RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum06.12.2017 GeschäftszahlDSB-D216.435/0005-DSB/2017 Anfechtung beim BVwG/VwGH/VfGHDiese Empfehlung wird nicht rechtskräftig und ka

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Adresse J***straße 2*/4,7*** L***dorf E*** Information Group Österreich GmbH Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Altersgruppe 40 - 60 Jahre Berechnung anhand der nachstehenden Parameter Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Kaufkraft hoch Berechnung anhand der nachstehenden Parameter Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Hausgröße Einfamilienhaus Berechnung anhand der nachstehenden Parameter Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Lifestyle- Segment/ Typologie Innovative Aufsteiger Berechnung anhand der nachstehenden Parameter Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O b. Einflussgrößen und Gewichtung der Merkmale betreffend: Altersgruppe: Diese wird anhand des Vornamens bestimmt; hierbei werden statistische Daten zu der Häufigkeit der Vornamen in den Geburtsjahren herangezogen. Hausgröße: Diese wird anhand der Anzahl der Personen, die an einer Wohnadresse wohnen, ermittelt (Einfamilienhaus, Zweifamilienhaus und Mehrparteienhaus). Kaufkraft: Diese wird auf Basis der Parameter Adresse, Name (Titel) und Hausgröße (siehe oben) ermittelt. Lifestyle-Segment/ Typologie: Dieses wird auf Basis der Parameter Altersgruppe (siehe oben), Hausgröße (siehe oben), Postleitzahl und Kaufkraft (siehe oben) ermittelt. c. Übernahme der Daten von der E***-Direktmarketing Group GmbH durch die Antragsgegnerin Die Übernahme des Datenbestandes sei auf Basis eines Asset Deal erfolgt. Es seien verschiedene Vermögenswerte, darunter auch eine Datenbank zu Marketingzwecken, von der Firma E*** übernommen worden. Eine Zustimmung der Betroffenen zur Übernahme der Datenbank der Firma E*** durch die Antragsgegnerin sei nicht erfolgt. Es seien jedoch die Betroffenen durch die Firma E*** informiert worden, dass ihre Daten zu Marketingzwecken verarbeitet würden und hierzu sei auch eine Zustimmung zur Übernahme in die Marketingdatenbank eingeholt worden. d. Vertragsbestimmung zur Datenübernahme Die relevante Vertragsbestimmung zur Datenübernahme zwischen der Firma E*** und der Antragsgegnerin sei folgende (Unterstreichungen erfolgten durch die Datenschutzbehörde): […] 5.1.11 Die Verkäufer garantieren und haften dafür solidarisch, dass die DATENBANKEN ordnungsgemäß gemäß §17ffDSG2000 bei der Österreichischen Datenschutzkommission gemeldet wurden und in der Folge im Datenverarbeitungsregister registriert wurden und zu den bestehenden Meldungen keine Auflagen seitens der Österreichischen Datenschutzkommission erteilt wurden. Die Verkäufer garantieren weiters und haften dafür solidarisch, dass sämtliche Angaben in den Meldungen richtig, vollständig und aktuell sind und, dass die DATEN unter Einhaltung der gesetzlichen Bestimmungen, insbesondere des § 151 GewO ermittelt und laufend aktualisiert wurden. Die Verkäufer garantieren auch, dass bei der Verwendung der DATENBANKEN in Deutschland alle anwendbaren datenschutzrechtlichen Bestimmungen eingehalten wurden und auch künftig eingehalten werden.5.1.11 Die Verkäufer garantieren und haften dafür solidarisch, dass die DATENBANKEN ordnungsgemäß gemäß §17ffDSG2000 bei der Österreichischen Datenschutzkommission gemeldet wurden und in der Folge im Datenverarbeitungsregister registriert wurden und zu den bestehenden Meldungen keine Auflagen seitens der Österreichischen Datenschutzkommission erteilt wurden. Die Verkäufer garantieren weiters und haften dafür solidarisch, dass sämtliche Angaben in den Meldungen richtig, vollständig und aktuell sind und, dass die DATEN unter Einhaltung der gesetzlichen Bestimmungen, insbesondere des Paragraph 151, GewO ermittelt und laufend aktualisiert wurden. Die Verkäufer garantieren auch, dass bei der Verwendung der DATENBANKEN in Deutschland alle anwendbaren datenschutzrechtlichen Bestimmungen eingehalten wurden und auch künftig eingehalten werden. 10. Mit Schreiben vom 18. September 2017 wiederholte der Einschreiter grundsätzlich sein bisheriges Vorbringen und brachte vor, die Antragsgegnerin sei einen entsprechenden Nachweis für das Nichtaufscheinen der Merkmale Altersgruppe, Kaufkraft, Hausgröße und Lifestyle-Segment / Typologie der Benutzer im V***online-Address-Tool schuldig. Nach wie vor fehle auch die entsprechende Rechtsgrundlage, die genannten Merkmale der Person des Einschreiters zuzuordnen. Die Antragsgegnerin sei verpflichtet, vor Übernahme von Datensätzen der Firma E*** diese einer Prüfung hinsichtlich ihrer datenschutzrechtlichen Konformität zu unterziehen und die Antragsgegnerin dürfe sich diesbezüglich nicht auf etwaige „vertragliche Garantien“ bzw. Zusagen verlassen. Unklar sei auch, welche Unternehmen konkret Zugriff auf das Produkt V***online-Address-Tool hätten und auf welche Weise die Antragsgegnerin die oben genannten Merkmale bzw. Marketingklassifikationen berechne und dem Einschreiter schließlich zuordne. B. Sachverhalt 11. Der Einschreiter erhielt im Dezember 2016 eine Werbesendung zu einer „Franchise-Parnerschaft“ der Firma t*** AG an seine Postadresse. Im Rahmen eines Auskunftsbegehren und folglich eingeleiteten Verfahrens vor der Datenschutzbehörde stellte sich heraus, dass die Firma t*** AG die Adressdaten von der Antragsgegnerin im Zuge eines käuflich erworbenen Zugangs zum „V***online-Address-Tool“ erhielt. Anhand einer Filterfunktion können mit diesem Tool potentielle (Werbe-) Kunden selektiert und deren Daten zu Werbezwecken erworben werden. Es befinden sich folgende Daten des Einschreiters im V***online-Address-Tool: Datenarten Daten Herkunft Empfänger/ Empfängerkreise Zweck Rechtsgrundlage, Frage I.cRechtsgrundlage, Frage römisch eins.c Name Udo I*** E*** Information Group Österreich GmbH Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Adresse J***straße 2*/4,7*** L***dorf E*** Information Group Österreich GmbH Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Altersgruppe 40 - 60 Jahre Berechnung anhand der nachstehenden Parameter Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Kaufkraft hoch Berechnung anhand der nachstehenden Parameter Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Hausgröße Einfamilienhaus Berechnung anhand der nachstehenden Parameter Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Lifestyle- Segment/ Typologie Innovative Aufsteiger Berechnung anhand der nachstehenden Parameter Nutzer des Produktes V***

Veröffentlichung in V***

§ 151Abs 3 Z 1Paragraph 151, Absatz 3, Ziffer eins Gew

O Die Datenarten „Name“ und „Adresse“ sind für Werbetreibende wie die Firma t*** AG, die einen Zugang zum Tool erwerben, öffentlich im Tool sichtbar, die übrigen Punkte „Kaufkraft“, „Hausgröße“ und „Lifstyle-Segment/Typologie“ sind nicht direkt im Tool sichtbar. Die Antragsgegnerin ist ein Adressverlag und Direktmarketingunternehmen im Sinne von § 151 GewO. Sie erwarb die Datenarten „Name“ und „Adresse“ des Einschreiters im Rahmen eines Asset Deal von der mittlerweile liquidierten Firma E***, ebenfalls ein Adressverlag und Direktmarketingunternehmen im Sinne von § 151 GewO. Die Antragsgegnerin ist ein Adressverlag und Direktmarketingunternehmen im Sinne von Paragraph 151, GewO. Sie erwarb die Datenarten „Name“ und „Adresse“ des Einschreiters im Rahmen eines Asset Deal von der mittlerweile liquidierten Firma E***, ebenfalls ein Adressverlag und Direktmarketingunternehmen im Sinne von Paragraph 151, GewO. Die Datenarten „Kaufkraft“, „Hausgröße“ und „Lifestyle-Segment/Typologie“ wurden sodann statistisch hochgerechnet bzw. mit einem nicht näher bekannten Algorithmus ausgewertet, wobei die Antragsgegnerin zu den Datenarten folgendes angab: Altersgruppe: Diese wird anhand des Vornamens bestimmt; hierbei werden statistische Daten zu der Häufigkeit der Vornamen in den Geburtsjahren herangezogen. Hausgröße: Diese wird anhand der Anzahl der Personen, die an einer Wohnadresse wohnen, ermittelt (Einfamilienhaus, Zweifamilienhaus und Mehrparteienhaus). Kaufkraft: Diese wird auf Basis der Parameter Adresse, Name (Titel) und Hausgröße (siehe oben) ermittelt. Lifestyle-Segment/ Typologie: Dieses wird auf Basis der Parameter Altersgruppe (siehe oben), Hausgröße (siehe oben), Postleitzahl und Kaufkraft (siehe oben) ermittelt. Beweiswürdigung: Die Feststellungen ergeben sich aus dem unstrittigen Vorbringen der Beteiligten und den im Akt aufliegenden Dokumenten, insbesondere aus dem Schriftverkehr der Beteiligten vor Einleitung des Verfahrens und dem Postwurf der Firma t*** AG. C. In rechtlicher Hinsicht folgt daraus: Allgemeines, Gegenstand des Verfahrens 12. Zunächst ist darauf hinzuweisen, dass alleiniger Gegenstand dieses Verfahrens die Frage der gesetzmäßigen datenschutzrechtlichen Auskunftserteilung durch die Antragsgegnerin ist. Durch diese Grenze war auch der Gegenstand des Ermittlungsverfahrens beschränkt. Ausführungen zur allgemeinen Rechtmäßigkeit der Datenverwendung durch die Beschwerdegegnerin und Fragen zur Rechtmäßigkeit bestimmter Verwendungsvorgänge, die sich im Laufe des Verfahrens ergeben haben, sind separat geltend zu machen. Auf die damit im Zusammenhang stehenden Fragen wird daher in weiterer Folge nicht näher eingegangen. 13. Somit waren bei Schluss des Ermittlungsverfahrens auf Grund des Vorbringens des Beschwerdeführers noch folgende zwei Punkte offen:

1. a)Eine allgemein verständliche Erklärung für interne Schlüsselbegriffe (wie „innovative Aufsteiger“) sowie eine nähere Erklärung für deren Bewertung und Zuordnung zum Einschreiter und
2. b)die Bekanntgabe allfälliger Empfänger oder Empfängerkreise von Übermittlungen. Recht auf Auskunft, Umfang 14. Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.14. Nach der Verfassungsbestimmung des Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden. 15. Die Auskunft hat gemäß § 26 Abs. 1 in allgemein verständlicher Form zu erfolgen. Grundsätzlich müssen etwa interne Codes, technische Abkürzungen oder fremdsprachige Ausdrücke für den Betroffenen verständlich verdeutlicht oder erläutert werden. Jedenfalls ist eine Auskunft derart zu gestalten, dass diese unter Anlegung einer Durchschnittsbetrachtung verständlich ist (Jahnel, Datenschutzrecht, 262; Dohr/Pollirer/Weiss/Knyrim, DSG², § 26 Anm. 16, 180). Dies bedeutet konkret, dass der Betroffene nicht nur über die Art (Kategorien) der über ihn zu verarbeiteten Daten aufzuklären ist, sondern dass ihm auch der Inhalt dieser Daten bekannt zu geben ist. Codes (im konkreten Fall: Dateninhalt, der nicht im Volltext, sondern durch Schlüsselbegriffe ausgedrückt wird, die nur dem organisationsinternen Gebrauch des Auftraggebers dienen) sind dem Betroffenen somit offen zu legen und zu erläutern (vgl. DSK vom 03. Oktober 2007, GZ K121.290/0015-DSK/2007, RIS; DSB vom 08. Juni 2017, GZ DSB-D122.641/0006-DSB/2017, RIS).15. Die Auskunft hat gemäß Paragraph 26, Absatz eins, in allgemein verständlicher Form zu erfolgen. Grundsätzlich müssen etwa interne Codes, technische Abkürzungen oder fremdsprachige Ausdrücke für den Betroffenen verständlich verdeutlicht oder erläutert werden. Jedenfalls ist eine Auskunft derart zu gestalten, dass diese unter Anlegung einer Durchschnittsbetrachtung verständlich ist (Jahnel, Datenschutzrecht, 262; Dohr/Pollirer/Weiss/Knyrim, DSG², Paragraph 26, Anmerkung 16, 180). Dies bedeutet konkret, dass der Betroffene nicht nur über die Art (Kategorien) der über ihn zu verarbeiteten Daten aufzuklären ist, sondern dass ihm auch der Inhalt dieser Daten bekannt zu geben ist. Codes (im konkreten Fall: Dateninhalt, der nicht im Volltext, sondern durch Schlüsselbegriffe ausgedrückt wird, die nur dem organisationsinternen Gebrauch des Auftraggebers dienen) sind dem Betroffenen somit offen zu legen und zu erläutern vergleiche DSK vom 03. Oktober 2007, GZ K121.290/0015-DSK/2007, RIS; DSB vom 08. Juni 2017, GZ DSB-D122.641/0006-DSB/2017, RIS). Zu Frage a): 16. Die Zuschreibung von Marketingklassifikationen gemäß § 151 Abs. 6 GewO wie im vorliegenden Fall ist kein Vorgang der automatisierten Einzelentscheidung, der dem besonderen Auskunftsrecht gemäß § 49 Abs. 3 DSG 2000 unterliegt, wonach das Gesetz dem Betroffenen ein besonderes Auskunftsrecht hinsichtlich der Logik des Verarbeitungsvorgangs einräumt, das über das allgemeine Auskunftsrecht gemäß § 26 Abs. 1 und 4 DSG hinausgeht. (vgl. DSB vom 10. März 2016, GZ: DSB-D122.322/0001-DSB/2016). 16. Die Zuschreibung von Marketingklassifikationen gemäß Paragraph 151, Absatz 6, GewO wie im vorliegenden Fall ist kein Vorgang der automatisierten Einzelentscheidung, der dem besonderen Auskunftsrecht gemäß Paragraph 49, Absatz 3, DSG 2000 unterliegt, wonach das Gesetz dem Betroffenen ein besonderes Auskunftsrecht hinsichtlich der Logik des Verarbeitungsvorgangs einräumt, das über das allgemeine Auskunftsrecht gemäß Paragraph 26, Absatz eins und 4 DSG hinausgeht. vergleiche DSB vom 10. März 2016, GZ: DSB-D122.322/0001-DSB/2016). 17. Das allgemeine Auskunftsrecht gemäß § 26 Abs. 1 und 4 DSG umfasst jedoch in jedem Fall verständliche Erklärungen für interne Schlüsselbegriffe (wie etwa „innovative Aufsteiger“), für deren Bewertung und Zuordnung zum Einschreiter ebenfalls eine nähere Erklärung erforderlich ist (sei es durch Parameter und deren Gewichtung und der Aufzählung weiterer möglicher Kategorien oder anderer Kriterien; vgl. dazu nochmals den Bescheid vom 10. März 2016). 17. Das allgemeine Auskunftsrecht gemäß Paragraph 26, Absatz eins und 4 DSG umfasst jedoch in jedem Fall verständliche Erklärungen für interne Schlüsselbegriffe (wie etwa „innovative Aufsteiger“), für deren Bewertung und Zuordnung zum Einschreiter ebenfalls eine nähere Erklärung erforderlich ist (sei es durch Parameter und deren Gewichtung und der Aufzählung weiterer möglicher Kategorien oder anderer Kriterien; vergleiche dazu nochmals den Bescheid vom 10. März 2016). Zu Frage b): 18. Dem Einschreiter sind gemäß § 26 Abs. 1 allfällige Empfänger oder Empfängerkreise von Übermittlungen seiner personenbezogenen Daten zu nennen. Gibt die Antragsgegnerin bloße Empfängerkreise bekannt, so ist auszuführen, weshalb in diesem Einzelfall auf Grund einer Abwägung der Gesichtspunkte der Datenschutzinteressen des Einschreiters einerseits und der Interessen der Antragsgegnerin andererseits keine konkreten Empfänger genannt werden (vgl. das Erkenntnis des VfGH vom 02. Oktober 2007, GZ B227/05).18. Dem Einschreiter sind gemäß Paragraph 26, Absatz eins, allfällige Empfänger oder Empfängerkreise von Übermittlungen seiner personenbezogenen Daten zu nennen. Gibt die Antragsgegnerin bloße Empfängerkreise bekannt, so ist auszuführen, weshalb in diesem Einzelfall auf Grund einer Abwägung der Gesichtspunkte der Datenschutzinteressen des Einschreiters einerseits und der Interessen der Antragsgegnerin andererseits keine konkreten Empfänger genannt werden vergleiche das Erkenntnis des VfGH vom 02. Oktober 2007, GZ B227/05). Zusammenfassung 19. Dem Beschwerdeführer wurde im Rahmen des Schriftverkehrs der Beteiligten und auch anschließend im Rahmen des Verfahrens vor der Datenschutzbehörde schrittweise Auskunft gewährt, sodass sich im Ergebnis ein Gesamtbild über die ihn betreffenden personenbezogenen Daten ergab. Aus Sicht der Datenschutzbehörde waren jedoch noch die unter Punkt 13. angeführten Fragen offen, weshalb die obige Empfehlung zu erteilen war. European Case Law IdentifierECLI:AT:DSB:2017:DSB.D216.435.0005.DSB.2017