← Österreich

{'item': '2025-0.950.759'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum24.11.2025 Geschäftszahl2025-0.950.759 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2025-0.950.759 vom

  1. November 2025 (Verfahrenszahl: DSB-D124.1244/25) [Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] BESCHEID SPRUCH Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Viktor A*** (beschwerdeführende Partei) vom
  2. Mai 2025 gegen die N*** Aktiengesellschaft (Beschwerdegegnerin), anwaltlich vertreten durch L*** Rechtsanwälte GmbH, wegen einer Verletzung der Grundsätze der Datenverarbeitung personenbezogener Daten gemäß Art. 5 DSGVO und Verletzung im Recht auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO wie folgt:Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Viktor A*** (beschwerdeführende Partei) vom
  3. Mai 2025 gegen die N*** Aktiengesellschaft (Beschwerdegegnerin), anwaltlich vertreten durch L*** Rechtsanwälte GmbH, wegen einer Verletzung der Grundsätze der Datenverarbeitung personenbezogener Daten gemäß Artikel 5, DSGVO und Verletzung im Recht auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gemäß Artikel 25, DSGVO wie folgt:
  4. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die BG die bP dadurch in den Grundsätzen der Datenverarbeitung personenbezogener Daten gemäß Art. 5 DSGVO verletzt hat, indem diese eine geschlechtsspezifische Anrede im Rahmen des Registrierungsprozesses beim Online-Shop mit deren Account verknüpft hat. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die BG die bP dadurch in den Grundsätzen der Datenverarbeitung personenbezogener Daten gemäß Artikel 5, DSGVO verletzt hat, indem diese eine geschlechtsspezifische Anrede im Rahmen des Registrierungsprozesses beim Online-Shop mit deren Account verknüpft hat.
  5. Im Übrigen wird die Beschwerde abgewiesen. Rechtsgrundlagen: Art. 4, Art. 5, Art. 6, Art. 25, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 4,, Artikel 5,, Artikel 6,, Artikel 25,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. BEGRÜNDUNG A. Vorbringen der Parteien und Verfahrensgang Anmerkung der Datenschutzbehörde zum Verfahrensgang: Der Verfahrensgang stellt kein rechtlich zwingendes Element dar, sondern ist fakultativ. Es bedarf daher im Allgemeinen keiner gesonderten Anführung des Parteivorbringens in der Bescheidbegründung (vgl. Hengstschläger/Leeb, AVG § 60 Rz 22 (Stand 1.3.2023, rdb.at)).Anmerkung der Datenschutzbehörde zum Verfahrensgang: Der Verfahrensgang stellt kein rechtlich zwingendes Element dar, sondern ist fakultativ. Es bedarf daher im Allgemeinen keiner gesonderten Anführung des Parteivorbringens in der Bescheidbegründung vergleiche Hengstschläger/Leeb, AVG Paragraph 60, Rz 22 (Stand 1.3.2023, rdb.at)). Das Verfahren wurde aufgrund einer Datenschutzbeschwerde von Viktor A*** (beschwerdeführende Partei - in Folge: bP) vom
  6. Mai 2025 gegen die anwaltlich vertretene N*** Aktiengesellschaft (Beschwerdegegnerin – in Folge: BG) eingeleitet. Den Verfahrensparteien wurde im Zuge des Ermittlungsverfahrens die Möglichkeit eingeräumt, zum jeweils anderen Vorbringen Stellung zu nehmen. B. Beschwerdegegenstand Beschwerdegegenstand ist die Frage, ob die BG bei der Verarbeitung der personenbezogenen Daten der betroffenen Person gegen die Grundsätze der Verarbeitung gemäß Art. 5 DSGVO verstoßen hat und ob sie zudem die bP im Recht auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO verletzt hat, indem sie im Rahmen des Registrierungsprozesses das Datum der geschlechtsspezifischen Anrede mit den Daten der bP verarbeitet hat. Beschwerdegegenstand ist die Frage, ob die BG bei der Verarbeitung der personenbezogenen Daten der betroffenen Person gegen die Grundsätze der Verarbeitung gemäß Artikel 5, DSGVO verstoßen hat und ob sie zudem die bP im Recht auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gemäß Artikel 25, DSGVO verletzt hat, indem sie im Rahmen des Registrierungsprozesses das Datum der geschlechtsspezifischen Anrede mit den Daten der bP verarbeitet hat. C. Sachverhaltsfeststellungen
  7. Bei der BG handelt es sich um eine juristische Person in Form einer Aktiengesellschaft mit der Firmenbuchnummer < FN *4*1*99z > und der UID-Nummer < ATU 1*77*8* > sowie der Geschäftsanschrift < M***platz *6/*0, **** B***stadt >. Der Unternehmensgegenstand der BG ist Einzelhandel mit Waren aller Art.
  8. Bei der BG handelt es sich um eine juristische Person in Form einer Aktiengesellschaft mit der Firmenbuchnummer < FN *4*1*99z > und der UID-Nummer < ATU 1*77*8* > sowie der Geschäftsanschrift < M***platz *6/*0, **** B***stadt >. Der Unternehmensgegenstand der BG ist Einzelhandel mit Waren aller "Art". Screenshot vom amtswegig durchgeführten Firmenbuchauszug der BG vom
  9. November 2025 (Formatierung nicht 1:1 dargestellt.): [Anmerkung Bearbeiter/in: Der an dieser Stelle im Original als Faksimile (grafische Datei) wiedergegebene Firmenbuchauszug kann mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt. Er enthält die oben festgestellten Daten.] Beweiswürdigung: Diese Feststellungen ergeben sich aus der verfahrenseinleitenden Eingabe vom
  10. Mai 2025 der bP sowie der Stellungnahme vom
  11. Juni 2025 der BG und dem amtswegig durchgeführten Firmenbuchauszug bezüglich der BG vom
  12. November
  13. Der Firmenbuchauszug liegt dem Verfahrensakt bei.
  14. Die BG betreibt einen Online-Shop mit der Bezeichnung < N*** Online Shop >, über den Waren sowohl im Rahmen einer Gastbestellung als auch über ein optionales Kundenkonto bestellt werden können. Die Daten, die die bP beim Registrierungsprozess angegeben hat, werden unter anderem für folgende Zwecke verwendet: Bereitstellung des Online-Kontos, Zugänglichmachung des Kundenprofils, Nutzung des Online-Shops, Zustellung von Lieferungen, Zahlungsabwicklung, Rückfragen im Zusammenhang mit dem Konto und/oder aufgegebenen Bestellungen, Information über Änderungen der AGB oder Datenschutzhinweise, interne statistische Marktforschung, Werbung und Marktforschung, Zusendung des Newsletters, Zusendung von Produktempfehlungen sowie Zusendung von Informationen. Für die Abwicklung von Online-Bestellungen werden neben dem Vor- und Nachnamen ebenfalls die Rechnung- und die Lieferadresse sowie die Zahlungsdaten benötigt. Screenshot der Datenschutzerklärung vom
  15. November 2025 (Formatierung nicht 1:1 wiedergegeben.): [Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Screenshot in einem grafischen Format dargestellte Datenschutzerklärung wurde in Text umgewandelt und wird hier, grafisch an das Original angenähert, pseudonymisiert wiedergegeben.] „
  16. Datenverarbeitung für die Erfüllung eines Vertrags (z.B. N*** Online Shop) gemäß Art 6 Abs 1 lit b DSGVOgemäß Artikel 6, Absatz eins, Litera b, DSGVO 5.
  17. Erhebung von und Umgang mit personenbezogenen Daten im Rahmen des N*** Kundenkontos Unseren Kunden bieten wir die Möglichkeit, über ein persönliches Kundenkonto bestimmte Dienstleistungen zu nutzen. Vor der ersten Nutzung müssen Sie sich einmalig neu registrieren. Nach dem Absenden der Registrierung erhalten Sie ein sogenanntes Double-Opt-in E-Mail in dem Sie Ihre E-Mail Adresse bestätigen müssen. Das Double Opt-in ist ein zweistufiges Verfahren, mit dem Ziel, Missbrauch im Namen Dritter zu verhindern, da nur der Inhaber des E-Mail-Postfachs die Verifizierung durchführen kann. Erst dann ist Ihre Registrierung vollständig abgeschlossen und Sie können sich in Ihr neues N*** Konto einloggen. Hierfür benötigen wir von Ihnen folgende Angaben:  Vorname, Nachname,  E-Mail-Adresse Für die Abwicklung von Bestellungen im Online Shop benötigen wir von Ihnen zusätzlich folgende Angaben:  Rechnungsadresse (ggf. Firma und Adresszusatz, Straße, Hausnummer, PLZ, Ort)  Lieferadresse (Vorname, Nachname, ggf. Firma und Adresszusatz, Straße, Hausnummer, PLZ, Ort, Mobilfunknummer)  Zahlungsdaten (Kreditkartendaten, Bankverbindungsdaten) Ihrem Kundenkonto wird zudem automatisch eine Kundenummer zugeordnet. Darüber hinaus können Sie auf freiwilliger Basis folgende Angaben in Ihrem Kundenkonto ergänzen:  Mobilfunknummer  Geburtsdatum  PLZ, Ort  „Meine Produkte“ (zeigt favorisierte Produkte sowie bereits gekaufte Produkte) Daten, die der Nutzer im Rahmen der Registrierung und bei Bestellungen im N*** Online Shop an N*** übermittelt, verwendet N*** zu folgenden Zwecken:  Bereitstellung des Online Kontos  Zugänglichmachung des Kundenprofils auf unserer Website  Nutzung des N*** Online Shops unter shop.n*** at  Zustellung von Lieferungen  Zahlungsabwicklung  Rückfragen im Zusammenhang mit dem Kundenkonto und/oder aufgegebenen Bestellungen des Nutzers  Information über Änderungen der AGB oder Datenschutzhinweise  interne statistische Marktforschung  Werbung und Marktforschung für persönlich auf den Nutzer zugeschnittene Angebote, soweit der Nutzer hierin eingewilligt hat  Zusendung des Newsletters, sofern ausdrücklich bestellt  Zusendung von Produktempfehlungen für eigene ähnliche Angebote, sofern nicht ausdrücklich unerwünscht  Zusendung von Informationen, soweit ausdrücklich angefordert“ 2.
  18. Die bP hat sich am
  19. September 2023 im Online-Shop der BG registriert und verfügt über das Kundenkonto mit der Mitgliedsnummer < *5*4*3*90 >. Im Rahmen des Registrierungsprozesses sind von dieser personenbezogene Daten erhoben worden, darunter auch das Datum der geschlechtsspezifischen Anrede. Als Anrede sind nur zwei Auswahlmöglichkeiten < Herr > und < Frau > zur Verfügung gestanden. Die Option, keine Anrede auszuwählen, hat nicht bestanden. Die bP hat die Anrede < Frau > im Rahmen des Registrierungsprozesses ausgewählt. Das Benutzer*innenprofil der bP stellt sich grafisch wie folgt dar (Formatierung nicht 1:1 dargestellt.): [Anmerkung Bearbeiter/in: Der an dieser Stelle im Original als Faksimile (grafische Datei) wiedergegebene Screenshot kann mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt. Er enthält das von der bfP gewählte Pseudonym „Golden D***“ sowie die gewählte Anrede „Frau“ mit der einzigen alternativen Option „Herr“.] 2.
  20. Am
  21. September 2023 teilte die bP der BG diesen Umstand mit und forderte diese mit ergänzender E-Mail vom
  22. Oktober 2023 auf, geschlechtsspezifische Anreden bezüglich ihrer Person zu unterlassen. Screenshot der E-Mail vom
  23. September 2023 an die BG (Formatierung nicht 1:1 dargestellt.): [Anmerkung Bearbeiter/in: Der im Original an dieser Stelle als Faksimiles im grafischen Format PNG dargestellte E-Mail-Wechsel wurde in Text umgewandelt und wird hier (unter Weglassung unwesentlicher Elemente wie Grafiken, Unternehmenslogos etc.) pseudonymisiert und leicht gekürzt wiedergegeben.] „Von: "Golden D***" <hello@goldend***.org> Gesendet: 18.09.2023 17:**:** An: "N*** Kundenservice" <kundenservice@n***.at> cc: Betreff: [*5*6*7*88*3*2*1] Problem bei Bestellung im Online Shop CAUTION: This email originated from outside of the organization. Do not click links or open attachments unless you recognize the sender and know the content is safe. If you are unsure or already opened a link or attachment please contact your local IT helpdesk.CAUTION: This email originated from outside of the organization. Do not click links or open attachments unless you recognize the sender and know the content is safe. römisch eins f you are unsure or already opened a link or attachment please contact your local IT helpdesk. Guten Tag. ich wollte gerade online bestellen, habe aber leider festgestellt, dass bei der dafür notwendigen Registrierung die Anrede ein Pflichtfeld ist, bei dem nur aus "Herr" oder "Frau" ausgewählt werden kann. Wie kann ich ohne Anrede etwas bestellen? Viele Grüße Golden D***“ Screenshot der E-Mail vom
  24. Oktober 2023 von der bP an die BG (Formatierung nicht 1:1 dargestellt.): „Antrag auf Korrektur vom 09.10.2023 Golden D*** <hello@goldend***.org> Mon, 9 Oct 2023, 15:** to N*** Guten Tag Roger C***, vielen Dank für Ihre Nachricht. Ich habe mich nun mit meiner E-Mail-Adresse unter Angabe einer falschen Anrede registriert (Mitglieds-Nr. *5*4*3*90). Ich fordere Sie hiermit auf, die zu meiner Person gespeicherte Anrede auf eine geschlechtsneutrale Anrede zu ändern. Darüber hinaus fordere ich Sie auf, es künftig zu unterlassen, geschlechtsspezifische Anreden zu meiner Person grundsätzlich (z.B. im Online-Portal) sowie im Zusammenhang mit der Erbringung von Dienstleistungen zu benutzen (z.B. Bestellung 7*3*3*222*1). Mit freundlichen Grüßen Golden D***“ 2.
  25. Die BG hat der bP daraufhin zugesichert, die zuständige Fachabteilung zu informieren und in weiterer Folge mitgeteilt, dass die Umsetzung einer entsprechenden Anpassung derzeit technisch nicht möglich ist, aber an einer Lösung gearbeitet wird. Screenshot der E-Mail vom
  26. Oktober 2023 von der BG an die bP (Formatierung nicht 1:1 dargestellt.): „OSD-*4*5*9 N*** Onlineshop Rückmeldung External N*** Onlineshop <onlineshop@N***.at> Mon, 9 Oct 2023, 15:** to hello@goldend***.org Sehr geehrte Kundin, Sehr geehrter Kunde, vielen Dank für Ihre Geduld und entschuldigen Sie bitte die verspätete Rückmeldung. Wir sind stets bemüht unsere Kundenanfragen so rasch als möglich zu beantworten, jedoch kommt es derzeit aufgrund vermehrter Anfragen zu etwas längeren Wartezeiten. Wir haben Ihr Anliegen über unsere Fachabteilung mittlerweile prüfen lassen. Aktuell ist es leider noch nicht möglich, weitere Geschlechter als Auswahl in unserem Onlineshop zu verwenden. Natürlich haben wir Ihren Verbesserungsvorschlag bereits an die zuständigen Stellen weitergeleitet, um dies in etwaige zukünftige Optimierungen einfließen lassen zu können. Eine kurzfristige Umsetzung ist leider nicht möglich. Wir möchten Sie bitte um Ihr Verständnis ersuchen! Ihre Zufriedenheit als Kund:in ist uns ein besonderes Anliegen - bitte lassen Sie uns weiterhin an Ihren Anregungen, Wünschen und Kritik teilhaben. Sie helfen uns damit, unseren Service stetig zu optimieren. Wir wünschen Ihnen noch einen angenehmen Tag. Mit freundlichen Grüßen, Roger C*** Ihr N*** Kundenservice N*** AG M***platz *6/*0 A-**** B***stadt Firmenbuch: LG I***burg, FN *4*1*99z“ Screenshot der E-Mail vom
  27. Juni 2024 von der BG an die bP (Formatierung nicht 1:1 dargestellt.): „OSD-*4*5*9 Kundenfeedback External Inbox x N*** Kundenservice <kundenservice@N***.at> Fri, 21 Jun 2024, 11:** to hello@goldend***.org Hallo Golden D***, vielen Dank für Ihre Nachricht. Unsere IT arbeitet aktuell an einer Lösung, dies ist jedoch aufgrund der Komplexibilität ein recht aufwendiger Prozess und Eingriff in unsere Systeme. Die Kolleg:innen arbeiten daran, um auch hier so schnell wie möglich all unsere Kund:innen in der Anrede ansprechen zu können. Wir bitten daher noch um Geduld und verbleiben mit freundlichen Grüßen, Josefa W*** Ihr N*** Kundenservice N*** AG M***platz *6/*0 A-**** B***stadt Firmenbuch: LG I***burg, FN *4*1*99z [hier gekürzt, Kontaktdaten] 2.
  28. Die bP hat von der BG unter anderem am
  29. Mai 2025 einen Newsletter erhalten, wofür eine geschlechtsspezifische Anrede (gegenständlich < Frau >) verwendet worden ist. Newsletter vom
  30. Mai 2025, welcher von der BG per E-Mail an die bP versendet worden ist (Formatierung nicht 1:1 dargestellt.): [Anmerkung Bearbeiter/in: Der an dieser Stelle im Original als Screenshot (grafische Datei) wiedergegebene Kopf eines Newsletters kann mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt. Er enthält die Anrede „Sehr geehrte Frau Golden D***!] Beweiswürdigung: Diese Feststellungen beruhen auf der verfahrenseinleitenden Eingabe vom
  31. Mai 2025 der bP sowie der Stellungnahme vom
  32. Juni 2025 der BG und dem amtswegig durchgeführten Firmenbuchauszug bezüglich der BG vom
  33. November
  34. Der Firmenbuchauszug liegt dem Verfahrensakt bei. Die Feststellung, dass die BG im Rahmen des Registrierungsprozesses für ihren Online-Shop eine geschlechtsspezifische Anrede abfragt, ergibt sich zum einen aus den übermittelten Screenshots der bP im Rahmen der verfahrenseinleitenden Eingabe vom
  35. Mai 2025, zum anderen aus der Stellungnahme der BG vom
  36. Juni 2025, in welcher diese selbst einräumt, dass diese bereits - sofern es technisch und wirtschaftlich möglich ist - geschlechtsneutrale Anreden verwendet, jedoch noch nicht beim Registrierungsprozess für ihren Online-Shop. Die Feststellungen hinsichtlich der Zwecke der Verarbeitung sowie der benötigten Daten für eine Warenbestellung ergeben sich aus der Stellungnahme vom
  37. Juni 2025 der BG sowie einer amtswegigen Recherche vom
  38. November 2025 auf der Homepage der BG unter der URL https://shop.n***.at/***/datenschutz***.
  39. Die BG hat während des laufenden Verfahrens vor der Datenschutzbehörde eine Umstrukturierung ihres IT-Systems vorgenommen. Mit Stellungnahme vom
  40. September 2025 gab diese bekannt, dass die Systemumstellung zur geschlechtsneutralen Registrierung im Online-Shop nunmehr abgeschlossen ist. Screenshot der Stellungnahme vom
  41. September 2025 (Formatierung nicht 1:1 dargestellt.): [Anmerkung Bearbeiter/in: Der im Original an dieser Stelle als Faksimile im grafischen Format PNG dargestellte Schriftsatz wurde in Text umgewandelt und wird hier pseudonymisiert wiedergegeben.] „GZ: D124.1244/25 2025-0.504.889 Wien, 8.9.2025 Via E-Mail: dsb@dsb.gv.at Betrifft: Ergänzende Stellungnahme zur Datenschutzbeschwerde von Viktor A*** Sehr geehrte Frau Mag H***! Wir beziehen uns auf Ihre Aufforderung zur Stellungnahme vom 26.6.2025, die unserer Mandantin, der N*** Aktiengesellschaft ("N***"), am 1.7.2025 zugestellt wurde. Gerne nehmen wir hierzu fristgerecht im Namen und Auftrag unserer Mandantin wie folgt Stellung: Die zeit- und kostenintensive Systemumstellung zur geschlechtsneutralen Registrierung im Online-Shop unserer Mandantin ist abgeschlossen. Beweis: Screenshots N*** Website (Blg ./1). Die geschlechtsneutrale Anrede ist nunmehr auch in diesem letzten Bereich umgesetzt und somit flächendeckend gewährleistet. Wir stellen daher den Antrag, die Beschwerde der beschwerdeführenden Person abzuweisen.“ Screenshot vom nunmehrigen Benutzeraccount ohne geschlechtsspezifische Anrede (Formatierung nicht 1:1 wiedergegeben.): [Anmerkung Bearbeiter/in: Der an dieser Stelle im Original als Faksimile (grafische Datei) wiedergegebene Screenshot kann mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt. Er enthält nunmehr kein Feld zur Erfassung geschlechtsspezifischer Daten mehr.] Beweiswürdigung: Diese Feststellungen ergeben sich aus der Stellungnahme vom
  42. September 2025 der BG, welche im Rahmen des Parteiengehörs vom
  43. September 2025 von der bP nicht bestritten worden sind. D. In rechtlicher Hinsicht folgt daraus: D.
  44. Allgemein Gemäß Art. 77 Abs. 1 DSGVO bzw. § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO bzw. gegen § 1 des ersten Hauptstücks des DSG verstößt.Gemäß Artikel 77, Absatz eins, DSGVO bzw. Paragraph 24, Absatz eins, DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO bzw. gegen Paragraph eins, des ersten Hauptstücks des DSG verstößt. Gemäß Art. 4 Z 1 DSGVO bezeichnet der Ausdruck „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.Gemäß Artikel 4, Ziffer eins, DSGVO bezeichnet der Ausdruck „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind. Als Verarbeitung wird jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten verstanden, wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (vgl. Art. 4 Z 2 DSGVO).Als Verarbeitung wird jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten verstanden, wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung vergleiche Artikel 4, Ziffer 2, DSGVO). Verantwortlicher gemäß Art. 4 Z 7 DSGVO ist dabei jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Entscheidendes Kriterium ist somit die Entscheidungsgewalt über Zweck und Mittel der Verarbeitung. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Unstrittig ist die BG die Verantwortliche.Verantwortlicher gemäß Artikel 4, Ziffer 7, DSGVO ist dabei jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Entscheidendes Kriterium ist somit die Entscheidungsgewalt über Zweck und Mittel der Verarbeitung. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Unstrittig ist die BG die Verantwortliche. Im gegenständlichen Fall ist der Anwendungsbereich der Datenschutzgrundverordnung (DSGVO) eröffnet, weil die BG unstrittig als datenschutzrechtliche Verantwortliche gemäß Art. 4 Z 7 DSGVO die personenbezogenen Daten der bP gemäß Art. 4 Z 1 DSGVO im Zuge des Registrierungsprozesses bei deren Online-Shop mit einer im Kundendatensatz der bP vorgegebenen geschlechtsspezifischen Anrede (konkret mit den Anredemöglichkeiten < Herr > oder < Frau >) verknüpft hat (vgl. hierzu in einem ähnlichen gelagerten Sachverhalt EuGH vom
  45. Juli 2024 zu C-394/23, Rz 22). Der Verknüpfungsvorgang stellt jedenfalls einen Verarbeitungsprozess dar.Im gegenständlichen Fall ist der Anwendungsbereich der Datenschutzgrundverordnung (DSGVO) eröffnet, weil die BG unstrittig als datenschutzrechtliche Verantwortliche gemäß Artikel 4, Ziffer 7, DSGVO die personenbezogenen Daten der bP gemäß Artikel 4, Ziffer eins, DSGVO im Zuge des Registrierungsprozesses bei deren Online-Shop mit einer im Kundendatensatz der bP vorgegebenen geschlechtsspezifischen Anrede (konkret mit den Anredemöglichkeiten < Herr > oder < Frau >) verknüpft hat vergleiche hierzu in einem ähnlichen gelagerten Sachverhalt EuGH vom
  46. Juli 2024 zu C-394/23, Rz 22). Der Verknüpfungsvorgang stellt jedenfalls einen Verarbeitungsprozess dar. Nach der gefestigten Rechtsprechung des EuGH muss die Datenverarbeitung zu jeder Zeit, um rechtmäßig iSd DSGVO zu sein, allen in Art. 5 Abs. 1 DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand nach Art. 6 Abs. 1 DSGVO gestützt werden können (siehe das Urteil vom
  47. Dezember 2019 C-708/17 bzw. Urteil vom
  48. Mai 2023, C-60/22, Rz 56 und 57). Den Verantwortlichen trifft dafür die Beweislast gemäß Art. 5 Abs. 2 DSGVO (ebd. Rz 53 und 54).Nach der gefestigten Rechtsprechung des EuGH muss die Datenverarbeitung zu jeder Zeit, um rechtmäßig iSd DSGVO zu sein, allen in Artikel 5, Absatz eins, DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand nach Artikel 6, Absatz eins, DSGVO gestützt werden können (siehe das Urteil vom
  49. Dezember 2019 C-708/17 bzw. Urteil vom
  50. Mai 2023, C-60/22, Rz 56 und 57). Den Verantwortlichen trifft dafür die Beweislast gemäß Artikel 5, Absatz 2, DSGVO (ebd. Rz 53 und 54). D.
  51. Prüfgegenstand Einleitend ist auszuführen, dass nach der ständigen Rechtsprechung des VwGH Parteienerklärungen (also auch Anbringen) im Verfahren ausschließlich nach ihrem objektiven Erklärungswert auszulegen sind (vgl. VwGH 06.11.2006, 2006/09/0094; 05.09.2008, 2005/12/0068; 03.10.2013, 2012/06/0185).Einleitend ist auszuführen, dass nach der ständigen Rechtsprechung des VwGH Parteienerklärungen (also auch Anbringen) im Verfahren ausschließlich nach ihrem objektiven Erklärungswert auszulegen sind vergleiche VwGH 06.11.2006, 2006/09/0094; 05.09.2008, 2005/12/0068; 03.10.2013, 2012/06/0185). Entscheidend ist, wie die Erklärung (vgl. VwGH
  52. Juli 2000, 94/09/0308;
  53. Jänner 2003, 2001/14/0229;
  54. Juni 2004, 2004/04/0014) unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszwecks und der Aktenlage objektiv verstanden werden muss (VwGH
  55. Jänner 1994, 93/10/0192; 06.11.2001, 97/18/0160;
  56. Jänner 2011, 2009/08/0058; vgl. auch VfSlg 17.082/2003) (vgl. Hengstschläger/Leeb, AVG § 13 Rz 38 (Stand 1.1.2014, rdb.at)).Entscheidend ist, wie die Erklärung vergleiche VwGH
  57. Juli 2000, 94/09/0308;
  58. Jänner 2003, 2001/14/0229;
  59. Juni 2004, 2004/04/0014) unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszwecks und der Aktenlage objektiv verstanden werden muss (VwGH
  60. Jänner 1994, 93/10/0192; 06.11.2001, 97/18/0160;
  61. Jänner 2011, 2009/08/0058; vergleiche auch VfSlg 17.082 aus 2003,) vergleiche Hengstschläger/Leeb, AVG Paragraph 13, Rz 38 (Stand 1.1.2014, rdb.at)). Verfahrensgegenständlich wird von der bP in ihrer verfahrenseinleitenden Eingabe vom
  62. Mai 2025 vorgebracht, dass diese sich in den Grundsätzen der Datenverarbeitung ihrer personenbezogenen Daten gemäß Art. 5 DSGVO, im Recht auf Berichtigung gemäß Art. 16 DSGVO, im Recht auf Löschung gemäß Art. 17 DSGVO sowie im Recht auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO als verletzt erachtet.Verfahrensgegenständlich wird von der bP in ihrer verfahrenseinleitenden Eingabe vom
  63. Mai 2025 vorgebracht, dass diese sich in den Grundsätzen der Datenverarbeitung ihrer personenbezogenen Daten gemäß Artikel 5, DSGVO, im Recht auf Berichtigung gemäß Artikel 16, DSGVO, im Recht auf Löschung gemäß Artikel 17, DSGVO sowie im Recht auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gemäß Artikel 25, DSGVO als verletzt erachtet. Hierzu wird von der Datenschutzbehörde angemerkt, dass der österreichische Gesetzgeber mit der Bestimmung des § 24 Abs. 6 DSG für Verantwortliche der Datenverarbeitung die Möglichkeit geschaffen hat, im Falle von antragsbedürftigen Rechten (d.h. etwa beim Recht auf Berichtigung bzw. Recht auf Löschung) die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich zu beseitigen, indem sie den Anträgen der bP entspricht.Hierzu wird von der Datenschutzbehörde angemerkt, dass der österreichische Gesetzgeber mit der Bestimmung des Paragraph 24, Absatz 6, DSG für Verantwortliche der Datenverarbeitung die Möglichkeit geschaffen hat, im Falle von antragsbedürftigen Rechten (d.h. etwa beim Recht auf Berichtigung bzw. Recht auf Löschung) die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich zu beseitigen, indem sie den Anträgen der bP entspricht. Die Rechte auf Berichtigung oder Löschung schaffen jeweils einen Anspruch auf eine bestimmte Leistung. Bildet eine dieser Leistungen den Gegenstand des Antrags der bP, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass die BG die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem diese den Anträgen der bP entspricht. Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung bzw. in den Grundsätzen der Datenverarbeitung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. Eine erfolgte Verletzung durch eine unzulässige Verarbeitung kann auch nicht durch eine Handlung (hier: Berichtigung oder Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann (vgl. die Entscheidung des VwGH vom
  64. Oktober 2022 zu GZ Ro 2022/04/0001 bzw. Erkenntnis des BVwG vom
  65. Oktober 2024 zu GZ W101 2256689-
  66. Die inhaltlichen Überlegungen betreffend die Rechtsverletzung in der Vergangenheit können vom Recht auf Geheimhaltung auf Verletzung in Art. 5 DSGVO übertragen werden.Die Rechte auf Berichtigung oder Löschung schaffen jeweils einen Anspruch auf eine bestimmte Leistung. Bildet eine dieser Leistungen den Gegenstand des Antrags der bP, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. Paragraph 24, Absatz 6, DSG sieht dementsprechend vor, dass die BG die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem diese den Anträgen der bP entspricht. Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung bzw. in den Grundsätzen der Datenverarbeitung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. Eine erfolgte Verletzung durch eine unzulässige Verarbeitung kann auch nicht durch eine Handlung (hier: Berichtigung oder Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann vergleiche die Entscheidung des VwGH vom
  67. Oktober 2022 zu GZ Ro 2022/04/0001 bzw. Erkenntnis des BVwG vom
  68. Oktober 2024 zu GZ W101 2256689-
  69. Die inhaltlichen Überlegungen betreffend die Rechtsverletzung in der Vergangenheit können vom Recht auf Geheimhaltung auf Verletzung in Artikel 5, DSGVO übertragen werden. Verfahrensgegenständlich hat die BG den beantragten Betroffenenrechten der bP entsprochen und diese hat im Rahmen des ihr eingeräumten Parteiengehörs vom
  70. September 2025 nicht widersprochen, dass die BG den Anträgen nachgekommen ist. Das Verfahren ist somit mit der Erledigung vom
  71. November 2025 zu GZ D124.1244/25, 2025-0.903.123 formlos - ohne Erlassung eines Bescheides - eingestellt worden. Nachdem - wie oben bereits dargelegt - das Beschwerdeverfahren hinsichtlich der geltend gemachten Betroffenenrechte mittlerweile eingestellt worden ist, beschränkt sich der nunmehrige Prüfgegenstand auf die verbleibenden Beschwerdegegenstände, und zwar zum einen auf die monierte Verletzung in den Grundsätzen der Datenverarbeitung der personenbezogenen Daten gemäß Art. 5 DSGVO, zum anderen auf das Recht auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO aufgrund des im Rahmen des Registrierungsprozesses vorgenommenen Datenverarbeitungsvorgangs der Verknüpfung des Benutzerkontos mit einer geschlechtsspezifischen Anrede.Nachdem - wie oben bereits dargelegt - das Beschwerdeverfahren hinsichtlich der geltend gemachten Betroffenenrechte mittlerweile eingestellt worden ist, beschränkt sich der nunmehrige Prüfgegenstand auf die verbleibenden Beschwerdegegenstände, und zwar zum einen auf die monierte Verletzung in den Grundsätzen der Datenverarbeitung der personenbezogenen Daten gemäß Artikel 5, DSGVO, zum anderen auf das Recht auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gemäß Artikel 25, DSGVO aufgrund des im Rahmen des Registrierungsprozesses vorgenommenen Datenverarbeitungsvorgangs der Verknüpfung des Benutzerkontos mit einer geschlechtsspezifischen Anrede. D.
  72. In der Sache D.3.
  73. Spruchpunkt I (Grundsätze der Datenverarbeitung gemäß Art. 5 DSGVO)D.3.
  74. Spruchpunkt römisch eins (Grundsätze der Datenverarbeitung gemäß Artikel 5, DSGVO) Die in Art. 5 DSGVO festgelegten allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten sind Grundbedingungen jeder Datenverarbeitung. Diese unmittelbar als Rechtssätze geltenden Grundsätze sind als zwingende rechtliche Vorgaben für die Verarbeitung personenbezogener Daten - wie sich aus dem umfassenden, in Art. 4 Z 2 DSGVO definierten Begriff der „Verarbeitung“ ergibt - bei jedem Umgang und in jeder Phase im Zusammenhang mit personenbezogenen Daten zu befolgen, im gesamten Zyklus der Datenverarbeitung vom Erheben und Speicherung über die Verwendung und Übermittlung bis zum Löschen oder der Vernichtung der Daten, nach welcher Methodik, in welchem Verfahren und mit welcher Technologie auch immer die Daten verarbeitet werden (vgl. Heberlein in Ehmann/Selmayr Kommentar zu DSGVO,
  75. Auflage, Art. 5 DSGVO, Rz 1).Die in Artikel 5, DSGVO festgelegten allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten sind Grundbedingungen jeder Datenverarbeitung. Diese unmittelbar als Rechtssätze geltenden Grundsätze sind als zwingende rechtliche Vorgaben für die Verarbeitung personenbezogener Daten - wie sich aus dem umfassenden, in Artikel 4, Ziffer 2, DSGVO definierten Begriff der „Verarbeitung“ ergibt - bei jedem Umgang und in jeder Phase im Zusammenhang mit personenbezogenen Daten zu befolgen, im gesamten Zyklus der Datenverarbeitung vom Erheben und Speicherung über die Verwendung und Übermittlung bis zum Löschen oder der Vernichtung der Daten, nach welcher Methodik, in welchem Verfahren und mit welcher Technologie auch immer die Daten verarbeitet werden vergleiche Heberlein in Ehmann/Selmayr Kommentar zu DSGVO,
  76. Auflage, Artikel 5, DSGVO, Rz 1). Nach der ständigen Rechtsprechung der Datenschutzbehörde, des Bundesverwaltungsgerichts sowie des EuGH bilden diese rechtsverbindliche Regelungen, die konkret wirksam und bei der Prüfung der Rechtmäßigkeit der Datenverarbeitung zu berücksichtigen sind. Jede Datenverarbeitung von personenbezogenen Daten muss zum einen mit den in Art. 5 der DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen den in Art. 6 der DSGVO angeführten Grundsätzen in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen (vgl. EuGH vom
  77. Juni 2021 zu C-439/19, Rn 96, EuGH vom
  78. Mai 2023, C-60/22, Rz 56 und 57 bzw. BVwG vom
  79. April 2024, W176 2266382-1).Jede Datenverarbeitung von personenbezogenen Daten muss zum einen mit den in Artikel 5, der DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen den in Artikel 6, der DSGVO angeführten Grundsätzen in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen vergleiche EuGH vom
  80. Juni 2021 zu C-439/19, Rn 96, EuGH vom
  81. Mai 2023, C-60/22, Rz 56 und 57 bzw. BVwG vom
  82. April 2024, W176 2266382-1). Verfahrensgegenständlich wird von der Datenschutzbehörde nicht verkannt, dass während des laufenden Ermittlungsverfahrens eine umfassende Systemumstellung vorgenommen worden ist, wodurch nunmehr eine geschlechtsneutrale Registrierung im Online-Shop der BG möglich ist, indem auf die geschlechtsspezifische Anrede verzichtet wird (vgl. Stellungnahme der BG vom
  83. September 2025). Im Umkehrschluss hat die BG dennoch bis zur Umstellung ihres Systems den Datensatz der bP mit einer geschlechtsspezifischen Anrede verknüpft.Verfahrensgegenständlich wird von der Datenschutzbehörde nicht verkannt, dass während des laufenden Ermittlungsverfahrens eine umfassende Systemumstellung vorgenommen worden ist, wodurch nunmehr eine geschlechtsneutrale Registrierung im Online-Shop der BG möglich ist, indem auf die geschlechtsspezifische Anrede verzichtet wird vergleiche Stellungnahme der BG vom
  84. September 2025). Im Umkehrschluss hat die BG dennoch bis zur Umstellung ihres Systems den Datensatz der bP mit einer geschlechtsspezifischen Anrede verknüpft. Der EuGH hat in der Rechtssache C-394/23 („Mousse“) vom
  85. Jänner 2025 entschieden, dass die Verarbeitung der Anrededaten zur Personalisierung der geschäftlichen Kommunikation weder für die Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO erforderlich ist noch mit dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO im Einklang steht, weil eine solche Verarbeitung nicht für die angegeben Zwecke benötigt wird.Der EuGH hat in der Rechtssache C-394/23 („Mousse“) vom
  86. Jänner 2025 entschieden, dass die Verarbeitung der Anrededaten zur Personalisierung der geschäftlichen Kommunikation weder für die Vertragserfüllung gemäß Artikel 6, Absatz eins, Litera b, DSGVO erforderlich ist noch mit dem Grundsatz der Datenminimierung gemäß Artikel 5, Absatz eins, Litera c, DSGVO im Einklang steht, weil eine solche Verarbeitung nicht für die angegeben Zwecke benötigt wird. Überträgt man die obige Judikatur auf den gegenständlichen Sachverhalt ist hierzu auszuführen, dass der bP die Registrierung im Online-Shop nur möglich gewesen ist, indem diese verpflichtend die Anrede < Frau > oder < Herr > eingegeben hat. Für den Hauptzweck - den Prozess der Abwicklung (bestehend aus der Auswahl, Bestellung, Lieferung sowie der Bezahlung) des Kaufvertrages bezüglich der bestellten Waren - des vertraglichen Verhältnisses im Rahmen des Online-Shops der BG ist die Verwendung einer geschlechtsspezifischen Anrede nicht erforderlich. Der EuGH hat in der obgenannten Rechtssache „Mousse“ ausgeführt, dass eine Verarbeitung personenbezogener Daten für die Erfüllung eines Vertrages als erforderlich gewertet werden kann, wenn diese objektiv unerlässlich für den zu verwirklichenden Zweck ist. Dies bedeutet, dass die Verarbeitung objektiv unerlässlich sein muss, um den Zweck zu verwirklichen und ist deshalb notwendiger Bestandteil des Vertrages (vgl. EuGH C-394/23 vom
  87. Jänner 2025, Rz 33).Der EuGH hat in der obgenannten Rechtssache „Mousse“ ausgeführt, dass eine Verarbeitung personenbezogener Daten für die Erfüllung eines Vertrages als erforderlich gewertet werden kann, wenn diese objektiv unerlässlich für den zu verwirklichenden Zweck ist. Dies bedeutet, dass die Verarbeitung objektiv unerlässlich sein muss, um den Zweck zu verwirklichen und ist deshalb notwendiger Bestandteil des Vertrages vergleiche EuGH C-394/23 vom
  88. Jänner 2025, Rz 33). Für die Zwecke der Abwicklung des Vertrages und Warenbestellungen, der internen Korrespondenz mit der bP, für Gewinnspiele, den Versand eines Newsletters, die Erstellung (Registrierung) bzw. Einrichtung eines Nutzerkontos sowie für die Zulieferung der bestellten Waren ist die Verarbeitung einer geschlechtsspezifischen Anrede selbst bei weiter Auslegung jedenfalls nicht zwingend erforderlich. Überdies wird von der BG im Rahmen ihrer Stellungnahme vom
  89. Juni 2025 selbst eingeräumt und belegt, dass diese im Rahmen der direkten Kommunikation, der Anmeldung des Newsletters, Teilnahme an Gewinnspielen, Nutzung des Kontaktformulars, Lieferbenachrichtigungen, Rechnungen und Bestellbestätigungen auf die geschlechtsspezifische Anrede bereits zum damaligen Zeitpunkt verzichtet hat. Als rechtliche Grundlage für die Verarbeitung der geschlechtsspezifischen Anrede im Rahmen des Registrierungsprozesses scheidet jedenfalls Art. 6 Abs. 1 lit. b DSGVO mangels der Erforderlichkeit aus.Überdies wird von der BG im Rahmen ihrer Stellungnahme vom
  90. Juni 2025 selbst eingeräumt und belegt, dass diese im Rahmen der direkten Kommunikation, der Anmeldung des Newsletters, Teilnahme an Gewinnspielen, Nutzung des Kontaktformulars, Lieferbenachrichtigungen, Rechnungen und Bestellbestätigungen auf die geschlechtsspezifische Anrede bereits zum damaligen Zeitpunkt verzichtet hat. Als rechtliche Grundlage für die Verarbeitung der geschlechtsspezifischen Anrede im Rahmen des Registrierungsprozesses scheidet jedenfalls Artikel 6, Absatz eins, Litera b, DSGVO mangels der Erforderlichkeit aus. Soweit die BG in ihrer Stellungnahme vom
  91. Juni 2025 ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO als Erlaubnistatbestand geltend macht, ist hierzu auszuführen: Art. 6 Abs. 1 lit. f ermöglicht die Verarbeitung personenbezogener Daten in „Gleichordnungsverhältnissen“ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten (vgl. Art 4 Z 10) erforderlich ist.Soweit die BG in ihrer Stellungnahme vom
  92. Juni 2025 ein berechtigtes Interesse gemäß Artikel 6, Absatz eins, Litera f, DSGVO als Erlaubnistatbestand geltend macht, ist hierzu auszuführen: Artikel 6, Absatz eins, Litera f, ermöglicht die Verarbeitung personenbezogener Daten in „Gleichordnungsverhältnissen“ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten vergleiche Artikel 4, Ziffer 10,) erforderlich ist. Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Art. 7 lit. f DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist, das auch von der Datenschutzbehörde und dem Obersten Gerichtshof in deren Entscheidungspraxis herangezogen wird (vgl. Urteile vom
  93. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 106, und vom
  94. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 37 bzw. zuletzt in der Rechtssache C-394/23 vom
  95. Jänner 2025 Rn. 45):Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Artikel 7, Litera f, DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist, das auch von der Datenschutzbehörde und dem Obersten Gerichtshof in deren Entscheidungspraxis herangezogen wird vergleiche Urteile vom
  96. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 106, und vom
  97. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 37 bzw. zuletzt in der Rechtssache C-394/23 vom
  98. Jänner 2025 Rn. 45): i. Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, ii. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person. In Bezug auf die erste Voraussetzung - der Wahrung des „berechtigten Interesses“ - ist auszuführen, dass dieser Begriff in der Datenschutzgrundverordnung nicht definiert ist, jedoch hat der EuGH bereits entschieden, dass ein breites Spektrum von Interessen grundsätzlich als berechtigt gilt (vgl. EuGH in der Rechtssache C621/22 vom
  99. Oktober 2024 oder auch Entscheidung des EuGHs vom
  100. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C-26/22 und C-64/22, EU:C:2023:958, Rn. 76).In Bezug auf die erste Voraussetzung - der Wahrung des „berechtigten Interesses“ - ist auszuführen, dass dieser Begriff in der Datenschutzgrundverordnung nicht definiert ist, jedoch hat der EuGH bereits entschieden, dass ein breites Spektrum von Interessen grundsätzlich als berechtigt gilt vergleiche EuGH in der Rechtssache C621/22 vom
  101. Oktober 2024 oder auch Entscheidung des EuGHs vom
  102. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C-26/22 und C-64/22, EU:C:2023:958, Rn. 76). Wie sich auch aus dem
  103. Erwägungsgrund der DSGVO ergibt, der den Begriff „berechtigtes Interesse“ betrifft, hat der Unionsgesetzgeber nicht verlangt, dass das Interesse eines Verantwortlichen gesetzlich geregelt sein muss, damit die von diesem Verantwortlichen vorgenommene Verarbeitung personenbezogener Daten rechtmäßig im Sinne von Art. 6 Abs. 1 lit. f DSGVO ist.Wie sich auch aus dem
  104. Erwägungsgrund der DSGVO ergibt, der den Begriff „berechtigtes Interesse“ betrifft, hat der Unionsgesetzgeber nicht verlangt, dass das Interesse eines Verantwortlichen gesetzlich geregelt sein muss, damit die von diesem Verantwortlichen vorgenommene Verarbeitung personenbezogener Daten rechtmäßig im Sinne von Artikel 6, Absatz eins, Litera f, DSGVO ist. Aus dem vorliegenden Sachverhalt ergibt sich unstrittig, dass das Interesse der BG jedenfalls rechtmäßig ist, weil dieses weder gegen ein Recht der Europäischen Union noch ein nationalen Recht verstößt (vgl. EuGH, C-621/22, Rn. 40). Die Datenschutzbehörde verkennt im Ergebnis daher nicht, dass diese grundsätzlich ein berechtigtes (wirtschaftliches) Interesse an einer persönlichen Anrede der Kund:innen hat.Aus dem vorliegenden Sachverhalt ergibt sich unstrittig, dass das Interesse der BG jedenfalls rechtmäßig ist, weil dieses weder gegen ein Recht der Europäischen Union noch ein nationalen Recht verstößt vergleiche EuGH, C-621/22, Rn. 40). Die Datenschutzbehörde verkennt im Ergebnis daher nicht, dass diese grundsätzlich ein berechtigtes (wirtschaftliches) Interesse an einer persönlichen Anrede der Kund:innen hat. Im nächsten Schritt des Prüfschemas ist die Erforderlichkeit der Verarbeitung zu prüfen. Bei der Beurteilung, was „erforderlich“ ist, ist zu prüfen, ob die verfolgten berechtigten Interessen der Datenverarbeitung in der Praxis nicht mit anderen Mitteln, die die Grundrechte und Grundfreiheiten der betroffenen Person weniger einschränken, ebenso wirksam erreicht werden können. In diesem Zusammenhang verweist die Datenschutzbehörde nochmals auf die Entscheidung des EuGH vom
  105. Oktober 2024 zu C-621/22, in welcher dieser ausführt, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der „Datenminimierung“ zu prüfen ist, der in Art. 5 Abs. 1 lit. c DSGVO verankert ist und hierdurch verlangt wird, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sein müssen (vgl. Urteil vom
  106. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 109 und die dort angeführte Rechtsprechung). Liegen demnach vernünftige ebenso wirksame, aber weniger einschneidende Alternativen vor, kann die Verarbeitung nicht als „erforderlich“ angesehen werden (vgl. Leitlinien 1/2024 zur Verarbeitung personenbezogener Daten auf der Grundlage von Art. 6 Abs. 1 lit. f DSGVO, angenommen am
  107. Oktober 2024). In diesem Zusammenhang verweist die Datenschutzbehörde nochmals auf die Entscheidung des EuGH vom
  108. Oktober 2024 zu C-621/22, in welcher dieser ausführt, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der „Datenminimierung“ zu prüfen ist, der in Artikel 5, Absatz eins, Litera c, DSGVO verankert ist und hierdurch verlangt wird, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sein müssen vergleiche Urteil vom
  109. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 109 und die dort angeführte Rechtsprechung). Liegen demnach vernünftige ebenso wirksame, aber weniger einschneidende Alternativen vor, kann die Verarbeitung nicht als „erforderlich“ angesehen werden vergleiche Leitlinien 1 aus 2024, zur Verarbeitung personenbezogener Daten auf der Grundlage von Artikel 6, Absatz eins, Litera f, DSGVO, angenommen am
  110. Oktober 2024). Die in Art. 5 Abs. 1 lit. b und lit. c DSGVO festgelegten Grundsätze der Zweckbindung und Datenminimierung verpflichten den Verantwortlichen, die Verarbeitung auf das für den Verarbeitungszweck notwendige Maß zu beschränken. Die Zweckdienlichkeit einer Verarbeitung oder wirtschaftliche Erwägungen reichen deshalb für sich nicht aus, um die Erforderlichkeit der Verarbeitung zu begründen, wenn für die Zweckerreichung ein gleich effektives mildere Mittel zur Verfügung steht (vgl. Heberlein in Ehmann/Selmayr, Kommentar zur DSGVO, Art. 6 DSGVO, Rz 45).Die in Artikel 5, Absatz eins, Litera b und Litera c, DSGVO festgelegten Grundsätze der Zweckbindung und Datenminimierung verpflichten den Verantwortlichen, die Verarbeitung auf das für den Verarbeitungszweck notwendige Maß zu beschränken. Die Zweckdienlichkeit einer Verarbeitung oder wirtschaftliche Erwägungen reichen deshalb für sich nicht aus, um die Erforderlichkeit der Verarbeitung zu begründen, wenn für die Zweckerreichung ein gleich effektives mildere Mittel zur Verfügung steht vergleiche Heberlein in Ehmann/Selmayr, Kommentar zur DSGVO, Artikel 6, DSGVO, Rz 45). Im Lichte der obigen Judikatur ist anzumerken, dass - entgegen dem Vorbringen der BG - eine Verarbeitung der geschlechtsspezifischen Anrede nicht erforderlich erscheint. Zum einen, weil die BG - wie bereits oben erläutert - in ihrer Stellungnahme vom
  111. Juni 2025 selbst eingeräumt und belegt hat, dass diese im Rahmen der direkten Kommunikation, der Anmeldung des Newsletters, Teilnahme an Gewinnspielen, Nutzung des Kontaktformulars, Lieferbenachrichtigungen, Rechnungen und Bestellbestätigungen auf die geschlechtsspezifische Anrede bereits zum damaligen Zeitpunkt verzichtet hat. Zudem ist während des laufenden Verfahrens vor der Datenschutzbehörde eine umfassende Systemumstellung vorgenommen worden und die BG hat auf den Verarbeitungsvorgang (Verknüpfung des Benutzerprofils mit einer geschlechtsspezifischen Anrede im Rahmen des Registrierungsprozesses) verzichtet (vgl. Punkt 3 der Feststellungen). Dadurch hat die BG selbst dokumentiert, dass jene Datenverarbeitung nicht zwingend erforderlich ist und es weniger einschneidende Alternativen gibt.Zudem ist während des laufenden Verfahrens vor der Datenschutzbehörde eine umfassende Systemumstellung vorgenommen worden und die BG hat auf den Verarbeitungsvorgang (Verknüpfung des Benutzerprofils mit einer geschlechtsspezifischen Anrede im Rahmen des Registrierungsprozesses) verzichtet vergleiche Punkt 3 der Feststellungen). Dadurch hat die BG selbst dokumentiert, dass jene Datenverarbeitung nicht zwingend erforderlich ist und es weniger einschneidende Alternativen gibt. Ergänzend merkt die Datenschutzbehörde an, dass der Verfassungsgerichtshof in seiner Entscheidung vom
  112. Juni 2018 zu GZ G 77/2018 ausgeführt hat, dass neben < männlich > und < weiblich > auch eine dritte, der tatsächlichen Geschlechtsidentität entsprechende Bezeichnung im Personenstandsregister einzutragen ist und eine Beschränkung auf bloß zwei Geschlechtskategorien mit Art. 8 EMRK unvereinbar ist. Wie die gewählte starre binäre geschlechtsspezifische Auswahl der Anrede für die Kund*innen mit dem obigen Judikat aus dem Jahr 2018 vereinbar gewesen ist, bleibt offen.Ergänzend merkt die Datenschutzbehörde an, dass der Verfassungsgerichtshof in seiner Entscheidung vom
  113. Juni 2018 zu GZ G 77 aus 2018, ausgeführt hat, dass neben < männlich > und < weiblich > auch eine dritte, der tatsächlichen Geschlechtsidentität entsprechende Bezeichnung im Personenstandsregister einzutragen ist und eine Beschränkung auf bloß zwei Geschlechtskategorien mit Artikel 8, EMRK unvereinbar ist. Wie die gewählte starre binäre geschlechtsspezifische Auswahl der Anrede für die Kund*innen mit dem obigen Judikat aus dem Jahr 2018 vereinbar gewesen ist, bleibt offen. Auch bringt der EuGH in der Rechtssache „Mousse“ vom
  114. Jänner 2025 im Hinblick auf die Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten, inwieweit die Gepflogenheiten und gesellschaftlichen Konventionen zu berücksichtigen sind, vor, dass Art. 6 Abs. 1 lit. f DSGVO bei der Beurteilung der Erforderlichkeit einer solchen Verarbeitung keine Berücksichtigung der Gepflogenheiten und gesellschaftlichen Konventionen vorsieht (vgl. Rz 56).Auch bringt der EuGH in der Rechtssache „Mousse“ vom
  115. Jänner 2025 im Hinblick auf die Beurteilung der Erforderlichkeit einer Verarbeitung personenbezogener Daten, inwieweit die Gepflogenheiten und gesellschaftlichen Konventionen zu berücksichtigen sind, vor, dass Artikel 6, Absatz eins, Litera f, DSGVO bei der Beurteilung der Erforderlichkeit einer solchen Verarbeitung keine Berücksichtigung der Gepflogenheiten und gesellschaftlichen Konventionen vorsieht vergleiche Rz 56). Dies bedeutet, dass, selbst wenn das berechtige Interesse bejaht wird, festzuhalten ist, dass es schonendere Maßnahmen, welche weniger eingriffsintensiv sind, gibt und hierdurch die Interessensabwägung an der zweiten Voraussetzung der Erforderlichkeit scheitert. Daher hat im Ergebnis der in Rede stehende beschwerdegegenständliche Verarbeitungsprozess gegen die in Art. 5 DSGVO normierten Grundsätze der Zweckbindung und Datenminimierung gemäß Art. 5 Abs. 1 lit. b und lit. c DSGVO verstoßen. Auch finden die von der BG dargelegten Kosten bzw. der Zeitaufwand bei der reinen Beurteilung der Erforderlichkeit sowie der objektiven Rechtsverletzung keine Beachtung, weil rein auf die objektive Rechtsverletzung im Verwaltungsverfahren abgestellt wird.Daher hat im Ergebnis der in Rede stehende beschwerdegegenständliche Verarbeitungsprozess gegen die in Artikel 5, DSGVO normierten Grundsätze der Zweckbindung und Datenminimierung gemäß Artikel 5, Absatz eins, Litera b und Litera c, DSGVO verstoßen. Auch finden die von der BG dargelegten Kosten bzw. der Zeitaufwand bei der reinen Beurteilung der Erforderlichkeit sowie der objektiven Rechtsverletzung keine Beachtung, weil rein auf die objektive Rechtsverletzung im Verwaltungsverfahren abgestellt wird. Wie eingangs dargelegt, genügt bereits die Verletzung eines Grundsatzes der in Art. 5 Abs. 1 normierten Grundsätze, um eine Rechtswidrigkeit der Verarbeitung zu begründen. Festzuhalten ist ferner, dass die Voraussetzungen des Art. 6 Abs. 1 lit. b DSGVO sowie des Art. 6 Abs. 1 lit. f DSGVO mangels der Erforderlichkeit der Verarbeitung für die erfolgten Zwecke auch nicht als erfüllt angesehen werden können. Es war daher spruchgemäß zu entscheiden.Wie eingangs dargelegt, genügt bereits die Verletzung eines Grundsatzes der in Artikel 5, Absatz eins, normierten Grundsätze, um eine Rechtswidrigkeit der Verarbeitung zu begründen. Festzuhalten ist ferner, dass die Voraussetzungen des Artikel 6, Absatz eins, Litera b, DSGVO sowie des Artikel 6, Absatz eins, Litera f, DSGVO mangels der Erforderlichkeit der Verarbeitung für die erfolgten Zwecke auch nicht als erfüllt angesehen werden können. Es war daher spruchgemäß zu entscheiden. Der Vollständigkeit halber hält die Datenschutzbehörde fest, dass im gegenständlichen Einzelfall von einem Leistungsauftrag gemäß Art. 58 Abs. 2 DSGVO aufgrund der bereits erfolgten Umstellung des Systems beim Registrierungsvorgang, abzusehen ist.Der Vollständigkeit halber hält die Datenschutzbehörde fest, dass im gegenständlichen Einzelfall von einem Leistungsauftrag gemäß Artikel 58, Absatz 2, DSGVO aufgrund der bereits erfolgten Umstellung des Systems beim Registrierungsvorgang, abzusehen ist. D.3.
  116. Spruchpunkt II (Recht auf Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO)D.3.
  117. Spruchpunkt römisch zwei (Recht auf Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gemäß Artikel 25, DSGVO) Hinsichtlich der monierten Verletzung im „Recht auf Datenschutz durch Technikgestaltung aufgrund datenschutzfreundlicher bzw. datenschutzunfreundlicher Voreinstellungen gemäß Art. 25 DSGVO“ ist festzuhalten, dass aus der DSGVO kein Recht abzuleiten ist, wonach eine betroffene Person spezifische datenschutzfreundliche Voreinstellungen iSv Art. 25 DSGVO von einem Verantwortlichen verlangen könnte (vgl. sinngemäß den Bescheid der Datenschutzbehörde vom
  118. September 2018 betreffend Art. 32 DSGVO, GZ. DSB-D123.070/0005-DSB/2018). Hinsichtlich der monierten Verletzung im „Recht auf Datenschutz durch Technikgestaltung aufgrund datenschutzfreundlicher bzw. datenschutzunfreundlicher Voreinstellungen gemäß Artikel 25, DSGVO“ ist festzuhalten, dass aus der DSGVO kein Recht abzuleiten ist, wonach eine betroffene Person spezifische datenschutzfreundliche Voreinstellungen iSv Artikel 25, DSGVO von einem Verantwortlichen verlangen könnte vergleiche sinngemäß den Bescheid der Datenschutzbehörde vom
  119. September 2018 betreffend Artikel 32, DSGVO, GZ. DSB-D123.070/0005-DSB/2018). Art. 25 Abs. 1 DSGVO verpflichtet den Verantwortlichen, sowohl zum Zeitpunkt der Festlegung der Mittel der Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen zu treffen, um die Grundsätze des Art. 5 DSGVO wirksam umzusetzen, den sonstigen Anforderungen der DSGVO zu genügen und die Rechte der betroffenen Person zu schützen. Abs. 1 gewährt dem Verantwortlichen hierbei einen weiten Gestaltungsspielraum, hebt aber gleichzeitig den Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO beispielhaft heraus als ein Mittel zur möglichst datenschutzfreundlichen Konzeption von Technologien. Weitere Vorgaben bezüglich der Ausgestaltung enthält die Vorschrift, abgesehen von der als dynamisch zu verstehenden Begrifflichkeit „Stand der Technik“, nicht (vgl. Baumgartner in Selmayer/Ehmann, Kommentar zur DSGVO, Art. 25 DSGVO, Rz. 17, 19 und 22).Artikel 25, Absatz eins, DSGVO verpflichtet den Verantwortlichen, sowohl zum Zeitpunkt der Festlegung der Mittel der Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen zu treffen, um die Grundsätze des Artikel 5, DSGVO wirksam umzusetzen, den sonstigen Anforderungen der DSGVO zu genügen und die Rechte der betroffenen Person zu schützen. Absatz eins, gewährt dem Verantwortlichen hierbei einen weiten Gestaltungsspielraum, hebt aber gleichzeitig den Grundsatz der Datenminimierung gemäß Artikel 5, Absatz eins, Litera c, DSGVO beispielhaft heraus als ein Mittel zur möglichst datenschutzfreundlichen Konzeption von Technologien. Weitere Vorgaben bezüglich der Ausgestaltung enthält die Vorschrift, abgesehen von der als dynamisch zu verstehenden Begrifflichkeit „Stand der Technik“, nicht vergleiche Baumgartner in Selmayer/Ehmann, Kommentar zur DSGVO, Artikel 25, DSGVO, Rz. 17, 19 und 22). Durch Art. 25 Abs. 2 DSGVO wird der Verantwortliche in Folge verpflichtet, bei Produkten, Diensten und Anwendungen standardmäßig datensparsame Voreinstellungen zu treffen, um die Erhebung, Verarbeitung und Weitergabe personenbezogener Daten auf das für den angestrebten Zweck erforderliche Mindestmaß zu begrenzen (vgl. Baumgartner in Selmayer/Ehmann, Kommentar zur DSGVO, Art. 25 DSGVO, Rz. 25).Durch Artikel 25, Absatz 2, DSGVO wird der Verantwortliche in Folge verpflichtet, bei Produkten, Diensten und Anwendungen standardmäßig datensparsame Voreinstellungen zu treffen, um die Erhebung, Verarbeitung und Weitergabe personenbezogener Daten auf das für den angestrebten Zweck erforderliche Mindestmaß zu begrenzen vergleiche Baumgartner in Selmayer/Ehmann, Kommentar zur DSGVO, Artikel 25, DSGVO, Rz. 25). Zwar ist es grundsätzlich möglich, dass eine betroffene Person aufgrund datenschutzunfreundlicher Voreinstellungen gemäß Art. 25 DSGVO eines Verantwortlichen im Grundrecht auf Geheimhaltung verletzt wird bzw. eine Verletzung in den Grundsätzen der Datenverarbeitung gegeben ist, jedoch würde hierbei der Person ebenfalls kein Wahlrecht auf eine spezifische datenschutzfreundliche Voreinstellung durch Technikgestaltung erwachsen. Wie nämlich aus Art. 25 DSGVO hervorgeht, trifft die Verpflichtung datenschutzfreundlicher Voreinstellungen durch Technikgestaltung den Verantwortlichen (vgl. Martini in Paal/Pauly, Kommentar zur DSGVO,
  120. Auflage, Art. 25 DSGVO, Rz. 25), welche dieser auf mehrere Arten gewährleistet sein kann.Zwar ist es grundsätzlich möglich, dass eine betroffene Person aufgrund datenschutzunfreundlicher Voreinstellungen gemäß Artikel 25, DSGVO eines Verantwortlichen im Grundrecht auf Geheimhaltung verletzt wird bzw. eine Verletzung in den Grundsätzen der Datenverarbeitung gegeben ist, jedoch würde hierbei der Person ebenfalls kein Wahlrecht auf eine spezifische datenschutzfreundliche Voreinstellung durch Technikgestaltung erwachsen. Wie nämlich aus Artikel 25, DSGVO hervorgeht, trifft die Verpflichtung datenschutzfreundlicher Voreinstellungen durch Technikgestaltung den Verantwortlichen vergleiche Martini in Paal/Pauly, Kommentar zur DSGVO,
  121. Auflage, Artikel 25, DSGVO, Rz. 25), welche dieser auf mehrere Arten gewährleistet sein kann. Auch nach systematischer Betrachtung der DSGVO kann nicht geschlossen werden, dass der Gesetzgeber einer betroffenen Person ein subjektives Recht auf Einhaltung bestimmter datenschutzfreundlicher Voreinstellungen durch Technikgestaltung gewähren wollte. So sind die Rechte betroffener Personen ausdrücklich in Kapitel III angeführt, während Art. 25 DSGVO bzw. auch Art. 32 DSGVO in Kapitel IV („Verantwortlicher und Auftragsverarbeiter“) beinhaltet. Das bedeutet lediglich, dass der BG als Verantwortliche gemäß Art. 4 Z 7 DSGVO die Verpflichtungen des Art. 25 DSGVO auferlegt sind.Auch nach systematischer Betrachtung der DSGVO kann nicht geschlossen werden, dass der Gesetzgeber einer betroffenen Person ein subjektives Recht auf Einhaltung bestimmter datenschutzfreundlicher Voreinstellungen durch Technikgestaltung gewähren wollte. So sind die Rechte betroffener Personen ausdrücklich in Kapitel römisch drei angeführt, während Artikel 25, DSGVO bzw. auch Artikel 32, DSGVO in Kapitel römisch vier („Verantwortlicher und Auftragsverarbeiter“) beinhaltet. Das bedeutet lediglich, dass der BG als Verantwortliche gemäß Artikel 4, Ziffer 7, DSGVO die Verpflichtungen des Artikel 25, DSGVO auferlegt sind. In diesem Zusammenhang wird auf die Rechtsprechung der ehemalige Datenschutzkommission verwiesen, welche im Hinblick auf Datensicherheitsmaßnahmen ausgeführt hat, dass diese lediglich eine Verpflichtung des Verantwortlichen begründen, nicht aber subjektive Rechtsansprüche einer betroffenen Person (vgl. den Bescheid der DSK vom
  122. August 2005, GZ. K121.038/0006-DSK/2005). Das Bundesverwaltungsgericht bestätigte diese Ansicht und führte unter Verweis auf die Judikatur der DSK aus, dass die Geltendmachung spezifischer Datenschutzmaßnahmen einer bescheidmäßigen Absprache nicht zugänglich ist (vgl. die Erkenntnisse des BVwG vom
  123. Juli 2017, Zl. W214 2117640-1 sowie vom
  124. April 2017, Zl. W214 2007810-1). Selbiges gilt für das Recht auf Einhaltung bestimmter datenschutzfreundlicher Voreinstellungen durch Technikgestaltung gemäß Art. 25 DSGVO.In diesem Zusammenhang wird auf die Rechtsprechung der ehemalige Datenschutzkommission verwiesen, welche im Hinblick auf Datensicherheitsmaßnahmen ausgeführt hat, dass diese lediglich eine Verpflichtung des Verantwortlichen begründen, nicht aber subjektive Rechtsansprüche einer betroffenen Person vergleiche den Bescheid der DSK vom
  125. August 2005, GZ. K121.038/0006-DSK/2005). Das Bundesverwaltungsgericht bestätigte diese Ansicht und führte unter Verweis auf die Judikatur der DSK aus, dass die Geltendmachung spezifischer Datenschutzmaßnahmen einer bescheidmäßigen Absprache nicht zugänglich ist vergleiche die Erkenntnisse des BVwG vom
  126. Juli 2017, Zl. W214 2117640-1 sowie vom
  127. April 2017, Zl. W214 2007810-1). Selbiges gilt für das Recht auf Einhaltung bestimmter datenschutzfreundlicher Voreinstellungen durch Technikgestaltung gemäß Artikel 25, DSGVO. Mangels eines subjektiven Anspruches der bP auf eine bestimmte Voreinstellung, war daher jener Beschwerdegegenstand spruchgemäß abzuweisen. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.950.759

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.