TE Bvwg Erkenntnis 2023/9/27 W256 2234851-1

1. B-VG Art. 133 heute
2. B-VG Art. 133 gültig von 01.01.2019 bis 24.05.2018 zuletzt geändert durch BGBl. I Nr. 138/2017
3. B-VG Art. 133 gültig ab 01.01.2019 zuletzt geändert durch BGBl. I Nr. 22/2018
4. B-VG Art. 133 gültig von 25.05.2018 bis 31.12.2018 zuletzt geändert durch BGBl. I Nr. 22/2018
5. B-VG Art. 133 gültig von 01.08.2014 bis 24.05.2018 zuletzt geändert durch BGBl. I Nr. 164/2013
6. B-VG Art. 133 gültig von 01.01.2014 bis 31.07.2014 zuletzt geändert durch BGBl. I Nr. 51/2012
7. B-VG Art. 133 gültig von 01.01.2004 bis 31.12.2013 zuletzt geändert durch BGBl. I Nr. 100/2003
8. B-VG Art. 133 gültig von 01.01.1975 bis 31.12.2003 zuletzt geändert durch BGBl. Nr. 444/1974
9. B-VG Art. 133 gültig von 25.12.1946 bis 31.12.1974 zuletzt geändert durch BGBl. Nr. 211/1946
10. B-VG Art. 133 gültig von 19.12.1945 bis 24.12.1946 zuletzt geändert durch StGBl. Nr. 4/1945
11. B-VG Art. 133 gültig von 03.01.1930 bis 30.06.1934

1. GewO 1994 § 151 heute
2. GewO 1994 § 151 gültig ab 25.05.2018 zuletzt geändert durch BGBl. I Nr. 32/2018
3. GewO 1994 § 151 gültig von 27.02.2008 bis 24.05.2018 zuletzt geändert durch BGBl. I Nr. 42/2008
4. GewO 1994 § 151 gültig von 01.08.2002 bis 26.02.2008 zuletzt geändert durch BGBl. I Nr. 111/2002
5. GewO 1994 § 151 gültig von 19.03.1994 bis 31.07.2002

,

W256 2234851-1/12E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline Kimm als Vorsitzende, der fachkundigen Laienrichterin Dr. Claudia Rosenmayr-Klemenz und der fachkundigen Laienrichterin Mag. Adriana Mandl als Beisitzerinnen über die Beschwerde der XXXX vertreten durch Schönherr Rechtsanwälte GmbH in 1010 Wien, Schottenring 19, gegen die Spruchpunkte 1 und 2 des Bescheides der Datenschutzbehörde vom 28. Mai 2020, DSB-D205.328 (2020-0.044.944) zu Recht erkannt:Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline Kimm als Vorsitzende, der fachkundigen Laienrichterin Dr. Claudia Rosenmayr-Klemenz und der fachkundigen Laienrichterin Mag. Adriana Mandl als Beisitzerinnen über die Beschwerde der römisch 40 vertreten durch Schönherr Rechtsanwälte GmbH in 1010 Wien, Schottenring 19, gegen die Spruchpunkte 1 und 2 des Bescheides der Datenschutzbehörde vom 28. Mai 2020, DSB-D205.328 (2020-0.044.944) zu Recht erkannt:

A)       In Erledigung der Beschwerde werden die Spruchpunkte 1 und 2 des angefochtenen Bescheids ersatzlos behoben.

B)              Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.B) Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.

,

,

Entscheidungsgründe:, Entscheidungsgründe:

I.       Verfahrensgang:römisch eins. Verfahrensgang:

In seiner Beschwerde vom 6. Mai 2019 behauptete XXXX im Folgenden: Mitbeteiligter) eine Verletzung in seinem Recht auf Auskunft durch die Beschwerdeführerin. Er habe mit E-Mail vom 22. Februar 2019 ein Auskunftsersuchen nach Art. 15 DSGVO an die Beschwerdeführerin gerichtet, dieses sei bisher jedoch nicht beantwortet worden.In seiner Beschwerde vom 6. Mai 2019 behauptete römisch 40 im Folgenden: Mitbeteiligter) eine Verletzung in seinem Recht auf Auskunft durch die Beschwerdeführerin. Er habe mit E-Mail vom 22. Februar 2019 ein Auskunftsersuchen nach Artikel 15, DSGVO an die Beschwerdeführerin gerichtet, dieses sei bisher jedoch nicht beantwortet worden.

Über Aufforderung der belangten Behörde führte die Beschwerdeführerin in ihrer Stellungnahme vom 17. Juli 2019 aus, dass sie dem Mitbeteiligten mit – unter einem vorgelegtem – Schreiben vom 11. Juni 2019 Auskunft erteilt habe.

Dazu wurde dem Mitbeteiligten von der belangten Behörde Parteiengehör eingeräumt. Gleichzeitig wurde er darüber informiert, dass sie im Sinne des § 24 Abs. 6 DSG durch die Reaktion der Beschwerdeführerin seine Beschwerde als gegenstandlos betrachte.Dazu wurde dem Mitbeteiligten von der belangten Behörde Parteiengehör eingeräumt. Gleichzeitig wurde er darüber informiert, dass sie im Sinne des Paragraph 24, Absatz 6, DSG durch die Reaktion der Beschwerdeführerin seine Beschwerde als gegenstandlos betrachte.

Dazu brachte der Mitbeteiligte mit Schreiben vom 13. August 2019 vor, dass die erteilte Auskunft unvollständig sei. So würden sich darin – soweit hier wesentlich – keine Informationen über die Empfänger seiner Daten sowie darüber, ob allfälliges Profiling betrieben werde, finden.

Angesichts dieser Ausführungen wurde das ursprünglich wegen der Nichterteilung einer Auskunft eingeleitete Verfahren von der belangten Behörde eingestellt und der Beschwerdeführerin die als neuerliche Beschwerde wegen einer unvollständigen Auskunft gewertete Beschwerde vom 13. August 2019 zur Stellungnahme übermittelt.

Dazu führte die Beschwerdeführerin aus, dass sie bereits eine Auskunft über Empfänger oder Kategorien von Empfängern erteilt habe und zwar habe sie den Mitbeteiligten über die Datenweitergabe an ihre Geschäftskunden und damit über die Empfängerkategorie informiert. Eine Verpflichtung, bestimmte Empfänger zu benennen, bestehe nicht. Zum Profiling könne sie keine Auskunft geben, da sie kein Profiling durchführe. Die in der Übersichtstabelle der Auskunft angeführten Affinitäten seien Marketingklassifikationen im Sinne des § 151 Abs. 6 GewO und keine personenbezogenen Daten im Sinne des Art. 4 Z. 1 DSGVO.Dazu führte die Beschwerdeführerin aus, dass sie bereits eine Auskunft über Empfänger oder Kategorien von Empfängern erteilt habe und zwar habe sie den Mitbeteiligten über die Datenweitergabe an ihre Geschäftskunden und damit über die Empfängerkategorie informiert. Eine Verpflichtung, bestimmte Empfänger zu benennen, bestehe nicht. Zum Profiling könne sie keine Auskunft geben, da sie kein Profiling durchführe. Die in der Übersichtstabelle der Auskunft angeführten Affinitäten seien Marketingklassifikationen im Sinne des Paragraph 151, Absatz 6, GewO und keine personenbezogenen Daten im Sinne des Artikel 4, Ziffer eins, DSGVO.

Der Mitbeteiligte hat sich dazu im Rahmen des Parteiengehörs nicht geäußert.

Mit dem angefochtenen Bescheid wurde der Beschwerde teilweise stattgegeben und festgestellt, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Auskunft verletzt habe, indem sie in der Auskunft vom 11. Juni 2019 einerseits die Empfänger der personenbezogenen Daten des Mitbeteiligten nicht beauskunftet habe und indem sie hinsichtlich der Marketingklassifikation keine ausreichend aussagekräftigen Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen der Verarbeitung bereitgestellt habe (Spruchpunkt 1). Der Beschwerdeführerin wurde bei sonstiger Exekution aufgetragen, innerhalb einer Frist von vier Wochen die konkreten Empfänger der personenbezogenen Daten zu bezeichnen sowie die notwendigen Informationen hinsichtlich der Erstellung von Marketingklassifikationen bereitzustellen (Spruchpunkt 2). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3).

Dazu führte die belangte Behörde – sofern hier wesentlich – zu Spruchpunkt 1 und 2 aus, die Beschwerdeführerin lasse offen, warum die Offenlegung der Geschäftspartner ihre schutzwürdigen Interessen als Adressverlag berühre. Aus der Tatsache der entgeltlichen Überlassung von Daten durch Adressverlage könne geschlossen werden, dass die Beschwerdeführerin allein aus verrechnungstechnischen Gründen genaue Kenntnis darüber haben müsse, an wen die betreffenden Daten weitergegeben worden seien. Zum Auskunftsanspruch hinsichtlich Profiling sei auszuführen, dass es sich bei den „Marketingklassifikationen“ um Daten gemäß Art. 4 Abs. 4 DSGVO handle und insofern Art. 15 Abs. 1 lit. h leg. cit. einschlägig sei. In diesem Fall sei zwar nicht Auskunft über die involvierte Logik zu erteilen, jedoch seien aussagekräftige Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen der Verarbeitung bereitzustellen. Dazu führte die belangte Behörde – sofern hier wesentlich – zu Spruchpunkt 1 und 2 aus, die Beschwerdeführerin lasse offen, warum die Offenlegung der Geschäftspartner ihre schutzwürdigen Interessen als Adressverlag berühre. Aus der Tatsache der entgeltlichen Überlassung von Daten durch Adressverlage könne geschlossen werden, dass die Beschwerdeführerin allein aus verrechnungstechnischen Gründen genaue Kenntnis darüber haben müsse, an wen die betreffenden Daten weitergegeben worden seien. Zum Auskunftsanspruch hinsichtlich Profiling sei auszuführen, dass es sich bei den „Marketingklassifikationen“ um Daten gemäß Artikel 4, Absatz 4, DSGVO handle und insofern Artikel 15, Absatz eins, Litera h, leg. cit. einschlägig sei. In diesem Fall sei zwar nicht Auskunft über die involvierte Logik zu erteilen, jedoch seien aussagekräftige Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen der Verarbeitung bereitzustellen.

Gegen Spruchpunkt 1 und 2 des angefochtenen Bescheids richtet sich die vorliegende Beschwerde. Die dem Mitbeteiligten erteilte Auskunft sei vollständig und mangelfrei gewesen. Als Verantwortliche habe die Beschwerdeführerin ein Wahlrecht, ob sie Empfängerkategorien oder konkrete Empfänger beauskunfte. Marketingklassifikationen seien keine personenbezogenen Daten und würden daher nicht dem Anwendungsbereich der DSGVO unterliegen. Die Beschwerdeführerin habe darüber hinaus über die Marketingklassifikationen transparent informiert. Diese würden nicht mittels Profiling ermittelt werden und daher bestehe auch keine Auskunftspflicht gemäß Art. 15 Abs. 1 lit. h DSGVO.Gegen Spruchpunkt 1 und 2 des angefochtenen Bescheids richtet sich die vorliegende Beschwerde. Die dem Mitbeteiligten erteilte Auskunft sei vollständig und mangelfrei gewesen. Als Verantwortliche habe die Beschwerdeführerin ein Wahlrecht, ob sie Empfängerkategorien oder konkrete Empfänger beauskunfte. Marketingklassifikationen seien keine personenbezogenen Daten und würden daher nicht dem Anwendungsbereich der DSGVO unterliegen. Die Beschwerdeführerin habe darüber hinaus über die Marketingklassifikationen transparent informiert. Diese würden nicht mittels Profiling ermittelt werden und daher bestehe auch keine Auskunftspflicht gemäß Artikel 15, Absatz eins, Litera h, DSGVO.

Die belangte Behörde legte die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vor und erstattete eine Gegenschrift.

In ihrer Stellungnahme vom 1. August 2022 führte die Beschwerdeführerin aufgrund der zwischenzeitig ergangenen Rechtsprechung des Verwaltungsgerichtshofes in seinem Erkenntnis vom 14. Dezember 2021, Ro 2021/04/0007 im Wesentlichen aus, dass sie ihr Vorbringen, wonach Marketingklassifikationen keine personenbezogenen Daten seien, nicht mehr aufrecht halte. Überdies erkenne die Beschwerdeführerin auch an, dass mit Marketinganalyseverfahren berechnete Marketingklassifikationen die Ergebnisse von Profiling im Sinne des Art. 4 Z. 4 DSGVO seien und sie insofern Profiling betrieben habe. Allerdings sei sie ein Adressverlag und Direktmarketingunternehmen und treffe sie insoweit keine automatisierte Entscheidung einschließlich Profiling im Sinne des Art. 22 Abs. 2 DSGVO, weshalb sie insofern keine Auskunftspflicht nach Art. 15 Abs. 1 lit. h DSGVO treffe. Die Tragweite und Auswirkung von Marketingklassifikationen ergeben sich unmittelbar aus § 151 Abs. 6 GewO. Diese dürften und würden ausschließlich zur Zielgruppendefinition für Marketingzwecke Dritter verwendet werden. Dabei handle es sich um Selektoren, die verwendet werden würden, um aus einem Adressbestand, der sonst zur Gänze beworben werden würde, jene Adressen auszuwählen, an denen mit einer höheren Reaktionsrate gerechnet werde. Dadurch werde die Treffsicherheit der Werbematerialien erhöht. In ihrer Stellungnahme vom 1. August 2022 führte die Beschwerdeführerin aufgrund der zwischenzeitig ergangenen Rechtsprechung des Verwaltungsgerichtshofes in seinem Erkenntnis vom 14. Dezember 2021, Ro 2021/04/0007 im Wesentlichen aus, dass sie ihr Vorbringen, wonach Marketingklassifikationen keine personenbezogenen Daten seien, nicht mehr aufrecht halte. Überdies erkenne die Beschwerdeführerin auch an, dass mit Marketinganalyseverfahren berechnete Marketingklassifikationen die Ergebnisse von Profiling im Sinne des Artikel 4, Ziffer 4, DSGVO seien und sie insofern Profiling betrieben habe. Allerdings sei sie ein Adressverlag und Direktmarketingunternehmen und treffe sie insoweit keine automatisierte Entscheidung einschließlich Profiling im Sinne des Artikel 22, Absatz 2, DSGVO, weshalb sie insofern keine Auskunftspflicht nach Artikel 15, Absatz eins, Litera h, DSGVO treffe. Die Tragweite und Auswirkung von Marketingklassifikationen ergeben sich unmittelbar aus Paragraph 151, Absatz 6, GewO. Diese dürften und würden ausschließlich zur Zielgruppendefinition für Marketingzwecke Dritter verwendet werden. Dabei handle es sich um Selektoren, die verwendet werden würden, um aus einem Adressbestand, der sonst zur Gänze beworben werden würde, jene Adressen auszuwählen, an denen mit einer höheren Reaktionsrate gerechnet werde. Dadurch werde die Treffsicherheit der Werbematerialien erhöht.

Aufgrund des Urteils des Gerichtshofs der Europäischen Union vom 12. Jänner 2023, C-154/21, informierte die Beschwerdeführerin mit Schreiben vom 9. März 2023 das Bundesverwaltungsgericht, dass sie dem Mitbeteiligten zwischenzeitig eine – unter einem vorgelegte – ergänzende Auskunft erteilt habe. Darin seien die konkreten Empfänger der Daten des Mitbeteiligten aufgelistet worden.

Dazu hat sich der Mitbeteiligte – trotz mehrmaliger Aufforderung von Seiten des Bundesverwaltungsgerichts – nicht geäußert.

II.      Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die Beschwerdeführerin ist eine Logistik- und Postdienstleisterin. Sie verfügt über die gewerbliche Befugnis eines Adressverlags- und Direktmarketingunternehmens.

Mit Schreiben vom 22. Februar 2019 beantragte der Mitbeteiligte bei der Beschwerdeführerin eine datenschutzrechtliche Auskunft. Darin begehrte er u.a. Auskunft über die Empfänger seiner Daten sowie darüber, ob in Bezug auf seine Daten Profiling betrieben worden sei und bejahendenfalls über die dazu involvierte Logik.

Dazu erteilte die Beschwerdeführerin dem Mitbeteiligten mit Schreiben vom 11. Juni 2019 eine näher dargestellte Auskunft über die zu seiner Person gemäß § 151 GewO verarbeiteten Daten. Darin fand sich u.a. eine Liste an Marktinformationen wie „mögliche Zielgruppe für Werbung Bio“, „mögliche Zielgruppe für Werbung Abendunterhaltung“, „mögliche Zielgruppe für Werbung Investment“, „mögliche Zielgruppe für Werbung Sport“, „mögliche Zielgruppe für Werbung Laufen“, „mögliche Lebensphase“, „mögliche Zielgruppe für Werbung Distanzhandel“ und „Versandhandelskäufer“, welche von der Beschwerdeführerin in Bezug auf den Mitbeteiligten bewertet wurden und zwar wurden die Informationen „mögliche Zielgruppe für Werbung Bio“, „mögliche Zielgruppe für Werbung Abendunterhaltung“, „mögliche Zielgruppe für Werbung Sport“ und „mögliche Zielgruppe für Werbung Laufen“ jeweils mit „Ja“ bewertet. Die Information „mögliche Zielgruppe für Werbung Investment“ wurde mit „niedrig“ bewertet. Bei „mögliche Lebensphase“ fand sich die Angabe „Young, Free & Single“. Die Information „mögliche Zielgruppe für Werbung Distanzhandel“ wurde mit „hoch“ und die Information „Versandhandelskäufer“ mit „gering“ bewertet. Dazu erteilte die Beschwerdeführerin dem Mitbeteiligten mit Schreiben vom 11. Juni 2019 eine näher dargestellte Auskunft über die zu seiner Person gemäß Paragraph 151, GewO verarbeiteten Daten. Darin fand sich u.a. eine Liste an Marktinformationen wie „mögliche Zielgruppe für Werbung Bio“, „mögliche Zielgruppe für Werbung Abendunterhaltung“, „mögliche Zielgruppe für Werbung Investment“, „mögliche Zielgruppe für Werbung Sport“, „mögliche Zielgruppe für Werbung Laufen“, „mögliche Lebensphase“, „mögliche Zielgruppe für Werbung Distanzhandel“ und „Versandhandelskäufer“, welche von der Beschwerdeführerin in Bezug auf den Mitbeteiligten bewertet wurden und zwar wurden die Informationen „mögliche Zielgruppe für Werbung Bio“, „mögliche Zielgruppe für Werbung Abendunterhaltung“, „mögliche Zielgruppe für Werbung Sport“ und „mögliche Zielgruppe für Werbung Laufen“ jeweils mit „Ja“ bewertet. Die Information „mögliche Zielgruppe für Werbung Investment“ wurde mit „niedrig“ bewertet. Bei „mögliche Lebensphase“ fand sich die Angabe „Young, Free & Single“. Die Information „mögliche Zielgruppe für Werbung Distanzhandel“ wurde mit „hoch“ und die Information „Versandhandelskäufer“ mit „gering“ bewertet.

Zusätzlich teilte die Beschwerdeführerin darin mit, dass sie diese Daten im Rahmen ihrer Tätigkeit als Adressverlag verarbeitet und diese Geschäftskunden für Marketingzwecke anbietet.

Die Marktinformationen wurden von der Beschwerdeführerin anhand von Profiling ermittelt.

Mit Schreiben vom 9. März 2023 – somit während des laufenden Beschwerdeverfahrens vor dem Bundesverwaltungsgericht – erteilte die Beschwerdeführerin dem Mitbeteiligten eine ergänzende Auskunft, in der sie ihm die konkreten Datenempfänger seiner personenbezogenen Daten auflistete.

2. Beweiswürdigung:

Der Sachverhalt ergibt sich aus dem vorgelegten Verwaltungsakt sowie dem Gerichtsakt und ist nicht strittig. Dass die Beschwerdeführerin dem Mitbeteiligten eine Ergänzung zur schon erteilten Auskunft erteilte, in welcher im Besonderen die konkreten Empfänger seiner Daten aufgelistet wurden, folgt aus dem Schreiben der Beschwerdeführerin vom 9. März 2023. Der Mitbeteiligte nahm – nach ausdrücklichem und wiederholtem Vorhalt durch das Bundesverwaltungsgericht – dazu keine Stellung.

3. Rechtliche Beurteilung:

zu A)

Art. 4, 15 und 22 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO) lauten auszugsweise wie folgt:Artikel 4, 15 und 22 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO) lauten auszugsweise wie folgt:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

[...]

4. ‚Profiling‘ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;“

[...]

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

[…]

Artikel 22

Automatisierte Entscheidungen im Einzelfall einschließlich Profiling

(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

(2) Absatz 1 gilt nicht, wenn die Entscheidung

a) für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist,

b) aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten oder

c) mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.

(3) In den in Absatz 2 Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.

(4) Entscheidungen nach Absatz 2 dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.“

§ 151 Gewerbeordnung 1994, BGBl. Nr. 194/1994 i.d.F. BGBl. I Nr. 32/2018 lautet auszugsweise wie folgt: Paragraph 151, Gewerbeordnung 1994, Bundesgesetzblatt Nr. 194 aus 1994, in der Fassung Bundesgesetzblatt Teil eins, Nr. 32 aus 2018, lautet auszugsweise wie folgt:

„(1) Auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden sind die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 199 vom 4.5.2016 S 1, (im Folgenden: DSGVO), sowie des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I. Nr. 165/1999, in der Fassung des Bundesgesetzes BGBl. I. Nr. 120/2017, anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.„(1) Auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden sind die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 199 vom 4.5.2016 S 1, (im Folgenden: DSGVO), sowie des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), Bundesgesetzblatt römisch eins. Nr. 165 aus 1999,, in der Fassung des Bundesgesetzes Bundesgesetzblatt römisch eins. Nr. 120 aus 2017,, anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

[..]

(6) Gewerbetreibende nach Abs. 1 dürfen für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte nur dann übermitteln, wenn diese unbedenklich erklären, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden werden.(6) Gewerbetreibende nach Absatz eins, dürfen für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte nur dann übermitteln, wenn diese unbedenklich erklären, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden werden.

[..]“

Im vorliegenden Fall hat die belangte Behörde der Beschwerde des Mitbeteiligten in den Spruchpunkten 1 und 2 insofern Folge gegeben, als die Beschwerdeführerin diesem 1. keine Auskunft über die konkreten Empfänger seiner Daten sowie 2. keine ausreichend aussagekräftigen Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen der Verarbeitung in Bezug auf das von ihr durchgeführte Profiling bereitgestellt hat.

zu den Empfängern

Wie festgestellt wurde, hat die Beschwerdeführerin dem Mitbeteiligten im Laufe des Verfahrens vor dem Bundesverwaltungsgerichts Auskunft über die konkreten Empfänger seiner Daten erteilt und hat sie damit dem Auskunftsanspruch des Mitbeteiligten in dieser Hinsicht entsprochen.

Da Ziel eines Beschwerdeverfahrens nach Art. 15 DSGVO iVm Art. 77 DSGVO iVm § 24 DSG ist, dass der Betroffene die ihm zustehenden Auskünfte erhält, wurde den Spruchpunkten 1 und 2 in dieser Hinsicht die Grundlage entzogen. Es war daher spruchgemäß zu entscheiden.Da Ziel eines Beschwerdeverfahrens nach Artikel 15, DSGVO in Verbindung mit Artikel 77, DSGVO in Verbindung mit Paragraph 24, DSG ist, dass der Betroffene die ihm zustehenden Auskünfte erhält, wurde den Spruchpunkten 1 und 2 in dieser Hinsicht die Grundlage entzogen. Es war daher spruchgemäß zu entscheiden.

Ein Recht auf Feststellung in der Vergangenheit bestandener Verletzungen des Rechts auf Auskunft besteht nicht (vgl. hierzu die zum DSG 2000 ergangene Rechtsprechung des VwGH zum Recht auf Auskunft: VwGH 27.9.2007, 2006/06/0330 mit Verweis auf VwGH 28.3.2006, 2004/06/0125, dessen tragende Überlegungen auch auf die aktuelle Rechtslage übertragen werden können).Ein Recht auf Feststellung in der Vergangenheit bestandener Verletzungen des Rechts auf Auskunft besteht nicht vergleiche hierzu die zum DSG 2000 ergangene Rechtsprechung des VwGH zum Recht auf Auskunft: VwGH 27.9.2007, 2006/06/0330 mit Verweis auf VwGH 28.3.2006, 2004/06/0125, dessen tragende Überlegungen auch auf die aktuelle Rechtslage übertragen werden können).

zu den ausreichend aussagekräftigen Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen der Verarbeitung

Im vorliegenden Fall steht (mittlerweile) unbestritten fest, dass es sich bei den dem Mitbeteiligten zugeschriebenen „Marketinginformationen“ um „personenbezogene Daten“ im Sinne des Art. 4 Z. 1 DSGVO handelt (vgl. dazu VwGH 14.12.2021, Ro 2021/04/0007, betreffend die Datenart „Parteiaffinitäten“ sowie BVwG 2.9.2022, W214 2230686-1). Im vorliegenden Fall steht (mittlerweile) unbestritten fest, dass es sich bei den dem Mitbeteiligten zugeschriebenen „Marketinginformationen“ um „personenbezogene Daten“ im Sinne des Artikel 4, Ziffer eins, DSGVO handelt vergleiche dazu VwGH 14.12.2021, Ro 2021/04/0007, betreffend die Datenart „Parteiaffinitäten“ sowie BVwG 2.9.2022, W214 2230686-1).

Ebenso steht unbestritten fest, dass die Beschwerdeführerin diese „Marketinginformationen“ im Rahmen von Profiling im Sinne des Art. 4 Z. 4 DSGVO ermittelt hat. Dementsprechend gab die Beschwerdeführerin im Laufe des Verfahrens vor dem Bundesverwaltungsgericht auch bekannt, dass die mit Marketinganalyseverfahren berechneten Marketingklassifikationen das Ergebnis von Profiling im Sinne des Art. 4 Z. 4 DSGVO seien und sie insofern Profiling betrieben habe. Allerdings sei sie ein Adressverlag und Direktmarketingunternehmen und treffe sie insoweit keine automatisierte Entscheidung einschließlich Profiling im Sinne des Art. 22 Abs. 2 DSGVO, weshalb sie insofern auch keiner Auskunftspflicht nach Art. 15 Abs. 1 lit. h DSGVO unterliege.Ebenso steht unbestritten fest, dass die Beschwerdeführerin diese „Marketinginformationen“ im Rahmen von Profiling im Sinne des Artikel 4, Ziffer 4, DSGVO ermittelt hat. Dementsprechend gab die Beschwerdeführerin im Laufe des Verfahrens vor dem Bundesverwaltungsgericht auch bekannt, dass die mit Marketinganalyseverfahren berechneten Marketingklassifikationen das Ergebnis von Profiling im Sinne des Artikel 4, Ziffer 4, DSGVO seien und sie insofern Profiling betrieben habe. Allerdings sei sie ein Adressverlag und Direktmarketingunternehmen und treffe sie insoweit keine automatisierte Entscheidung einschließlich Profiling im Sinne des Artikel 22, Absatz 2, DSGVO, weshalb sie insofern auch keiner Auskunftspflicht nach Artikel 15, Absatz eins, Litera h, DSGVO unterliege.

Dazu ist Folgendes festzuhalten:

Zwar kann aus dem Wortlaut der Bestimmung des Art. 15 Abs. 1 lit. h DSGVO („zumindest in diesen Fällen“) grundsätzlich geschlossen werden, dass ein Verantwortlicher die betroffene Person über das Bestehen von jeglicher automatisierten Entscheidungsfindung sowie Profilingmaßnahme zu informieren hat. Die im 2. Halbsatz angeordnete und hier gegenständliche erweiterte Informationspflicht über die Methoden und Kriterien sowie über die Tragweite und Auswirkungen soll sich aber demgegenüber erkennbar „zumindest“ nur auf die in Art. 22 Abs. 1 und 4 DSGVO geregelten Fälle einer besonders eingriffsintensiven Entscheidungsfindung einschließlich Profiling erstrecken (vgl. Bäcker in Kühling/Buchner, Datenschutz-Grundverordnung, BDSG3 [2020], Art. 13, Rn. 52 sowie Art. 15, Rn. 27). Zwar kann aus dem Wortlaut der Bestimmung des Artikel 15, Absatz eins, Litera h, DSGVO („zumindest in diesen Fällen“) grundsätzlich geschlossen werden, dass ein Verantwortlicher die betroffene Person über das Bestehen von jeglicher automatisierten Entscheidungsfindung sowie Profilingmaßnahme zu informieren hat. Die im 2. Halbsatz angeordnete und hier gegenständliche erweiterte Informationspflicht über die Methoden und Kriterien sowie über die Tragweite und Auswirkungen soll sich aber demgegenüber erkennbar „zumindest“ nur auf die in Artikel 22, Absatz eins und 4 DSGVO geregelten Fälle einer besonders eingriffsintensiven Entscheidungsfindung einschließlich Profiling erstrecken vergleiche Bäcker in Kühling/Buchner, Datenschutz-Grundverordnung, BDSG3 [2020], Artikel 13,, Rn. 52 sowie Artikel 15,, Rn. 27).

Im vorliegenden Fall erfolgte die in Rede stehende Verarbeitung im Rahmen der Tätigkeit der Beschwerdeführerin als Adressverlag gemäß § 151 GewO und war diese entsprechend Abs. 6 dieser Bestimmung auf die Verwendung für Marketingzwecke beschränkt. Eine solche Verwendung kann aber – den Ausführungen der Beschwerdeführerin folgend – nicht als erhebliche Beeinträchtigung der betroffenen Person qualifiziert werden (Hladjk in Ehmann/Selmayr, Datenschutzgrundverordnung2 [2018] Art. 22, Rn. 9 sowie BVwG 2.9.2022, W214 2230686-1). Im vorliegenden Fall erfolgte die in Rede stehende Verarbeitung im Rahmen der Tätigkeit der Beschwerdeführerin als Adressverlag gemäß Paragraph 151, GewO und war diese entsprechend Absatz 6, dieser Bestimmung auf die Verwendung für Marketingzwecke beschränkt. Eine solche Verwendung kann aber – den Ausführungen der Beschwerdeführerin folgend – nicht als erhebliche Beeinträchtigung der betroffenen Person qualifiziert werden (Hladjk in Ehmann/Selmayr, Datenschutzgrundverordnung2 [2018] Artikel 22,, Rn. 9 sowie BVwG 2.9.2022, W214 2230686-1).

Da somit die Beschwerdeführerin eine in Art. 15 Abs. 1 lit. h DSGVO angeordnete erweiterte Informationspflicht nicht treffen konnte, wurde den Spruchpunkten 1 und 2 auch in dieser Hinsicht die Grundlage entzogen. Da somit die Beschwerdeführerin eine in Artikel 15, Absatz eins, Litera h, DSGVO angeordnete erweiterte Informationspflicht nicht treffen konnte, wurde den Spruchpunkten 1 und 2 auch in dieser Hinsicht die Grundlage entzogen.

Es war daher insgesamt spruchgemäß zu entscheiden.

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.Gemäß Paragraph 24, Absatz 4, VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen.

Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über Rechtsfragen zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12). Das Bundesverwaltungsgericht hat vorliegend ausschließlich über Rechtsfragen zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12).

zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die gegenständliche Rechtsprechung steht im Einklang mit der zitierten Rechtsprechung. Aufgrund der eindeutigen Rechtslage handelt es sich nicht um eine Rechtsfrage grundsätzlicher Bedeutung. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Sonstige Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage liegen nicht vor.