungen erfüllen, sondern auch die Anforderungen in den Art. 5 und 6 dieser Verordnung. Folglich dürfen die Mitgliedstaaten keine Rechtsvorschriften nach Art. 22 Abs. 2 Buchst. b DSGVO erlassen, nach denen ein Profiling unter Missachtung der Anforderungen dieser Art. 5 und 6 in deren Auslegung durch die Rechtsprechung des Gerichtshofs zulässig ist (vgl. Rz 68 des dg. Urteils).Ist nach den Rechtsvorschriften eines Mitgliedstaats gemäß Artikel 22, Absatz 2, Buchst. b DSGVO der Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung zulässig – so der EuGH weiter –, muss diese Verarbeitung somit nicht nur die in der letztgenannten Bestimmung und in Artikel 22, Absatz 4, DSGVO aufgestellten Voraussetzungen erfüllen, sondern auch die Anforderungen in den Artikel 5 und 6 dieser Verordnung. Folglich dürfen die Mitgliedstaaten keine Rechtsvorschriften nach Artikel 22, Absatz 2, Buchst. b DSGVO erlassen, nach denen ein Profiling unter Missachtung der Anforderungen dieser Artikel 5 und 6 in deren Auslegung durch die Rechtsprechung des Gerichtshofs zulässig ist vergleiche Rz 68 des dg. Urteils). II.3.1.5.2. Aus alldem folgt fallbezogen aber, dass das Argument der Beschwerdeführerin, wonach sie selbst, im Rahmen der Errechnung von Wahrscheinlichkeitswerten zur Bonitätseinschätzung natürlicher Personen und Bereitstellung dieser Informationen an deren Kunden (Dritte), keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO durchführe, im Lichte der oben dargestellten Entscheidung des EuGH vom 07.12.2023, zu verwerfen war. Vielmehr hat die Beschwerdeführerin als Wirtschaftsauskunftei einen auf personenbezogene Daten gestützten Wahrscheinlichkeitswert in Bezug auf die Fähigkeit der mitbeteiligten Partei, künftige Zahlungsverpflichtungen zu erfüllen, automatisiert erstellt und war dieser Wahrscheinlichkeitswert maßgebliches Kriterium dafür, dass der mitbeteiligten Partei von der XXXX ein Abschluss eines Energieliefervertrages ohne Weiteres verweigert worden war. römisch zwei.3.1.5.2. Aus alldem folgt fallbezogen aber, dass das Argument der Beschwerdeführerin, wonach sie selbst, im Rahmen der Errechnung von Wahrscheinlichkeitswerten zur Bonitätseinschätzung natürlicher Personen und Bereitstellung dieser Informationen an deren Kunden (Dritte), keine automatisierte Entscheidungsfindung im Sinne von Artikel 22, DSGVO durchführe, im Lichte der oben dargestellten Entscheidung des EuGH vom 07.12.2023, zu verwerfen war. Vielmehr hat die Beschwerdeführerin als Wirtschaftsauskunftei einen auf personenbezogene Daten gestützten Wahrscheinlichkeitswert in Bezug auf die Fähigkeit der mitbeteiligten Partei, künftige Zahlungsverpflichtungen zu erfüllen, automatisiert erstellt und war dieser Wahrscheinlichkeitswert maßgebliches Kriterium dafür, dass der mitbeteiligten Partei von der römisch 40 ein Abschluss eines Energieliefervertrages ohne Weiteres verweigert worden war. Hinzuweisen ist in diesem Zusammenhang auch auf die Entscheidung des VwGH vom 21.12.2023, Ro 2021/04/0010. Darin verwies der Verwaltungsgerichtshof auf die Ausführungen des EuGH im Urteil in der Rechtssache C-634/21, wonach Profiling selbst eine „automatisierte Entscheidung im Einzelfall“ im Sinne des Art. 22 Abs. 1 DSGVO darstelle, wenn das Ergebnis dieser automatisierten Verarbeitung für eine bestimmte – weitere – Entscheidung insofern maßgeblich ist, als das Handeln des Dritten von dem betreffenden Profiling „maßgeblich geleitet“ wird und so den Betroffenen erheblich beeinträchtigt. Bereits aus dem Inhalt der ersten Vorlagefrage ergebe sich, dass das Handeln des Dritten, dem der Wahrscheinlichkeitswert übermittelt wird, „maßgeblich“ von diesem Wert geleitet wird. So führe nach den Sachverhaltsfeststellungen des vorlegenden Gerichts im Fall eines von einem Verbraucher an eine Bank gerichteten Kreditantrags ein unzureichender Wahrscheinlichkeitswert in nahezu allen Fällen dazu, dass die Bank die Gewährung des beantragten Kredits ablehnt.Hinzuweisen ist in diesem Zusammenhang auch auf die Entscheidung des VwGH vom 21.12.2023, Ro 2021/04/0010. Darin verwies der Verwaltungsgerichtshof auf die Ausführungen des EuGH im Urteil in der Rechtssache C-634/21, wonach Profiling selbst eine „automatisierte Entscheidung im Einzelfall“ im Sinne des Artikel 22, Absatz eins, DSGVO darstelle, wenn das Ergebnis dieser automatisierten Verarbeitung für eine bestimmte – weitere – Entscheidung insofern maßgeblich ist, als das Handeln des Dritten von dem betreffenden Profiling „maßgeblich geleitet“ wird und so den Betroffenen erheblich beeinträchtigt. Bereits aus dem Inhalt der ersten Vorlagefrage ergebe sich, dass das Handeln des Dritten, dem der Wahrscheinlichkeitswert übermittelt wird, „maßgeblich“ von diesem Wert geleitet wird. So führe nach den Sachverhaltsfeststellungen des vorlegenden Gerichts im Fall eines von einem Verbraucher an eine Bank gerichteten Kreditantrags ein unzureichender Wahrscheinlichkeitswert in nahezu allen Fällen dazu, dass die Bank die Gewährung des beantragten Kredits ablehnt. Im vorliegenden Fall hat die Verantwortliche in deren Eigenschaft als Kreditauskunftei der mitbeteiligten Partei einen – mitunter hinreichend negativ konnotierten – Bonitätswert im System der Beschwerdeführerin zugeschrieben, dies alles ohne, dass der Betroffene jemals ein negatives Zahlungsverhalten gesetzt hätte. Der Umstand, wonach der Rechtsvertreter der Beschwerdeführerin in seinem E-Mail vom 15.11.2021 bekräftigte, es seien zum Betroffenen keine negativen Zahlungserfahrungsdaten in den ihn betreffenden Bonitäts-Score eingeflossen, vermag an dieser rechtlichen Einordnung nichts zu ändern. Der von der Beschwerdeführerin an die XXXX übermittelte Wahrscheinlichkeitswert (Bonitäts-Score) war unstrittig maßgebliches Kriterium dafür, dass dem Betroffenen von der XXXX ein Vertragsabschluss verweigert wurde und war das Verhalten der XXXX somit maßgeblich von der automatisierten Entscheidungsfindung geleitet.Im vorliegenden Fall hat die Verantwortliche in deren Eigenschaft als Kreditauskunftei der mitbeteiligten Partei einen – mitunter hinreichend negativ konnotierten – Bonitätswert im System der Beschwerdeführerin zugeschrieben, dies alles ohne, dass der Betroffene jemals ein negatives Zahlungsverhalten gesetzt hätte. Der Umstand, wonach der Rechtsvertreter der Beschwerdeführerin in seinem E-Mail vom 15.11.2021 bekräftigte, es seien zum Betroffenen keine negativen Zahlungserfahrungsdaten in den ihn betreffenden Bonitäts-Score eingeflossen, vermag an dieser rechtlichen Einordnung nichts zu ändern. Der von der Beschwerdeführerin an die römisch 40 übermittelte Wahrscheinlichkeitswert (Bonitäts-Score) war unstrittig maßgebliches Kriterium dafür, dass dem Betroffenen von der römisch 40 ein Vertragsabschluss verweigert wurde und war das Verhalten der römisch 40 somit maßgeblich von der automatisierten Entscheidungsfindung geleitet. Im gegenständlichen Fall war die Ermittlung des „Bonitäts-Scores“ zum Betroffenen, der letztlich maßgeblich für die Verweigerung eines Vertragsabschlusses mit dem Energielieferanten gewesen ist, somit als eine Entscheidung einzustufen, die im Sine von Art. 22 Abs. 1 DSGVO gegenüber einer betroffenen Person „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“. Im gegenständlichen Fall war die Ermittlung des „Bonitäts-Scores“ zum Betroffenen, der letztlich maßgeblich für die Verweigerung eines Vertragsabschlusses mit dem Energielieferanten gewesen ist, somit als eine Entscheidung einzustufen, die im Sine von Artikel 22, Absatz eins, DSGVO gegenüber einer betroffenen Person „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“. Die Rechtsansicht der Beschwerdeführerin, wonach sie selbst lediglich eine Bonitätsberechnung vornehme, jede weitere Entscheidung hingegen von den jeweiligen Empfängern der von ihr erstellten Bonitätsauskünfte, also den Vertragspartnern und Kunden der Verantwortlichen, hier: einem Energielieferanten, erfolge, somit eine – wie immer geartete – Entscheidung auf Basis der Berechnung des „Bonitäts-Scores“ nicht von der Verantwortlichen als Kreditauskunftei vorweggenommen werde, verfängt in rechtlicher Hinsicht nicht. Wie der EuGH nämlich explizit in der oben dargestellten Entscheidung festgehalten hat, wäre die Gefahr einer Umgehung von Art. 22 DSGVO und folglich eine Rechtsschutzlücke gegeben, wenn einer engen Auslegung der Bestimmung, wonach die Ermittlung des Wahrscheinlichkeitswertes nur als vorbereitende Handlung anzusehen wäre, der Vorzug gegeben würde, weshalb fallbezogen unzweifelhaft eine automatische Entscheidungsfindung im Sinne des Art. 22 Abs. 1 DSGVO vorliegt. Die Rechtsansicht der Beschwerdeführerin, wonach sie selbst lediglich eine Bonitätsberechnung vornehme, jede weitere Entscheidung hingegen von den jeweiligen Empfängern der von ihr erstellten Bonitätsauskünfte, also den Vertragspartnern und Kunden der Verantwortlichen, hier: einem Energielieferanten, erfolge, somit eine – wie immer geartete – Entscheidung auf Basis der Berechnung des „Bonitäts-Scores“ nicht von der Verantwortlichen als Kreditauskunftei vorweggenommen werde, verfängt in rechtlicher Hinsicht nicht. Wie der EuGH nämlich explizit in der oben dargestellten Entscheidung festgehalten hat, wäre die Gefahr einer Umgehung von Artikel 22, DSGVO und folglich eine Rechtsschutzlücke gegeben, wenn einer engen Auslegung der Bestimmung, wonach die Ermittlung des Wahrscheinlichkeitswertes nur als vorbereitende Handlung anzusehen wäre, der Vorzug gegeben würde, weshalb fallbezogen unzweifelhaft eine automatische Entscheidungsfindung im Sinne des Artikel 22, Absatz eins, DSGVO vorliegt. Ist aber eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung nach Art. 22 Abs. 2 DSGVO zulässig, muss diese Verarbeitung auch die Anforderungen der Art. 5 und 6 dieser Verordnung erfüllen. Ist aber eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung nach Artikel 22, Absatz 2, DSGVO zulässig, muss diese Verarbeitung auch die Anforderungen der Artikel 5 und 6 dieser Verordnung erfüllen. II.3.1.5.3. Zunächst war daher zu prüfen, ob im gegenständlichen Fall einer der Ausnahmetatbestände des Art. 22 Abs. 2 DSGVO in Betracht kommt: römisch zwei.3.1.5.3. Zunächst war daher zu prüfen, ob im gegenständlichen Fall einer der Ausnahmetatbestände des Artikel 22, Absatz 2, DSGVO in Betracht kommt: Was die Voraussetzungen des Art. 22 Abs. 2 DSGVO betrifft, so kann im konkreten Fall nicht gesagt werden, dass die Entscheidung für den Abschluss oder die Erfüllung eines Vertrages zwischen der betroffenen Person, also der mitbeteiligten Partei, und dem Verantwortlichen, also der Beschwerdeführerin, erforderlich im Sinne von Art. 22 Abs. 1 lit. a DSGVO gewesen wäre. Auch existieren im nationalen Recht keine Rechtsvorschriften, welche „angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person“, wie von Art. 22 Abs. 1 lit. b DSGVO gefordert, enthielten. In diesem Zusammenhang ist ausdrücklich festzuhalten, dass § 152 der Gewerbeordnung 1994 keine derartige Rechtsgrundlage darstellt. Fallgegenständlich liegt in Bezug auf die hier vorliegende automatisierte Entscheidungsfindung im Sinne des Art. 22 Abs. 1 DSGVO auch keine (ausdrückliche) Einwilligung der mitbeteiligten Partei im Sinne von Art. 22 Abs. 1 lit. c DSGVO vor. Was die Voraussetzungen des Artikel 22, Absatz 2, DSGVO betrifft, so kann im konkreten Fall nicht gesagt werden, dass die Entscheidung für den Abschluss oder die Erfüllung eines Vertrages zwischen der betroffenen Person, also der mitbeteiligten Partei, und dem Verantwortlichen, also der Beschwerdeführerin, erforderlich im Sinne von Artikel 22, Absatz eins, Litera a, DSGVO gewesen wäre. Auch existieren im nationalen Recht keine Rechtsvorschriften, welche „angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person“, wie von Artikel 22, Absatz eins, Litera b, DSGVO gefordert, enthielten. In diesem Zusammenhang ist ausdrücklich festzuhalten, dass Paragraph 152, der Gewerbeordnung 1994 keine derartige Rechtsgrundlage darstellt. Fallgegenständlich liegt in Bezug auf die hier vorliegende automatisierte Entscheidungsfindung im Sinne des Artikel 22, Absatz eins, DSGVO auch keine (ausdrückliche) Einwilligung der mitbeteiligten Partei im Sinne von Artikel 22, Absatz eins, Litera c, DSGVO vor. Im Ergebnis war im konkreten Fall eine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung (Erstellung des „Bonitäts-Scores“) von Art. 22 Abs. 2 DSGVO nicht gedeckt. Im Ergebnis war im konkreten Fall eine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung (Erstellung des „Bonitäts-Scores“) von Artikel 22, Absatz 2, DSGVO nicht gedeckt. Insgesamt war daher festzuhalten, dass im vorliegenden Fall ein auf personenbezogene Daten gestützter Wahrscheinlichkeitswert in Bezug auf die Fähigkeit der mitbeteiligten Partei zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei, nämlich der Beschwerdeführerin als datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Z 7 DSGVO, automatisiert erstellt wurde und von diesem errechneten Wahrscheinlichkeitswert maßgeblich abhing, ob Dritte (hier: ein Energieversorgungsunternehmen) ein Vertragsverhältnis mit dieser Person begründen, durchführen oder beenden, die rechtlichen Voraussetzungen hierfür aber, mangels Vorliegens eines Ausnahmetatbestandes nach Art. 22 Abs. 2 DSGVO, nicht gegeben waren. Insgesamt war daher festzuhalten, dass im vorliegenden Fall ein auf personenbezogene Daten gestützter Wahrscheinlichkeitswert in Bezug auf die Fähigkeit der mitbeteiligten Partei zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei, nämlich der Beschwerdeführerin als datenschutzrechtlich Verantwortliche im Sinne von Artikel 4, Ziffer 7, DSGVO, automatisiert erstellt wurde und von diesem errechneten Wahrscheinlichkeitswert maßgeblich abhing, ob Dritte (hier: ein Energieversorgungsunternehmen) ein Vertragsverhältnis mit dieser Person begründen, durchführen oder beenden, die rechtlichen Voraussetzungen hierfür aber, mangels Vorliegens eines Ausnahmetatbestandes nach Artikel 22, Absatz 2, DSGVO, nicht gegeben waren. II.3.1.5.4. Hinzu kommt, dass sich aus der oben erwähnten Entscheidung des Gerichtshofes der Europäischen Union ergibt, dass der Verantwortliche im Falle des Profilings weitergehenden Informationspflichten nach Art. 13 Abs. 2 lit. f und Art. 14 Abs. 2 lit. g DSGVO unterliegt, diesen im vorliegenden Fall aber nicht nachgekommen ist. römisch zwei.3.1.5.4. Hinzu kommt, dass sich aus der oben erwähnten Entscheidung des Gerichtshofes der Europäischen Union ergibt, dass der Verantwortliche im Falle des Profilings weitergehenden Informationspflichten nach Artikel 13, Absatz 2, Litera f und Artikel 14, Absatz 2, Litera g, DSGVO unterliegt, diesen im vorliegenden Fall aber nicht nachgekommen ist. Konkret geht aus den genannten Bestimmungen der DSGVO hierzu hervor, dass der Verantwortliche, zusätzlich zu den Informationen gemäß Abs. 1 leg. cit., der betroffenen Person zum Zeitpunkt der Erhebung der Daten Informationen hinsichtlich des Bestehens einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 DSGVO und Abs. 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person, zu gewährleisten hat.Konkret geht aus den genannten Bestimmungen der DSGVO hierzu hervor, dass der Verantwortliche, zusätzlich zu den Informationen gemäß Absatz eins, leg. cit., der betroffenen Person zum Zeitpunkt der Erhebung der Daten Informationen hinsichtlich des Bestehens einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22, Absatz eins, DSGVO und Absatz 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person, zu gewährleisten hat. II.3.1.5.5. Die Beschwerdeführerin hat ihre Vertragspartner, also jene Unternehmen, die die Bonität der mitbeteiligten Partei angefragt haben, jedoch – gemessen an den oben dargestellten Vorgaben – nicht hinreichend darüber in Kenntnis gesetzt, dass eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und Abs. 4 stattfindet, der „Bonitäts-Score“ der mitbeteiligten Partei ohne Vorhandensein von Zahlungserfahrungsdaten berechnet worden ist und wurde der mitbeteiligten Partei damit keine hinreichende Gelegenheit eingeräumt, deren Standpunkt als datenschutzrechtlich Betroffener gegenüber einem die Bonität abfragenden Unternehmen darstellen zu können. Hierzu wäre es erforderlich, dass aus dem Bonitätsauszug hinreichend ersichtlich ist, dass der darin enthaltene Bonitätsscore ohne Zahlungserfahrungsdaten berechnet wurde. Zudem wurden auch keinerlei Informationen über die involvierte Logik sowie Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person erteilt.römisch zwei.3.1.5.5. Die Beschwerdeführerin hat ihre Vertragspartner, also jene Unternehmen, die die Bonität der mitbeteiligten Partei angefragt haben, jedoch – gemessen an den oben dargestellten Vorgaben – nicht hinreichend darüber in Kenntnis gesetzt, dass eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Artikel 22, Absatz eins und Absatz 4, stattfindet, der „Bonitäts-Score“ der mitbeteiligten Partei ohne Vorhandensein von Zahlungserfahrungsdaten berechnet worden ist und wurde der mitbeteiligten Partei damit keine hinreichende Gelegenheit eingeräumt, deren Standpunkt als datenschutzrechtlich Betroffener gegenüber einem die Bonität abfragenden Unternehmen darstellen zu können. Hierzu wäre es erforderlich, dass aus dem Bonitätsauszug hinreichend ersichtlich ist, dass der darin enthaltene Bonitätsscore ohne Zahlungserfahrungsdaten berechnet wurde. Zudem wurden auch keinerlei Informationen über die involvierte Logik sowie Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person erteilt. Insgesamt kommt der erkennende Senat daher, abgesehen von der Tatsache, dass im vorliegenden Fall bereits kein Ausnahmetatbestand des Art. 22 Abs. 2 DSGVO vorlag, somit zu demselben Ergebnis wie die belangte Behörde. Die Beschwerdeführerin hat als datenschutzrechtlich Verantwortliche bei der Verarbeitung personenbezogener Daten zur Erstellung von Wahrscheinlichkeitsaussagen („Bonitäts-Score“) zur Bonität des Betroffenen gegen die Grundsätze der „Rechtmäßigkeit“ und der Verarbeitung nach „Treu und Glauben“ im Sinne von Art. 5 Abs. 1 lit. a DSGVO verstoßen. Insgesamt kommt der erkennende Senat daher, abgesehen von der Tatsache, dass im vorliegenden Fall bereits kein Ausnahmetatbestand des Artikel 22, Absatz 2, DSGVO vorlag, somit zu demselben Ergebnis wie die belangte Behörde. Die Beschwerdeführerin hat als datenschutzrechtlich Verantwortliche bei der Verarbeitung personenbezogener Daten zur Erstellung von Wahrscheinlichkeitsaussagen („Bonitäts-Score“) zur Bonität des Betroffenen gegen die Grundsätze der „Rechtmäßigkeit“ und der Verarbeitung nach „Treu und Glauben“ im Sinne von Artikel 5, Absatz eins, Litera a, DSGVO verstoßen. II.3.1.6. Die belangte Behörde hat zudem mit Spruchpunkt 1.
  6. b)des angefochtenen Bescheides ausgesprochen, dass die Verantwortliche gegen den Grundsatz der Transparenz verstoßen habe, da diese der betroffenen Person gegenüber nicht verständlich dargelegt habe, ob sie die personenbezogenen Daten der mitbeteiligten Partei, die sie zum Zweck der Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse verarbeitet, auch zum Zweck der Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen und des Gewerbes für Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik weiterverarbeite. römisch zwei.3.1.6. Die belangte Behörde hat zudem mit Spruchpunkt 1.
  7. b)des angefochtenen Bescheides ausgesprochen, dass die Verantwortliche gegen den Grundsatz der Transparenz verstoßen habe, da diese der betroffenen Person gegenüber nicht verständlich dargelegt habe, ob sie die personenbezogenen Daten der mitbeteiligten Partei, die sie zum Zweck der Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse verarbeitet, auch zum Zweck der Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen und des Gewerbes für Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik weiterverarbeite. Aus Sicht des erkennenden Senates ist jedoch nicht nachvollziehbar, weshalb dieser Spruchpunkt ergangen ist, zumal ein allenfalls diesbezüglich verwirklichter Verstoß vom verfahrenseinleitenden Antrag nicht umfasst war. Aus den Stellungnahmen der Beschwerdeführerin vom 08.10.2020 sowie vom 28.04.2021 ergibt sich zudem klar, dass die Daten von der Beschwerdeführerin zum Zweck der Ausübung der Gewerbe nach § 151 (Adressverlage und Direktmarketingunternehmen), § 152 (Auskunfteien über Kreditverhältnisse) und § 153 (Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik) Gewerbeordnung 1994 (GewO) zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert werden.Aus den Stellungnahmen der Beschwerdeführerin vom 08.10.2020 sowie vom 28.04.2021 ergibt sich zudem klar, dass die Daten von der Beschwerdeführerin zum Zweck der Ausübung der Gewerbe nach Paragraph 151, (Adressverlage und Direktmarketingunternehmen), Paragraph 152, (Auskunfteien über Kreditverhältnisse) und Paragraph 153, (Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik) Gewerbeordnung 1994 (GewO) zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert werden. Inwiefern in diesem Zusammenhang von der Verantwortlichen gegen den Grundsatz der Transparenz verstoßen worden sein soll, war insofern nicht nachvollziehbar. Der diesbezügliche Ausspruch im Spruch des angefochtenen Bescheides hatte daher ersatzlos zu entfallen. II.3.1.7. Gleiches gilt für Spruchpunkt 2.
  8. a)des angefochtenen Bescheides, mit dem die Verantwortliche von der belangten Behörde angewiesen wurde, dem Betroffenen innerhalb einer Frist von acht Wochen bei sonstiger Exekution dahingehend eine Information zur Verfügung zu stellen, ob beabsichtigt ist, die personenbezogenen Daten der mitbeteiligten Partei neben der Verarbeitung zum Zwecke der Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse, für Zwecke der Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen und des Gewerbes für Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik weiterzuverarbeiten. römisch zwei.3.1.7. Gleiches gilt für Spruchpunkt 2.
  9. a)des angefochtenen Bescheides, mit dem die Verantwortliche von der belangten Behörde angewiesen wurde, dem Betroffenen innerhalb einer Frist von acht Wochen bei sonstiger Exekution dahingehend eine Information zur Verfügung zu stellen, ob beabsichtigt ist, die personenbezogenen Daten der mitbeteiligten Partei neben der Verarbeitung zum Zwecke der Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse, für Zwecke der Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen und des Gewerbes für Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik weiterzuverarbeiten. II.3.1.8. Die Datenschutzbehörde kam außerdem zu dem Ergebnis, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem sie die Daten der mitbeteiligten Partei unrechtmäßig verarbeitet habe. römisch zwei.3.1.8. Die Datenschutzbehörde kam außerdem zu dem Ergebnis, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem sie die Daten der mitbeteiligten Partei unrechtmäßig verarbeitet habe. Festzuhalten war hierzu, dass der erkennende Senat, entgegen der Ansicht der belangten Behörde, nicht davon ausgeht, dass im Falle der Geltendmachung eines Verstoßes gegen die in Art. 5 DSGVO normierten Grundsätze für die Verarbeitung personenbezogener Daten im Rahmen einer Beschwerde gemäß Art. 77 DSGVO und § 24 DSG – von Fällen eines diesbezüglich explizit allein darauf gerichteten Antrages abgesehen – auch eine über eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG abzusprechen ist.Festzuhalten war hierzu, dass der erkennende Senat, entgegen der Ansicht der belangten Behörde, nicht davon ausgeht, dass im Falle der Geltendmachung eines Verstoßes gegen die in Artikel 5, DSGVO normierten Grundsätze für die Verarbeitung personenbezogener Daten im Rahmen einer Beschwerde gemäß Artikel 77, DSGVO und Paragraph 24, DSG – von Fällen eines diesbezüglich explizit allein darauf gerichteten Antrages abgesehen – auch eine über eine Verletzung im Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG abzusprechen ist. Zwar besteht keine rechtliche Notwendigkeit, über eine Datenschutzbeschwerde, mit der sowohl eine Verletzung des § 1 Abs. 1 DSG als auch Verstöße gegen Art. 5 Abs. 1 DSGVO geltend gemacht werden, zwingend einheitlich und in untrennbarer Weise abzusprechen. Eine Verletzung im Recht auf Geheimhaltung stellt nicht in jedem Fall automatisch auch einen Verstoß gegen die DSGVO dar. Umgekehrt ist es auch nicht ausgeschlossen, dass ein im Rahmen des Art. 77 DSGVO geltend gemachter Verstoß gegen die DSGVO keine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG darstellt (vgl. erneut VwGH vom 06.03.2024, Ro 2021/04/0030, Rz 53 und 59). Zwar besteht keine rechtliche Notwendigkeit, über eine Datenschutzbeschwerde, mit der sowohl eine Verletzung des Paragraph eins, Absatz eins, DSG als auch Verstöße gegen Artikel 5, Absatz eins, DSGVO geltend gemacht werden, zwingend einheitlich und in untrennbarer Weise abzusprechen. Eine Verletzung im Recht auf Geheimhaltung stellt nicht in jedem Fall automatisch auch einen Verstoß gegen die DSGVO dar. Umgekehrt ist es auch nicht ausgeschlossen, dass ein im Rahmen des Artikel 77, DSGVO geltend gemachter Verstoß gegen die DSGVO keine Verletzung im Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG darstellt vergleiche erneut VwGH vom 06.03.2024, Ro 2021/04/0030, Rz 53 und 59). Die mitbeteiligte Partei hat eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG in deren verfahrenseinleitenden Antrag nicht geltend gemacht. Die mitbeteiligte Partei hat eine Verletzung im Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG in deren verfahrenseinleitenden Antrag nicht geltend gemacht. Hinzu kommt, dass in der gegenständlichen Fallkonstellation ein (zusätzlicher) Ausspruch über eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG nicht erforderlich erscheint, da über die Rechtmäßigkeit der Datenverarbeitung bereits in Spruchpunkt 1.
  10. a)des angefochtenen Bescheides abschließend abgesprochen wurde, diesbezüglich sei inhaltlich erneut auf die rezente Entscheidung des EuGH vom 07.12.2023, OQ / Land Hessen, C‑634/21, hingewiesen. Der Spruchpunkt 1.
  11. c)des angefochtenen Bescheides hatte daher ersatzlos zu entfallen.Hinzu kommt, dass in der gegenständlichen Fallkonstellation ein (zusätzlicher) Ausspruch über eine Verletzung im Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG nicht erforderlich erscheint, da über die Rechtmäßigkeit der Datenverarbeitung bereits in Spruchpunkt 1.
  12. a)des angefochtenen Bescheides abschließend abgesprochen wurde, diesbezüglich sei inhaltlich erneut auf die rezente Entscheidung des EuGH vom 07.12.2023, OQ / Land Hessen, C‑634/21, hingewiesen. Der Spruchpunkt 1.
  13. c)des angefochtenen Bescheides hatte daher ersatzlos zu entfallen. II.3.1.9. Zum Recht auf Auskunft nach Art. 15 DSGVO: Was die geltend gemachte Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO im Hinblick darauf, dass die Verantwortliche der mitbeteiligten Partei (und betroffenen Person) bis zum Abschluss des Verfahrens keine vollständige Datenauskunft erteilt habe betrifft, so war den diesbezüglichen rechtlichen Feststellungen der belangten Behörde im Ergebnis zu folgen. römisch zwei.3.1.9. Zum Recht auf Auskunft nach Artikel 15, DSGVO: Was die geltend gemachte Verletzung im Recht auf Auskunft gemäß Artikel 15, DSGVO im Hinblick darauf, dass die Verantwortliche der mitbeteiligten Partei (und betroffenen Person) bis zum Abschluss des Verfahrens keine vollständige Datenauskunft erteilt habe betrifft, so war den diesbezüglichen rechtlichen Feststellungen der belangten Behörde im Ergebnis zu folgen. II.3.1.9.1. Aus Art. 15 Abs. 1 lit. h DSGVO ergibt sich, dass die betroffene Person das Recht hat, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat der Betroffene ein Recht auf Auskunft hinsichtlich dieser personenbezogenen Daten sowie auf eine Information hinsichtlich des Bestehens einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 sowie auf aussagekräftige Informationen über die involvierte Logik sowie Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. römisch zwei.3.1.9.1. Aus Artikel 15, Absatz eins, Litera h, DSGVO ergibt sich, dass die betroffene Person das Recht hat, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat der Betroffene ein Recht auf Auskunft hinsichtlich dieser personenbezogenen Daten sowie auf eine Information hinsichtlich des Bestehens einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22, Absatz eins und 4 sowie auf aussagekräftige Informationen über die involvierte Logik sowie Tragweite und die angestrebten Au

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.