{'item': '2025-0.914.457'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum10.11.2025 Geschäftszahl2025-0.914.457 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist NICHT rechtskräftig. Sowohl Erst- als auch Zweitbeschwerdegegnerin haben dagegen mit Schriftsätzen vom

und 9.12.2025 Bescheidbeschwerden an das Bundesverwaltungsgericht (BVwG) eingebracht. Die Rechtsmittelverfahren sind beim BVwG anhängig. TextGZ: 2025-0.914.457 vom
November 2025 (Verfahrenszahl: DSB-D124.2353/24) [Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] BESCHEID SPRUCH Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Irma A*** (Beschwerdeführerin), vertreten durch RA Mag. Ulrich A***, vom
Oktober 2024 gegen die Na*** GmbH (Erstbeschwerdegegnerin) wegen Verletzung der Rechtmäßigkeit der Datenverarbeitung und gegen die Nu*** Österreich GmbH (Zweitbeschwerdegegnerin), vertreten durch RA Mag. Manfred B***, wegen Verletzung des Grundsatzes der Zweckbindung und der Rechtmäßigkeit der Datenverarbeitung wie folgt:
Der Beschwerde gegen die Erstbeschwerdegegnerin wird stattgegeben und es wird festgestellt, dass die Erstbeschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat und gegen den Grundsatz der Rechtmäßigkeit gemäß Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 DSGVO verstoßen hat, indem sie die personenbezogenen Daten der Beschwerdeführerin (nämlich: Name, Adresse und Geburtsdatum) entgegen den Vorgaben des Art. 5 Abs. 1 lit. b DSGVO unrechtmäßig von der Zweitbeschwerdegegnerin erhoben und in Folge zu Bonitätsbeurteilungszwecken weiterverarbeitet hat. Der Beschwerde gegen die Erstbeschwerdegegnerin wird stattgegeben und es wird festgestellt, dass die Erstbeschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat und gegen den Grundsatz der Rechtmäßigkeit gemäß Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 6, Absatz eins, DSGVO verstoßen hat, indem sie die personenbezogenen Daten der Beschwerdeführerin (nämlich: Name, Adresse und Geburtsdatum) entgegen den Vorgaben des Artikel 5, Absatz eins, Litera b, DSGVO unrechtmäßig von der Zweitbeschwerdegegnerin erhoben und in Folge zu Bonitätsbeurteilungszwecken weiterverarbeitet hat.
Der Beschwerde gegen die Zweitbeschwerdegegnerin wird stattgegeben und es wird festgestellt, dass die Zweitbeschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat und gegen den Grundsatz der Zweckbindung gemäß Art. 5 Abs. 1 lit. b DSGVO sowie den Grundsatz der Rechtmäßigkeit gemäß Art. 6 Abs. 1 iVm Abs. 4 DSGVO verstoßen hat, indem sie die personenbezogenen Daten der Beschwerdeführerin (nämlich: Name, Adresse und Geburtsdatum), die sie ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben hatte, an die Erstbeschwerdegegnerin übermittelt hat, die diese Daten in Folge zu Bonitätsbeurteilungszwecken nach § 152 GewO 1994 weiterverarbeitete.Der Beschwerde gegen die Zweitbeschwerdegegnerin wird stattgegeben und es wird festgestellt, dass die Zweitbeschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat und gegen den Grundsatz der Zweckbindung gemäß Artikel 5, Absatz eins, Litera b, DSGVO sowie den Grundsatz der Rechtmäßigkeit gemäß Artikel 6, Absatz eins, in Verbindung mit Absatz 4, DSGVO verstoßen hat, indem sie die personenbezogenen Daten der Beschwerdeführerin (nämlich: Name, Adresse und Geburtsdatum), die sie ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben hatte, an die Erstbeschwerdegegnerin übermittelt hat, die diese Daten in Folge zu Bonitätsbeurteilungszwecken nach Paragraph 152, GewO 1994 weiterverarbeitete. Rechtsgrundlagen: Art. 5 Abs. 1 lit. a und b, Art. 6 Abs. 1 und Abs. 4, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF, § 151 der Gewerbeordnung 1994 (GewO), BGBl. Nr. 194/1994 (WV) idgF.Rechtsgrundlagen: Artikel 5, Absatz eins, Litera a, und b, Artikel 6, Absatz eins und Absatz 4,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF, Paragraph 151, der Gewerbeordnung 1994 (GewO), Bundesgesetzblatt Nr. 194 aus 1994, (WV) idgF. BEGRÜNDUNG A. Vorbringen der Parteien und Verfahrensgang A.
Mit verfahrenseinleitender Eingabe vom
Oktober 2024 brachte die Beschwerdeführerin eine Beschwerde bei der Datenschutzbehörde ein und brachte zusammengefasst vor, dass die Erstbeschwerdegegnerin den Namen, die Adresse und das Geburtsdatum der Beschwerdeführerin unrechtmäßig von der Zweitbeschwerdegegnerin erhoben und in Folge zu Bonitätsbeurteilungszwecken verarbeitet hat. Darüber hinaus habe die Zweitbeschwerdegegnerin gegen den Grundsatz der Zweckbindung verstoßen und folglich die Daten der Beschwerdeführerin unrechtmäßig verarbeitet, indem die Zweitbeschwerdegegnerin den Namen, die Adresse und das Geburtsdatum der Beschwerdeführerin ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben hat, diese Daten jedoch an die Erstbeschwerdegegnerin übermittelte, die diese Daten zu Bonitätsbeurteilungszwecken verarbeitete. Dieser Eingabe beigelegt waren unter anderem - eine Auskunft der Erstbeschwerdegegnerin vom
Oktober 2024 (Beilage ./1), - die Datenschutzerklärung der Erstbeschwerdegegnerin vom
Oktober 2024 (Beilage ./2), - Bescheid der Datenschutzbehörde zu GZ D124.3816 2023-0.193.268 (Beilage ./3) sowie - Bescheid der Datenschutzbehörde zu GZ D124.3817 2021-0.584.299 (Beilage ./4). A.
Mit Stellungnahme vom
Dezember 2024 brachte die Erstbeschwerdegegnerin zusammengefasst vor, dass eine allfällig rechtswidrige Übermittlung beim Übermittler nicht dem Übermittlungsempfänger anzulasten sei. Die durch den Übermittlungsempfänger erfolgende Verarbeitung sei daher zulässig. Die Erstbeschwerdegegnerin verwende zudem seit dem
Oktober 2023 keine Adressdaten der Zweitbeschwerdegegnerin zur Bonitätsbewertung. Dieser Stellungnahme beigelegt waren - ein Schreiben des damaligen Bundesministeriums für Arbeit und Wirtschaft vom
November 2022 (Beilage ./A), sowie - ein Schreiben des damaligen Bundesministeriums für Arbeit und Wirtschaft vom
Januar 2023 (Beilage ./B). A.
Mit Stellungnahmen vom
Dezember 2024 und vom
Oktober 2025 brachte die rechtsfreundlich vertretene Zweitbeschwerdegegnerin zusammengefasst vor, dass sich die Rechtfertigungsgründe für die Datenverarbeitung der Zweitbeschwerdegegnerin aus der aufrechten Gewerbeberechtigung nach § 151 GewO ergeben. Eine allfällige rechtswidrige Verarbeitung der übermittelten Daten durch die Erstbeschwerdegegnerin könne der Zweitbeschwerdegegnerin nicht angelastet werden. Zudem liege eine Verbindung des ursprünglichen Zwecks mit dem neuen Zweck vor.A.
Mit Stellungnahmen vom
Dezember 2024 und vom
Oktober 2025 brachte die rechtsfreundlich vertretene Zweitbeschwerdegegnerin zusammengefasst vor, dass sich die Rechtfertigungsgründe für die Datenverarbeitung der Zweitbeschwerdegegnerin aus der aufrechten Gewerbeberechtigung nach Paragraph 151, GewO ergeben. Eine allfällige rechtswidrige Verarbeitung der übermittelten Daten durch die Erstbeschwerdegegnerin könne der Zweitbeschwerdegegnerin nicht angelastet werden. Zudem liege eine Verbindung des ursprünglichen Zwecks mit dem neuen Zweck vor. A.
Die Beschwerdeführerin erstattete trotz gewährtem Parteiengehör mit Schreiben vom
Oktober 2025 kein weiteres Vorbringen. B. Beschwerdegegenstand B.
Hinsichtlich der Erstbeschwerdegegnerin ergibt sich als Beschwerdegegenstand die Frage, ob die Erstbeschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat und gegen den Grundsatz der Rechtmäßigkeit gemäß Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 DSGVO verstoßen hat, indem sie die personenbezogenen Daten der Beschwerdeführerin (nämlich: Name, Adresse und Geburtsdatum) entgegen den Vorgaben des Art. 5 Abs. 1 lit. b DSGVO unrechtmäßig von der Zweitbeschwerdegegnerin erhoben und in Folge zu Bonitätsbeurteilungszwecken weiterverarbeitet hat.B.
Hinsichtlich der Erstbeschwerdegegnerin ergibt sich als Beschwerdegegenstand die Frage, ob die Erstbeschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat und gegen den Grundsatz der Rechtmäßigkeit gemäß Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 6, Absatz eins, DSGVO verstoßen hat, indem sie die personenbezogenen Daten der Beschwerdeführerin (nämlich: Name, Adresse und Geburtsdatum) entgegen den Vorgaben des Artikel 5, Absatz eins, Litera b, DSGVO unrechtmäßig von der Zweitbeschwerdegegnerin erhoben und in Folge zu Bonitätsbeurteilungszwecken weiterverarbeitet hat. B.
Hinsichtlich der Zweitbeschwerdegegnerin ergibt sich als Beschwerdegegenstand die Frage, ob die Zweitbeschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat und gegen den Grundsatz der Zweckbindung gemäß Art. 5 Abs. 1 lit. b DSGVO sowie den Grundsatz der Rechtmäßigkeit gemäß Art. 6 Abs. 1 iVm Abs. 4 DSGVO verstoßen hat, indem sie die personenbezogenen Daten der Beschwerdeführerin (nämlich: Name, Adresse und Geburtsdatum), die sie ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben hatte, an die Erstbeschwerdegegnerin übermittelt hat, die diese Daten in Folge zu Bonitätsbeurteilungszwecken nach § 152 GewO 1994 weiterverarbeitete.B.
Hinsichtlich der Zweitbeschwerdegegnerin ergibt sich als Beschwerdegegenstand die Frage, ob die Zweitbeschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Geheimhaltung verletzt hat und gegen den Grundsatz der Zweckbindung gemäß Artikel 5, Absatz eins, Litera b, DSGVO sowie den Grundsatz der Rechtmäßigkeit gemäß Artikel 6, Absatz eins, in Verbindung mit Absatz 4, DSGVO verstoßen hat, indem sie die personenbezogenen Daten der Beschwerdeführerin (nämlich: Name, Adresse und Geburtsdatum), die sie ursprünglich für Zwecke des Adressverlags und Direktmarketings erhoben hatte, an die Erstbeschwerdegegnerin übermittelt hat, die diese Daten in Folge zu Bonitätsbeurteilungszwecken nach Paragraph 152, GewO 1994 weiterverarbeitete. C. Sachverhaltsfeststellungen C.
Die Erstbeschwerdegegnerin ist als Rechtsform Gesellschaft mit beschränkter Haftung mit Sitz in Wien, zur FN 2*1**3h im Firmenbuch eingetragen und verfügt über folgende Gewerbeberechtigungen: Auskunftei über Kreditverhältnisse (zur GISA-Zahl: 132*2*4*1), Adressverlag (zur GISA-Zahl: 132*2*4*2) und Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik (zur GISA-Zahl: 132*2*4*3). C.
Die Zweitbeschwerdegegnerin ist als Rechtsform Gesellschaft mit beschränkter Haftung mit Sitz in Wien, zur FN *4*5*2*f im Firmenbuch eingetragen und verfügt über folgende Gewerbeberechtigungen: Werbungsmittler (zur GISA-Zahl: 3*6*15*1), Adressverlag und Direktwerbeunternehmen (zur GISA-Zahl: 3*6*15*2) und Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik (zur GISA-Zahl: 3*6*15*3). Beweiswürdigung: Diese Feststellungen ergeben sich aus einer amtswegigen Abfrage des Firmenbuchs sowie des Gewerbeinformationssystems Austria (GISA) (zuletzt abgefragt am
November 2025). C.
Die Beschwerdeführerin stellte einen Antrag auf Auskunft bei der Erstbeschwerdegegnerin. Diese erteilte mit Schreiben vom
Oktober 2024 Auskunft und gab als Datenquelle für die personenbezogenen Daten der Beschwerdeführerin die Zweitbeschwerdegegnerin an. Die Daten der Beschwerdeführerin wurden zuletzt am
Juni 2024 von der Zweitbeschwerdegegnerin gegenüber der Erstbeschwerdegegnerin bestätigt. Dies stellt sich grafisch in der Auskunft dar, wie folgt (Screenshot, Ausschnitt, Formatierung nicht 1:1 wiedergegeben): [Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Screenshot in einem grafischen Format dargestellte Tabelle konnte mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt.] Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem unstrittigen Parteivorbringen und aus der von der Beschwerdeführerin vorgelegten Kopie der Auskunftserteilung vom
Oktober 2024 (Beilage ./1). Der Screenshot stammt ebenfalls aus Beilage ./
C.
Die Zweitbeschwerdegegnerin hat der Erstbeschwerdegegnerin Daten der Beschwerdeführerin übermittelt. Die Erstbeschwerdegegnerin hat von der Zweitbeschwerdegegnerin zumindest die folgenden Daten der Beschwerdeführerin erhoben: Name, Adresse, Geburtsdatum (Screenshot, Ausschnitt, Formatierung nicht 1:1 wiedergegeben): [Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Screenshots in einem grafischen Format dargestellten Tabellen konnte mit zumutbarem Aufwand nicht pseudonymisiert werden und wurden daher entfernt.] Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem insofern unstrittigen Parteivorbringen und insbesondere aus der von der Beschwerdeführerin vorgelegten Kopie der Auskunftserteilung vom
Oktober 2024 (Beilage ./1). Die Screenshots stammen ebenfalls aus Beilage ./
C.
Zwischen der Erstbeschwerdegegnerin (vormals „P***“) und der Zweitbeschwerdegegnerin wurde eine „Vereinbarung über die Lieferung und die Nutzung von Adressdaten im Dezember 2012“, ein zugehöriger „Sideletter“ im Oktober 2019 und ein Nachtrag im Mai 2018 abgeschlossen. Diese Vereinbarungen lauten auszugsweise wie folgt (Screenshot, Formatierung nicht 1:1 wiedergegeben): [Anmerkung Bearbeiter/in: Die an dieser Stelle im Original als Faksimiles (grafische Dateien) wiedergegebenen Auszüge aus den Vertragsdokumenten „Vereinbarung“ „Sideletter“ und „Nachtrag“ konnten mit zumutbarem Aufwand nicht pseudonymisiert werden und wurden daher entfernt.] Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem insofern unstrittigen Vorbringen der Beschwerdeführerin vom
Oktober
Die Auszüge aus den zwischen den Beschwerdegegnerinnen geschlossenen Verträgen stammen aus einer amtswegigen Einsicht der Datenschutzbehörde im ELAK in Verfahrensbestandteile aus den Akten zur GZ: D124.3816 und GZ: D124.3817, sowie insbesondere aus dem Akt zur GZ: D124.2355/24, welche die Datenschutzbehörde je zur Feststellung des maßgeblichen Sachverhalts als Beweismittel gemäß § 46 AVG heranzieht. Sämtlichen Verfahrensparteien sind diese abgebildeten Aktbestandteile bekannt.Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem insofern unstrittigen Vorbringen der Beschwerdeführerin vom
Oktober
Die Auszüge aus den zwischen den Beschwerdegegnerinnen geschlossenen Verträgen stammen aus einer amtswegigen Einsicht der Datenschutzbehörde im ELAK in Verfahrensbestandteile aus den Akten zur GZ: D124.3816 und GZ: D124.3817, sowie insbesondere aus dem Akt zur GZ: D124.2355/24, welche die Datenschutzbehörde je zur Feststellung des maßgeblichen Sachverhalts als Beweismittel gemäß Paragraph 46, AVG heranzieht. Sämtlichen Verfahrensparteien sind diese abgebildeten Aktbestandteile bekannt. C.
Die Erstbeschwerdegegnerin hat die von der Zweitbeschwerdegegnerin erhobenen Daten (zumindest: Name, Adresse, Geburtsdatum) im Rahmen ihres Gewerbes „Auskunftei über Kreditverhältnisse“ verarbeitet, um eine Bewertung der Bonität der Beschwerdeführerin vorzunehmen: [Anmerkung Bearbeiter/in: Die an dieser Stelle im Original als Faksimile (grafische Datei) wiedergegebene Tabelle listet 32 Fälle auf, in denen Geschäftskontakte der Beschwerdeführerin (Unternehmen der Branchen (Versand-) Handel, Markenartikelvertrieb und Banken/Finanzdienstleistungen) von 2017 bis 2024 Bonitätsdaten angefordert haben. Teilweise sind auch Wertbeträge erfasst. Dieses Dokument konnte mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt.] Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem insofern unstrittigen Parteivorbringen und insbesondere aus der von der Beschwerdeführerin vorgelegten Kopie der Auskunftserteilung vom
Oktober 2024 (Beilage ./1). C.
Die Beschwerdeführerin wurde nicht individuell darüber informiert, dass die Zweitbeschwerdegegnerin ihre Daten (zumindest: Name, Adresse, Geburtsdatum) verarbeitet und auch nicht, dass diese Daten an die Erstbeschwerdegegnerin übermittelt wurden. Die Beschwerdeführerin wurde auch nicht von der Erstbeschwerdegegnerin darüber informiert, dass diese ihre Daten speichert, um bei entsprechenden Anfragen eine Bewertung ihrer Bonität vorzunehmen. Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem Vorbringen der Beschwerdeführerin vom
Oktober
Die Beschwerdegegnerinnen haben dieses Vorgehen im Rahmen Ihrer Stellungnahmen nicht bestritten. C.
Die Datenschutzerklärung der Erstbeschwerdegegnerin lautete am
Oktober 2024 auszugsweise wie folgt (Hervorhebung durch die Datenschutzbehörde):
Zwecke der Datenverarbeitung Wir verarbeiten die unter Punkt 3 genannten Kategorien Ihrer personenbezogenen Daten zu folgenden Zwecken: ● Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse gemäß § 152 Gewerbeordnung 1994 sowie des Adressverlags gemäß § 151 Gewerbeordnung 1994;Ausübung des Gewerbes der Auskunftei über Kreditverhältnisse gemäß Paragraph 152, Gewerbeordnung 1994 sowie des Adressverlags gemäß Paragraph 151, Gewerbeordnung 1994; ● unabhängig von der gewerberechtlichen Einordnung die Erteilung von Auskünften an Kunden zum Zweck der Identitätsfeststellung, Altersverifikation, Kreditwürdigkeitsprüfung, Anschriftenermittlung, Seriositätsprüfung, des Risikomanagements (insbesondere Berechnung einer zukünftigen Zahlungsausfallswahrscheinlichkeit), der Missbrauchsprävention, der Erfüllung von Prüfpflichten der Kunden (insbesondere iZm Verbraucherkrediten und dem Spielerschutz), der Tarifierung (z.B. tarifmäßige Einordnung durch den Kunden), ökologisch-soziale Nachhaltigkeit, Konditionierung (z.B. von Kunden angebotene Zahlungskonditionen) und Endkundenbetreuung; ● Prüfung der Identität von Kunden, potenziellen Kunden und Interessenten unserer Kunden; ● Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen; ● allgemeine Geschäftssteuerung und Weiterentwicklung von Dienstleistungen und Produkten; ● Gewährleistung des reibungslosen IT-Betriebs und der IT-Sicherheit; ● Erfüllung unserer gesetzlichen Verpflichtungen, wie insb. die Beantwortung und Umsetzung von datenschutzrechtlichen Betroffenenanfragen. ● Wir treffen keine automatisierten Einzelentscheidungen, die für Sie rechtliche Auswirkungen haben oder Sie in ähnlicher Weise erheblich beeinträchtigen würden. […]
Verarbeitete Datenkategorien Zu den unter Punkt 1 genannten Zwecken verarbeiten wir folgende Kategorien personenbezogener Daten: ● Identitätsdaten (insbesondere Vor- und Nachname(n), Geburts- und Sterbedatum, Geschlecht, Titel, akademischer Grad, Status (errechnet aus Geburts- und Sterbedatum), Staatsbürgerschaft), Zeitstempel aus der Identitätsprüfung (Datum, Uhrzeit der Nutzung unserer Dienstleister) ● Daten und Unterlagen zu Personaldokumenten (soweit vom Betroffenen bereitgestellt) ● Kontaktdaten (insbesondere Adresse, Firmensitz, Telefonnummer, Fax, E-Mail, Website) ● Gebäudedaten (Daten zu einer Anschrift zugeordneten Gebäude) ● Unternehmensbezogene Daten (insbesondere Firmenbuchdaten, UID-, LEI-, ÖNB-Nummern, Unternehmensgegenstand, Unternehmensgröße/Mitarbeiterzahl, Fuhrpark, Bilanzdaten, ÖNACE-Code, unternehmerische Funktionen inklusive Vertretungsbefugnisse und Organisation, Datum des Eintritts/Austritts bzw. der Änderung der Funktion im Unternehmen, Aufenthaltsdauer bei ausländischen Staatsangehörigen, krisenspezifische Förderungen, Beteiligungsanteil und Haftungsbetrag, Informationen über Vorbeschäftigungen und Nebenbeschäftigungen, Immobilienbesitz (privat oder Firmenbesitz)) ● Gewerbebezogene Daten (Daten zu Gewerbeberechtigungen, andere Gewerberegisterdaten, Tätigkeitsbeschreibung, Branche) ● Vereinsregisterdaten ● Grundbuchsdaten ● Daten zu gerichtlichen Publikationen (Insolvenzdaten und Daten über gerichtliche Versteigerungen) ● Sperrvermerk nach Robinsonliste ● Daten zur Bankverbindung (IBAN und BIC bzw. BLZ; ausschließlich zu Zwecken der Missbrauchsbekämpfung) ● Zahlungserfahrungsdaten (Daten über die Einhaltung von Zahlungszielen und zu unbestrittenen, nach Eintritt der Fälligkeit unbezahlten und mehrfach gemahnten Forderungen, inklusive Leasingeinzüge, Mietzinszahlungen und Delogierungen) einschließlich Saldo und Dauer deren Aushaftung und Einmahnungen ● Medienbeobachtungen und Recherchedaten (zu Unternehmern) ● Ausweis und darin enthaltene Daten (inkl. Ausweisbild [ausschließlich zum Zweck der Identifikation und Authentifikation auf Anfrage von Betroffenen]) ● Lichtbild (ausschließlich zum Zweck der Identifikation und Authentifikation auf Anfrage von Betroffenen) ● Bezahldaten (ausschließlich zur Durchführung von Online-Zahlungen) ● Daten zur Bonität (inkl. aggregierte Bonitätskriterien und Score-Wert) ● Daten zu Hard- und Software (inkl. verwendeter Browser, Endgerätekennung), Geolokations-Daten (auf Grundlage der Anschriften errechnet) und Lichtbilder aus Google Maps zur Analyse potentieller missbräuchlicher Auffälligkeiten (soweit vom Kunden mit Einwilligung des Betroffenen erhoben und dann an Na*** GmbH übermittelt) ● Hinweise auf missbräuchliches oder sonstiges potenziell missbräuchliches Verhalten wie Identitäts-, Anschriften- oder Bonitätstäuschungsversuche in Zusammenhang mit Verträgen über Telekommunikationsleistungen oder Verträgen mit Kreditinstituten oder Finanzdienstleistern (Kredit- oder Anlageverträge, Girokonten) oder im (Internet-)Handel ● Einschätzung hinsichtlich der Zustellbarkeit bei Adressen ● Daten im Zuge der Abfrage durch Kunden der Na*** GmbH in der Na***-Datenbank („Abfragedaten“, inklusive allenfalls darin enthaltene Bestelldaten) ● Logdaten in Bezug auf die Datenbank (inkl. Bestätigung der Adressdaten) ● Risikoeinschätzung ● Quelle der Daten und Klassifizierung der Quelle sowie Details zur entsprechenden Datenerhebung ● Daten zu Bestellverhalten der betroffenen Person (Antragszähler, Antragswiederholungen) ● Finanzierungsvolumen ● Von Ihnen selbst im Rahmen der Synesgy ESG Plattform bereitgestellte Informationen zur ökologisch-sozialen Nachhaltigkeit sowie die diesbezüglichen Zertifizierungsergebnisse ● Informationen zum Schutz der Identitäten der Betroffenen, soweit dies im Rahmen der Identitätsbewertung erforderlich ist […] Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus Beilage ./
Die Datenschutzerklärung der Erstbeschwerdegegnerin hat sich seither geändert, aber der Umstand, dass diese zum Zeitpunkt der Beschwerdeeinbringung lautete wie in Beilage ./2 wurde von keiner Seite bestritten. D. In rechtlicher Hinsicht folgt daraus: D.
Zu Spruchpunkt 2 (Verletzung des Grundsatzes der Zweckbindung und der Rechtmäßigkeit der Verarbeitung durch die Zweitbeschwerdegegnerin) D.1.
Art. 5 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 DSGVO als subjektives RechtD.1.
Artikel 5, Absatz eins, Litera b, DSGVO und Artikel 6, Absatz eins, DSGVO als subjektives Recht Ausgehend von der bisherigen Spruchpraxis der Datenschutzbehörde und der Gerichte ist festzuhalten, dass sowohl die Rechtmäßigkeit der Datenverarbeitung nach Art. 5 Abs. 1 lit. a iVm Art. 6 ff DSGVO als auch die in Kapitel III der Verordnung postulierten datenschutzrechtlichen Betroffenenrechte als subjektives Recht im Rahmen einer Beschwerde nach Art. 77 Abs. 1 DSGVO geltend gemacht werden können.Ausgehend von der bisherigen Spruchpraxis der Datenschutzbehörde und der Gerichte ist festzuhalten, dass sowohl die Rechtmäßigkeit der Datenverarbeitung nach Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 6, ff DSGVO als auch die in Kapitel römisch drei der Verordnung postulierten datenschutzrechtlichen Betroffenenrechte als subjektives Recht im Rahmen einer Beschwerde nach Artikel 77, Absatz eins, DSGVO geltend gemacht werden können. Fraglich ist, ob auch eine Verletzung des Grundsatzes der Zweckbindung gemäß Art. 5 Abs. 1 lit. b DSGVO und die Verletzung der Rechtmäßigkeit gem. Art. 6 Abs. 1 DSGVO im Rahmen eines Beschwerdeverfahrens geltend gemacht werden kann.Fraglich ist, ob auch eine Verletzung des Grundsatzes der Zweckbindung gemäß Artikel 5, Absatz eins, Litera b, DSGVO und die Verletzung der Rechtmäßigkeit gem. Artikel 6, Absatz eins, DSGVO im Rahmen eines Beschwerdeverfahrens geltend gemacht werden kann. In diesem Zusammenhang ist festzuhalten, dass Art. 77 Abs. 1 DSGVO (und im Übrigen auch die nationale Bestimmung des § 24 Abs. 1 DSG) für die Inanspruchnahme des Beschwerderechts nur voraussetzt, dass „[…] die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“.In diesem Zusammenhang ist festzuhalten, dass Artikel 77, Absatz eins, DSGVO (und im Übrigen auch die nationale Bestimmung des Paragraph 24, Absatz eins, DSG) für die Inanspruchnahme des Beschwerderechts nur voraussetzt, dass „[…] die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“. Zwar wird in der DSGVO an gewissen Stellen der Begriff „Rechte einer betroffenen Person“ verwendet, dies bedeutet aber im Umkehrschluss nicht, dass nicht auch andere Normen, in denen diese Formulierung nicht gewählt wird, als subjektives Recht geltend gemacht werden können. Die meisten Bestimmungen der DSGVO sind nämlich einerseits eine Verpflichtung des Verantwortlichen (und teils des Auftragsverarbeiters), können aber andererseits auch als subjektives Betroffenenrecht geltend gemacht werden. So ist etwa unstrittig, dass Art. 13 und Art. 14 DSGVO ein subjektives Informationsrecht begründen, obwohl das Informationsrecht nicht in Art. 12 Abs. 2 leg. cit. als „ihre Rechte“ (also „Rechte des Betroffenen“) angeführt wird und Art. 13 und Art. 14 DSGVO dem Wortlaut nach als Informationspflicht des Verantwortlichen konzipiert sind.Zwar wird in der DSGVO an gewissen Stellen der Begriff „Rechte einer betroffenen Person“ verwendet, dies bedeutet aber im Umkehrschluss nicht, dass nicht auch andere Normen, in denen diese Formulierung nicht gewählt wird, als subjektives Recht geltend gemacht werden können. Die meisten Bestimmungen der DSGVO sind nämlich einerseits eine Verpflichtung des Verantwortlichen (und teils des Auftragsverarbeiters), können aber andererseits auch als subjektives Betroffenenrecht geltend gemacht werden. So ist etwa unstrittig, dass Artikel 13 und Artikel 14, DSGVO ein subjektives Informationsrecht begründen, obwohl das Informationsrecht nicht in Artikel 12, Absatz 2, leg. cit. als „ihre Rechte“ (also „Rechte des Betroffenen“) angeführt wird und Artikel 13 und Artikel 14, DSGVO dem Wortlaut nach als Informationspflicht des Verantwortlichen konzipiert sind. Entscheidend ist, ob eine betroffene Person durch eine behauptete Rechtsverletzung in einer individuellen Rechtsposition beeinträchtigt wird. Die behauptete Rechtsverletzung muss sich daher negativ auf die betroffene Person auswirken und sie beeinträchtigen. Schließlich ist auch nach innerstaatlicher Judikatur des VwGH im Zweifel davon auszugehen, dass Normen, die ein behördliches Vorgehen auch und gerade im Interesse des Betroffenen vorschreiben, diesem ein subjektives, also im Beschwerdeweg durchsetzbares Recht einräumen (vgl. etwa VwSlg. 9151 A/1976, 10.129 A/1980, 13.411 A/1991, 13.985 A/1994).Schließlich ist auch nach innerstaatlicher Judikatur des VwGH im Zweifel davon auszugehen, dass Normen, die ein behördliches Vorgehen auch und gerade im Interesse des Betroffenen vorschreiben, diesem ein subjektives, also im Beschwerdeweg durchsetzbares Recht einräumen vergleiche etwa VwSlg. 9151 A/1976, 10.129 A/1980, 13.411 A/1991, 13.985 A/1994). Vor dem Hintergrund des Wortlauts von Art. 77 Abs. 1 DSGVO sowie der angeführten Judikatur VwGH ist als Zwischenergebnis festzuhalten, dass auch ein behaupteter Verstoß gegen Art. 5 Abs. 1 lit. b und Art. 6 Abs. 1 DSGVO als subjektives Recht vor der zuständigen Aufsichtsbehörde gemäß Art. 77 Abs. 1 DSGVO geltend gemacht werden kann.Vor dem Hintergrund des Wortlauts von Artikel 77, Absatz eins, DSGVO sowie der angeführten Judikatur VwGH ist als Zwischenergebnis festzuhalten, dass auch ein behaupteter Verstoß gegen Artikel 5, Absatz eins, Litera b und Artikel 6, Absatz eins, DSGVO als subjektives Recht vor der zuständigen Aufsichtsbehörde gemäß Artikel 77, Absatz eins, DSGVO geltend gemacht werden kann. Ungeachtet dessen können behauptete Verletzungen von Art. 5 und 6 DSGVO, die die individuelle Rechtsposition eines Betroffenen beeinträchtigen, auch als Verletzungen im Grundrecht auf Geheimhaltung nach § 1 Abs. 1 DSG gewertet werden (vgl. dazu die ständige Rechtsprechung der Datenschutzbehörde, wonach die DSGVO und insbesondere auch die darin verankerten Grundsätze bei der Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen sind, bspw. den Bescheid vom
April 2022, GZ 2021-0.407.457 mwN).Ungeachtet dessen können behauptete Verletzungen von Artikel 5, und 6 DSGVO, die die individuelle Rechtsposition eines Betroffenen beeinträchtigen, auch als Verletzungen im Grundrecht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG gewertet werden vergleiche dazu die ständige Rechtsprechung der Datenschutzbehörde, wonach die DSGVO und insbesondere auch die darin verankerten Grundsätze bei der Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen sind, bspw. den Bescheid vom
April 2022, GZ 2021-0.407.457 mwN). D.1.
Feststellungskompetenz der Datenschutzbehörde Die Beschwerdeführerin hat mit Beschwerde vom
Oktober 2024 gemäß § 24 Abs. 2 Z 5 DSG ausdrücklich die Feststellung beantragt, dass eine Verletzung des Grundsatzes der Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 DSGVO festgestellt werden möge.Die Beschwerdeführerin hat mit Beschwerde vom
Oktober 2024 gemäß Paragraph 24, Absatz 2, Ziffer 5, DSG ausdrücklich die Feststellung beantragt, dass eine Verletzung des Grundsatzes der Zweckbindung nach Artikel 5, Absatz eins, Litera b, DSGVO sowie Artikel 6, Absatz eins, DSGVO festgestellt werden möge. Nach der Judikatur des VwGH und des BVwG kommt der Datenschutzbehörde eine Feststellungskompetenz im Hinblick auf Verletzungen des Rechts auf Geheimhaltung in Beschwerdeverfahren zu (so ausdrücklich das Erkenntnis des BVwG vom
Mai 2021, Zl. W214 222 6349-1/12E; implizit das Erkenntnis des VwGH vom
Februar 2021, Ra 2019/04/0054, worin sich dieser mit der Feststellung einer in der Vergangenheit liegenden Geheimhaltungspflichtverletzung auseinandergesetzt hat, ohne die Unzuständigkeit der belangten Behörde aufzugreifen). Wie bereits oben ausgeführt, können die behaupteten, verfahrensgegenständlichen Verletzungen auch eine Verletzung im Grundrecht auf Geheimhaltung nach § 1 Abs. 1 DSG darstellen.Wie bereits oben ausgeführt, können die behaupteten, verfahrensgegenständlichen Verletzungen auch eine Verletzung im Grundrecht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG darstellen. Vor dem Hintergrund dieser Ausführungen ist als weiteres Zwischenergebnis festzuhalten, dass die Feststellungskompetenz der Datenschutzbehörde im gegenständlichen Beschwerdeverfahren gegeben ist. D.1.
Allgemeines zum Zweckbindungsgrundsatz Nach der Judikatur des EuGH muss jede Verarbeitung personenbezogener Daten zum einen mit den in Art. 5 DSGVO normierten Grundsätzen für die Verarbeitung der Daten (als Eckpfeiler des Datenschutzrechts) im Einklang stehen und zum anderen einem der in Art. 6 der DSGVO angeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen (vgl. das Urteil des EuGH vom
Juni 2021, C-439/19, Rz 96).Nach der Judikatur des EuGH muss jede Verarbeitung personenbezogener Daten zum einen mit den in Artikel 5, DSGVO normierten Grundsätzen für die Verarbeitung der Daten (als Eckpfeiler des Datenschutzrechts) im Einklang stehen und zum anderen einem der in Artikel 6, der DSGVO angeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen vergleiche das Urteil des EuGH vom
Juni 2021, C-439/19, Rz 96). Der Grundsatz der Zweckbindung gem. Art. 5 Abs. 1 lit. b DSGVO besteht einerseits darin, dass personenbezogene Daten für „festgelegte, eindeutige und legitime“ Zwecke erhoben werden müssen und andererseits nicht „in einer mit diesen Zwecken nicht zu vereinbaren Weise verarbeitet“ werden dürfen. Dadurch soll die Verwendung von personenbezogenen Daten klar abgegrenzt werden, da so ein Gleichgewicht zwischen der Achtung der Grundrechte der betroffenen Personen bzgl. Privatsphäre und Datenschutz und der Anerkennung einer gewissen Flexibilität zugunsten des für die Verarbeitung Verantwortlichen bei der Verwaltung der betreffenden Daten, wie sie das digitale Leben und seine Unwägbarkeiten erfordern herstellt. (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO, Rz 58). Der Grundsatz der Zweckbindung gem. Artikel 5, Absatz eins, Litera b, DSGVO besteht einerseits darin, dass personenbezogene Daten für „festgelegte, eindeutige und legitime“ Zwecke erhoben werden müssen und andererseits nicht „in einer mit diesen Zwecken nicht zu vereinbaren Weise verarbeitet“ werden dürfen. Dadurch soll die Verwendung von personenbezogenen Daten klar abgegrenzt werden, da so ein Gleichgewicht zwischen der Achtung der Grundrechte der betroffenen Personen bzgl. Privatsphäre und Datenschutz und der Anerkennung einer gewissen Flexibilität zugunsten des für die Verarbeitung Verantwortlichen bei der Verwaltung der betreffenden Daten, wie sie das digitale Leben und seine Unwägbarkeiten erfordern herstellt. (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO, Rz 58). Der Generalanwalt hat in seinen Schlussanträgen in der Sache C-77/21 zum Zweckbindungsgrundsatz Folgendes ausgeführt: „Gemäß Art. 5 Abs. 1 Buchst. b DSGVO ist jede Verarbeitung nach der Erhebung als ‚Weiterverarbeitung‘ zu betrachten und muss daher, von Ausnahmen abgesehen, das Erfordernis der Vereinbarkeit erfüllen. Letztes spiegelt die Notwendigkeit einer konkreten, kohärenten und ausreichend engen Verbindung zwischen dem Zweck der Datenerhebung und deren Weiterverarbeitung wider. Mit anderen Worten: Diese Verarbeitung darf nicht vom ursprünglichen Zweck der Datenerhebung losgelöst sein oder diesem widersprechen, ihr Inhalt muss mit dem Zweck der Erhebung vereinbar sein, unabhängig von jeglicher zeitlichen Problematik.“ (ibid, Rz 28).„Gemäß Artikel 5, Absatz eins, Buchst. b DSGVO ist jede Verarbeitung nach der Erhebung als ‚Weiterverarbeitung‘ zu betrachten und muss daher, von Ausnahmen abgesehen, das Erfordernis der Vereinbarkeit erfüllen. Letztes spiegelt die Notwendigkeit einer konkreten, kohärenten und ausreichend engen Verbindung zwischen dem Zweck der Datenerhebung und deren Weiterverarbeitung wider. Mit anderen Worten: Diese Verarbeitung darf nicht vom ursprünglichen Zweck der Datenerhebung losgelöst sein oder diesem widersprechen, ihr Inhalt muss mit dem Zweck der Erhebung vereinbar sein, unabhängig von jeglicher zeitlichen Problematik.“ (ibid, Rz 28). Sinngemäß wird auch in ErwGr. 50 DSGVO beschrieben, dass die erhobenen Daten nicht für andere Zwecke, die jedenfalls nicht mit den Zwecken dieser Erhebung vereinbar sind, verarbeitet werden dürfen. Die ausreichend genaue Bestimmung des Zwecks garantiert auch die Vorhersehbarkeit sowie die Rechtssicherheit. So muss bei der Erfüllung von zwei Zwecken, jeder einzelne genau bestimmt sein und objektiv ausreichende Verbindung zum betreffenden Verarbeitungsvorgang aufweisen. D.1.
Datenerhebung durch die Zweitbeschwerdegegnerin Im gegenständlichen Fall hat die Zweitbeschwerdegegnerin im Rahmen ihrer Gewerbeberechtigung gemäß § 151 GewO 1994 als Adressverlag- und Direktmarketingunternehmen Daten der Beschwerdeführerin erhoben und an die Erstbeschwerdegegnerin übermittelt.Im gegenständlichen Fall hat die Zweitbeschwerdegegnerin im Rahmen ihrer Gewerbeberechtigung gemäß Paragraph 151, GewO 1994 als Adressverlag- und Direktmarketingunternehmen Daten der Beschwerdeführerin erhoben und an die Erstbeschwerdegegnerin übermittelt. Hierdurch wurde auch der Zweck der Datenverarbeitung begrenzt. Dieser liegt darin, die Daten im Rahmen der Ausübung ihres Gewerbes zu verwenden. Bei anderer Betrachtung - wenn man die Datenerhebung also nicht auf die Ausübung des Gewerbes der Zweitbeschwerdegegnerin gemäß § 151 GewO 1994 begrenzt - wäre der Zweck der Datenerhebung völlig unklar und könnten die Daten zu jeglichen Zwecken weiterverarbeitet - und somit auch übermittelt - werden. Dies ist jedoch nicht mit den obenstehenden Überlegungen zu Art. 5 Abs. 1 lit. b vereinbar.Bei anderer Betrachtung - wenn man die Datenerhebung also nicht auf die Ausübung des Gewerbes der Zweitbeschwerdegegnerin gemäß Paragraph 151, GewO 1994 begrenzt - wäre der Zweck der Datenerhebung völlig unklar und könnten die Daten zu jeglichen Zwecken weiterverarbeitet - und somit auch übermittelt - werden. Dies ist jedoch nicht mit den obenstehenden Überlegungen zu Artikel 5, Absatz eins, Litera b, vereinbar. Zudem ergibt sich aus § 151 Abs. 6 GewO 1994, dass Gewerbetreibende nach § 151 Abs. 1 GewO 1994 Daten, welche für Marketingzwecke erhoben wurden, nur für Marketingzwecke weiterverwendet und an Dritte übermittelt werden dürfen. Dabei ist aber zu beachten, dass die Übermittlung an Dritte nur dann erlaubt ist, wenn der übermittelnde Gewerbetreibende die Unbedenklichkeit erklärt, dass jene Analyseergebnisse ausschließlich für Marketingzwecke verwendet werden dürfen.Zudem ergibt sich aus Paragraph 151, Absatz 6, GewO 1994, dass Gewerbetreibende nach Paragraph 151, Absatz eins, GewO 1994 Daten, welche für Marketingzwecke erhoben wurden, nur für Marketingzwecke weiterverwendet und an Dritte übermittelt werden dürfen. Dabei ist aber zu beachten, dass die Übermittlung an Dritte nur dann erlaubt ist, wenn der übermittelnde Gewerbetreibende die Unbedenklichkeit erklärt, dass jene Analyseergebnisse ausschließlich für Marketingzwecke verwendet werden dürfen. Selbst wenn man den (unrichtigen) Standpunkt vertritt, dass § 151 Abs. 6 GewO 1994 für die hier relevanten Daten (Name, Adresse und Geburtsdatum) nicht einschlägig sei, ist festzuhalten, dass die Daten letztlich trotzdem zum Zwecke der Ausübung des Gewerbes gemäß § 151 GewO 1994 erhoben wurden:Selbst wenn man den (unrichtigen) Standpunkt vertritt, dass Paragraph 151, Absatz 6, GewO 1994 für die hier relevanten Daten (Name, Adresse und Geburtsdatum) nicht einschlägig sei, ist festzuhalten, dass die Daten letztlich trotzdem zum Zwecke der Ausübung des Gewerbes gemäß Paragraph 151, GewO 1994 erhoben wurden: Dies ergibt sich insbesondere aus der gegenständlichen „Vereinbarung über die Lieferung und die Nutzung von Adressdaten“ von Dezember 2021 zwischen der Zweitbeschwerdegegnerin und der Erstbeschwerdegegnerin: So stellen die Rz 1 ff der genannten Vereinbarung ausdrücklich darauf ab, dass die Zweitbeschwerdegegnerin die hier relevante Datenverarbeitung im Rahmen ihrer Gewerbeberechtigung durchführte. Zu überprüfen ist nun, ob die Daten der Beschwerdeführerin, die ursprünglich im Rahmen der Ausübung des Gewerbes der Zweitbeschwerdegegnerin erhoben wurden, nun auch zum Zweck der Bonitätsauskunft an die Erstbeschwerdegegnerin übermittelt und insofern „weiterverarbeitet“ werden durften. D.1.5.
Weiterverarbeitung nach Art. 6 Abs. 4 DSGVOD.1.5.
Weiterverarbeitung nach Artikel 6, Absatz 4, DSGVO In der „Vereinbarung über die Lieferung und die Nutzung von Adressdaten“ zwischen der Zweitbeschwerdegegnerin und der Erstbeschwerdegegnerin ist im ersten Teil unter 2.) das Nutzungsrecht der erlangten Daten geregelt. Darin ist erfasst, dass die Erstbeschwerdegegnerin (damals: P***) berechtigt ist, „die Adressen als Ergebnis von Einzelabfragen im Rahmen einer konkreten Bonitäts- oder Identitätsabfrage zu übermitteln“. Daraus ist zu schließen, dass die Zweitbeschwerdegegnerin jedenfalls vereinbart hat, dass die Erstbeschwerdegegnerin die übermittelten Daten nicht ausschließlich für Adressverlags- und Direktmarketingunternehmenstätigkeiten verwenden darf und wird. Es liegt somit eine „Weiterverarbeitung“ iSd. Art. 6 Abs. 4 DSGVO vor, da die Daten, die ursprünglich für Zwecke des Adressverlags erhoben wurden, nun (auch) für Bonitätszwecke verarbeitet werden. So hat auch die Erstbeschwerdegegnerin in ihrer Auskunftserteilung vom
Oktober 2024 dargelegt, dass sie Daten der Beschwerdeführerin in ihrer Identitäts- und Bonitätsdatenbank gespeichert hat.Es liegt somit eine „Weiterverarbeitung“ iSd. Artikel 6, Absatz 4, DSGVO vor, da die Daten, die ursprünglich für Zwecke des Adressverlags erhoben wurden, nun (auch) für Bonitätszwecke verarbeitet werden. So hat auch die Erstbeschwerdegegnerin in ihrer Auskunftserteilung vom
Oktober 2024 dargelegt, dass sie Daten der Beschwerdeführerin in ihrer Identitäts- und Bonitätsdatenbank gespeichert hat. Eine Änderung des Verarbeitungszwecks ist nur unter den in Art. 5 Abs. 1 lit. b iVm Art. 6 Abs. 4 DSGVO genannten Voraussetzungen zulässig.Eine Änderung des Verarbeitungszwecks ist nur unter den in Artikel 5, Absatz eins, Litera b, in Verbindung mit Artikel 6, Absatz 4, DSGVO genannten Voraussetzungen zulässig. Demnach muss der Verantwortliche, wenn keine Einwilligung oder gesetzliche Erlaubnisnorm vorliegt, überprüfen, ob eine Vereinbarkeit des gewünschten Sekundärzwecks mit demjenigen, für den die Daten ursprünglich erhoben wurden (Primärzweck) vorliegt (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO, Art. 6 Abs. 4, Rz 61ff). So sind auch nochmals die Schlussanträge des Generalanwalts in der Sache C-77/21 anzuführen, wo ausgeführt wird, dass die Vereinbarkeit der Erhebung und Weiterverarbeitung erfüllt sein muss. Dies wird durch eine enge Verbindung zwischen der Datenerhebung und der Weiterverarbeitung aufgezeigt, welche sich jedenfalls nicht widersprechen darf.Demnach muss der Verantwortliche, wenn keine Einwilligung oder gesetzliche Erlaubnisnorm vorliegt, überprüfen, ob eine Vereinbarkeit des gewünschten Sekundärzwecks mit demjenigen, für den die Daten ursprünglich erhoben wurden (Primärzweck) vorliegt (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO, Artikel 6, Absatz 4,, Rz 61ff). So sind auch nochmals die Schlussanträge des Generalanwalts in der Sache C-77/21 anzuführen, wo ausgeführt wird, dass die Vereinbarkeit der Erhebung und Weiterverarbeitung erfüllt sein muss. Dies wird durch eine enge Verbindung zwischen der Datenerhebung und der Weiterverarbeitung aufgezeigt, welche sich jedenfalls nicht widersprechen darf. D.1.5.
Keine Einwilligung Eine Einwilligung der Beschwerdeführerin liegt im gegenständlichen Verfahren unstrittig nicht vor, da diese weder gegenüber der Zweitbeschwerdegegnerin, noch gegenüber der Erstbeschwerdegegnerin ihre Einwilligung für die Weiterverarbeitung mitgeteilt hat. D.1.5.
§ 151 GewO 1994 ist keine Rechtsgrundlage für die (Weiter)VerarbeitungD.1.5.
Paragraph 151, GewO 1994 ist keine Rechtsgrundlage für die (Weiter)Verarbeitung § 151 Abs. 6 GewO 1994 sieht zwar ein Regime für die Datenverarbeitung von Adressverlagen und Direktmarketingunternehmen vor.Paragraph 151, Absatz 6, GewO 1994 sieht zwar ein Regime für die Datenverarbeitung von Adressverlagen und Direktmarketingunternehmen vor. Dabei kann es sich aber nur um eine gewerberechtliche Norm und um keine Rechtsvorschrift im Sinne von Art. 6 Abs. 1 iVm Abs. 4 handeln, da die DSGVO keine Öffnungsklausel für nationale Gesetzgeber vorsieht, abweichend vom Katalog des Art. 6 Abs. 1 der Verordnung weitere Erlaubnistatbestände für die Datenverarbeitung zu Marketingzwecken im privaten Bereich auf nationaler Ebene zu normieren.Dabei kann es sich aber nur um eine gewerberechtliche Norm und um keine Rechtsvorschrift im Sinne von Artikel 6, Absatz eins, in Verbindung mit Absatz 4, handeln, da die DSGVO keine Öffnungsklausel für nationale Gesetzgeber vorsieht, abweichend vom Katalog des Artikel 6, Absatz eins, der Verordnung weitere Erlaubnistatbestände für die Datenverarbeitung zu Marketingzwecken im privaten Bereich auf nationaler Ebene zu normieren. Demzufolge hat bereits das BVwG ausgesprochen, dass § 151 Abs. 6 GewO 1994 mangels Öffnungsklausel nicht für Definitionen der DSGVO maßgeblich ist (vgl. das Erkenntnis des BVwG vom
November 2020, GZ: W258 2217446-1).Demzufolge hat bereits das BVwG ausgesprochen, dass Paragraph 151, Absatz 6, GewO 1994 mangels Öffnungsklausel nicht für Definitionen der DSGVO maßgeblich ist vergleiche das Erkenntnis des BVwG vom
November 2020, GZ: W258 2217446-1). D.1.5.
Kompatibilitätstest Da weder eine Einwilligung noch eine Rechtsvorschrift vorliegt, sind die in Art. 6 Abs. 4 DSGVO normierten Voraussetzungen zu überprüfen. Dazu finden sich in Art. 6 Abs. 4 fünf Kriterien, welche bei rechtmäßiger Prüfung zur Vereinbarkeit führen:Da weder eine Einwilligung noch eine Rechtsvorschrift vorliegt, sind die in Artikel 6, Absatz 4, DSGVO normierten Voraussetzungen zu überprüfen. Dazu finden sich in Artikel 6, Absatz 4, fünf Kriterien, welche bei rechtmäßiger Prüfung zur Vereinbarkeit führen: a) Jede Verbindung zwischen dem Erhebungszweck und den Zwecken der beabsichtigten Weiterverarbeitung, b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, c) die Art der personenbezogenen Daten, insb. ob Daten gem. Art. 9 oder Art. 10 verarbeitet werden,die Art der personenbezogenen Daten, insb. ob Daten gem. Artikel 9, oder Artikel 10, verarbeitet werden, d) die möglichen Folgen der beabsichtigen Weiterverarbeitung für die betroffenen Personen und e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören können. Zwar ist zu berücksichtigen, dass keine Daten gemäß Art. 9 oder Art. 10 DSGVO (weiter)verarbeitet wurden.Zwar ist zu berücksichtigen, dass keine Daten gemäß Artikel 9, oder Artikel 10, DSGVO (weiter)verarbeitet wurden. Festzuhalten ist jedoch, dass eine Verbindung zwischen dem ursprünglichen Zweck und dem neuen Zweck nicht gegeben ist, da die Adresse der Beschwerdeführerin - wie ausgeführt - ursprünglich für Zwecke des Adressverlags erhoben und nunmehr für Bewertungen der Bonität weiterverarbeitet wurde. Dieser Umstand schadet dieser Verbindung, da kein erkennbarer Zusammenhang zwischen diesen beiden Verarbeitungszwecken gegeben ist. Darüber hinaus können auch negative Folgen für die Beschwerdeführerin eintreten. Der Umstand, dass ihre Daten nunmehr zu Bonitätszwecken verarbeitet werden, kann sich durchaus negativ auf deren Rechtssphäre auswirken. So ist der Datenschutzbehörde aus vergangenen Fällen bekannt, dass Kreditauskunfteien allein auf Grundlage von Name, Adresse und Geburtsdatum statistische Bonitätswerte errechnen (und verkaufen) und es sein kann, dass das wirtschaftliche Fortkommen von Personen beeinträchtigt wird, bloß, weil sie „einen falschen Namen“ haben oder „am falschen Ort wohnen“. Die Datenschutzbehörde verkennt nicht den Standpunkt, wonach es für betroffene Personen „vorteilhaft“ sei, in der Bonitätsdatenbank eingetragen zu sein und dass das Gewerbe der Auskunft über Kreditverhältnisse gesetzlich anerkannt ist. Das ändert jedoch nichts an der Tatsache, dass gegenständlich Daten zu einem völlig anderen Zwecke erhoben wurden. D.1.5.
Ergebnis hinsichtlich Art. 5 Abs. 1 lit. b DSGVOD.1.5.
Ergebnis hinsichtlich Artikel 5, Absatz eins, Litera b, DSGVO Vor dem Hintergrund dieser Ausführungen ist als Ergebnis festzuhalten, dass im verfahrensgegenständlichen Fall der Grundsatz der Zweckbindung gemäß Art. 5 Abs. 1 lit. b DSGVO von der Zweitbeschwerdegegnerin verletzt wurde, da die Voraussetzungen von Art. 6 Abs. 4 DSGVO nicht erfüllt sind.Vor dem Hintergrund dieser Ausführungen ist als Ergebnis festzuhalten, dass im verfahrensgegenständlichen Fall der Grundsatz der Zweckbindung gemäß Artikel 5, Absatz eins, Litera b, DSGVO von der Zweitbeschwerdegegnerin verletzt wurde, da die Voraussetzungen von Artikel 6, Absatz 4, DSGVO nicht erfüllt sind. Konkret liegt die Verletzung darin, dass die Zweitbeschwerdegegnerin Daten, die sie zu Marketingzwecken erhoben hat, an die Erstbeschwerdegegnerin übermittelt hat und dabei ausdrücklich vereinbart wurde, dass die Erstbeschwerdegegnerin diese Daten (auch) zu Bonitätszwecken verarbeiten wird. Mit anderen Worten: Eine strikte Zweckbindung, wonach auch die Empfängerin die übermittelten Daten nur für Zwecke des Adressverlags und Direktmarketings verarbeiten darf, ist der Vereinbarung nicht zu entnehmen. Diese Unterlassung muss sich die Zweitbeschwerdegegnerin gemäß Art. 5 Abs. 2 DSGVO zurechnen lassen.Diese Unterlassung muss sich die Zweitbeschwerdegegnerin gemäß Artikel 5, Absatz 2, DSGVO zurechnen lassen. D.1.
Rechtmäßigkeit der Datenverarbeitung Nach Judikatur des EuGH muss jede Verarbeitung personenbezogener Daten zum einen mit den in Art. 5 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen einem der in Art. 6 der DSGVO aufgeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen (vgl. das Urteil des EuGH vom
Juni 2021, C-439/19 Rz 96).Nach Judikatur des EuGH muss jede Verarbeitung personenbezogener Daten zum einen mit den in Artikel 5, DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen einem der in Artikel 6, der DSGVO aufgeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen vergleiche das Urteil des EuGH vom
Juni 2021, C-439/19 Rz 96). Daher ist festzuhalten, dass gegenständlich gegen Art. 5 Abs. 1 lit. b DSGVO verstoßen wurde und dies unmittelbare Auswirkungen auf Art. 6 Abs. 1 lit. f DSGVO hat.Daher ist festzuhalten, dass gegenständlich gegen Artikel 5, Absatz eins, Litera b, DSGVO verstoßen wurde und dies unmittelbare Auswirkungen auf Artikel 6, Absatz eins, Litera f, DSGVO hat. Mit anderen Worten: Die festgestellte Verletzung von Art. 5 DSGVO kann nicht durch eine allfällige Rechtmäßigkeit im Sinne des Art. 6 DSGVO saniert werden.Mit anderen Worten: Die festgestellte Verletzung von Artikel 5, DSGVO kann nicht durch eine allfällige Rechtmäßigkeit im Sinne des Artikel 6, DSGVO saniert werden. Aus diesem Grund ist eine Prüfung gem. Art. 6 Abs. 1 lit. f DSGVO nicht mehr notwendig, weil sich die Datenverarbeitung jedenfalls als rechtswidrig erweist.Aus diesem Grund ist eine Prüfung gem. Artikel 6, Absatz eins, Litera f, DSGVO nicht mehr notwendig, weil sich die Datenverarbeitung jedenfalls als rechtswidrig erweist. D.1.
Ergebnis hinsichtlich Art. 6 Abs. 1 DSGVOD.1.
Ergebnis hinsichtlich Artikel 6, Absatz eins, DSGVO Als Ergebnis ist daher festzuhalten, dass die Zweitbeschwerdegegnerin bei der Übermittlung der Daten der Beschwerdeführerin an die Erstbeschwerdegegnerin mit dem Ziel zur Weiterverarbeitung der Daten zu Bonitätszwecken gegen Art. 6 Abs. 4 DSGVO verstoßen hat und die Übermittlung insofern unrechtmäßig war.Als Ergebnis ist daher festzuhalten, dass die Zweitbeschwerdegegnerin bei der Übermittlung der Daten der Beschwerdeführerin an die Erstbeschwerdegegnerin mit dem Ziel zur Weiterverarbeitung der Daten zu Bonitätszwecken gegen Artikel 6, Absatz 4, DSGVO verstoßen hat und die Übermittlung insofern unrechtmäßig war. Es war daher spruchgemäß zu entscheiden. D.
Zu Spruchpunkt 1 (Verletzung des Grundsatzes der Rechtmäßigkeit durch die Erstbeschwerdegegnerin) D.2.
Zu Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 4 DSGVO als subjektives RechtD.2.
Zu Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 6, Absatz 4, DSGVO als subjektives Recht Ausgehend von der bisherigen Spruchpraxis der Datenschutzbehörde ist festzuhalten, dass die Rechtmäßigkeit der Datenverarbeitung nach Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 DSGVO als subjektives Recht im Rahmen einer Beschwerde nach Art. 77 Abs. 1 DSGVO geltend gemacht werden kann:Ausgehend von der bisherigen Spruchpraxis der Datenschutzbehörde ist festzuhalten, dass die Rechtmäßigkeit der Datenverarbeitung nach Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 6, Absatz eins, DSGVO als subjektives Recht im Rahmen einer Beschwerde nach Artikel 77, Absatz eins, DSGVO geltend gemacht werden kann: Nach Auffassung der Datenschutzbehörde ist entscheidend, ob eine betroffene Person durch eine behauptete Rechtsverletzung in einer individuellen Rechtsposition beeinträchtigt wird und daher ein subjektives Recht auf Abspruch über die behauptete Rechtsverletzung hat. Die behauptete Rechtsverletzung muss sich daher negativ auf die betroffene Person auswirken. Dies ist bei den Vorgaben für die Rechtmäßigkeit der Datenverarbeitung ohne Zweifel anzunehmen. Auch der Wortlaut von Art. 77 Abs. 1 DSGVO (und im Übrigen auch die nationale Bestimmung des § 24 Abs. 1 DSG) setzt für die Inanspruchnahme des Beschwerderechts nur voraus, dass „[…] die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“.Auch der Wortlaut von Artikel 77, Absatz eins, DSGVO (und im Übrigen auch die nationale Bestimmung des Paragraph 24, Absatz eins, DSG) setzt für die Inanspruchnahme des Beschwerderechts nur voraus, dass „[…] die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“. In diesem Sinne hat der EuGH mit Urteil vom
Juli 2020 ausgeführt, dass die Feststellung, dass „[…] das Recht und die Praxis eines Landes kein angemessenes Schutzniveau gewährleisten […]“ sowie „[…] die Vereinbarkeit dieses (Angemessenheits-) Beschlusses mit dem Schutz der Privatsphäre sowie der Freiheiten und Grundrechte von Personen […]“ im Rahmen einer Beschwerde nach Art. 77 Abs. 1 DSGVO als subjektives Recht geltend gemacht werden kann (vgl. das Urteil des EuGH vom
Juli 2020, C‑311/18 Rz 158).In diesem Sinne hat der EuGH mit Urteil vom
Juli 2020 ausgeführt, dass die Feststellung, dass „[…] das Recht und die Praxis eines Landes kein angemessenes Schutzniveau gewährleisten […]“ sowie „[…] die Vereinbarkeit dieses (Angemessenheits-) Beschlusses mit dem Schutz der Privatsphäre sowie der Freiheiten und Grundrechte von Personen […]“ im Rahmen einer Beschwerde nach Artikel 77, Absatz eins, DSGVO als subjektives Recht geltend gemacht werden kann vergleiche das Urteil des EuGH vom
Juli 2020, C‑311/18 Rz 158). Zwar ist festzuhalten, dass die Vorlagefrage des genannten Verfahrens nicht den „Umfang des Beschwerderechts von Art. 77 Abs. 1 DSGVO“ zum Gegenstand hatte; der EuGH hat aber den Umstand, dass auch ein Verstoß gegen Bestimmungen von Kapitel V DSGVO im Rahmen einer Beschwerde nach Art. 77 Abs. 1 DSGVO geltend gemacht werden kann, offenkundig als notwendige Voraussetzung erachtet. Bei anderer Betrachtung hätte der EuGH wohl ausgesprochen, dass die Frage der Gültigkeit eines Angemessenheitsbeschlusses im Rahmen eines Beschwerdeverfahrens gar nicht geklärt werden kann.Zwar ist festzuhalten, dass die Vorlagefrage des genannten Verfahrens nicht den „Umfang des Beschwerderechts von Artikel 77, Absatz eins, DSGVO“ zum Gegenstand hatte; der EuGH hat aber den Umstand, dass auch ein Verstoß gegen Bestimmungen von Kapitel römisch fünf DSGVO im Rahmen einer Beschwerde nach Artikel 77, Absatz eins, DSGVO geltend gemacht werden kann, offenkundig als notwendige Voraussetzung erachtet. Bei anderer Betrachtung hätte der EuGH wohl ausgesprochen, dass die Frage der Gültigkeit eines Angemessenheitsbeschlusses im Rahmen eines Beschwerdeverfahrens gar nicht geklärt werden kann. Schließlich ist auch nach innerstaatlicher Judikatur des VwGH im Zweifel davon auszugehen, dass Normen, die ein behördliches Vorgehen auch und gerade im Interesse des Betroffenen vorschreiben, diesem ein subjektives, also im Beschwerdeweg durchsetzbares Recht einräumen (vgl. etwa VwSlg. 9151 A/1976, 10.129 A/1980, 13.411 A/1991, 13.985 A/1994).Schließlich ist auch nach innerstaatlicher Judikatur des VwGH im Zweifel davon auszugehen, dass Normen, die ein behördliches Vorgehen auch und gerade im Interesse des Betroffenen vorschreiben, diesem ein subjektives, also im Beschwerdeweg durchsetzbares Recht einräumen vergleiche etwa VwSlg. 9151 A/1976, 10.129 A/1980, 13.411 A/1991, 13.985 A/1994). Somit kann ein Verstoß gegen Art. 44 DSGVO im Rahmen einer Beschwerde an die Datenschutzbehörde geltend gemacht werden.Somit kann ein Verstoß gegen Artikel 44, DSGVO im Rahmen einer Beschwerde an die Datenschutzbehörde geltend gemacht werden. Voraussetzung für die Erhebung einer Beschwerde ist und bleibt jedoch, dass sich der behauptete Verstoß unmittelbar auf die Rechtsposition der betroffenen Person auswirkt. Es muss somit eine direkte Verbindung zwischen dem behaupteten Verstoß und der Rechtsposition der betroffenen Person geben. Objektive Verstöße gegen die DSGVO, die keinerlei Bezug auf die Rechtsposition einer betroffenen Person haben, sind hingegen einer Beschwerde nicht zugänglich. D.2.
Zur Feststellungskompetenz der Datenschutzbehörde Wie aus dem Beschwerdegegenstand ersichtlich (siehe Punkt B.1), wurde die Feststellung einer Rechtsverletzung, die in der Vergangenheit liegt, beantragt. Nach Judikatur des VwGH und des BVwG kommt der Datenschutzbehörde eine Feststellungskompetenz im Hinblick auf Verletzungen des Rechts auf Geheimhaltung in Beschwerdeverfahren zu (so ausdrücklich das Erkenntnis des BVwG vom
Mai 2021, Zl. W214 222 6349-1/12E; implizit das Erkenntnis des VwGH vom
Februar 2021, Ra 2019/04/0054, worin sich dieser mit der Feststellung einer in der Vergangenheit liegenden Geheimhaltungspflichtverletzung auseinandergesetzt hat, ohne die Unzuständigkeit der belangten Behörde aufzugreifen). Es bestehen keine sachlichen Gründe, die Feststellungskompetenz gemäß Art. 58 Abs. 6 DSGVO iVm § 24 Abs. 2 Z 5 DSGVO und Abs. 5 DSG nicht auch für die Feststellung einer Verletzung des Grundsatzes der Rechtmäßigkeit heranzuziehen, da auch im gegenständlichen Fall u.a. eine in der Vergangenheit liegende Rechtsverletzung moniert wird und das Beschwerderecht gemäß § 24 Abs. 1 DSG - ebenso wie Art. 77 Abs. 1 DSGVO - allgemein an einen Verstoß gegen die DSGVO anknüpft.Es bestehen keine sachlichen Gründe, die Feststellungskompetenz gemäß Artikel 58, Absatz 6, DSGVO in Verbindung mit Paragraph 24, Absatz 2, Ziffer 5, DSGVO und Absatz 5, DSG nicht auch für die Feststellung einer Verletzung des Grundsatzes der Rechtmäßigkeit heranzuziehen, da auch im gegenständlichen Fall u.a. eine in der Vergangenheit liegende Rechtsverletzung moniert wird und das Beschwerderecht gemäß Paragraph 24, Absatz eins, DSG - ebenso wie Artikel 77, Absatz eins, DSGVO - allgemein an einen Verstoß gegen die DSGVO anknüpft. Festzuhalten ist, dass ein Verstoß gegen den Grundsatz der Rechtmäßigkeit der Datenverarbeitung auch eine Verletzung im Recht auf Geheimhaltung zur Folge hat (§ 1 Abs. 1 iVm § 4 Abs. 1 DSG), welcher jedenfalls einem Feststellungsabspruch zugänglich ist (§ 24 DSG).Festzuhalten ist, dass ein Verstoß gegen den Grundsatz der Rechtmäßigkeit der Datenverarbeitung auch eine Verletzung im Recht auf Geheimhaltung zur Folge hat (Paragraph eins, Absatz eins, in Verbindung mit Paragraph 4, Absatz eins, DSG), welcher jedenfalls einem Feststellungsabspruch zugänglich ist (Paragraph 24, DSG). Wenn der Spruch eines Bescheids in einem Beschwerdeverfahren nämlich ausschließlich Anweisungen nach Art. 58 Abs. 2 DSGVO enthalten könnte, wäre im Ergebnis kein Raum für § 24 Abs. 2 Z 5 und 24 Abs. 5 DSG.Wenn der Spruch eines Bescheids in einem Beschwerdeverfahren nämlich ausschließlich Anweisungen nach Artikel 58, Absatz 2, DSGVO enthalten könnte, wäre im Ergebnis kein Raum für Paragraph 24, Absatz 2, Ziffer 5, und 24 Absatz 5, DSG. Somit ist die Feststellungskompetenz der Datenschutzbehörde im gegenständlichen Beschwerdeverfahren gegeben. D.2.
Prüfung der Grundsätze für die Verarbeitung personenbezogener Daten Soweit die Erstbeschwerdegegnerin - gestützt auf eine diesbezügliche Anfragebeantwortung des Bundesministers für Arbeit und Wirtschaft vom
November 2022, ergänzt mit Schreiben vom
Jänner 2023 - die Rechtsansicht vertritt, dass die Ausübung des Adresshandels nach § 151 GewO, für welchen sie - wie festgestellt - ebenfalls eine Gewerbeberechtigung verfügt - auch die Übermittlung von Adressdaten zu Bonitätszwecken umfasse, konnte dies aus nachfolgenden Erwägung nicht verfangen (vgl. das Erkenntnis des BVwG vom 27.05.2025, W605 2270910-1/11E; W605 2271598-1/11E):Soweit die Erstbeschwerdegegnerin - gestützt auf eine diesbezügliche Anfragebeantwortung des Bundesministers für Arbeit und Wirtschaft vom
November 2022, ergänzt mit Schreiben vom
Jänner 2023 - die Rechtsansicht vertritt, dass die Ausübung des Adresshandels nach Paragraph 151, GewO, für welchen sie - wie festgestellt - ebenfalls eine Gewerbeberechtigung verfügt - auch die Übermittlung von Adressdaten zu Bonitätszwecken umfasse, konnte dies aus nachfolgenden Erwägung nicht verfangen vergleiche das Erkenntnis des BVwG vom 27.05.2025, W605 2270910-1/11E; W605 2271598-1/11E): Das Recht der Adressverlage und Direktmarketingunternehmen, Daten Dritter zu verwenden bzw. zu übermitteln, ist auf Marketingdaten beschränkt; jede Datenverwendung über diesen Zweck hinaus ist nicht umfasst (Riesz in Ennöckl/Raschauer/Wessely, GewO § 151 [Stand 01.01.2015, rdb.at] Rn 4). Daher dürfen Daten von Adressverlagen und Direktmarketingunternehmen nicht etwa zur Prüfung eines Vertragsschlusses oder der Bonität (vgl. § 152) benutzt werden (Riesz in Ennöckl/Raschauer/Wessely, GewO § 151 [Stand 01.01.2015, rdb.at] Rn 4).Das Recht der Adressverlage und Direktmarketingunternehmen, Daten Dritter zu verwenden bzw. zu übermitteln, ist auf Marketingdaten beschränkt; jede Datenverwendung über diesen Zweck hinaus ist nicht umfasst (Riesz in Ennöckl/Raschauer/Wessely, GewO Paragraph 151, [Stand 01.01.2015, rdb.at] Rn 4). Daher dürfen Daten von Adressverlagen und Direktmarketingunternehmen nicht etwa zur Prüfung eines Vertragsschlusses oder der Bonität vergleiche Paragraph 152,) benutzt werden (Riesz in Ennöckl/Raschauer/Wessely, GewO Paragraph 151, [Stand 01.01.2015, rdb.at] Rn 4). Mit dieser Restriktion soll verhindert werden, dass derartige, nicht auf gesicherten Tatsachen beruhende Informationen etwa zum Zwecke der Beurteilung der Bonität bestimmter Personen herangezogen und folglich Geheimhaltungsinteressen solcher Personen verletzen werden (Riesz in Ennöckl/Raschauer/Wessely, GewO § 151 [Stand 01.01.2015, rdb.at] Rn 28).Mit dieser Restriktion soll verhindert werden, dass derartige, nicht auf gesicherten Tatsachen beruhende Informationen etwa zum Zwecke der Beurteilung der Bonität bestimmter Personen herangezogen und folglich Geheimhaltungsinteressen solcher Personen verletzen werden (Riesz in Ennöckl/Raschauer/Wessely, GewO Paragraph 151, [Stand 01.01.2015, rdb.at] Rn 28). Im Vergleich zur ursprünglichen Ermittlung im Rahmen des Gewerbes als Adressverlag, stellt die Weiterverarbeitung durch die Erstbeschwerdegegnerin nunmehr zu Zwecken der Bonitätsbeurteilung eine Zweckänderung dar. Eine solche Änderung des Verarbeitungszwecks ist nur unter den in Art. 5 Abs. 1 und lit. b iVm Art. 6 Abs. 4 DSGVO genannten Voraussetzungen zulässig.Im Vergleich zur ursprünglichen Ermittlung im Rahmen des Gewerbes als Adressverlag, stellt die Weiterverarbeitung durch die Erstbeschwerdegegnerin nunmehr zu Zwecken der Bonitätsbeurteilung eine Zweckänderung dar. Eine solche Änderung des Verarbeitungszwecks ist nur unter den in Artikel 5, Absatz eins und Litera b, in Verbindung mit Artikel 6, Absatz 4, DSGVO genannten Voraussetzungen zulässig. Grundsätzlich besagt der Grundsatz der Zweckbindung (Art. 5 Abs. 1 lit b DSGVO), dass personenbezogene Daten (nur) für festgelegte, eindeutige und legitime Zwecke erhoben (Zweckbindung bei der erstmaligen Datenverarbeitung) und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen.Grundsätzlich besagt der Grundsatz der Zweckbindung (Artikel 5, Absatz eins, Litera b, DSGVO), dass personenbezogene Daten (nur) für festgelegte, eindeutige und legitime Zwecke erhoben (Zweckbindung bei der erstmaligen Datenverarbeitung) und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen. Da bereits eine Verletzung von Art. 5 Abs. 1 lit b DSGVO durch die Nichtentsprechung des Zweckbindungsgrundsatzes zu bejahen war (vgl. Punkt D.1.), kann eine Prüfung auch der Rechtmäßigkeit gemäß Art. 6 Abs. 1 DSGVO dahingestellt bleiben, da die Datenverarbeitung (Übermittlung) im Ergebnis jedenfalls nicht rechtmäßig war (vgl. hierzu das Erkenntnis des BVwG vom 27.05.2025, W605 2270910-1/11E; W605 2271598-1/11E).Da bereits eine Verletzung von Artikel 5, Absatz eins, Litera b, DSGVO durch die Nichtentsprechung des Zweckbindungsgrundsatzes zu bejahen war vergleiche Punkt D.1.), kann eine Prüfung auch der Rechtmäßigkeit gemäß Artikel 6, Absatz eins, DSGVO dahingestellt bleiben, da die Datenverarbeitung (Übermittlung) im Ergebnis jedenfalls nicht rechtmäßig war vergleiche hierzu das Erkenntnis des BVwG vom 27.05.2025, W605 2270910-1/11E; W605 2271598-1/11E). Es war daher spruchgemäß stattzugeben. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.914.457

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.