1
1.1. Der Mitbeteiligte begehrte mit E-Mail vom 28. April 2021 erstmalig Auskunft iSd Art. 15 DSGVO über die ihn betreffenden, bei der revisionswerbenden Partei gespeicherten Informationen.1.1. Der Mitbeteiligte begehrte mit E-Mail vom 28. April 2021 erstmalig Auskunft iSd Artikel 15, DSGVO über die ihn betreffenden, bei der revisionswerbenden Partei gespeicherten Informationen.
2
Mit Schreiben vom 2. September 2021 erhob der Mitbeteiligte eine Datenschutzbeschwerde mit dem Vorbringen, ihm seien die Auskünfte nicht vollständig erteilt worden.
3
1.2. Mit Bescheid vom 30. Dezember 2021 gab die Datenschutzbehörde (belangte Behörde vor dem Verwaltungsgericht) der Beschwerde teilweise statt und stellte eine Verletzung im Recht auf Auskunft fest, da die Revisionswerberin bis zum Abschluss des verwaltungsbehördlichen Verfahrens keine Auskunft gemäß Art. 15 Abs. 1 lit. h DSGVO erteilt habe (Spruchpunkt 1. des behördlichen Bescheids). Der Revisionswerberin wurde aufgetragen, dem Mitbeteiligten im Umfang des Spruchpunktes 1. Auskunft zu erteilen (Spruchpunkt 2. des behördlichen Bescheids). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3. des behördlichen Bescheids).1.2. Mit Bescheid vom 30. Dezember 2021 gab die Datenschutzbehörde (belangte Behörde vor dem Verwaltungsgericht) der Beschwerde teilweise statt und stellte eine Verletzung im Recht auf Auskunft fest, da die Revisionswerberin bis zum Abschluss des verwaltungsbehördlichen Verfahrens keine Auskunft gemäß Artikel 15, Absatz eins, Litera h, DSGVO erteilt habe (Spruchpunkt 1. des behördlichen Bescheids). Der Revisionswerberin wurde aufgetragen, dem Mitbeteiligten im Umfang des Spruchpunktes 1. Auskunft zu erteilen (Spruchpunkt 2. des behördlichen Bescheids). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3. des behördlichen Bescheids).
4
Es lägen - so die Begründung zu Spruchpunkt 3. des Bescheides - keine Anhaltspunkte dafür vor, dass die Revisionswerberin weitere personenbezogene Daten verarbeitete.
5
1.3. Gegen den Bescheid der Datenschutzbehörde in seinem die Beschwerde abweisenden Umfang (Spruchpunkt 3.) richtete sich die Beschwerde des Mitbeteiligten an das Verwaltungsgericht.
6
Darin wurde zusammengefasst ins Treffen geführt, auch die von der Revisionswerberin für die Berechnung des Bonitätswerts miteinbezogenen statistischen Kriterien stellten personenbezogene Daten dar, da diese mit dem Alter und Wohnort des Mitbeteiligten verknüpft und so zugeordnet würden. Dementsprechend unterlägen auch die statistischen Parameter der Auskunftspflicht gemäß Art. 15 Abs. 1 Satz 1 DSGVO.Darin wurde zusammengefasst ins Treffen geführt, auch die von der Revisionswerberin für die Berechnung des Bonitätswerts miteinbezogenen statistischen Kriterien stellten personenbezogene Daten dar, da diese mit dem Alter und Wohnort des Mitbeteiligten verknüpft und so zugeordnet würden. Dementsprechend unterlägen auch die statistischen Parameter der Auskunftspflicht gemäß Artikel 15, Absatz eins, Satz 1 DSGVO.
7
2. Mit dem angefochtenen - nach Durchführung einer mündlichen Verhandlung ergangenen - Erkenntnis sprach das Verwaltungsgericht aus, dass der Beschwerde des Mitbeteiligten teilweise stattgegeben und festgestellt werde, dass die Revisionswerberin den Mitbeteiligten dadurch im Recht auf Auskunft gemäß Art. 15 Abs. 1 DSGVO verletzt habe, indem sie diesem keine Auskunft über die von ihr auf ihn bezogenen statistischen Daten zur Berechnung des Bonitätswerts erteilt habe (Spruchpunkt A. I.). Ferner trug das Verwaltungsgericht der Revisionswerberin auf, dem Mitbeteiligten binnen vier Wochen bei sonstiger Exekution Auskunft im Umfang des Spruchpunktes I zu erteilen (Spruchpunkt A. II.). Im Übrigen werde die Beschwerde des Mitbeteiligten als unbegründet abgewiesen (Spruchpunkt A. III.).2. Mit dem angefochtenen - nach Durchführung einer mündlichen Verhandlung ergangenen - Erkenntnis sprach das Verwaltungsgericht aus, dass der Beschwerde des Mitbeteiligten teilweise stattgegeben und festgestellt werde, dass die Revisionswerberin den Mitbeteiligten dadurch im Recht auf Auskunft gemäß Artikel 15, Absatz eins, DSGVO verletzt habe, indem sie diesem keine Auskunft über die von ihr auf ihn bezogenen statistischen Daten zur Berechnung des Bonitätswerts erteilt habe (Spruchpunkt A. römisch eins.). Ferner trug das Verwaltungsgericht der Revisionswerberin auf, dem Mitbeteiligten binnen vier Wochen bei sonstiger Exekution Auskunft im Umfang des Spruchpunktes römisch eins zu erteilen (Spruchpunkt A. römisch zwei.). Im Übrigen werde die Beschwerde des Mitbeteiligten als unbegründet abgewiesen (Spruchpunkt A. römisch drei.).
8
Die Revision erklärte das Verwaltungsgericht für nicht zulässig.
9
2.1. Nach Darstellung des Verfahrensverlaufs traf das Verwaltungsgericht unter anderem die Feststellung, dass die Revisionswerberin dem Mitbeteiligten keine Auskunft zu den konkreten Daten erteilt habe, die von den statistischen Parametern, die von der gesamtwirtschaftlichen Entwicklung abhingen, erfasst seien und die von ihr zur Berechnung des Bonitätswerts verwendet worden seien. Die Revisionswerberin habe nicht beauskunftet, welche statistischen Kriterien als Parameter bei der Berechnung des Bonitätsscores herangezogen würden.
10
Im Übrigen seien die Auskünfte der Revisionswerberin hinsichtlich der verarbeiteten personenbezogenen Daten und deren Herkunft vollständig.
11
2.2. Rechtlich zu klären sei - so das Verwaltungsgericht weiters -, ob die von der Revisionswerberin für die Berechnung des Bonitätswerts verwendeten gesamtwirtschaftlichen statistischen Parameter personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO darstellten. Art. 4 Z 1 DSGVO definiere „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person bezögen. Unter Bezugnahme auf einschlägige Rechtsprechung der Höchstgerichte (OGH 15.4.2021, 6 Ob 35/21x, Rn. 20; VwGH 14.12.2021, Ro 2021/04/0007, Rn. 27) folgerte das Verwaltungsgericht, es seien durch anonyme Umfragen und Statistiken Informationen zur Parteiaffinität der gesamten österreichischen Bevölkerung, die mithilfe eines Algorithmus zur Definition von „Zielgruppenadressen“ nach soziodemographischen Merkmalen geführt hätten, als Daten qualifiziert worden, die dem Regime der DSGVO unterlägen, da sie den jeweils Betroffenen direkt zugeordnet gewesen seien. Dass diese Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet worden seien, ändere laut diesen Judikaten nichts am Vorliegen personenbezogener Daten.2.2. Rechtlich zu klären sei - so das Verwaltungsgericht weiters -, ob die von der Revisionswerberin für die Berechnung des Bonitätswerts verwendeten gesamtwirtschaftlichen statistischen Parameter personenbezogene Daten im Sinne des Artikel 4, Ziffer eins, DSGVO darstellten. Artikel 4, Ziffer eins, DSGVO definiere „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person bezögen. Unter Bezugnahme auf einschlägige Rechtsprechung der Höchstgerichte (OGH 15.4.2021, 6 Ob 35/21x, Rn. 20; VwGH 14.12.2021, Ro 2021/04/0007, Rn. 27) folgerte das Verwaltungsgericht, es seien durch anonyme Umfragen und Statistiken Informationen zur Parteiaffinität der gesamten österreichischen Bevölkerung, die mithilfe eines Algorithmus zur Definition von „Zielgruppenadressen“ nach soziodemographischen Merkmalen geführt hätten, als Daten qualifiziert worden, die dem Regime der DSGVO unterlägen, da sie den jeweils Betroffenen direkt zugeordnet gewesen seien. Dass diese Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet worden seien, ändere laut diesen Judikaten nichts am Vorliegen personenbezogener Daten. 12
Die Revisionswerberin habe laut ihren Angaben statistische Daten in jenen Algorithmus einfließen lassen, durch den sie den Bonitätswert des Mitbeteiligten errechnet habe. Durch diesen Vorgang habe die Revisionswerberin diese Daten einer von ihr identifizierten, konkreten Person - dem Mitbeteiligten - zugeordnet, um unmittelbar über diesen eine Aussage, nämlich die Einschätzung seiner Kreditwürdigkeit, zu treffen. Sie habe diese Daten mit anderen Worten in einen bestimmten Bezug zur Person des Mitbeteiligten gesetzt. Die fraglichen statistischen Parameter, die von der gesamtwirtschaftlichen Entwicklung abhängig seien und die die Revisionswerberin dem Mitbeteiligten zugeordnet habe, seien somit entgegen der Ansicht der Revisionswerberin ebenso personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO und somit vom Recht auf Auskunft nach Art. 15 Abs. 1 DSGVO mitumfasst. Der Beschwerde gegen Spruchpunkt 3. des angefochtenen Bescheides der Datenschutzbehörde sei sohin insoweit stattzugeben, festzustellen, dass die Revisionswerberin den Mitbeteiligten im Recht auf Auskunft gemäß Art. 15 Abs. 1 DSGVO verletzt habe, und sie demgemäß zur Auskunft zu verpflichten.Die Revisionswerberin habe laut ihren Angaben statistische Daten in jenen Algorithmus einfließen lassen, durch den sie den Bonitätswert des Mitbeteiligten errechnet habe. Durch diesen Vorgang habe die Revisionswerberin diese Daten einer von ihr identifizierten, konkreten Person - dem Mitbeteiligten - zugeordnet, um unmittelbar über diesen eine Aussage, nämlich die Einschätzung seiner Kreditwürdigkeit, zu treffen. Sie habe diese Daten mit anderen Worten in einen bestimmten Bezug zur Person des Mitbeteiligten gesetzt. Die fraglichen statistischen Parameter, die von der gesamtwirtschaftlichen Entwicklung abhängig seien und die die Revisionswerberin dem Mitbeteiligten zugeordnet habe, seien somit entgegen der Ansicht der Revisionswerberin ebenso personenbezogene Daten im Sinne des Artikel 4, Ziffer eins, DSGVO und somit vom Recht auf Auskunft nach Artikel 15, Absatz eins, DSGVO mitumfasst. Der Beschwerde gegen Spruchpunkt 3. des angefochtenen Bescheides der Datenschutzbehörde sei sohin insoweit stattzugeben, festzustellen, dass die Revisionswerberin den Mitbeteiligten im Recht auf Auskunft gemäß Artikel 15, Absatz eins, DSGVO verletzt habe, und sie demgemäß zur Auskunft zu verpflichten.
13
3. Gegen dieses Erkenntnis richtet sich die außerordentliche Revision. Die belangte Behörde und der Mitbeteiligte erstatteten jeweils eine Revisionsbeantwortung.
14
4. Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 1 Z 2 VwGG gebildeten Senat erwogen: 4. Der Verwaltungsgerichtshof hat in einem gemäß Paragraph 12, Absatz eins, Ziffer 2, VwGG gebildeten Senat erwogen:
15
4.1. Die Revision wirft zur Begründung der Zulässigkeit auf, es sei die Reichweite des Begriffs „personenbezogene Daten“ bei - nach dem eigenen Vorbringen des Mitbeteiligten - „mit keinen konkreten Personen verknüpften“ gesamtwirtschaftlichen, statistischen Parametern, die als Modell- bzw. Berechnungsparameter in einen Algorithmus einfließen würden und (nur) mittelbar den individuellen Score beeinflussen könnten, zu klären. Es sei klärungsbedürftig, ob Art. 4 Z 1 DSGVO im Lichte der Rechtsprechung (EuGH C-434/16, OGH 6 Ob 35/21x und VwGH Ro 2021/04/0007) so weit reiche, dass rein statistische gesamtwirtschaftliche, „mit keinen konkreten Personen verknüpfte“ Parameter als personenbezogene Daten einer Person gelten, wenn sie als (gegebenenfalls für viele Personen identischer) Berechnungsparameter als eines von mehreren Scorefeatures neben den individuellen personenbezogenen Daten in einen Algorithmus einfließen würden, der in einen individuellen Score zur Berechnung der Korrektheit einer behaupteten Identität oder ein Ausfallrisiko münde.4.1. Die Revision wirft zur Begründung der Zulässigkeit auf, es sei die Reichweite des Begriffs „personenbezogene Daten“ bei - nach dem eigenen Vorbringen des Mitbeteiligten - „mit keinen konkreten Personen verknüpften“ gesamtwirtschaftlichen, statistischen Parametern, die als Modell- bzw. Berechnungsparameter in einen Algorithmus einfließen würden und (nur) mittelbar den individuellen Score beeinflussen könnten, zu klären. Es sei klärungsbedürftig, ob Artikel 4, Ziffer eins, DSGVO im Lichte der Rechtsprechung (EuGH C-434/16, OGH 6 Ob 35/21x und VwGH Ro 2021/04/0007) so weit reiche, dass rein statistische gesamtwirtschaftliche, „mit keinen konkreten Personen verknüpfte“ Parameter als personenbezogene Daten einer Person gelten, wenn sie als (gegebenenfalls für viele Personen identischer) Berechnungsparameter als eines von mehreren Scorefeatures neben den individuellen personenbezogenen Daten in einen Algorithmus einfließen würden, der in einen individuellen Score zur Berechnung der Korrektheit einer behaupteten Identität oder ein Ausfallrisiko münde. 16
Die Revision ist zur Klarstellung dieser Rechtsfrage zulässig und im Ergebnis auch berechtigt.
17
4.2. Die maßgebliche Rechtslage:
Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO) lautet auszugsweise:
„Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1.
‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
[...]
Artikel 15
Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
[...]“
18
4.3. Vorweg ist festzuhalten, dass die begehrte Auskunft gemäß Art. 15 lit. h DSGVO nicht Gegenstand dieses Revisionsverfahrens ist. Über diesen Teil des Auskunftsbegehrens wurde nämlich im Bescheid der Datenschutzbehörde in den Spruchpunkten 1. und 2. abgesprochen; dieser Teil ist Gegenstand eines Parallelverfahrens.4.3. Vorweg ist festzuhalten, dass die begehrte Auskunft gemäß Artikel 15, Litera h, DSGVO nicht Gegenstand dieses Revisionsverfahrens ist. Über diesen Teil des Auskunftsbegehrens wurde nämlich im Bescheid der Datenschutzbehörde in den Spruchpunkten 1. und 2. abgesprochen; dieser Teil ist Gegenstand eines Parallelverfahrens.
19
Das Verwaltungsgericht stützt die festgestellte Rechtsverletzung im vorliegenden Fall auch explizit nicht auf Art. 15 lit. h DSGVO, sondern auf den Einleitungssatz in Art. 15 Abs. 1 DSGVO.Das Verwaltungsgericht stützt die festgestellte Rechtsverletzung im vorliegenden Fall auch explizit nicht auf Artikel 15, Litera h, DSGVO, sondern auf den Einleitungssatz in Artikel 15, Absatz eins, DSGVO.
20
Der vorliegende Revisionsfall wirft daher die Frage auf, ob neben dem Ergebnis einer allenfalls nach Art. 15 lit. h DSGVO zu beauskunftenden automatisierten Entscheidung - hier des Bonitätsscores - auch rein statistische Parameter, die im Rahmen der Berechnung der Bonitätsscores herangezogen werden, als personenbezogene Daten zu qualifizieren sind, die - unabhängig von der speziell geregelten Informationsverpflichtung gemäß Art. 5 lit. h DSGVO - als solche bereits dem Auskunftsanspruch nach Art. 15 Abs. 1 erster Satz DSGVO unterliegen.Der vorliegende Revisionsfall wirft daher die Frage auf, ob neben dem Ergebnis einer allenfalls nach Artikel 15, Litera h, DSGVO zu beauskunftenden automatisierten Entscheidung - hier des Bonitätsscores - auch rein statistische Parameter, die im Rahmen der Berechnung der Bonitätsscores herangezogen werden, als personenbezogene Daten zu qualifizieren sind, die - unabhängig von der speziell geregelten Informationsverpflichtung gemäß Artikel 5, Litera h, DSGVO - als solche bereits dem Auskunftsanspruch nach Artikel 15, Absatz eins, erster Satz DSGVO unterliegen.
21
4.4. Grundlegend kann zur Frage der Qualifikation eines Datums als personenbezogenes Datum im Sinne des Art. 4 Z 1 DSGVO auf die Ausführungen des Verwaltungsgerichtshofs im Erkenntnis vom 14. Dezember 2021, Ro 2021/04/0007, hingewiesen werden (Rn. 26, 27):4.4. Grundlegend kann zur Frage der Qualifikation eines Datums als personenbezogenes Datum im Sinne des Artikel 4, Ziffer eins, DSGVO auf die Ausführungen des Verwaltungsgerichtshofs im Erkenntnis vom 14. Dezember 2021, Ro 2021/04/0007, hingewiesen werden (Rn. 26, 27):
„Art. 4 Z 1 DSGVO definiert personenbezogene Daten als ‚alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen‘. Nach dieser Bestimmung wird als ‚identifizierbar‘ eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.„"Art". 4 Ziffer eins, DSGVO definiert personenbezogene Daten als ‚alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen‘. Nach dieser Bestimmung wird als ‚identifizierbar‘ eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
Der Begriff ist weit zu verstehen (Hödl in Knyrim, DatKomm Art. 4 DSGVO Rz 9; Eßer in Eßer/Kramer/von Lewinski, DSGVO-BDSG6 Art. 4 DSGVO Rz 7). Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf (Hödl aaO; Klar/Kühling in Kühling/Buchner, DS-GVO Art. 4 Nr 1 Rz 10; ebenso persönliche Überzeugungen, Vorlieben, Verhaltensweisen oder Einstellungen nennend Ernst in Paal/Pauly, DSGVO-BDSG² Art. 4 DSGVO Rz 14). Damit umfasst der Begriff der ‚Information‘ nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa ‚X ist ein zuverlässiger Mitarbeiter‘ (Klabunde in Ehmann/Selmayer, DS-GVO² Art. 4 Rz 9; vgl. auch Gola in Gola, DSGVO² Art 4 Rz 13). In diesem Sinne sind Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend sind (Reimer in Sydow, DSGVO² Art. 4 Rz 41); der Wahrheitsgehalt ist für die Betrachtung unerheblich (Klabunde aaO). Wahrscheinlichkeitsangaben haben Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen (Ernst aaO; vgl. zu alldem OGH, 18.2.2021, 6 Ob 127/20z).“Der Begriff ist weit zu verstehen (Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 9; Eßer in Eßer/Kramer/von Lewinski, DSGVO-BDSG6 Artikel 4, DSGVO Rz 7). Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf (Hödl aaO; Klar/Kühling in Kühling/Buchner, DS-GVO Artikel 4, Nr 1 Rz 10; ebenso persönliche Überzeugungen, Vorlieben, Verhaltensweisen oder Einstellungen nennend Ernst in Paal/Pauly, DSGVO-BDSG² Artikel 4, DSGVO Rz 14). Damit umfasst der Begriff der ‚Information‘ nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa ‚X ist ein zuverlässiger Mitarbeiter‘ (Klabunde in Ehmann/Selmayer, DS-GVO² Artikel 4, Rz 9; vergleiche , auch Gola in Gola, DSGVO² Artikel 4, Rz 13). In diesem Sinne sind Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend sind (Reimer in Sydow, DSGVO² Artikel 4, Rz 41); der Wahrheitsgehalt ist für die Betrachtung unerheblich (Klabunde aaO). Wahrscheinlichkeitsangaben haben Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen (Ernst aaO; vergleiche , zu alldem OGH, 18.2.2021, 6 Ob 127/20z).“
22
Explizit hat der Oberste Gerichtshof in seinem Urteil vom 15. April 2021, 6 Ob 35/21x, die dort als personenbezogene Daten qualifizierten „Parteiaffinitäten“ von Wahlanalysen abgegrenzt, bei denen mangels Zuordnung statistisch erhobener Werte zu bestimmten Personen gerade keine Aussage über das vermutete Wahlverhalten eines Einzelnen getroffen und damit keine personenbezogenen Daten generiert würden (dort Rn. 27; vgl. ebenso zur Abgrenzung personenbezogener Daten von Informationen im Rahmen anonymer Erhebungen VwGH 14.12.2021, Ro 2021/04/0007, Rn. 38).Explizit hat der Oberste Gerichtshof in seinem Urteil vom 15. April 2021, 6 Ob 35/21x, die dort als personenbezogene Daten qualifizierten „Parteiaffinitäten“ von Wahlanalysen abgegrenzt, bei denen mangels Zuordnung statistisch erhobener Werte zu bestimmten Personen gerade keine Aussage über das vermutete Wahlverhalten eines Einzelnen getroffen und damit keine personenbezogenen Daten generiert würden (dort Rn. 27; vergleiche , ebenso zur Abgrenzung personenbezogener Daten von Informationen im Rahmen anonymer Erhebungen VwGH 14.12.2021, Ro 2021/04/0007, Rn. 38). 23
4.5. Insofern das Verwaltungsgericht die fallbezogen zur Rede stehenden statistischen Werte, die im Rahmen der Berechnung des Bonitätsscores einfließen, in ausdrücklicher Anlehnung an die Rechtsprechung zu den „Parteiaffinitäten“ (OGH 15.4.2021, 6 Ob 35/21x, und VwGH 14.12.2021, Ro 2021/04/0007) als personenbezogene Daten qualifiziert, verkennt es, dass es sich bei den Parteiaffinitäten um Einschätzungen (mit anderen Worten: Wahrscheinlichkeitsaussagen) handelte, die den dort betroffenen Personen individuell zugeordnet wurden, weshalb diese Daten als personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO qualifiziert wurden. Aus dieser Rechtsprechung ergibt sich aber - entgegen der Rechtsansicht des Verwaltungsgerichts - nicht, dass auch die abstrakten statistischen Werte selbst, die der Deduktion des letztlich individuell zugeordneten Wahrscheinlichkeitswertes dienten, bereits als personenbezogenes Datum zu qualifizieren seien.4.5. Insofern das Verwaltungsgericht die fallbezogen zur Rede stehenden statistischen Werte, die im Rahmen der Berechnung des Bonitätsscores einfließen, in ausdrücklicher Anlehnung an die Rechtsprechung zu den „Parteiaffinitäten“ (OGH 15.4.2021, 6 Ob 35/21x, und VwGH 14.12.2021, Ro 2021/04/0007) als personenbezogene Daten qualifiziert, verkennt es, dass es sich bei den Parteiaffinitäten um Einschätzungen (mit anderen Worten: Wahrscheinlichkeitsaussagen) handelte, die den dort betroffenen Personen individuell zugeordnet wurden, weshalb diese Daten als personenbezogene Daten im Sinne des Artikel 4, Ziffer eins, DSGVO qualifiziert wurden. Aus dieser Rechtsprechung ergibt sich aber - entgegen der Rechtsansicht des Verwaltungsgerichts - nicht, dass auch die abstrakten statistischen Werte selbst, die der Deduktion des letztlich individuell zugeordneten Wahrscheinlichkeitswertes dienten, bereits als personenbezogenes Datum zu qualifizieren seien. 24
Unabhängig von der hier explizit nicht zu klärenden Rechtsfrage, ob die von der Revisionswerberin in ihren Bonitätsscores verwendeten gesamtwirtschaftlichen statistischen Modellparameter im Rahmen des Art. 15 Abs. 1 lit. h DSGVO zu beauskunften sind, stellen allgemeine gesamtwirtschaftliche Statistiken nach dem oben Gesagten grundsätzlich keine personenbezogenen Daten dar. Dass die Revisionswerberin einen bestimmten statistischen Wert allenfalls zur Errechnung eines dem Mitbeteiligten als datenschutzrechtlich betroffener Person zugeordneten Werts verwendet haben mag, macht den statistischen Wert selbst, dem eine individuelle Zuordenbarkeit nicht immanent ist, nicht zu einem personenbezogenen Datum. Dies wurde vom Verwaltungsgericht verkannt.Unabhängig von der hier explizit nicht zu klärenden Rechtsfrage, ob die von der Revisionswerberin in ihren Bonitätsscores verwendeten gesamtwirtschaftlichen statistischen Modellparameter im Rahmen des Artikel 15, Absatz eins, Litera h, DSGVO zu beauskunften sind, stellen allgemeine gesamtwirtschaftliche Statistiken nach dem oben Gesagten grundsätzlich keine personenbezogenen Daten dar. Dass die Revisionswerberin einen bestimmten statistischen Wert allenfalls zur Errechnung eines dem Mitbeteiligten als datenschutzrechtlich betroffener Person zugeordneten Werts verwendet haben mag, macht den statistischen Wert selbst, dem eine individuelle Zuordenbarkeit nicht immanent ist, nicht zu einem personenbezogenen Datum. Dies wurde vom Verwaltungsgericht verkannt.
25
4.6. Das Erkenntnis war daher im Umfang der revisionsgegenständlichen Anfechtung der teilweisen Stattgebung der Beschwerde des Mitbeteiligten wegen Rechtswidrigkeit seines Inhaltes aufzuheben, ohne dass auf das weitere Revisionsvorbringen einzugehen war.
26
Der Ausspruch über den Aufwandersatz stützt sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2014. Der Ausspruch über den Aufwandersatz stützt sich auf die Paragraphen 47, ff VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2014.
Wien, am 11. Juni 2026