Entscheidungsdatum
09.09.2026Norm
B-VG Art133 Abs4Spruch
,
W252 2237416-1/17E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichter:innen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag. Florian SCHULTES LL.M als Beisitzer:innen über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, 1010 Wien, Schottenring 19 (mitbeteiligte Partei vor dem Verwaltungsgericht: XXXX ) gegen Spruchpunkt 1. und Spruchpunkt 2. des Bescheides der Datenschutzbehörde vom 07.10.2020, GZ XXXX , in einer datenschutzrechtlichen Angelegenheit, in nichtöffentlicher Sitzung zu Recht erkannt:Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichter:innen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag. Florian SCHULTES LL.M als Beisitzer:innen über die Beschwerde der römisch 40 , vertreten durch Schönherr Rechtsanwälte GmbH, 1010 Wien, Schottenring 19 (mitbeteiligte Partei vor dem Verwaltungsgericht: römisch 40 ) gegen Spruchpunkt 1. und Spruchpunkt 2. des Bescheides der Datenschutzbehörde vom 07.10.2020, GZ römisch 40 , in einer datenschutzrechtlichen Angelegenheit, in nichtöffentlicher Sitzung zu Recht erkannt:
A)
Der Beschwerde wird stattgegeben und der Spruch des angefochtenen Bescheides dahingehend abgeändert, dass Spruchpunkt 2. zur Gänze entfällt und Spruchpunkt 1. wie folgt zu lauten hat:
„1. Die Beschwerde wird als unbegründet abgewiesen.“
B)
Die Revision ist nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
Am 12.04.2019 erhob die mitbeteiligte Partei (in Folge „MP“) Beschwerde bei der belangten Behörde. Darin brachte sie auszugsweise vor, sie habe am 08.01.2019 ein Auskunftsbegehren an die Beschwerdeführerin (in Folge „BF“) gestellt. Am 02.04.2019 habe sie eine Datenauskunft erhalten, welche jedoch unvollständig sei, unzureichende Informationen über die Herkunft der Daten erhalte und außerdem sei nicht ersichtlich wie die Hochrechnung ua. hinsichtlich der Zielgruppe für Wahlwerbung erfolgt sei.
Mit Stellungnahme vom 19.06.2019 gab die BF zusammengefasst an, die Auskunft vom 02.04.2019 enthalte nur jene Daten, die im Rahmen der Tätigkeit als Adressverlag verarbeitet worden seien. Des Weiteren übermittelte die BF gleichzeitig eine weitere Datenauskunft welche auch Daten des Kundenservice, der Logistik ect enthielt.
Mit dem oben genannten Bescheid gab die belangte Behörde der Beschwerde teilweise statt und stellte fest, dass die BF die MP dadurch im Recht auf Auskunft verletzt habe, indem sie dieser eine unvollständige Auskunft erteilt habe (Spruchpunkt 1). Gleichzeitig trug sie der BF auf der MP innerhalb von 4 Wochen die genaue Herkunft der Daten, die im Rahmen des Adressverlags erhoben bzw. zugekauft wurden, zu bezeichnen (Spruchpunkt 2.a.) sowie eine dem Art. 12 Abs. 1 iVm Art. 15 Abs. 1 lit. h DSGVO entsprechende Auskunft zum Zustandekommen der „statistisch hochgerechneten“ Affinitäten zu erteilen (Spruchpunkt 2.b.). Im Übrigen wies sie die Beschwerde ab bzw einen Aussetzungsantrag der MP zurück (Spruchpunkt 3. und 4.).Mit dem oben genannten Bescheid gab die belangte Behörde der Beschwerde teilweise statt und stellte fest, dass die BF die MP dadurch im Recht auf Auskunft verletzt habe, indem sie dieser eine unvollständige Auskunft erteilt habe (Spruchpunkt 1). Gleichzeitig trug sie der BF auf der MP innerhalb von 4 Wochen die genaue Herkunft der Daten, die im Rahmen des Adressverlags erhoben bzw. zugekauft wurden, zu bezeichnen (Spruchpunkt 2.a.) sowie eine dem Artikel 12, Absatz eins, in Verbindung mit Artikel 15, Absatz eins, Litera h, DSGVO entsprechende Auskunft zum Zustandekommen der „statistisch hochgerechneten“ Affinitäten zu erteilen (Spruchpunkt 2.b.). Im Übrigen wies sie die Beschwerde ab bzw einen Aussetzungsantrag der MP zurück (Spruchpunkt 3. und 4.).
Gegen Spruchpunkt 1, 2.a. und 2.b. richtet sich die gegenständliche Beschwerde vom 05.11.2020. Die Herkunft der Daten sei hinreichend beauskunftet worden. Hinsichtlich der statistisch hochgerechneten Affinitäten führte die BF aus, dass diese Informationen nicht geschuldet seien, da diese keine personenbezogenen Daten sondern Marketingklassifikationen seien, nicht unter den Begriff des Profilings fallen würden, nicht unter Art 22 Abs 1 DSGVO subsumierte werden könnten und dieser auch nicht für Marketingklassifikationen gelten würde.Gegen Spruchpunkt 1, 2.a. und 2.b. richtet sich die gegenständliche Beschwerde vom 05.11.2020. Die Herkunft der Daten sei hinreichend beauskunftet worden. Hinsichtlich der statistisch hochgerechneten Affinitäten führte die BF aus, dass diese Informationen nicht geschuldet seien, da diese keine personenbezogenen Daten sondern Marketingklassifikationen seien, nicht unter den Begriff des Profilings fallen würden, nicht unter Artikel 22, Absatz eins, DSGVO subsumierte werden könnten und dieser auch nicht für Marketingklassifikationen gelten würde.
Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts mit Schriftsatz vom 23.11.2020, hg eingelangt am 02.12.2020, vor und beantragte – unter Verweis auf die Begründung des angefochtenen Bescheids – die Beschwerde abzuweisen.
Auf Grund der Verfügung des Geschäftsverteilungsausschusses vom 14.01.2021 wurde die gegenständliche Rechtssache der Gerichtsabteilung W256 abgenommen und neu zugewiesen.
Mit Stellungnahme vom 01.03.2023 betonte die BF erneut, dass die Herkunft der Daten bereits beauskunftet worden sei.
Mit Erkenntnis des Bundesverwaltungsgerichts vom 12.06.2023, W252 2237416-1/8E, wurde der Beschwerde stattgegeben und der Spruch des angefochtenen Bescheides dahingehend abgeändert, dass Spruchpunkt 2. zur Gänze entfällt und Spruchpunkt 1. wie folgt zu lauten hat: „1. Die Beschwerde wird als unbegründet abgewiesen.“. Die Revision wurde für zulässig erklärt.
Mit Erkenntnis des Verwaltungsgerichtshofes vom 17.12.2025, Ro 2023/04/0029, wurde das zitierte Erkenntnis des Bundesverwaltungsgerichtes wegen Rechtswidrigkeit seines Inhaltes aufgehoben. Darin führte der Verwaltungsgerichtshof unter anderem aus, dass das Bestehen einer automatisierten Entscheidungsfindung Voraussetzung für das Auskunftsrecht des Art 15 Abs 1 lit h DSGVO sei. Im vorliegenden Fall habe es das Bundesverwaltungsgericht erkennbar offengelassen, ob es sich bei der gegenständlichen Datenverarbeitung um eine automatisierte Entscheidungsfindung gemäß Art 22 DSGVO handle.Mit Erkenntnis des Verwaltungsgerichtshofes vom 17.12.2025, Ro 2023/04/0029, wurde das zitierte Erkenntnis des Bundesverwaltungsgerichtes wegen Rechtswidrigkeit seines Inhaltes aufgehoben. Darin führte der Verwaltungsgerichtshof unter anderem aus, dass das Bestehen einer automatisierten Entscheidungsfindung Voraussetzung für das Auskunftsrecht des Artikel 15, Absatz eins, Litera h, DSGVO sei. Im vorliegenden Fall habe es das Bundesverwaltungsgericht erkennbar offengelassen, ob es sich bei der gegenständlichen Datenverarbeitung um eine automatisierte Entscheidungsfindung gemäß Artikel 22, DSGVO handle.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Mit Schreiben vom 08.01.2019 begehrte die MP von der BF in Bezug auf Art. 15 DSGVO Auskunft welche Daten die BF von der MP gespeichert hat. Im Hinblick auf etwaige von der BF über die MP gespeicherten Daten ersuchte die MP um Mitteilung, woher diese Daten stammen. Mit Schreiben vom 08.01.2019 begehrte die MP von der BF in Bezug auf Artikel 15, DSGVO Auskunft welche Daten die BF von der MP gespeichert hat. Im Hinblick auf etwaige von der BF über die MP gespeicherten Daten ersuchte die MP um Mitteilung, woher diese Daten stammen.
Die BF erteilte der MP am 02.04.2019 eine datenschutzrechtliche Auskunft und erteilte eine weitere Auskunft am 19.06.2019 (OZ 1, S 29 ff, S 77 ff). Die BF teilte der MP mit, dass sie als Personendaten den Namen, die Adressen und Geburtsdatum der MP verarbeite. Mit Schreiben vom 02.04.2019 übermittelte die BF der MP die in der XXXX angeführten Daten der MP und eine „Übersicht der verarbeiteten Daten (gem. § 151 GewO)“. Die Daten der XXXX stammen von der XXXX . Die Daten der Tabelle mit der Überschrift „Übersicht verarbeitete Daten (gem § 151 GewO)“ sind zum Teil bei der MP selbst erhoben und zum Teil zugekauft, ohne dies näher zu präzisieren (Kennzeichnung allgemein als „erhoben/zugekauft“).Die BF erteilte der MP am 02.04.2019 eine datenschutzrechtliche Auskunft und erteilte eine weitere Auskunft am 19.06.2019 (OZ 1, S 29 ff, S 77 ff). Die BF teilte der MP mit, dass sie als Personendaten den Namen, die Adressen und Geburtsdatum der MP verarbeite. Mit Schreiben vom 02.04.2019 übermittelte die BF der MP die in der römisch 40 angeführten Daten der MP und eine „Übersicht der verarbeiteten Daten (gem. Paragraph 151, GewO)“. Die Daten der römisch 40 stammen von der römisch 40 . Die Daten der Tabelle mit der Überschrift „Übersicht verarbeitete Daten (gem Paragraph 151, GewO)“ sind zum Teil bei der MP selbst erhoben und zum Teil zugekauft, ohne dies näher zu präzisieren (Kennzeichnung allgemein als „erhoben/zugekauft“).
Mit Schreiben vom 19.06.2019 übermittelte die BF an die MP ein Schreiben, in dem sie die Daten anführte, welche sie abseits ihrer Tätigkeit als Adressverlag speichert. Im Anhang zu diesem Schreiben übermittelte die BF Datenblätter, in denen neben den gespeicherten Angaben auch Angaben zur Speicherdauer und dem Verarbeitungszweck der jeweiligen Daten angeführt war. Folgende Datenblätter waren dem Schreiben angeschlossen: „Konsumenten Kundendaten“, „ XXXX -Kundenservice“, „Brieflogistik Internationale Sendungen“. Diese Auskunft enthielt auch weitere Sendungsinformationen, die nicht verfahrensrelevant sind. Mit Schreiben vom 19.06.2019 übermittelte die BF an die MP ein Schreiben, in dem sie die Daten anführte, welche sie abseits ihrer Tätigkeit als Adressverlag speichert. Im Anhang zu diesem Schreiben übermittelte die BF Datenblätter, in denen neben den gespeicherten Angaben auch Angaben zur Speicherdauer und dem Verarbeitungszweck der jeweiligen Daten angeführt war. Folgende Datenblätter waren dem Schreiben angeschlossen: „Konsumenten Kundendaten“, „ römisch 40 -Kundenservice“, „Brieflogistik Internationale Sendungen“. Diese Auskunft enthielt auch weitere Sendungsinformationen, die nicht verfahrensrelevant sind.
Die MP wandte sich mehrfach an den Kundenservice der BF und besitzt ein von ihr selbst angelegtes Benutzerkonto. Diese Daten stammen aus den im Zuge der Kundenservice Anfrage übermittelten Unterlagen der MP.
Die BF nutzt automatisierte Datenverarbeitungsvorgänge auf Basis statistisch-mathematischer Methoden zur Errechnung von Wahrscheinlichkeiten hinsichtlich bestimmter Zielgruppenaffinitäten für Werbezwecke, wie unter anderem „Mögliche Zielgruppe Wahlwerbung […]“ oder „Mögliche Zielgruppe für Werbung Bio“. Den jeweiligen Zielgruppen sind Werte wie „hoch“ oder „niedrig“ zugeordnet. Diese Zielgruppen wurden durch statistische Hochrechnung mithilfe Daten der MP, wie Wohnort, Geschlecht und Geburtsdatum berechnet. Sie dienen unter anderem dazu Streuverluste in der Werbung zu vermeiden. Durch diese automatisierten Datenverarbeitungsvorgänge errechnete die BF Wahrscheinlichkeitswerte in Bezug auf die Zielgruppenaffinitäten der MP.
Die BF hat die Daten der MP nicht an Dritte weitergegeben, noch haben sich diese ansonsten für die MP in irgendeiner Form ausgewirkt.
2. Beweiswürdigung:
Die Feststellungen zum Inhalt der Auskünfte vom 02.04.2019 und 19.06.2019 ergeben sich aus dem unbedenklichen Verwaltungsakt. Die MP legte dort die Auskunft vom 04.02.2019 im Rahmen ihrer Datenschutzbeschwerde vor. Die BF legte am 19.06.2019 die zweite Auskunft samt einer Stellungnahme vor. Der tatsächliche Inhalt der konkreten Auskünfte und der Stellungnahme ist beiden Verfahrensparteien bekannt und – im Gegensatz zu dessen rechtlicher Beurteilung – unbestritten (siehe OZ 1, 29-32; sowie OZ 1, S 75 ff).
Zur XXXX siehe insbesondere die Überschrift „ XXXX Datenquelle: XXXX “ (Auskunft 02.04.2019, S 4; OZ 1, S 32). Zum Kundenservice und Benutzerkonto siehe insbesondere die Angabe „Bearbeitung ihrer Anfragen – Wir verarbeiten Ihre Daten zur Bearbeitung ihrer Anfragen, sofern Sie uns Ihren Namen und Ihre Adresse telefonisch, postalisch, auf unserer Webseite oder per E-Mail bekannt gegeben haben.“ sowie die Angabe in der Tabelle Konsumenten Kundenmanagement „Kunde manuell von Mitarbeiter angelegt – Nein“, woraus sich ergibt, dass die MP das Konto selbst angelegt hat und die Daten von ihr selbst bekanntgegeben wurden (Auskunft vom 19.06.2019, S 1, 3; OZ 1, S 79, 82). Im Übrigen siehe die Tabelle mit der Überschrift „Übersicht verarbeitete Daten (gem § 151 GewO)“ sowie die nähere Erläuterung in der Stellungnahme vom 19.06.2019 (Auskunft vom 04.02.2019, S 3; OZ 1, S 31; und Stellungnahme vom 19.06.2019, S 3; OZ 1, S 77). Vgl auch VwGH 14.12.2021, Ro 2021/04/0007 Rz 1 – 5. Zur römisch 40 siehe insbesondere die Überschrift „ römisch 40 Datenquelle: römisch 40 “ (Auskunft 02.04.2019, S 4; OZ 1, S 32). Zum Kundenservice und Benutzerkonto siehe insbesondere die Angabe „Bearbeitung ihrer Anfragen – Wir verarbeiten Ihre Daten zur Bearbeitung ihrer Anfragen, sofern Sie uns Ihren Namen und Ihre Adresse telefonisch, postalisch, auf unserer Webseite oder per E-Mail bekannt gegeben haben.“ sowie die Angabe in der Tabelle Konsumenten Kundenmanagement „Kunde manuell von Mitarbeiter angelegt – Nein“, woraus sich ergibt, dass die MP das Konto selbst angelegt hat und die Daten von ihr selbst bekanntgegeben wurden (Auskunft vom 19.06.2019, S 1, 3; OZ 1, S 79, 82). Im Übrigen siehe die Tabelle mit der Überschrift „Übersicht verarbeitete Daten (gem Paragraph 151, GewO)“ sowie die nähere Erläuterung in der Stellungnahme vom 19.06.2019 (Auskunft vom 04.02.2019, S 3; OZ 1, S 31; und Stellungnahme vom 19.06.2019, S 3; OZ 1, S 77). Vgl auch VwGH 14.12.2021, Ro 2021/04/0007 Rz 1 – 5.
Dass die BF die Daten der MP an nicht Dritte weitergegeben hat, ergibt sich ebenso aus dem unbedenklichen Akteninhalt (siehe etwa OZ 11, S. 15).
3. Rechtliche Beurteilung:
Zu A)
3.1. „Sache“ des Beschwerdeverfahrens:
„Sache“ des Beschwerdeverfahrens vor dem VwG ist – ungeachtet des durch § 27 VwGVG vorgegebenen Prüfumfangs – nur jene Angelegenheit, die den Inhalt des Spruchs der vor dem VwG belangten Verwaltungsbehörde gebildet hat (vgl. VwGH 16.11.2015, Ra 2015/12/0026, mwN). Da die BF nur die Spruchpunkte 1. und 2. a. und b. angefochten hat, ist Gegenstand des Verfahrens lediglich die Frage der Vollständigkeit der Auskunft hinsichtlich der Herkunft der Daten, die im Rahmen des Adressverlags erhoben bzw. zugekauft wurden (siehe Spruchpunkt 2. a. des angefochtenen Bescheids), sowie der Vollständigkeit der Auskunft zu den „statistisch hochgerechneten“ Daten (Spruchpunkt 2. b. des angefochtenen Bescheides). Die Vollständigkeit der übrigen Auskunft ist vom unangefochten gebliebenen Spruchpunkt 4. des Bescheides umfasst und daher nicht Verfahrensgegenstand.„Sache“ des Beschwerdeverfahrens vor dem VwG ist – ungeachtet des durch Paragraph 27, VwGVG vorgegebenen Prüfumfangs – nur jene Angelegenheit, die den Inhalt des Spruchs der vor dem VwG belangten Verwaltungsbehörde gebildet hat vergleiche VwGH 16.11.2015, Ra 2015/12/0026, mwN). Da die BF nur die Spruchpunkte 1. und 2. a. und b. angefochten hat, ist Gegenstand des Verfahrens lediglich die Frage der Vollständigkeit der Auskunft hinsichtlich der Herkunft der Daten, die im Rahmen des Adressverlags erhoben bzw. zugekauft wurden (siehe Spruchpunkt 2. a. des angefochtenen Bescheids), sowie der Vollständigkeit der Auskunft zu den „statistisch hochgerechneten“ Daten (Spruchpunkt 2. b. des angefochtenen Bescheides). Die Vollständigkeit der übrigen Auskunft ist vom unangefochten gebliebenen Spruchpunkt 4. des Bescheides umfasst und daher nicht Verfahrensgegenstand.
3.2. Zu Spruchpunkt 2. a des angefochtenen Bescheids.:
Im Rahmen des Rechts auf Auskunft hat der Verantwortliche alle verfügbaren Informationen über die Herkunft der Daten zu erteilen, sofern diese nicht bei der betroffenen Person erhoben wurden. Erfasst sind hierbei nur verfügbare Informationen und es besteht darüber hinaus (im Rahmen des Art 15 DSGVO) keine Pflicht zur Dokumentation bzw nachträglichen Erhebung von Datenquellen allein für Zwecke der Beauskunftung (vgl Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 43; sowie Jahnel, Kommentar zur Datenschutz-Grundverordnung Art 15 DSGVO Rz 31).Im Rahmen des Rechts auf Auskunft hat der Verantwortliche alle verfügbaren Informationen über die Herkunft der Daten zu erteilen, sofern diese nicht bei der betroffenen Person erhoben wurden. Erfasst sind hierbei nur verfügbare Informationen und es besteht darüber hinaus (im Rahmen des Artikel 15, DSGVO) keine Pflicht zur Dokumentation bzw nachträglichen Erhebung von Datenquellen allein für Zwecke der Beauskunftung vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 43; sowie Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 15, DSGVO Rz 31).
Die Herkunft der Daten der XXXX ist jedenfalls eindeutig, verständlich und vollständig, da hier über der jeweiligen Tabelle explizit die XXXX als Datenquelle ausgewiesen ist (siehe die Auskunft vom 02.04.2019; OZ 1, S 32).Die Herkunft der Daten der römisch 40 ist jedenfalls eindeutig, verständlich und vollständig, da hier über der jeweiligen Tabelle explizit die römisch 40 als Datenquelle ausgewiesen ist (siehe die Auskunft vom 02.04.2019; OZ 1, S 32).
Aus der „Übersicht verarbeitete Daten (gem § 151 GewO) XXXX “ ist die Herkunft der Daten ebenfalls ersichtlich. Diese Tabelle stellt durch die Bezeichnung „Übersicht verarbeitete Daten“ sowie dem jeweiligen Hinweis „erhoben/zugekauft“ eindeutig eine Zusammenfassung bzw Zusammenführung sämtlicher vorhandenen Daten aus verschiedenen Datenquellen dar. Ein erneutes anführen der Datenquellen erscheint hierbei nicht erforderlich, da im Anschluss eindeutige Datenquellen angeführt werden (zB XXXX ). Die belangte Behörde und die MP übersehen in ihren Ausführungen, dass nach dem eindeutigen Wortlaut des Art 15 Abs 1 lit g DSGVO die Herkunft der Daten dann nicht beauskunftet werden muss, wenn die Daten bei der betroffenen Person „erhoben“ wurden. Außerdem lässt bereits die Wortwahl „erhoben“ im Unterschied zu „zugekauft“ darauf schließen, dass ein Teil der Daten von der BF selbst gesammelt wurde, was ebenfalls einer Quellenangabe entspricht. Aus einer Gesamtbetrachtung der Auskunft ist somit klar ersichtlich, aus welchen Quellen die (zugekauften) Daten stammen. Im konkreten Fall der MP war darüber hinaus anhand der zweiten Auskunft vom 19.06.2019 ersichtlich, dass die BF einige Daten bei der MP selbst erfasst hat. Diese wandte sich mehrfach an den Kundenservice der BF und legte sich ein Benutzerkonto bei dieser an (siehe Auskunft vom 19.06.2019, S 1, 3 ff; OZ 1, S 80, 82 ff). Es war daher nicht ersichtlich, dass es weitere zu beauskunftende Datenquellen gibt.Aus der „Übersicht verarbeitete Daten (gem Paragraph 151, GewO) römisch 40 “ ist die Herkunft der Daten ebenfalls ersichtlich. Diese Tabelle stellt durch die Bezeichnung „Übersicht verarbeitete Daten“ sowie dem jeweiligen Hinweis „erhoben/zugekauft“ eindeutig eine Zusammenfassung bzw Zusammenführung sämtlicher vorhandenen Daten aus verschiedenen Datenquellen dar. Ein erneutes anführen der Datenquellen erscheint hierbei nicht erforderlich, da im Anschluss eindeutige Datenquellen angeführt werden (zB römisch 40 ). Die belangte Behörde und die MP übersehen in ihren Ausführungen, dass nach dem eindeutigen Wortlaut des Artikel 15, Absatz eins, Litera g, DSGVO die Herkunft der Daten dann nicht beauskunftet werden muss, wenn die Daten bei der betroffenen Person „erhoben“ wurden. Außerdem lässt bereits die Wortwahl „erhoben“ im Unterschied zu „zugekauft“ darauf schließen, dass ein Teil der Daten von der BF selbst gesammelt wurde, was ebenfalls einer Quellenangabe entspricht. Aus einer Gesamtbetrachtung der Auskunft ist somit klar ersichtlich, aus welchen Quellen die (zugekauften) Daten stammen. Im konkreten Fall der MP war darüber hinaus anhand der zweiten Auskunft vom 19.06.2019 ersichtlich, dass die BF einige Daten bei der MP selbst erfasst hat. Diese wandte sich mehrfach an den Kundenservice der BF und legte sich ein Benutzerkonto bei dieser an (siehe Auskunft vom 19.06.2019, S 1, 3 ff; OZ 1, S 80, 82 ff). Es war daher nicht ersichtlich, dass es weitere zu beauskunftende Datenquellen gibt.
Der Vollständigkeit halber sei an dieser Stelle angemerkt, dass die BF in ihrer Bescheidbeschwerde, sowie in ihrer Stellungnahme vom 01.03.2023, erneut klargestellt hat, dass es keine weiteren Datenquellen gibt. Die als „Übersicht“ bezeichnete Tabelle sei jedenfalls mit der übrigen Auskunft gemeinsam zu sehen. Durch einen Abgleich mit den weiteren Tabellen sei ersichtlich woher die Daten stammen.
Die Auskunft ist daher hinsichtlich der Herkunft der Daten, die im Rahmen des Adressverlags erhoben bzw zugekauft wurden, detailliert genug, so dass sich die MP der Verarbeitung ihrer personenbezogenen Daten bewusstwerden und deren Rechtmäßigkeit überprüfen konnte. Durch die tabellarische Übersicht ist die Auskunft transparent und aufgrund der Wortwahl auch verständlich. Selbst wenn die vorliegend gewählte Art der Beauskunftung mit mehreren Tabellen und einer zusätzlichen „Übersicht“ für sich allein betrachtet die Herkunft der Daten anfangs etwas unübersichtlich wirken lässt, so ist aus einer Zusammenschau mit der ergänzenden Auskunft dennoch eindeutig erkennbar, woher welche Daten stammen. Die Auskunft ist daher vollständig und entspricht auch den Anforderungen an die Transparenz des Art 12 Abs 1 DSGVO. Die von der belangten Behörde festgestellte Rechtsverletzung liegt somit nicht vor.Die Auskunft ist daher hinsichtlich der Herkunft der Daten, die im Rahmen des Adressverlags erhoben bzw zugekauft wurden, detailliert genug, so dass sich die MP der Verarbeitung ihrer personenbezogenen Daten bewusstwerden und deren Rechtmäßigkeit überprüfen konnte. Durch die tabellarische Übersicht ist die Auskunft transparent und aufgrund der Wortwahl auch verständlich. Selbst wenn die vorliegend gewählte Art der Beauskunftung mit mehreren Tabellen und einer zusätzlichen „Übersicht“ für sich allein betrachtet die Herkunft der Daten anfangs etwas unübersichtlich wirken lässt, so ist aus einer Zusammenschau mit der ergänzenden Auskunft dennoch eindeutig erkennbar, woher welche Daten stammen. Die Auskunft ist daher vollständig und entspricht auch den Anforderungen an die Transparenz des Artikel 12, Absatz eins, DSGVO. Die von der belangten Behörde festgestellte Rechtsverletzung liegt somit nicht vor.
3.3. Zu Spruchpunkt 2. b. des angefochtenen Bescheids:
Das Auskunftsrecht des Art 15 Abs 1 lit h DSGVO setzt das Bestehen einer automatisierten Entscheidungsfindung im Sinne des Art 22 DSGVO voraus (siehe etwa VwGH 17.12.2025, Ro 2023/04/0029 Rz 28). Das Auskunftsrecht des Artikel 15, Absatz eins, Litera h, DSGVO setzt das Bestehen einer automatisierten Entscheidungsfindung im Sinne des Artikel 22, DSGVO voraus (siehe etwa VwGH 17.12.2025, Ro 2023/04/0029 Rz 28).
Die Anwendbarkeit von Art 22 DSGVO hängt von drei kumulativen Voraussetzungen ab. Erstens muss eine „Entscheidung“ vorliegen, zweitens muss diese Entscheidung „ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling“ beruhen und drittens muss die Entscheidung „gegenüber der [betroffenen Person] rechtliche Wirkung“ entfaltet oder sie „in ähnlicher Weise erheblich“ beeinträchtigen (siehe etwa VwGH 17.12.2025, Ro 2023/04//0029 Rz 28 mHa EuGH, 07.12.2023, C-634/21).Die Anwendbarkeit von Artikel 22, DSGVO hängt von drei kumulativen Voraussetzungen ab. Erstens muss eine „Entscheidung“ vorliegen, zweitens muss diese Entscheidung „ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling“ beruhen und drittens muss die Entscheidung „gegenüber der [betroffenen Person] rechtliche Wirkung“ entfaltet oder sie „in ähnlicher Weise erheblich“ beeinträchtigen (siehe etwa VwGH 17.12.2025, Ro 2023/04//0029 Rz 28 mHa EuGH, 07.12.2023, C-634/21).
Bezugnehmend auf das dritte Kriterium muss die auf eine ausschließlich automatisierte Verarbeitung, einschließlich Profiling, beruhende Entscheidung gegenüber der betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Den Schlussanträgen des Generalanwalts in der Rs C-634/21 (Rz 34 und 35) ist dabei zu entnehmen, dass das Tatbestandserfordernis des Art 22 Abs 1 DSGVO der Entfaltung von rechtlichen Wirkungen oder der Beeinträchtigung auf ähnliche Weise nur dann erfüllt ist, wenn die Entscheidung schwerwiegende Auswirkungen auf die betroffene Person hat. Weiters wird auf den 71. Erwägungsgrund der DSGVO verwiesen, welcher als typisches Beispiel einer Entscheidung, die die betroffene Person erheblich beeinträchtigt, die automatische Ablehnung eines Online-Kreditantrages nennt. Die Ablehnung eines solchen Antrages hat rechtliche Wirkungen für die betroffene Person, da sie nicht mehr in den Genuss einer vertraglichen Beziehung mit dem in Rede stehenden Finanzunternehmen kommen kann. Ebenso kann sich eine solche Ablehnung auch auf die finanzielle Situation der betroffenen Person auswirken, weshalb diese jedenfalls in ähnlicher Weise beeinträchtigt wird. Bezugnehmend auf das dritte Kriterium muss die auf eine ausschließlich automatisierte Verarbeitung, einschließlich Profiling, beruhende Entscheidung gegenüber der betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Den Schlussanträgen des Generalanwalts in der Rs C-634/21 (Rz 34 und 35) ist dabei zu entnehmen, dass das Tatbestandserfordernis des Artikel 22, Absatz eins, DSGVO der Entfaltung von rechtlichen Wirkungen oder der Beeinträchtigung auf ähnliche Weise nur dann erfüllt ist, wenn die Entscheidung schwerwiegende Auswirkungen auf die betroffene Person hat. Weiters wird auf den 71. Erwägungsgrund der DSGVO verwiesen, welcher als typisches Beispiel einer Entscheidung, die die betroffene Person erheblich beeinträchtigt, die automatische Ablehnung eines Online-Kreditantrages nennt. Die Ablehnung eines solchen Antrages hat rechtliche Wirkungen für die betroffene Person, da sie nicht mehr in den Genuss einer vertraglichen Beziehung mit dem in Rede stehenden Finanzunternehmen kommen kann. Ebenso kann sich eine solche Ablehnung auch auf die finanzielle Situation der betroffenen Person auswirken, weshalb diese jedenfalls in ähnlicher Weise beeinträchtigt wird.
Eine rechtliche Wirkung ist immer dann anzunehmen, wenn sich die Rechtsposition der betroffenen Person in irgendeiner Weise verändert, ein Recht oder Rechtsverhältnis begründet oder aufgehoben wird oder in ein Recht eingegriffen wird (Buchner in Gola/Heckmann, Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Auflage, 2022, Art 22 DS-GVO, Rn 24a). In Zusammenschau beider denkbaren Folgen („in ähnlicher Weise erheblich“) wird aufgezeigt, dass nicht jede rechtliche Wirkung von Art 22 DSGVO erfasst wird, sondern nur solche, die selbst mit einer gewissen Erheblichkeit für die betroffene Person verbunden sind. Um der zweiten denkbaren Folge der „in ähnlicher Weise erheblichen Beeinträchtigung“ noch Raum zu geben, wird man zudem verlangen müssen, dass mit „rechtlicher Wirkung“ nur Rechtsfolgen gemeint sind, die eine Rechtsposition begründen, ändern oder aufheben (Schulz in Ehmann/Selmayr, Datenschutz-Grundverordnung, 3. Auflage 2024, Art 22 Rn 21). Ebenso spricht auch EG 71 von einer Entscheidung, die „rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.“ Aufgrund dieses eindeutigen Wortlauts sowohl in Art 22 DSGVO als auch in EG 71 ist davon auszugehen, dass solche Entscheidungen, die einem Begehren der betroffenen Person vollumfänglich stattgeben, nicht unter Art 22 DSGVO fallen (Buchner in Gola/Heckmann, Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Auflage, 2022, Art 22 DS-GVO, Rn 25). Eine rechtliche Wirkung ist immer dann anzunehmen, wenn sich die Rechtsposition der betroffenen Person in irgendeiner Weise verändert, ein Recht oder Rechtsverhältnis begründet oder aufgehoben wird oder in ein Recht eingegriffen wird (Buchner in Gola/Heckmann, Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Auflage, 2022, Artikel 22, DS-GVO, Rn 24a). In Zusammenschau beider denkbaren Folgen („in ähnlicher Weise erheblich“) wird aufgezeigt, dass nicht jede rechtliche Wirkung von Artikel 22, DSGVO erfasst wird, sondern nur solche, die selbst mit einer gewissen Erheblichkeit für die betroffene Person verbunden sind. Um der zweiten denkbaren Folge der „in ähnlicher Weise erheblichen Beeinträchtigung“ noch Raum zu geben, wird man zudem verlangen müssen, dass mit „rechtlicher Wirkung“ nur Rechtsfolgen gemeint sind, die eine Rechtsposition begründen, ändern oder aufheben (Schulz in Ehmann/Selmayr, Datenschutz-Grundverordnung, 3. Auflage 2024, Artikel 22, Rn 21). Ebenso spricht auch EG 71 von einer Entscheidung, die „rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.“ Aufgrund dieses eindeutigen Wortlauts sowohl in Artikel 22, DSGVO als auch in EG 71 ist davon auszugehen, dass solche Entscheidungen, die einem Begehren der betroffenen Person vollumfänglich stattgeben, nicht unter Artikel 22, DSGVO fallen (Buchner in Gola/Heckmann, Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Auflage, 2022, Artikel 22, DS-GVO, Rn 25).
Von einer erheblichen Beeinträchtigung ist immer dann auszugehen, wenn der Betroffene durch die Entscheidung in seiner wirtschaftlichen oder persönlichen Entfaltung nachhaltig gestört wird. Bespiele sind die Kündigung eines Kredites, ein erhöhter Zinssatz oder die Versagung einer behördlichen Genehmigung. Auch die Ablehnung eines Vertragsabschlusses kann eine erhebliche Beeinträchtigung sein. Art 22 DSGVO untersagt nicht die Ablehnung eines Vertragsabschlusses, sondern lediglich, dass eine solche Entscheidung ausschließlich automatisiert getroffen wird (Buchner in Gola/Heckmann, Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Auflage, 2022, Art 22 DS-GVO, Rn 26). Von einer erheblichen Beeinträchtigung ist immer dann auszugehen, wenn der Betroffene durch die Entscheidung in seiner wirtschaftlichen oder persönlichen Entfaltung nachhaltig gestört wird. Bespiele sind die Kündigung eines Kredites, ein erhöhter Zinssatz oder die Versagung einer behördlichen Genehmigung. Auch die Ablehnung eines Vertragsabschlusses kann eine erhebliche Beeinträchtigung sein. Artikel 22, DSGVO untersagt nicht die Ablehnung eines Vertragsabschlusses, sondern lediglich, dass eine solche Entscheidung ausschließlich automatisiert getroffen wird (Buchner in Gola/Heckmann, Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Auflage, 2022, Artikel 22, DS-GVO, Rn 26).
Fallgegenständlich kommt der MP kein Recht auf Auskunft nach Art 15 Abs 1 lit h DSGVO zu, da eine automatisierte Entscheidungsfindung im Sinne des Art 22 DSGVO nicht vorliegt. Dies gründet auf folgenden Überlegungen:Fallgegenständlich kommt der MP kein Recht auf Auskunft nach Artikel 15, Absatz eins, Litera h, DSGVO zu, da eine automatisierte Entscheidungsfindung im Sinne des Artikel 22, DSGVO nicht vorliegt. Dies gründet auf folgenden Überlegungen:
Wie festgestellt wurde, hat die BF die personenbezogenen Daten (vgl. dazu VwGH 14.12.2021, Ro 2021/04/0007 Rz 40) der MP weder an einen Dritten weitergegeben, noch hatten sich diese personenbezogenen Daten für die MP in irgendeiner Form ausgewirkt oder diese beeinträchtigt. Somit fehlt es an jedweder Beeinträchtigung der MP. Eine rechtliche Wirkung bzw eine vergleichbare erhebliche Beeinträchtigung, wie oben beschrieben, kommt daher nicht in Betracht. Bei diesem Ergebnis kann dahinstehen, ob eine Entscheidung vorliegt, die ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling, beruht. Mangels Erfüllens des dritten in der EuGH-Rechtsprechung zu Art. 22 DSGVO aufgestellten Kriteriums ist der Anwendungsbereich von Art 22 DSGVO nicht eröffnet, und besteht aufgrund dessen auch kein Recht auf Auskunft nach Art 15 Abs 1 lit h DSGVO.Wie festgestellt wurde, hat die BF die personenbezogenen Daten vergleiche dazu VwGH 14.12.2021, Ro 2021/04/0007 Rz 40) der MP weder an einen Dritten weitergegeben, noch hatten sich diese personenbezogenen Daten für die MP in irgendeiner Form ausgewirkt oder diese beeinträchtigt. Somit fehlt es an jedweder Beeinträchtigung der MP. Eine rechtliche Wirkung bzw eine vergleichbare erhebliche Beeinträchtigung, wie oben beschrieben, kommt daher nicht in Betracht. Bei diesem Ergebnis kann dahinstehen, ob eine Entscheidung vorliegt, die ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling, beruht. Mangels Erfüllens des dritten in der EuGH-Rechtsprechung zu Artikel 22, DSGVO aufgestellten Kriteriums ist der Anwendungsbereich von Artikel 22, DSGVO nicht eröffnet, und besteht aufgrund dessen auch kein Recht auf Auskunft nach Artikel 15, Absatz eins, Litera h, DSGVO.
Gegenständlich liegt somit keine Verletzung im Recht auf Auskunft vor. In der Folge war der Bescheidbeschwerde stattzugeben und Spruchpunkt 1. des angefochtenen Bescheides, spruchgemäß abzuändern. Die Leistungsaufträge in Spruchpunkt 2. hatten zu entfallen.
Es war spruchgemäß zu entscheiden.
3.4. Zum Absehen von der mündlichen Verhandlung:
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art 6 Abs 1 EMRK noch Art 47 GRC entgegenstehen.Gemäß Paragraph 24, Absatz 4, VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen.
Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. In der Beschwerde wurde auch kein dem Ergebnis des behördlichen Ermittlungsverfahrens entgegenstehender bzw darüberhinausgehender relevanter Sachverhalt behauptet (VwGH 24.02.2015, Ra 2014/19/0171). Des Weiteren konnte sich das Verwaltungsgericht der Beweiswürdigung der belangten Behörde anschließen. Das Vorbringen der BF in der Bescheidbeschwerde zur Herkunft der Daten der Tabelle „Übersicht verarbeiteter Daten (gem § 151 GewO) XXXX “ richtet sich lediglich gegen die rechtliche Würdigung der belangten Behörde (insbesondere die Verständlichkeit iSd Art 12 DSGVO). Die von der Beschwerdeführerin erteilten Auskünfte wurden von der belangten Behörde vollständig im Bescheid festgestellt. Die ergänzende Feststellung der Ausführungen der BF in ihrer Stellungnahme vom 19.06.2019 stellen insofern keinen „neuen“ Sachverhalt dar, als diese Informationen bereits aus der von der belangten Behörde festgestellten Auskunft hervorgehen. Darin wird bereits auf die „statistische Hochrechnung“ hingewiesen. Im Übrigen waren die Begriffe wie „Mögliche Zielgruppe für Wahlwerbung“ bzw „Mögliche Zielgruppe für Werbung Bio“ selbsterklärend, weshalb die diesbezüglich ergänzenden Erläuterungen in der Bescheidbeschwerde nicht herangezogen werden mussten.Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. In der Beschwerde wurde auch kein dem Ergebnis des behördlichen Ermittlungsverfahrens entgegenstehender bzw darüberhinausgehender relevanter Sachverhalt behauptet (VwGH 24.02.2015, Ra 2014/19/0171). Des Weiteren konnte sich das Verwaltungsgericht der Beweiswürdigung der belangten Behörde anschließen. Das Vorbringen der BF in der Bescheidbeschwerde zur Herkunft der Daten der Tabelle „Übersicht verarbeiteter Daten (gem Paragraph 151, GewO) römisch 40 “ richtet sich lediglich gegen die rechtliche Würdigung der belangten Behörde (insbesondere die Verständlichkeit iSd Artikel 12, DSGVO). Die von der Beschwerdeführerin erteilten Auskünfte wurden von der belangten Behörde vollständig im Bescheid festgestellt. Die ergänzende Feststellung der Ausführungen der BF in ihrer Stellungnahme vom 19.06.2019 stellen insofern keinen „neuen“ Sachverhalt dar, als diese Informationen bereits aus der von der belangten Behörde festgestellten Auskunft hervorgehen. Darin wird bereits auf die „statistische Hochrechnung“ hingewiesen. Im Übrigen waren die Begriffe wie „Mögliche Zielgruppe für Wahlwerbung“ bzw „Mögliche Zielgruppe für Werbung Bio“ selbsterklärend, weshalb die diesbezüglich ergänzenden Erläuterungen in der Bescheidbeschwerde nicht herangezogen werden mussten.
Die Beurteilung, ob die Ausführungen in der Auskunft dem Transparenzgebot gerecht werden, verständlich und vollständig sind, ist eine Rechtsfrage. Der tatsächliche Inhalt der Auskunft und somit der entscheidungsrelevante Sachverhalt, ist im gegenständlichen Verfahren unbestritten.
Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über eine Rechtsfrage zu erkennen (vgl EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Dem Entfall der Verhandlung stehen auch weder Art 6 Abs 1 EMRK noch Art 47 der Charta der Grundrechte entgegen.Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Dem Entfall der Verhandlung stehen auch weder Artikel 6, Absatz eins, EMRK noch Artikel 47, der Charta der Grundrechte entgegen.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen.
Schlagworte
Auskunfterteilung Auskunftsbegehren Auskunftsrecht automatisierte Einzelentscheidung Datenherkunft Datenquelle Datenschutz Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Direktwerbung Ersatzentscheidung Parteiaffinität personenbezogene Daten Spruchpunkt - Abänderung Voraussetzungen WahlwerbungEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2026:W252.2237416.1.00Im RIS seit
28.09.2026Zuletzt aktualisiert am
28.09.2026
