RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum26.04.2024 GeschäftszahlW211 2281997-1 Spruch, W211 2281997-1/5E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht erkennt durch die Ri

Art 85DSGVO Rz 12 (Stand 1.12.2022, rdb.at)).

Wie der EUGH zuletzt in C-73/07 (siehe oben) ausführte, sind nur solche Tätigkeiten von der Anwendung des Medienprivilegs erfasst, die „allein zu journalistischen Zwecken“ erfolgen und damit ausschließlich zum Ziel haben, Informationen, Meinungen oder Ideen in der Öffentlichkeit zu verbreiten. Diese Ansicht wird auch durch den Umstand erhärtet, dass der EuGH in der Rechtssache Buivids Kriterien festgelegt hat, die bei der Abwägung zwischen dem Grundrecht auf Datenschutz und dem Grundrecht auf freie Meinungsäußerung (Journalismus) zu berücksichtigen sind. Zu diesen Kriterien zählen „der Beitrag zu einer Debatte von allgemeinem Interesse, der Bekanntheitsgrad der betroffenen Person, der Gegenstand der Berichterstattung, das vorangegangene Verhalten der betroffenen Person, Inhalt, Form und Auswirkungen der Veröffentlichung, die Art und Weise sowie die Umstände, unter denen die Informationen erlangt worden sind, und deren Richtigkeit“ (vgl. EuGH 14.02.2019, C 345/17 [Buivids] Rz 65 = ECLI:EU:C:2019:122). Die genannten Kriterien treffen aber nicht auf die Situation der „Verarbeitung von personenbezogenen Daten für Werbezwecke“ zu. Daher ist bei der Frage der Anwendbarkeit des Medienprivilegs von der Notwendigkeit einer inhaltlichen Tätigkeit, wie von der DSB ausgeführt, auszugehen, die bei der Platzierung von Cookies zur Generierung von Werbeeinnahmen (als Gegenleistung für einen (sonst) kostenlosen Zugang zu journalistischen Inhalten) nicht vorliegt. Es bestand somit eine Zuständigkeit der DSB zur Entscheidung über die verfahrenseinleitende Datenschutzbeschwerde.Darüber hinaus gibt es keine Zweifel daran, dass die BF eine Medieninhaberin iSd MedienG ist, die ein Medienunternehmen iSd Paragraph eins, Absatz eins, Ziffer 6, Litera b, MedienG betreibt und journalistisch tätig ist. Das Medienprivileg findet aber dennoch aus den folgenden Gründen im gegenständlichen Fall keine Anwendung: Die Verarbeitung personenbezogener Daten dient dann journalistischen Zwecken, wenn sie auf die Vermittlung von Informationen und Ideen über Fragen öffentlichen Interesses abzielt vergleiche EuGH 16.12.2008, C-73/07 [Satakunnan Markkinapörssi und Satamedia] Rz 61 = ECLI:EU:C:2008:727). Um der Bedeutung des Rechts auf freie Meinungsäußerung in einer demokratischen Gesellschaft Rechnung zu tragen, müssen Begriffe wie Journalismus, die sich auf diese Freiheit beziehen, im Ergebnis weit ausgelegt werden (ErwGr 153 letzter Satz DSGVO). Somit werden Daten grundsätzlich immer dann zu journalistischen Zwecken verarbeitet, wenn die Zielsetzung die Veröffentlichung für einen unbestimmten Personenkreis ist. Vor diesem Hintergrund muss das Privileg gemäß Absatz eins, nach unionsrechtlichem Verständnis ausgelegt werden vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph 9, Rz 25 (Stand 1.2.2022, rdb.at)). Im Rahmen der Pressefreiheit und damit der journalistischen Tätigkeit erfasst der Kreis der von Artikel 85, DSGVO geschützten journalistischen Tätigkeiten nicht nur die Veröffentlichung oder den Vertrieb der Zeitung (EGMR 10.1.2006, 50693/99 [Halis Dogan ua/Türkei] Rz 24), sondern auch die Arbeit der Journalist:innen selbst: die Beschaffung von Informationen, die Recherchetätigkeit, das Schreiben, aber auch Hilfstätigkeiten vergleiche EGMR 11.1.2000, 31457/96 [NEWS Verlag/Österreich] Rz 40; EGMR 17.9.2009, 13936/02 [Manole ua/Moldawien] Rz 104 f; zum Redaktionsgeheimnis: EGMR 27.3.1996, 17488/90 [Goodwin/UK]), vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph 9, Rz 31 (Stand 1.2.2022, rdb.at). Artikel 85, schützt damit das inhaltliche Tätigwerden der Presse vergleiche Rohner in Knyrim,

Artikel 85, DSGVO Rz 12 (Stand 1.12.2022, rdb.at)).

Wie der EUGH zuletzt in C-73/07 (siehe oben) ausführte, sind nur solche Tätigkeiten von der Anwendung des Medienprivilegs erfasst, die „allein zu journalistischen Zwecken“ erfolgen und damit ausschließlich zum Ziel haben, Informationen, Meinungen oder Ideen in der Öffentlichkeit zu verbreiten. Diese Ansicht wird auch durch den Umstand erhärtet, dass der EuGH in der Rechtssache Buivids Kriterien festgelegt hat, die bei der Abwägung zwischen dem Grundrecht auf Datenschutz und dem Grundrecht auf freie Meinungsäußerung (Journalismus) zu berücksichtigen sind. Zu diesen Kriterien zählen „der Beitrag zu einer Debatte von allgemeinem Interesse, der Bekanntheitsgrad der betroffenen Person, der Gegenstand der Berichterstattung, das vorangegangene Verhalten der betroffenen Person, Inhalt, Form und Auswirkungen der Veröffentlichung, die Art und Weise sowie die Umstände, unter denen die Informationen erlangt worden sind, und deren Richtigkeit“ vergleiche EuGH 14.02.2019, C 345/17 [Buivids] Rz 65 = ECLI:EU:C:2019:122). Die genannten Kriterien treffen aber nicht auf die Situation der „Verarbeitung von personenbezogenen Daten für Werbezwecke“ zu. Daher ist bei der Frage der Anwendbarkeit des Medienprivilegs von der Notwendigkeit einer inhaltlichen Tätigkeit, wie von der DSB ausgeführt, auszugehen, die bei der Platzierung von Cookies zur Generierung von Werbeeinnahmen (als Gegenleistung für einen (sonst) kostenlosen Zugang zu journalistischen Inhalten) nicht vorliegt. Es bestand somit eine Zuständigkeit der DSB zur Entscheidung über die verfahrenseinleitende Datenschutzbeschwerde. Art. 77 DSGVO gibt schließlich einer betroffenen Person das Recht, sich insbesondere bei der DSB in den Mitgliedstaaten ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu beschweren, und zählt damit demonstrativ, nicht abschließend, etwaige zuständige DSB auf. In der Literatur wird die Meinung vertreten, dass eine betroffene Person das Recht hat, sich an eine beliebige Aufsichtsbehörde zu wenden, da eine Aufsichtsbehörde schon dann „betroffen“ iSd Art 4 Z 22 lit c DSGVO ist, wenn bei ihr eine Beschwerde einlangt. Art. 77 DSGVO erlaubt jedoch kein ansatzloses forum shopping für Beschwerdeverfahren, und es besteht für BF keine Möglichkeit, frei zu wählen, bei welcher (nationalen) Aufsichtsbehörde eine Beschwerde eingebracht wird. Art. 77 DSGVO soll es einer betroffenen Person ermöglichen, eine Beschwerde bei einer Aufsichtsbehörde einzureichen, zu der ein räumliches und/oder sprachliches Naheverhältnis iZm dem Beschwerdesachverhalt besteht. Es ist daher notwendig, dass sich aus dem Vorbringen ein räumlicher, sachlicher oder sprachlicher Konnex zur angerufenen Aufsichtsbehörde ergibt, zB weil der:die BF den Wohnort oder gewöhnlichen Aufenthalt im Mitgliedstaat hat oder dessen Staatsbürger:in ist, sich die behauptete Rechtsverletzung im Mitgliedstaat ereignet oder ausgewirkt hat, oder der:die Beschwerdegegner:in Sitz oder Niederlassung im Mitgliedstaat oder seine Tätigkeit auf diesen ausgerichtet hat (vgl. Schweiger in Knyrim,

Art 77Rz 20/1 DSGVO (Stand 1.12.2021, rdb.at)).

Im gegenständlichen Beschwerdeverfahren fand die behauptete Rechtsverletzung in Österreich statt, und hat die Verantwortliche ihren Unternehmenssitz in Österreich. Es besteht somit ein hinreichender Konnex für eine Zuständigkeit der österreichischen DSB. Zudem ergibt sich aus den Feststellungen und der dazugehörenden Beweiswürdigung, dass die mP zumindest einmalig die Website der BF besucht hat, und damit ihre Daten durch die BF verarbeitet wurden.Artikel 77, DSGVO gibt schließlich einer betroffenen Person das Recht, sich insbesondere bei der DSB in den Mitgliedstaaten ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu beschweren, und zählt damit demonstrativ, nicht abschließend, etwaige zuständige DSB auf. In der Literatur wird die Meinung vertreten, dass eine betroffene Person das Recht hat, sich an eine beliebige Aufsichtsbehörde zu wenden, da eine Aufsichtsbehörde schon dann „betroffen“ iSd Artikel 4, Ziffer 22, Litera c, DSGVO ist, wenn bei ihr eine Beschwerde einlangt. Artikel 77, DSGVO erlaubt jedoch kein ansatzloses forum shopping für Beschwerdeverfahren, und es besteht für BF keine Möglichkeit, frei zu wählen, bei welcher (nationalen) Aufsichtsbehörde eine Beschwerde eingebracht wird. Artikel 77, DSGVO soll es einer betroffenen Person ermöglichen, eine Beschwerde bei einer Aufsichtsbehörde einzureichen, zu der ein räumliches und/oder sprachliches Naheverhältnis iZm dem Beschwerdesachverhalt besteht. Es ist daher notwendig, dass sich aus dem Vorbringen ein räumlicher, sachlicher oder sprachlicher Konnex zur angerufenen Aufsichtsbehörde ergibt, zB weil der:die BF den Wohnort oder gewöhnlichen Aufenthalt im Mitgliedstaat hat oder dessen Staatsbürger:in ist, sich die behauptete Rechtsverletzung im Mitgliedstaat ereignet oder ausgewirkt hat, oder der:die Beschwerdegegner:in Sitz oder Niederlassung im Mitgliedstaat oder seine Tätigkeit auf diesen ausgerichtet hat vergleiche Schweiger in Knyrim,

Artikel 77, Rz 20/1 DSGVO (Stand 1.12.2021, rdb.at)).

Im gegenständlichen Beschwerdeverfahren fand die behauptete Rechtsverletzung in Österreich statt, und hat die Verantwortliche ihren Unternehmenssitz in Österreich. Es besteht somit ein hinreichender Konnex für eine Zuständigkeit der österreichischen DSB. Zudem ergibt sich aus den Feststellungen und der dazugehörenden Beweiswürdigung, dass die mP zumindest einmalig die Website der BF besucht hat, und damit ihre Daten durch die BF verarbeitet wurden. 3.2.2. Zur vorgebrachten Rechtsverletzung: Wie bereits ausgeführt stützen sich die mP und die DSB in ihren rechtlichen Überlegungen darauf, dass die von der mP bei Zutritt zur Website der BF erteilte Zustimmung zu den vier näher festgestellten Cookies nicht im datenschutzrechtlichen Sinne freiwillig und daher ungültig gewesen ist, woraus sich mangels Rechtmäßigkeitstatbestand die Verletzung von Rechten der mP wegen der vorgenommenen Datenverarbeitung durch die gerügten Cookies ergeben hat. Der erkennende Senat ist allerdings nicht der Meinung, dass gegenständlich die Einwilligung tatsächlich erzwungen wurde und demnach unfreiwillig war: Allgemeines zum Geschäftsmodell „Daten gegen Dienstleistung“: Art. 7 Abs. 4 DSGVO normiert ein sog. allgemeines (dh nicht auf punktuelle sektorale Regelungen eingeschränktes) Kopplungsverbot als besondere Ausprägung des Merkmals der Freiwilligkeit, wonach eine Einwilligung [in eine Datenverarbeitung] ua freiwillig erteilt werden muss. Zweck des Kopplungsverbots ist der Schutz der freien Willensbetätigung des:der Betroffenen im Rahmen einer Einwilligung, womit eine faktisch erzwungene Einwilligungserteilung (die ua beim Vorliegen eines „klaren Ungleichgewichts“ zwischen Betroffenen und Verantwortlichen vorliegen kann, aber nicht muss) verhindert werden soll. Dadurch kann im Ergebnis ein Eingriff in die Vertragsfreiheit (Privatautonomie) erfolgen. Ein Kopplungsverbot ist, kurz gesprochen, dadurch charakterisiert, dass es das Abhängigmachen (iS einer Bündelung) eines Vertragsabschlusses bzw. die Erbringung einer Leistung von der Erteilung einer Einwilligung der betroffenen Person in eine (sachfremde, dh nicht für die Abwicklung des Geschäfts erforderliche) Datenverarbeitung untersagt (vgl. Kastelitz in Knyrim,

Art 7

DSGVO Rz 33 (Stand 7.5.2020, rdb.at)).Artikel 7, Absatz 4, DSGVO normiert ein sog. allgemeines (dh nicht auf punktuelle sektorale Regelungen eingeschränktes) Kopplungsverbot als besondere Ausprägung des Merkmals der Freiwilligkeit, wonach eine Einwilligung [in eine Datenverarbeitung] ua freiwillig erteilt werden muss. Zweck des Kopplungsverbots ist der Schutz der freien Willensbetätigung des:der Betroffenen im Rahmen einer Einwilligung, womit eine faktisch erzwungene Einwilligungserteilung (die ua beim Vorliegen eines „klaren Ungleichgewichts“ zwischen Betroffenen und Verantwortlichen vorliegen kann, aber nicht muss) verhindert werden soll. Dadurch kann im Ergebnis ein Eingriff in die Vertragsfreiheit (Privatautonomie) erfolgen. Ein Kopplungsverbot ist, kurz gesprochen, dadurch charakterisiert, dass es das Abhängigmachen (iS einer Bündelung) eines Vertragsabschlusses bzw. die Erbringung einer Leistung von der Erteilung einer Einwilligung der betroffenen Person in eine (sachfremde, dh nicht für die Abwicklung des Geschäfts erforderliche) Datenverarbeitung untersagt vergleiche Kastelitz in Knyrim,

Artikel 7, DSGVO Rz 33 (Stand 7.5.2020, rdb.at)).

Als offensichtlich nicht unter das Kopplungsverbot fallend beurteilt die dt. Datenschutzkonferenz „kostenlose“ Dienstleistungsangebote, die die Nutzer:innen mit der Zustimmung für eine werbliche Nutzung ihrer Daten „bezahlen“ (zB kostenloser E-Mail-Account gegen Zustimmung für Newsletter-Zusendung als „Gegenfinanzierung“; Gewinnspiele), was den Betroffenen jedoch als vertraglich ausbedungene Gegenleistung bei Vertragsabschluss klar und verständlich dargestellt werden müsse – nur dann bestünde keine Notwendigkeit mehr für eine Einwilligung. Hiermit werden Fälle angesprochen, bei denen die personenbezogenen Daten selbst zum Gegenstand einer Hauptleistungspflicht eines Rechtsgeschäfts werden. Gerade die Zulässigkeit dieses, in der Online-Welt gängigen, datenbasierten Geschäftsmodells ist iZm Art. 7 Abs. 4 DSGVO umstritten. Laut EDSA darf der Zugang zu Diensten und Funktionen nicht von der (hier nicht freiwillig erteilten) Einwilligung der Nutzer:innen zur Speicherung von Informationen oder zum Zugriff auf bereits auf dem Endgerät gespeicherte Information abhängig gemacht werden; damit werden insb. sogenannte „Cookie Walls“ angesprochen. Hinzuweisen ist in diesem Zusammenhang auch auf die RL über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen, die zwar die ursprünglich im Kommissionsvorschlag enthaltene Formulierung von personenbezogenen Daten als Gegenleistung nicht mehr enthält. Dennoch bleibt es aber dabei, dass die Bereitstellung personenbezogener Daten durch Verbraucher:innen die gleichen vertraglichen Ansprüche gegen den Anbieter:innen auslöst wie die Zahlung eines Entgelts, womit Daten (zumindest indirekt) als „zivilrechtliches Währungssubstitut“ anerkannt werden (siehe Art. 3 Abs. 1 S 2; ErwGr 24). Die DSGVO ist jedoch vorrangig anzuwenden (Art. 3 Abs. 8; ErwGr 37 ff); auch die Zulässigkeit einer Datenverarbeitung richtet sich nach der DSGVO (s ErwGr 38), womit Konflikte mit dem Kopplungsverbot vorprogrammiert scheinen. Nach einer Ansicht wird es weiterhin möglich sein, „kostenlose“ Internetdienstleistungen zu erbringen, wobei jedoch das (entgeltliche) Austauschverhältnis „Leistung gegen personenbezogene Daten“ deutlicher als bisher in den Vordergrund gestellt werden muss. Die Artikel-29-Datenschutzgruppe vertritt dagegen die Ansicht, dass durch Art. 7 Abs. 4 DSGVO sichergestellt wird, dass die auf einer Einwilligung basierende Verarbeitung personenbezogener Daten weder direkt noch indirekt die vertragliche Gegenleistung darstellen kann. Bemerkenswert ist jedoch, dass die Artikel-29-Datenschutzgruppe und nunmehr auch der EDSA bei einem „echten“ alternativen Angebot durch denselben:dieselbe Anbieter:in, das (bis auf die nicht verlangte Einwilligung in die Datenverarbeitung) wirklich gleichwertig zum einwilligungsbasierten ist, aufgrund dieser Wahlmöglichkeit („Entkoppelung“) von der Nichtanwendbarkeit des Kopplungsverbots ausgehen – dabei aber die näheren Modalitäten, insb. hinsichtlich der Zulässigkeit einer entgeltlichen Alternative, offenlassen (vgl. Kastelitz in Knyrim,

Art 7

DSGVO Rz 38 (Stand 7.5.2020, rdb.at)).Als offensichtlich nicht unter das Kopplungsverbot fallend beurteilt die dt. Datenschutzkonferenz „kostenlose“ Dienstleistungsangebote, die die Nutzer:innen mit der Zustimmung für eine werbliche Nutzung ihrer Daten „bezahlen“ (zB kostenloser E-Mail-Account gegen Zustimmung für Newsletter-Zusendung als „Gegenfinanzierung“; Gewinnspiele), was den Betroffenen jedoch als vertraglich ausbedungene Gegenleistung bei Vertragsabschluss klar und verständlich dargestellt werden müsse – nur dann bestünde keine Notwendigkeit mehr für eine Einwilligung. Hiermit werden Fälle angesprochen, bei denen die personenbezogenen Daten selbst zum Gegenstand einer Hauptleistungspflicht eines Rechtsgeschäfts werden. Gerade die Zulässigkeit dieses, in der Online-Welt gängigen, datenbasierten Geschäftsmodells ist iZm Artikel 7, Absatz 4, DSGVO umstritten. Laut EDSA darf der Zugang zu Diensten und Funktionen nicht von der (hier nicht freiwillig erteilten) Einwilligung der Nutzer:innen zur Speicherung von Informationen oder zum Zugriff auf bereits auf dem Endgerät gespeicherte Information abhängig gemacht werden; damit werden insb. sogenannte „Cookie Walls“ angesprochen. Hinzuweisen ist in diesem Zusammenhang auch auf die RL über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen, die zwar die ursprünglich im Kommissionsvorschlag enthaltene Formulierung von personenbezogenen Daten als Gegenleistung nicht mehr enthält. Dennoch bleibt es aber dabei, dass die Bereitstellung personenbezogener Daten durch Verbraucher:innen die gleichen vertraglichen Ansprüche gegen den Anbieter:innen auslöst wie die Zahlung eines Entgelts, womit Daten (zumindest indirekt) als „zivilrechtliches Währungssubstitut“ anerkannt werden (siehe Artikel 3, Absatz eins, S 2; ErwGr 24). Die DSGVO ist jedoch vorrangig anzuwenden (Artikel 3, Absatz 8,; ErwGr 37 ff); auch die Zulässigkeit einer Datenverarbeitung richtet sich nach der DSGVO (s ErwGr 38), womit Konflikte mit dem Kopplungsverbot vorprogrammiert scheinen. Nach einer Ansicht wird es weiterhin möglich sein, „kostenlose“ Internetdienstleistungen zu erbringen, wobei jedoch das (entgeltliche) Austauschverhältnis „Leistung gegen personenbezogene Daten“ deutlicher als bisher in den Vordergrund gestellt werden muss. Die Artikel-29-Datenschutzgruppe vertritt dagegen die Ansicht, dass durch Artikel 7, Absatz 4, DSGVO sichergestellt wird, dass die auf einer Einwilligung basierende Verarbeitung personenbezogener Daten weder direkt noch indirekt die vertragliche Gegenleistung darstellen kann. Bemerkenswert ist jedoch, dass die Artikel-29-Datenschutzgruppe und nunmehr auch der EDSA bei einem „echten“ alternativen Angebot durch denselben:dieselbe Anbieter:in, das (bis auf die nicht verlangte Einwilligung in die Datenverarbeitung) wirklich gleichwertig zum einwilligungsbasierten ist, aufgrund dieser Wahlmöglichkeit („Entkoppelung“) von der Nichtanwendbarkeit des Kopplungsverbots ausgehen – dabei aber die näheren Modalitäten, insb. hinsichtlich der Zulässigkeit einer entgeltlichen Alternative, offenlassen vergleiche Kastelitz in Knyrim,

Artikel 7, DSGVO Rz 38 (Stand 7.5.2020, rdb.at)).

Fehlende Freiwilligkeit einer Einwilligung bei marktbeherrschender Stellung des:der Diensteanbieter:in: Die DSB verweist im angefochtenen Bescheid und in ihrer Stellungnahme bei Beschwerdevorlage auf das Urteil des EuGH vom 04.07.2023, C-252/21 [Meta Platforms u.a. (Conditions générales d’utilisation d’un réseau social)], ECLI:EU:C:2023:537, woraus sich ergeben würde, dass eine betroffene Person beim Besuch einer Website (im Fall vor dem EuGH ging es um ein soziales Online-Netzwerk) nicht alternativlos in eine Situation gebracht werden kann, in der sie der Verarbeitung ihrer personenbezogenen Daten zustimmen muss, um auf die Website gelangen und die Dienste wahrnehmen zu können. Das zitierte Urteil ist aber aus Sicht des erkennenden Senats auf den gegenständlichen Sachverhalt nicht in dieser Form übertragbar, und zwar aus den folgenden Gründen: Der EuGH stellte u.a. mit diesem Urteil zu C-252/21 (Meta) betreffend das entsprechende wettbewerbsrechtlich determinierte Vorabentscheidungsverfahren klar, dass es sich beim Facebook – Geschäftsmodell (Finanzierung durch Onlinewerbung, die auf den:die individuelle:n Nutzer:in nach Maßgabe des Konsumverhaltens zugeschnitten ist auf Basis der automatisierten Erstellung von detaillierten Profilen der Nutzer:innen) um ein besonders wichtiges und für den Wettbewerb zwischen Unternehmen notwendiges Modell der digitalen Wirtschaft handelt. So heißt es in den Randziffern 50 - 51 wörtlich: „Im Übrigen ist festzustellen, dass der Zugang zu personenbezogenen Daten sowie deren Verwertung im Rahmen der digitalen Wirtschaft von erheblicher Bedeutung sind. Diese Bedeutung wird im Ausgangsrechtsstreit durch das vom sozialen Netzwerk Facebook verfolgte Geschäftsmodell veranschaulicht, das, wie in Rn. 27 des vorliegenden Urteils dargelegt, vorsieht, dass durch die Kommerzialisierung von Werbenachrichten, die anhand von Nutzerprofilen (die ihrerseits auf von Meta Platforms Ireland erhobenen personenbezogenen Daten basieren) personalisiert werden, Einnahmen generiert werden. Wie u. a. die Kommission hervorgehoben hat, sind der Zugang zu personenbezogenen Daten und die Möglichkeit ihrer Verarbeitung zu einem bedeutenden Parameter des Wettbewerbs zwischen Unternehmen der digitalen Wirtschaft geworden. Daher würde der Ausschluss der Vorschriften über den Schutz personenbezogener Daten aus dem rechtlichen Rahmen, den die Wettbewerbsbehörden bei der Prüfung des Missbrauchs einer beherrschenden Stellung zu berücksichtigen haben, die tatsächliche wirtschaftliche Entwicklung verkennen und die Wirksamkeit des Wettbewerbsrechts in der Union gefährden.“ Diesem Urteil liegt die (datenschutzrechtliche) Ausgangssituation zu Grunde, dass Dienste/Dienstleistungen (z.B. Facebook, WhatsApp, etc..) kostenlos für registrierte Nutzer:innen zur Verfügung gestellt werden, die große Datenmengen bzw. Daten mit hoher Sensibilität (Art. 9 DSGVO) auf die genannten Dienste hochladen bzw. mit deren Hilfe generieren, wenn diese im Gegenzug (gewinnbringend) verwertet werden dürfen, wobei der hinter diesen Diensten/Plattformen stehende Konzern eine marktbeherrschende Stellung innehat: so lautete die relevante Vorlagefrage dazu (vgl. RZ 140; Hervorhebungen nicht im Original): „Mit seiner sechsten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO dahin auszulegen sind, dass eine Einwilligung, die der Nutzer eines sozialen Online-Netzwerks dem Betreiber eines solchen Netzwerks erteilt hat, als eine Einwilligung angesehen werden kann, die die in Art. 4 Nr. 11 dieser Verordnung vorgesehenen Gültigkeitsvoraussetzungen – insbesondere diejenige der freiwilligen Erteilung der Einwilligung – erfüllt, wenn dieser Betreiber auf dem Markt für soziale Online-Netzwerke eine beherrschende Stellung einnimmt.“Diesem Urteil liegt die (datenschutzrechtliche) Ausgangssituation zu Grunde, dass Dienste/Dienstleistungen (z.B. Facebook, WhatsApp, etc..) kostenlos für registrierte Nutzer:innen zur Verfügung gestellt werden, die große Datenmengen bzw. Daten mit hoher Sensibilität (Artikel 9, DSGVO) auf die genannten Dienste hochladen bzw. mit deren Hilfe generieren, wenn diese im Gegenzug (gewinnbringend) verwertet werden dürfen, wobei der hinter diesen Diensten/Plattformen stehende Konzern eine marktbeherrschende Stellung innehat: so lautete die relevante Vorlagefrage dazu vergleiche RZ 140; Hervorhebungen nicht im Original): „Mit seiner sechsten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Artikel 6, Absatz eins, Unterabs. 1 Buchst. a und Artikel 9, Absatz 2, Buchst. a DSGVO dahin auszulegen sind, dass eine Einwilligung, die der Nutzer eines sozialen Online-Netzwerks dem Betreiber eines solchen Netzwerks erteilt hat, als eine Einwilligung angesehen werden kann, die die in Artikel 4, Nr. 11 dieser Verordnung vorgesehenen Gültigkeitsvoraussetzungen – insbesondere diejenige der freiwilligen Erteilung der Einwilligung – erfüllt, wenn dieser Betreiber auf dem Markt für soziale Online-Netzwerke eine beherrschende Stellung einnimmt.“ Der EuGH antwortete (zusammengefasst) in den Randziffern 147-154 (Hervorhebungen nicht im Original), dass der Umstand einer marktbeherrschenden Stellung für soziale Netzwerke bei der Beurteilung der Wirksamkeit der Einwilligung berücksichtigt werden muss, da er geeignet ist, die Wahlfreiheit des:der Nutzer:in zu beeinträchtigen. Außerdem kann aufgrund einer solchen beherrschenden Stellung zwischen der betroffenen Person und dem:der Verantwortlichen ein klares Ungleichgewicht im Sinne des

1. Erwägungsgrundes der DSGVO bestehen. Nutzer:innen müssen die Freiheit haben, im Zuge des Vertragsabschlusses die Einwilligung in bestimmte Datenverarbeitungsvorgänge, die für die Erfüllung des Vertrags nicht erforderlich sind, einzeln zu verweigern, ohne dazu gezwungen zu sein, auf die Nutzung des vom:von der Betreiber:in des sozialen Online-Netzwerks angebotenen Dienstes vollständig zu verzichten, was bedingt, dass ihnen, gegebenenfalls gegen ein angemessenes Entgelt, eine gleichwertige Alternative angeboten wird, die nicht mit solchen Datenverarbeitungsvorgängen einhergeht. Der DSB kann bei genauer Durchsicht des EuGH Urteils zu C-252/21 (Meta) nicht dahingehend gefolgt werden, dass die Aussagen des EuGH in der RZ 150 zur Möglichkeit, die Einwilligung zu Datenverarbeitungsvorgängen zu verweigern, ohne dazu gezwungen zu sein, auf die Nutzung des Dienstes zu verzichten, generell auf alle Websitangebote anzuwenden ist: diese Aussagen des EuGH stehen nicht nur in einem kontextuellen Zusammenhang mit Dienstanbieter:innen in einer marktbeherrschenden Stellung, sondern präzisiert der EuGH in der RZ 150 selbst, dass eine betroffene Person nicht gezwungen werden darf, auf die Nutzung der Dienste des sozialen Online-Netzwerks zu verzichten. Entsprechendes trifft aber auf den gegenständlichen Sachverhalt nicht zu: das Onlineangebot der BF ist mit der Größe und damit einhergehenden Bedeutung für die soziale Kommunikation eines sozialen Netzwerks des Meta-Konzerns nicht gleichzusetzen. Der EuGH hebt auch gerade in der RZ 151 des zitierten Urteils den großen Umfang der fraglichen Datenverarbeitungen bei Facebook und die damit verbundenen erheblichen Auswirkungen auf die Nutzer:innen hervor, was ebenfalls nicht nur nicht auf die avisierten Datenverarbeitungen durch die Cookies beim Onlineangebot der BF zutrifft, sondern darüber hinaus außerdem nicht auf die Art der Daten der betroffenen Personen, die dort verarbeitet werden: auch in diesem Punkt ist eine Vergleichbarkeit der Sachverhalte nicht gegeben. Von einer entsprechenden marktbeherrschenden Stellung der BF als Websitebetreiberin und einem deswegen entstehenden Druck auf Nutzer:innen, einer Cookie-Verwendung zustimmen zu müssen, weil andernfalls ein quasi-monopolistischer Onlinedienst nicht zugänglich sein würde, kann gegenständlich auch nicht ausgegangen werden: Die BF ist eine Medieninhaberin, die journalistische Artikel und Beiträge auf ihrer Website XXXX veröffentlicht, die ungefähr XXXX (eigene Angabe der BF) Aufrufe im Monat verzeichnet. Folgt man der aktuellen Studie der ÖWA (ÖWA 2023 – IV), so rangiert das Einzelangebot von XXXX im vierten Quartal 2023 (als Teil des Dachangebotes der XXXX ) auf Platz XXXX von 87 Studienteilnehmer:innen mit gesamt XXXX Aufrufen (durch Unique Nutzer:innen = XXXX Mio. Österreicher:innen) im Monat, wobei der Anteil an „Online-Abrufen“ bei XXXX liegt. Vom Vorliegen einer (speziell im Bereich der Onlinemedien) marktbeherrschenden Stellung, die aber ein wesentliches Element des zitierten Vorlageersuchens an den EuGH in C-252/21 (Meta) bildete, das im Übrigen ein wettbewerbsrechtliches Verfahren betraf, kann vor diesem Hintergrund nicht ausgegangen werden. Die BF ist eine Medieninhaberin, die journalistische Artikel und Beiträge auf ihrer Website römisch 40 veröffentlicht, die ungefähr römisch 40 (eigene Angabe der BF) Aufrufe im Monat verzeichnet. Folgt man der aktuellen Studie der ÖWA (ÖWA 2023 – römisch vier), so rangiert das Einzelangebot von römisch 40 im vierten Quartal 2023 (als Teil des Dachangebotes der römisch 40 ) auf Platz römisch 40 von 87 Studienteilnehmer:innen mit gesamt römisch 40 Aufrufen (durch Unique Nutzer:innen = römisch 40 Mio. Österreicher:innen) im Monat, wobei der Anteil an „Online-Abrufen“ bei römisch 40 liegt. Vom Vorliegen einer (speziell im Bereich der Onlinemedien) marktbeherrschenden Stellung, die aber ein wesentliches Element des zitierten Vorlageersuchens an den EuGH in C-252/21 (Meta) bildete, das im Übrigen ein wettbewerbsrechtliches Verfahren betraf, kann vor diesem Hintergrund nicht ausgegangen werden. Gegenteiliges wurde im Übrigen weder von der mP noch von der DSB vorgebracht. Nun verkennt das Bundesverwaltungsgericht nicht, dass die Anforderungen an die datenschutzrechtliche Einwilligung die Privatautonomie einschränken können (siehe Kommentierung weiter oben). Der gegenständlich zu prüfende Sachverhalt zeichnet sich dadurch aus, dass eine Medieninhaberin ein journalistisch-redaktionelles Onlineangebot gegen eine Gegenleistung zur Verfügung stellen möchte: diese Gegenleistung bestand zum prüfungsrelevanten Zeitpunkt darin, durch die Ermöglichung von Cookies personenbezogene Daten über das Nutzer:innenverhalten zu sammeln. Würde man dem Vorbringen der mP und der Bescheidbegründung der DSB folgen wollen, soll es nicht mehr der BF überlassen sein, unter welchen Bedingungen, dh unter Anforderung welcher Gegenleistung, sie ihren Onlineinhalt Nutzer:innen zugänglich machen will. Nach der Bescheidbegründung müsste die BF, um die Zugänglichkeit auf ihr Angebot auch für jene Nutzer:innen zu gewährleisten, die einer Verarbeitung ihrer Daten durch Cookies nicht zustimmen wollen, echte Alternativangebote schaffen, wie zB ein „Pay or Okay“ Modell, um den Zugang zur Website jedenfalls zu ermöglichen. Wodurch aber im gegenständlichen Sachverhalt ein derartiger Eingriff in die Privatautonomie der BF, nämlich dahingehend ihr vorzuschreiben, unter welchen Bedingungen die BF die Nutzung ihres Onlineangebots ermöglichen soll, gerechtfertigt sein soll, ist für den erkennenden Senat nicht ersichtlich und wurde auch von der mP und der DSB nicht substantiiert releviert: wie bereits ausführlich dargestellt kommt dem Angebot der BF keine marktbeherrschende Stellung zu. Sie bietet darüber hinaus nicht nur keine lebensnotwendigen Güter an, sondern stellt auch in ihrem eigenen Kompetenzbereich (nur) eine unter mehreren/vielen Anbieter:innen von journalistisch aufbereiteten Inhalten auf Basis einer Wochenpublikation dar, und können geneigte Nutzer:innen journalistisch aufbereitete Inhalte auch von (vielen) anderen Anbieter:innen (im deutschsprachigen Raum und darüber hinaus) erhalten bzw. abrufen. Sollte aber dennoch jedenfalls auf Inhalte des XXXX zugegriffen werden wollen, bestand und besteht nicht nur die alternative Möglichkeit, die Printausgabe käuflich zu erwerben und zu lesen, sondern auch, besonders interessant für Leser:innen im Ausland, ein Digitalabonnement zum von der BF festzulegenden Preis abzuschließen. Im Lichte dieser Gesamtschau kann nicht erkannt werden, warum aus Gründen des Datenschutzes für die mP jedenfalls ein Anspruch (subjektives Recht) auf Zugang zu den Onlineinhalten auf der Website der BF zu den von ihr, der mP, vorgegebenen Bedingungen bestehen muss. Der mit ihrer Interpretation des Rechtmäßigkeitstatbestands des Art. 6 Abs. 1 lit. a DSGVO einhergehende Eingriff in die Privatautonomie der BF fehlt es im gegenständlichen Sachverhalt an einer Verhältnismäßigkeit. Wodurch aber im gegenständlichen Sachverhalt ein derartiger Eingriff in die Privatautonomie der BF, nämlich dahingehend ihr vorzuschreiben, unter welchen Bedingungen die BF die Nutzung ihres Onlineangebots ermöglichen soll, gerechtfertigt sein soll, ist für den erkennenden Senat nicht ersichtlich und wurde auch von der mP und der DSB nicht substantiiert releviert: wie bereits ausführlich dargestellt kommt dem Angebot der BF keine marktbeherrschende Stellung zu. Sie bietet darüber hinaus nicht nur keine lebensnotwendigen Güter an, sondern stellt auch in ihrem eigenen Kompetenzbereich (nur) eine unter mehreren/vielen Anbieter:innen von journalistisch aufbereiteten Inhalten auf Basis einer Wochenpublikation dar, und können geneigte Nutzer:innen journalistisch aufbereitete Inhalte auch von (vielen) anderen Anbieter:innen (im deutschsprachigen Raum und darüber hinaus) erhalten bzw. abrufen. Sollte aber dennoch jedenfalls auf Inhalte des römisch 40 zugegriffen werden wollen, bestand und besteht nicht nur die alternative Möglichkeit, die Printausgabe käuflich zu erwerben und zu lesen, sondern auch, besonders interessant für Leser:innen im Ausland, ein Digitalabonnement zum von der BF festzulegenden Preis abzuschließen. Im Lichte dieser Gesamtschau kann nicht erkannt werden, warum aus Gründen des Datenschutzes für die mP jedenfalls ein Anspruch (subjektives Recht) auf Zugang zu den Onlineinhalten auf der Website der BF zu den von ihr, der mP, vorgegebenen Bedingungen bestehen muss. Der mit ihrer Interpretation des Rechtmäßigkeitstatbestands des Artikel 6, Absatz eins, Litera a, DSGVO einhergehende Eingriff in die Privatautonomie der BF fehlt es im gegenständlichen Sachverhalt an einer Verhältnismäßigkeit. Demnach besteht für die mP kein Anspruch auf Zugang zu den Websiteinhalten zu den von ihr vorgegebenen Bedingungen, und ist die BF nicht verpflichtet, einen solchen Zugang jedenfalls unter Zurverfügungstellung einer Alternativlösung des „Pay or Okay Modells“ zu gewährleisten. Nur ergänzend ist darauf hingewiesen, dass die BF mittlerweile im Übrigen ein „Pay or Okay Modell“ eingeführt hat, und es bereits davor die Möglichkeit eines Digitalabonnements gegeben hat: einen Anspruch auf einen bestimmten – günstigen - Abonnementpreis kann die mP jedenfalls auch nicht geltend machen. In diesem Lichte kann aber nun nicht mehr davon ausgegangen werden, dass die Einwilligung der mP zu den monierten Cookies tatsächlich jedenfalls erzwungen wurde. Für die Annahme eines Rechtsgeschäfts, bei dem die personenbezogenen Daten des Betroffenen selbst zum Gegenstand einer Hauptleistungspflicht des:der Kontrahierenden werden, ist es weiter notwendig, dass dies stärker als bisher – im Sinne einer klaren Information - in den Vordergrund tritt. Das hier relevante Element, dass eine „kostenlose“ Internetdienstleistung im Sinne eines (entgeltlichen) Austauschverhältnisses „Leistung gegen personenbezogene Daten“ stattfindet, muss somit durch den:die Verantwortliche:n hinreichend genau artikuliert werden. Mit dem festgestellten „Pop-Up“ –Fenster kam die BF aber dieser Voraussetzung nach: so wies sie die mP beim Versuch, einen „kostenlosen“ Zugang ohne Einwilligung in die Verarbeitung der personenbezogenen Daten zu erlangen, eindeutig daraufhin, dass ein Betrieb der Website ohne jegliche Datenverarbeitung und somit (evident) ohne jegliche Art von Gegenleistung „nicht sinnvoll sei“ und daher „zwingend eine Zustimmung zu zumindest vier ausgewählten Diensten notwendig wäre“. Demnach wurde die mP bei ihrem Besuch der Website ausreichend klar und deutlich über das Leistungsangebot und die damit einhergehenden Bedingungen sowie über die Natur der Gegenleistung informiert. Es stand ihr weiter zu jenem Zeitpunkt ohne wesentliche Einschränkung ihrer Lebensführung, aber auch ihrer Wahrnehmung ihrer Rechte aus der Freiheit der Meinungsäußerung und Information, frei, das Angebot des Tausches Inhalte gegen personenbezogene Daten nicht anzunehmen, bzw. andere zur Verfügung stehende Wege einer entsprechenden Information zu gehen, nicht zuletzt zB den Abschluss eines (Digital-) Abonnements. Ein Recht auf Zugang unter Voraussetzungen, die die mP bevorzugen würde, besteht jedenfalls weder aus datenschutzrechtlichen, noch aus anderen rechtlichen Grundlagen heraus. 3.2.
2. Ergebnis: Im Lichte der vorstehenden Begründung fand daher die Verarbeitung der personenbezogenen Daten der mP durch die BF beim Websitebesuch am XXXX 2022 auf Basis des Rechtsfertigungstatbestands des Art. 6 Abs. 1 lit. a DSGVO statt und war damit rechtmäßig. Im Lichte der vorstehenden Begründung fand daher die Verarbeitung der personenbezogenen Daten der mP durch die BF beim Websitebesuch am römisch 40 2022 auf Basis des Rechtsfertigungstatbestands des Artikel 6, Absatz eins, Litera a, DSGVO statt und war damit rechtmäßig. Da in diesem Sinne jedenfalls die Feststellung einer Datenschutzverletzung durch die DSB in Spruchpunkt
3. des angefochtenen Bescheids zu Unrecht erfolgte, verlieren die Spruchpunkte
4. und
5. des angefochtenen Bescheids ihre Grundlage.
6. Zum Entfall der mündlichen Verhandlung: Gemäß § 24 Abs. 1 VwGVG hat auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Eine mündliche Verhandlung wurde nicht beantragt.Gemäß Paragraph 24, Absatz eins, VwGVG hat auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Eine mündliche Verhandlung wurde nicht beantragt. Im gegenständlichen Fall kann das Unterbleiben einer – nicht beantragten - mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde geklärt ist. Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über Rechtsfragen zu erkennen (vgl. EGMR 05.09.2002, Appl. Nr. 42057/98, Speil/Österreich). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B 155/12).Im gegenständlichen Fall kann das Unterbleiben einer – nicht beantragten - mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde geklärt ist. Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über Rechtsfragen zu erkennen vergleiche EGMR 05.09.2002, Appl. Nr. 42057/98, Speil/Österreich). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.6.2012, B 155/12). Zu B) Zulässigkeit der Revision: Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, da es an einer Rechtsprechung des Verwaltungsgerichtshofes betreffend die Qualität der Einwilligung nach Art. 6 Abs. 1lit. a DSGVO im Kontext eines Geschäftsmodells eines:einer Verantwortlichen in nicht-marktbeherrschender Stellung, das eine kostenlose Dienstleistung im Austausch für personenbezogene Daten (als vertragliche Hauptleistungspflicht) vorsieht, fehlt.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG zulässig, da es an einer Rechtsprechung des Verwaltungsgerichtshofes betreffend die Qualität der Einwilligung nach Artikel 6, Absatz eins l, i, t, a DSGVO im Kontext eines Geschäftsmodells eines:einer Verantwortlichen in nicht-marktbeherrschender Stellung, das eine kostenlose Dienstleistung im Austausch für personenbezogene Daten (als vertragliche Hauptleistungspflicht) vorsieht, fehlt. European Case Law IdentifierECLI:AT:BVWG:2024:W211.2281997.1.00