RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum03.10.2025 Geschäftszahl2025-0.677.597 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2025-0.677.597 vo

Art. 77DSGVO i

Vm. § 24 Abs. 1 DSG - der Inhalt des Antrags (vorliegend: der Beschwerde) den Prozessgegenstand des Verwaltungsverfahrens (vorliegend: den Beschwerdegegenstand) konstituiert und begrenzt (vgl. etwa BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1).Eingangs ist darauf hinzuweisen, dass sowohl die Datenschutzbehörde als auch das BVwG in ständiger Judikatur vertreten, dass bei antragsgebunden Fällen - wie insbesondere dem Beschwerdeverfahren

Artikel 77

, DSGVO in Verbindung mit Paragraph 24, Absatz eins, DSG - der Inhalt des Antrags (vorliegend: der Beschwerde) den Prozessgegenstand des Verwaltungsverfahrens (vorliegend: den Beschwerdegegenstand) konstituiert und begrenzt vergleiche etwa BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1). Dementsprechend ist Gegenstand des vorliegenden Verfahrens die Frage, ob die Beschwerdegegnerin den Beschwerdeführer durch Erfassung seiner Daten in der L***-Datenbank im Recht auf Geheimhaltung verletzt hat.

§ 1Abs.

1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines oder ihres Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn oder sie betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den oder die Betroffene*n einem Geheimhaltungsanspruch nicht zugänglich sind.

Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines oder ihres Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn oder sie betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den oder die Betroffene*n einem Geheimhaltungsanspruch nicht zugänglich sind. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. den Bescheid der DSB vom

1. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen vergleiche den Bescheid der DSB vom
2. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018). „Personenbezogene Daten“ sind laut Art. 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.„Personenbezogene Daten“ sind laut Artikel 4, Ziffer eins, DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Bei den unter Punkt C.
3. genannten Informationen (Titel, Vor- und Nachname, Geschlecht etc.) handelt es sich unzweifelhaft um personenbezogene Daten des Beschwerdeführers. Dabei ist es irrelevant, ob diese Daten berufsbezogene oder private Informationen darstellen. „Verarbeitung“ ist laut Art. 4 Z 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.„Verarbeitung“ ist laut Artikel 4, Ziffer 2, DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Bei der Erhebung und Speicherung (sowie anschließender elektronischer Zurverfügungstellung) der personenbezogenen Daten des Beschwerdeführers im Rahmen der L***-Datenbank handelt es sich um eine automatisierte Verarbeitung. „Verantwortlicher“ ist laut Art. 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.„Verantwortlicher“ ist laut Artikel 4, Ziffer 7, DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Dass die Verantwortlichkeit der Beschwerdegegnerin zukommt, ergibt sich daraus, dass sie über die Zwecke und Mittel der vorliegenden Datenverarbeitungen - Erhebung, Speicherung und Weitergabe von Daten iZm. der L***-Datenbank - tatsächlich entschieden hat. Dies wurde von der Beschwerdegegnerin auch ausdrücklich bestätigt. Als Zwischenergebnis kann daher festgehalten werden, dass der Anwendungsbereich des § 1 Abs. 1 DSG eröffnet ist.Als Zwischenergebnis kann daher festgehalten werden, dass der Anwendungsbereich des Paragraph eins, Absatz eins, DSG eröffnet ist.

§ 1Abs.

2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des oder der Betroffenen oder mit seiner oder ihrer Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen oder einer anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des oder der Betroffenen oder mit seiner oder ihrer Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen oder einer anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. Auch nach der DSGVO ist die Verarbeitung nur dann rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 lit. a bis lit. f DSGVO genannten Bedingungen erfüllt ist. Etwa laut lit. f leg. cit., wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.Auch nach der DSGVO ist die Verarbeitung nur dann rechtmäßig, wenn mindestens eine der in Artikel 6, Absatz eins, Litera a, bis Litera f, DSGVO genannten Bedingungen erfüllt ist. Etwa laut Litera f, leg. cit., wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Die Beschwerdegegnerin berief sich in diesem Zusammenhang ausdrücklich auf Art. 6 Abs. 1 lit. f DSGVO.Die Beschwerdegegnerin berief sich in diesem Zusammenhang ausdrücklich auf Artikel 6, Absatz eins, Litera f, DSGVO. Die Datenverarbeitung auf der Rechtsgrundlage von „berechtigten Interessen“ ist nach der Rsp des EuGH unter drei kumulativen Voraussetzungen zulässig:

1. i)Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten
2. ii)Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. in Bezug auf die insofern vergleichbare Rechtslage nach der Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN).Die Datenverarbeitung auf der Rechtsgrundlage von „berechtigten Interessen“ ist nach der Rsp des EuGH unter drei kumulativen Voraussetzungen zulässig:
3. i)Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten
4. ii)Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche in Bezug auf die insofern vergleichbare Rechtslage nach der Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN). Nach der Rechtsprechung des EuGH muss jede Verarbeitung personenbezogener Daten zusätzlich mit den in Art. 5 Abs. 1 der DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen (Urteil des EuGH vom 4. Mai 2023, Rs C‑60/22, Rz. 57).Nach der Rechtsprechung des EuGH muss jede Verarbeitung personenbezogener Daten zusätzlich mit den in Artikel 5, Absatz eins, der DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen (Urteil des EuGH vom 4. Mai 2023, Rs C‑60/22, Rz. 57). i. Berechtigtes Interesse Die Beschwerdegegnerin brachte diesbezüglich vor, dass sie die verfahrensgegenständliche L***-Datenbank auf der Grundlage ihrer Gewerbeberechtigung für Adressverlage und Direktmarketingunternehmen betreibe.

§ 151Abs. 1 Gew

O sind auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

Paragraph 151, Absatz eins, GewO sind auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden die Bestimmungen der DSGVO sowie des DSG anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

§ 151Abs. 3 Gew

O sind die in Abs. 1 genannten Gewerbetreibenden berechtigt, für ihre Tätigkeiten

Abs. 1 und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für 1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder 2. das Listbroking erforderlich und

Abs. 4 und 5 zulässig ist.

Paragraph 151, Absatz 3, GewO sind die in Absatz eins, genannten Gewerbetreibenden berechtigt, für ihre Tätigkeiten

Absatz eins, und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für 1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder 2. das Listbroking erforderlich und

Absatz 4, und 5 zulässig ist. Das Bundesverwaltungsgericht vertritt in ständiger Judikatur, dass die Ausübung eines Gewerbes

§ 151Gew

O ein berechtigtes Interesse darstellt (vgl. etwa das Erk. vom 20. April 2023, GZ: W176 2247508-1).Das Bundesverwaltungsgericht vertritt in ständiger Judikatur, dass die Ausübung eines Gewerbes

Paragraph 151, GewO ein berechtigtes Interesse darstellt vergleiche etwa das Erk. vom

1. April 2023, GZ: W176 2247508-1). Bereits an dieser Stelle ist jedoch festzuhalten, dass die von der Beschwerdegegnerin angeführten Zwecke (vgl. Feststellungen unter Punkt C.4.) - wie etwa die Untersuchung der Wirksamkeit, Anwendung und Sicherheit verschriebener Produkte - wohl über reine Direktmarketingzwecke iSv. § 151 Abs. 1 GewO hinausgehen.Bereits an dieser Stelle ist jedoch festzuhalten, dass die von der Beschwerdegegnerin angeführten Zwecke vergleiche Feststellungen unter Punkt C.4.) - wie etwa die Untersuchung der Wirksamkeit, Anwendung und Sicherheit verschriebener Produkte - wohl über reine Direktmarketingzwecke iSv. Paragraph 151, Absatz eins, GewO hinausgehen. Da der EuGH jedoch wiederholt ausgesprochen hat, dass der Begriff „berechtigtes Interesse“ ein breites Spektrum von Interessen umfasst (vgl. EuGH-Urteil vom
2. Juli 2023, C‑252/21, Rn. 107), ist dies für die verfahrensgegenständliche Bejahung des Vorliegens berechtigter Interessen der Beschwerdegegnerin (sowie ihrer Kund*innen) unerheblich.Da der EuGH jedoch wiederholt ausgesprochen hat, dass der Begriff „berechtigtes Interesse“ ein breites Spektrum von Interessen umfasst vergleiche EuGH-Urteil vom
3. Juli 2023, C‑252/21, Rn. 107), ist dies für die verfahrensgegenständliche Bejahung des Vorliegens berechtigter Interessen der Beschwerdegegnerin (sowie ihrer Kund*innen) unerheblich. ii. Erforderlichkeit Wie bereits ausgeführt, muss jede Verarbeitung personenbezogener Daten zusätzlich mit den in Art. 5 Abs. 1 der DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen.Wie bereits ausgeführt, muss jede Verarbeitung personenbezogener Daten zusätzlich mit den in Artikel 5, Absatz eins, der DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen. Im vorliegenden Fall ist neben Art. 5 Abs. 1 lit. b („Zweckbindungsgrundsatz“) insbesondere Art. 5 Abs. 1 lit. c („Grundsatz der Datenminimierung“) einschlägig, da der EuGH im Zusammenhang mit Art. 6 Abs. 1 lit. f DSGVO die zentrale Bedeutung der Erforderlichkeit wiederholt betont hat (vgl. Urteil des EuGH vom
4. Dezember 2019, C-708/18 [TK] Rz 48 mwN).Im vorliegenden Fall ist neben Artikel 5, Absatz eins, Litera b, („Zweckbindungsgrundsatz“) insbesondere Artikel 5, Absatz eins, Litera c, („Grundsatz der Datenminimierung“) einschlägig, da der EuGH im Zusammenhang mit Artikel 6, Absatz eins, Litera f, DSGVO die zentrale Bedeutung der Erforderlichkeit wiederholt betont hat vergleiche Urteil des EuGH vom
5. Dezember 2019, C-708/18 [TK] Rz 48 mwN). Zum Zweckbindungsgrundsatz ist auf ErwG. 39 der DSGVO hinzuweisen, wonach die bestimmten Zwecke, zu denen personenbezogene Daten verarbeitet werden, eindeutig und rechtmäßig sein müssen und zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen sollten. Der Grundgedanke dieses Prinzips besteht darin, dass schon bei der Erhebung personenbezogener Daten der Zweck festgelegt werden muss, zu dem die Daten erhoben und verarbeitet werden sollen (es kann sich dabei auch um eine - begrenzte - Mehrheit von Zwecken handeln). Diese Zweckfestlegung ist dann bei der Verarbeitung der Daten zu beachten, da sie die Eingriffsmöglichkeiten des Verantwortlichen begrenzt (vgl. Herbst in Kühling/Buchner, Datenschutz-Grundverordnung

§ 24Abs.

5 stattzugeben.Mangels Erforderlichkeit der Datenverarbeitung konnte sich die Beschwerdegegnerin nicht auf Artikel 6, Absatz eins, Litera f, DSGVO berufen und war der Beschwerde des Beschwerdeführers

Paragraph 24, Absatz 5, stattzugeben. Es war daher spruchgemäß zu entscheiden. D2. Zu Spruchpunkt 2 und 3 Ist die Aufsichtsbehörde am Ende einer Untersuchung der Ansicht, dass die Verarbeitung nicht den Anforderungen der DSGVO entspricht, so muss sie nach dem Unionsrecht die geeigneten Maßnahmen erlassen, um den festgestellten Verstößen abzuhelfen, und zwar unabhängig davon, ob die betroffene Person bspw. zuvor einen Antrag gestellt hat. Zu den Aufgaben von Aufsichtsbehörden gehört es

Art. 57Abs.

1 Buchst. a DSGVO u. a., die Anwendung der Verordnung zu überwachen und durchzusetzen. Die Aufsichtsbehörde ist nach Unionsrecht dazu verpflichtet, in geeigneter Weise zu reagieren, um festgestellten Unzulänglichkeit abzuhelfen, und zwar unabhängig davon, welchen Ursprungs und welcher Art sie ist. Zu diesem Zweck werden in Art. 58 Abs. 2 DSGVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt. Es ist Sache der Aufsichtsbehörde, das geeignete Mittel zu wählen, um mit aller gebotenen Sorgfalt ihre Aufgabe zu erfüllen, die darin besteht, über die umfassende Einhaltung der DSGVO zu wachen. Diese Auslegung wird nicht zuletzt von Art. 5 Abs. 2 iVm. Art. 5 Abs. 1 Buchst. a DSGVO gestützt, wonach der Verantwortliche u.a. sicherstellen und nachweisen („Rechenschaftspflicht“) muss, dass die von ihm durchgeführte Datenverarbeitung rechtmäßig ist (vgl. neuerlich das Urteil des EuGH vom 14. März 2024, Rs. C‑46/23, Rn. 39 ff).Ist die Aufsichtsbehörde am Ende einer Untersuchung der Ansicht, dass die Verarbeitung nicht den Anforderungen der DSGVO entspricht, so muss sie nach dem Unionsrecht die geeigneten Maßnahmen erlassen, um den festgestellten Verstößen abzuhelfen, und zwar unabhängig davon, ob die betroffene Person bspw. zuvor einen Antrag gestellt hat. Zu den Aufgaben von Aufsichtsbehörden gehört es

Artikel 57, Absatz eins, Buchst.

a DSGVO u. a., die Anwendung der Verordnung zu überwachen und durchzusetzen. Die Aufsichtsbehörde ist nach Unionsrecht dazu verpflichtet, in geeigneter Weise zu reagieren, um festgestellten Unzulänglichkeit abzuhelfen, und zwar unabhängig davon, welchen Ursprungs und welcher Art sie ist. Zu diesem Zweck werden in Artikel 58, Absatz 2, DSGVO die verschiedenen der Aufsichtsbehörde zur Verfügung stehenden Abhilfebefugnisse aufgezählt. Es ist Sache der Aufsichtsbehörde, das geeignete Mittel zu wählen, um mit aller gebotenen Sorgfalt ihre Aufgabe zu erfüllen, die darin besteht, über die umfassende Einhaltung der DSGVO zu wachen. Diese Auslegung wird nicht zuletzt von Artikel 5, Absatz 2, in Verbindung mit Artikel 5, Absatz eins, Buchst. a DSGVO gestützt, wonach der Verantwortliche u.a. sicherstellen und nachweisen („Rechenschaftspflicht“) muss, dass die von ihm durchgeführte Datenverarbeitung rechtmäßig ist vergleiche neuerlich das Urteil des EuGH vom 14. März 2024, Rs. C‑46/23, Rn. 39 ff). Folglich war es für die Erteilung der unter Spruchpunkt 2 und 3 erteilten Leistungsaufträge unerheblich, ob der Beschwerdeführer entsprechende Anträge erhoben hat oder nicht. Beide Leistungsaufträge beruhen auf Art. 58 Abs. 2 lit. g DSGVO. Die jeweiligen Fristen erweisen sich als dem Umfang angemessen.Beide Leistungsaufträge beruhen auf Artikel 58, Absatz 2, Litera g, DSGVO. Die jeweiligen Fristen erweisen sich als dem Umfang angemessen. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.677.597