Verwaltungsgerichtshof (VwGH)

Der Begriff "personenbezogene Daten" ist weit zu verstehen. Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf. Damit umfasst der Begriff der "Information" nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa "X ist ein zuverlässiger Mitarbeiter". In diesem Sinne sind Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend sind; der Wahrheitsgehalt ist für die Betrachtung unerheblich. Wahrscheinlichkeitsangaben haben Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen (vgl. zu alldem OGH, 18.2.2021, 6 Ob 127/20z).Der Begriff "personenbezogene Daten" ist weit zu verstehen. Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf. Damit umfasst der Begriff der "Information" nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa "X ist ein zuverlässiger Mitarbeiter". In diesem Sinne sind Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend sind; der Wahrheitsgehalt ist für die Betrachtung unerheblich. Wahrscheinlichkeitsangaben haben Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen vergleiche zu alldem OGH, 18.2.2021, 6 Ob 127/20z).

Der EuGH führte in seiner Entscheidung vom vom 20. Dezember 2017, Rs C-434/16, Nowak [ECLI:EU:C:2017:994] in Ansehung der Regelung des Art. 2 lit. a RL 95/46/EG (Vorgängerregelung zu Art. 4 Z 1 DSGVO) aus, in der Verwendung des Ausdrucks "alle Informationen" im Zusammenhang mit der Bestimmung des Begriffs "personenbezogene Daten" komme das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen. Er sei nicht auf sensible oder private Informationen beschränkt, sondern umfasse potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen "über" die in Rede stehende Person handelt (vgl. EuGH, C-434/16, Nowak, Rz 34). Der EuGH beantwortete dort weiter das Vorliegen personenbezogener Daten anhand der Fragestellung, ob aufgrund der Daten Informationen über die betroffene Person vorlägen, ob diese Daten einen mit dem Betroffenen verbundenen Zweck erfüllen würden bzw. ob sich die Verwendung der Daten auf die Rechte und Interessen der betroffenen Person auswirken könnten (vgl. EuGH, C-434/16, Nowak, Rz 37 bis 39; vgl dazu auch die Stellungnahme 4/2007 der Art-29-Datenschutzgruppe zum Begriff "personenbezogene Daten", S 11 ff). (hier: Dass die in Bezug auf einzelne bestimmte Personen getroffenen Wahrscheinlichkeitsaussagen hinsichtlich deren Affinität zu bestimmten wahlwerbenden Parteien Informationen "über" die betreffenden Personen im Sinne der genannten Entscheidung des EuGH sind, kann nicht ernstlich in Zweifel gezogen werden. So dienen diese dem Zweck, Betroffenen Werbung verstärkt oder in geringerem Ausmaß zukommen zu lassen, und haben insofern Auswirkungen auf das Verhalten von Dritten den Betroffenen gegenüber.)Der EuGH führte in seiner Entscheidung vom vom 20. Dezember 2017, Rs C-434/16, Nowak [ECLI:EU:C:2017:994] in Ansehung der Regelung des Artikel 2, Litera a, RL 95/46/EG (Vorgängerregelung zu Artikel 4, Ziffer eins, DSGVO) aus, in der Verwendung des Ausdrucks "alle Informationen" im Zusammenhang mit der Bestimmung des Begriffs "personenbezogene Daten" komme das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen. Er sei nicht auf sensible oder private Informationen beschränkt, sondern umfasse potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen "über" die in Rede stehende Person handelt vergleiche EuGH, C-434/16, Nowak, Rz 34). Der EuGH beantwortete dort weiter das Vorliegen personenbezogener Daten anhand der Fragestellung, ob aufgrund der Daten Informationen über die betroffene Person vorlägen, ob diese Daten einen mit dem Betroffenen verbundenen Zweck erfüllen würden bzw. ob sich die Verwendung der Daten auf die Rechte und Interessen der betroffenen Person auswirken könnten vergleiche EuGH, C-434/16, Nowak, Rz 37 bis 39; vergleiche dazu auch die Stellungnahme 4 aus 2007, der Art-29-Datenschutzgruppe zum Begriff "personenbezogene Daten", S 11 ff). (hier: Dass die in Bezug auf einzelne bestimmte Personen getroffenen Wahrscheinlichkeitsaussagen hinsichtlich deren Affinität zu bestimmten wahlwerbenden Parteien Informationen "über" die betreffenden Personen im Sinne der genannten Entscheidung des EuGH sind, kann nicht ernstlich in Zweifel gezogen werden. So dienen diese dem Zweck, Betroffenen Werbung verstärkt oder in geringerem Ausmaß zukommen zu lassen, und haben insofern Auswirkungen auf das Verhalten von Dritten den Betroffenen gegenüber.)

In der Entscheidung des EuGH "YS ua." (C-141/12 und C-372/12 [ECLI:EU:C:2014:2081]) ist ausdrücklich festgehalten, dass es sich bei den in der Analyse über den Aufenthaltstitel verwendeten Daten um personenbezogene Daten handelt. Dass nach den dortigen Ausführungen des EuGH die rechtliche Analyse eines Sachverhalts als solche kein personenbezogenes Datum darstellt, ist nicht vergleichbar mit dem in Zusammenhang mit einer bestimmten natürlichen Person verarbeiteten Ergebnis von Auswertungen, das eine Aussage über die Einschätzung der politischen Interessenneigung einer bestimmten Person trifft.

Bei Wahlanalysen wird mangels Zuordnung statistisch erhobener Werte zu bestimmten Personen keine Aussage über das vermutete Wahlverhalten eines Einzelnen getroffen. Damit werden - in der Regel - keine personenbezogenen Daten generiert. Das Argument, dass aus Wahlanalysen von Dritten freilich - bei Kenntnis der jeweiligen persönlichen Daten des Einzelnen - eine Wahrscheinlichkeitsaussage über die Parteiaffinität bestimmter Personen abgeleitet und auf diese Weise ein Personenbezug hergestellt werden könne, betrifft nur die Frage, inwieweit die bloße Identifizierbarkeit einer Person, auf die sich ein spezifisches Datum tatsächlich bezieht, mit dem Wissen und den Mitteln eines Dritten ausreicht, um dieses als personenbezogenes Datum im Sinn des Art. 4 Z 1 DSGVO zu qualifizieren.Bei Wahlanalysen wird mangels Zuordnung statistisch erhobener Werte zu bestimmten Personen keine Aussage über das vermutete Wahlverhalten eines Einzelnen getroffen. Damit werden - in der Regel - keine personenbezogenen Daten generiert. Das Argument, dass aus Wahlanalysen von Dritten freilich - bei Kenntnis der jeweiligen persönlichen Daten des Einzelnen - eine Wahrscheinlichkeitsaussage über die Parteiaffinität bestimmter Personen abgeleitet und auf diese Weise ein Personenbezug hergestellt werden könne, betrifft nur die Frage, inwieweit die bloße Identifizierbarkeit einer Person, auf die sich ein spezifisches Datum tatsächlich bezieht, mit dem Wissen und den Mitteln eines Dritten ausreicht, um dieses als personenbezogenes Datum im Sinn des Artikel 4, Ziffer eins, DSGVO zu qualifizieren.

Das Auslegungsergebnis, wonach die einer bestimmt bezeichneten Person zugeschriebene (hohe) Empfänglichkeit für Werbung konkreter Parteien kein personenbezogenes Datum sein soll, lässt sich aus Art. 4 Z 1 DSGVO keinesfalls ableiten.Das Auslegungsergebnis, wonach die einer bestimmt bezeichneten Person zugeschriebene (hohe) Empfänglichkeit für Werbung konkreter Parteien kein personenbezogenes Datum sein soll, lässt sich aus Artikel 4, Ziffer eins, DSGVO keinesfalls ableiten.

Der OGH hat im Urteil vom 15.4.2021, 6 Ob 35/21x, ausgeführt, dass sich die rechtspolitische Zielsetzung hinter Art 9 Abs 1 DSGVO nicht zuletzt aus ErwGr 51 zur DSGVO ergibt: Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, weil im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können (idS auch Artikel-29-Datenschutzgruppe, Advice paper on special categories of data [2011] 4). So wird denn auch in der Lehre - neben dem höchstpersönlichen bzw identitätsstiftenden Charakter des von Art 9 Abs 1 DSGVO erfassten Spektrums an Informationen - betont, dass die nach Abs 1 geschützten Datenkategorien ein hohes Schadens- und Diskriminierungspotential aufweisen, das sich immer wieder realisiert (vgl Frenzel in Paal/Pauly, DSGVO-BDSG3 Art 9 DSGVO Rz 6 mwN; weiters Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO Rz 3; Albers/Veit, BeckOK DatenschutzR Art 9 DS-GVO Rz 17 f). Wenn nun aber Art 9 DSGVO insbesondere auch davor schützen soll, dass betroffene Personen durch die Datenverarbeitung dem Risiko besonders schwerwiegender Diskriminierungen ausgesetzt sind, dann erscheint es geboten, nicht nur solche Daten in den Schutzbereich des Art 9 Abs 1 DSGVO einzubeziehen, aus denen die tatsächliche politische Einstellung des Betroffenen hervorgeht, sondern gerade auch Daten über vermutete politische Vorlieben des Einzelnen, birgt doch deren Verarbeitung ebenfalls das Risiko besonderer negativer Folgen für den Betroffenen in sich. (dort fallspezifisch: Ist aber aus teleologischen Erwägungen auch die Verarbeitung eines Datums in den Schutzbereich des Art 9 Abs 1 DSGVO einzubeziehen, das keine Aussage über die tatsächlichen politischen Überzeugungen und Vorlieben trifft, sondern dessen Informationsgehalt sich in einer bloßen Wahrscheinlichkeitsaussage über die vermutete gesteigerte Empfänglichkeit des Betroffenen für Werbung einer speziellen politischen Partei erschöpft, dann stellt sich die von der Beklagten aufgeworfene Frage nicht, ob aus dem hier in Rede stehenden Datum überhaupt eine politische Meinung des Klägers ‚hervorgeht'. Die dem Kläger seitens der Beklagten unterstellte politische Meinung tritt nämlich aus dessen Zuordnung zu der spezifischen Marketingzielgruppe (Wahlwerbung FPÖ), jedenfalls in Zusammenschau mit den übrigen Zielgruppenzuordnungen, deutlich zu Tage, geht also mit anderen Worten nicht bloß ‚mit hinreichender Wahrscheinlichkeit', sondern unzweifelhaft hervor.) Diesen Ausführungen schließt sich der VwGH an.Der OGH hat im Urteil vom 15.4.2021, 6 Ob 35/21x, ausgeführt, dass sich die rechtspolitische Zielsetzung hinter Artikel 9, Absatz eins, DSGVO nicht zuletzt aus ErwGr 51 zur DSGVO ergibt: Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, weil im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können (idS auch Artikel-29-Datenschutzgruppe, Advice paper on special categories of data [2011] 4). So wird denn auch in der Lehre - neben dem höchstpersönlichen bzw identitätsstiftenden Charakter des von Artikel 9, Absatz eins, DSGVO erfassten Spektrums an Informationen - betont, dass die nach Absatz eins, geschützten Datenkategorien ein hohes Schadens- und Diskriminierungspotential aufweisen, das sich immer wieder realisiert vergleiche Frenzel in Paal/Pauly, DSGVO-BDSG3 Artikel 9, DSGVO Rz 6 mwN; weiters Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 9, DSGVO Rz 3; Albers/Veit, BeckOK DatenschutzR Artikel 9, DS-GVO Rz 17 f). Wenn nun aber Artikel 9, DSGVO insbesondere auch davor schützen soll, dass betroffene Personen durch die Datenverarbeitung dem Risiko besonders schwerwiegender Diskriminierungen ausgesetzt sind, dann erscheint es geboten, nicht nur solche Daten in den Schutzbereich des Artikel 9, Absatz eins, DSGVO einzubeziehen, aus denen die tatsächliche politische Einstellung des Betroffenen hervorgeht, sondern gerade auch Daten über vermutete politische Vorlieben des Einzelnen, birgt doch deren Verarbeitung ebenfalls das Risiko besonderer negativer Folgen für den Betroffenen in sich. (dort fallspezifisch: Ist aber aus teleologischen Erwägungen auch die Verarbeitung eines Datums in den Schutzbereich des Artikel 9, Absatz eins, DSGVO einzubeziehen, das keine Aussage über die tatsächlichen politischen Überzeugungen und Vorlieben trifft, sondern dessen Informationsgehalt sich in einer bloßen Wahrscheinlichkeitsaussage über die vermutete gesteigerte Empfänglichkeit des Betroffenen für Werbung einer speziellen politischen Partei erschöpft, dann stellt sich die von der Beklagten aufgeworfene Frage nicht, ob aus dem hier in Rede stehenden Datum überhaupt eine politische Meinung des Klägers ‚hervorgeht'. Die dem Kläger seitens der Beklagten unterstellte politische Meinung tritt nämlich aus dessen Zuordnung zu der spezifischen Marketingzielgruppe (Wahlwerbung FPÖ), jedenfalls in Zusammenschau mit den übrigen Zielgruppenzuordnungen, deutlich zu Tage, geht also mit anderen Worten nicht bloß ‚mit hinreichender Wahrscheinlichkeit', sondern unzweifelhaft hervor.) Diesen Ausführungen schließt sich der VwGH an.

Für die Anwendbarkeit des Art. 9 Abs. 1 DSGVO reicht es aus, wenn hinsichtlich der Datenkategorien rassische und ethnische Herkunft, politische Meinungen, religiöse und weltanschauliche Überzeugung und Gewerkschaftszugehörigkeit die sensible Information nur mittelbar hervorgeht. Es werden somit auch indirekte Hinweise auf diese Merkmale dem besonderen Schutz unterworfen, wobei die Erkennbarkeit für einen durchschnittlichen, objektiven Dritten genügen soll.Für die Anwendbarkeit des Artikel 9, Absatz eins, DSGVO reicht es aus, wenn hinsichtlich der Datenkategorien rassische und ethnische Herkunft, politische Meinungen, religiöse und weltanschauliche Überzeugung und Gewerkschaftszugehörigkeit die sensible Information nur mittelbar hervorgeht. Es werden somit auch indirekte Hinweise auf diese Merkmale dem besonderen Schutz unterworfen, wobei die Erkennbarkeit für einen durchschnittlichen, objektiven Dritten genügen soll.

Nicht nur die Unterstellung eines gesteigerten Interesses für eine bestimmte Partei, sondern ebenso die sich aus den Daten allenfalls ergebende Ablehnung oder auch die Gleichgültigkeit gegenüber einer oder allen erlaubt die Schlussfolgerung auf eine bestimmte politische Haltung.

Jede politische Haltung ist abstrakt geeignet, die Gefahr einer Diskriminierung oder auch Andersbehandlung mit sich zu bringen, und es ist das Ziel der Bestimmungen der DSGVO im Zusammenhang mit der Verarbeitung sensibler Daten, die Betroffenen vor den mit einer Bewertung durch Rezipienten einer solchen Information zusammenhängenden möglichen Folgen zu schützen. Auf die konkrete Bewertung einer politischen Meinung, die im Ergebnis hinreichend deutlich aus der verarbeiteten Information hervorgeht, kann es daher nicht ankommen.

Der von der Datenschutzbehörde erteilte Löschungsauftrag zielt auf die Beseitigung der vorhandenen Ergebnisse der rechtswidrigen Datenverarbeitung ab. Die ausgesprochene Unterlassungsanweisung dient dazu, in Hinkunft eine weitere rechtswidrige Datenverarbeitung zu verhindern. Es handelt sich um zwei eindeutig trennbare behördliche Anordnungen.