Text
GZ: 2021-0.432.224 vom 16. August 2021 (Verfahrenszahl: DSB-D205.235)
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerden von Gustav A*** (Beschwerdeführer) vom 3. August 2018 und vom 25. Juni 2019 (ha. eingelangt am 27. Juni 2019) gegen die N*** AG (Beschwerdegegnerin) wegen behaupteter Verletzung im Recht auf Geheimhaltung wie folgt:
- Die Beschwerden werden abgewiesen .
Rechtsgrundlagen : Art. 4 Z 11, Art. 7, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Der Beschwerdeführer erhob mit seiner verfahrenskonstituierenden Eingabe vom 3. August 2018 (ho. eingelangt am selben Tag) eine Beschwerde nach Art. 77 DSGVO wegen der „unrechtmäßigen Einholung einer Einwilligung zur Datenweitergabe (Verstoß gegen Art. 7 DSGVO)“ und beantragte die Feststellung der Verletzung seiner Rechte. Das Verfahren wurde unter der GZ: D123.289 geführt.
Begründend führte er hierzu aus, dass beim Einrichten eines Urlaubs*faches (grundsätzlich) eine Einwilligung des Kunden zur Weitergabe der Adressdaten an Dritte eingeholt werde und diese Weitergabe die Übermittlung an Unternehmen für Direktmarketingzwecke und Adressverlage umfassen würde. Die Einwilligung sei hierbei Bestandteil des Vertrages und nicht klar von anderen Sachverhalten getrennt. Wesentlich sei hierbei, dass im entsprechenden Kästchen das Kreuz für die Zustimmung schon gesetzt sei. Sollte eine Weitergabe der Daten nicht gewünscht werden, müsse der Kunde aktiv dieses Kreuz entfernen. Dies werde auch aus dem Einwilligungstext ersichtlich, in dem es heiße: „Sie sind jederzeit und ohne Angabe von Gründen berechtigt, die Übermittlung an Dritte zu Marketingzwecken zu untersagen. In diesem Fall entfernen Sie im untenstehenden Kästchen das Kreuz oder richten Sie …“.
Ergänzend schilderte der Beschwerdeführer, dass die Vertragsabwicklung am Schalter über ein elektronisches Terminal abgewickelt werde. Die Bildschirmgröße dieses Terminals sei relativ klein und werde in diesem Terminal auch der Einwilligungstext mit dem vorausgewählten Kreuz angezeigt. Dadurch werde es auch erschwert, den Einwilligungstext vom eigentlichen Vertragstext abzugrenzen. Die Unterschriftsleistung des Kunden erfolge ebenfalls auf diesem Terminal. Durch die kleine Schriftgröße von Vertrags- und Einwilligungstext sei es insbesondere für Personen mit Sehschwäche schwierig den Text richtig zu lesen und könnte hierdurch die eigentliche Intention des schon gesetzten Kreuzes falsch verstanden werden, denn erst dessen Entfernung bedinge die Einwilligung, womit der Kunde eventuell entgegen seiner eigenen Motivation entscheide. Zuletzt umfasse die Einwilligung zur Datenweitergabe auch Daten eventueller Mitbenutzer des *faches.
2. Im Rahmen der durch die Datenschutzbehörde aufgetragenen Stellungnahme vom 20. August 2018 hielt die Beschwerdegegnerin zunächst zur Klarstellung fest, dass der Beschwerdeführer anlässlich des Abschlusses einer „Urlaubs-*fach-Vereinbarung“ der beschwerdegegenständlichen Datenübermittlung widersprochen habe und die Beschwerdegegnerin daher keinerlei personenbezogene Daten des Beschwerdeführers zu Marketingzwecken nutze.
Hinsichtlich der Frage der rechtswirksamen Einwilligung brachte die Beschwerdegegnerin vor, dass im Formular eine aktive Zustimmung zur Datenweitergabe an Dritte nicht erforderlich sei und im beanstandeten Prozedere kein datenschutzrechtlicher Verstoß liege. Zum einen handle es sich bei der Beschwerdegegnerin um die Inhaberin einer Gewerbeberechtigung als Adressverlag und Direktmarketingunternehmen gemäß § 151 GewO. Zum anderen werde jeder Person, welche ein Urlaubs-*fach beantrage, die gemäß der GewO vorgesehene Information erteilt sowie die Möglichkeit eingeräumt, eine ansonsten zulässige Datenverwendung für Marketingzwecke Dritter zu untersagen. So sei dem Beschwerdeführer eine Untersagung nicht nur unmittelbar bei Antragstellung in der Geschäftsstelle der Beschwerdegegnerin, sondern auch noch später jederzeit und über mehrere Kontaktmöglichkeiten möglich gewesen. Weiters derogiere § 151 GewO als lex specialis die Bestimmungen der DSGVO und sei hierin gerade keine aktive Handlung/Einwilligung vorgesehen.
Die Informationserteilung via Touch Pad in der annehmenden Geschäftsstelle erfolge kundenfreundlich. Dass der Informationstext direkt über dem Unterschriftsfeld liege, diene der höheren Aufmerksamkeit der betroffenen Person. Alle Mitarbeiter seien angewiesen, solche Personen zu unterstützen, die zu erkennen geben, dass Schwierigkeiten beim Lesen bzw. der Verständlichkeit des Textes bestehen würden. So sei es dem Beschwerdeführer – so wie jedem anderen Kunden – auch möglich gewesen, das Antragsformular vor Unterschrift ausgedruckt zum Lesen zu erhalten und es erst danach zu unterschreiben. Auch auf eine ausreichende Schriftgröße werde geachtet, so betrage diese sowohl auf dem Touch Pad als auch auf dem physischen Formular 10 **, was „die datenschutzrechtlich mögliche ‚Richtwertgröße‘ von 8 ** übererfüll[e] .“
Die Beschwerdegegnerin gehe im vorliegenden Fall davon aus, dass auch der Beschwerdeführer die zur Verfügung gestellte Information gelesen und er zutreffend verstanden hätte, dass er umgehend durch Entfernen des vorangehakten Kästchens die Datenverwendung zu Marketingzwecken untersagen hätte können. Auch wenn er die Dateninformation auf dem Touch Pad vor seiner Unterschrift nicht ausreichend wahrgenommen hätte, habe der Beschwerdeführer noch in der Filiale einen Ausdruck des unterschriebenen Formulars auf Papier erhalten und habe er dort oder zu jedem späteren Zeitpunkt die Datenverwendung untersagen können.
Zur Frage, ob die erbetene „Einwilligung“ vom Vertragstext ausreichend abgegrenzt gewesen sei, wiederholte die Beschwerdegegnerin ihre Ansicht, dass es sich hierbei nicht um eine Einwilligung iSd Art. 7 DSGVO gehandelt habe, sondern eine (klar durch Absatz abgegrenzte) Information, die nicht Bestandteil des Leistungsgegenstandes des Vertrages sei. Wenn die beanstandete Information erst nach der Unterschrift des Kunden und somit außerhalb des Vertragstextes vorgesehen würde, befürchte die Beschwerdegegnerin, dass diese von den betroffenen Kunden nicht mehr gelesen bzw. wahrgenommen würde.
Hinsichtlich der beanstandeten Rechte Dritter wurde seitens der Beschwerdegegnerin eingewandt, dass eine zivilrechtliche Vertretungsbefugnis des Beschwerdeführers nur hinsichtlich des gegenständlichen Vertrages vorliege und er auch die Datenverwendung von anderen Empfängern des Urlaubs*faches für Marketingzwecke untersagt habe.
3. Die Stellungnahme der Beschwerdegegnerin wurde dem Beschwerdeführer mit Erledigung der Datenschutzbehörde vom 24. März 2021, GZ: DSB-D123.289/0002-DSB/2018, zur Kenntnis gebracht und ihm gleichzeitig die Möglichkeit eingeräumt, hierzu ergänzend Stellung zu nehmen, welche der Beschwerdeführer jedoch ungenutzt ließ.
4. Im Rahmen der (ein weiteres Beschwerdeverfahren einleitenden) Eingabe vom 25. Juni 2019 (ha. eingelangt am 27. Juni 2019), verbessert am 25. Juli 2019, wiederholte der Beschwerdeführer im Wesentlichen sein Vorbringen vom 3. August 2018 im Rahmen des Beschwerdeverfahrens GZ: D123.289 mit dem Unterschied, dass die der Beschwerde in Kopie beigelegte „Urlaubs-*fach-Vereinbarung“ in diesem Fall mit 24. Juni 2019 datiert war. Dieses Verfahren wurde zur GZ: D205.235 protokolliert.
5. Im Rahmen der darauffolgenden, im Wesentlichen das Vorbringen vom 20. August 2018 wiederholenden Stellungnahme der Beschwerdegegnerin vom 5. September 2019 brachte diese vor, dass auch in diesem Fall die Daten aufgrund eines erfolgten Widerspruchs des Beschwerdeführers nicht weitergegeben worden seien. Es mangle daher an der Beschwerdelegitimation.
6. Die beiden Beschwerdeverfahren D123.289 und D205.235 wurden gem. § 39 Abs. 2 AVG zur gemeinsamen Entscheidung zur GZ: D205.235 verbunden und den Verfahrensparteien mit Erledigung vom 17. Juni 2021 unter Vorlage der Ermittlungsergebnisse Parteiengehör gewährt.
7. Nach erfolgter Fristerstreckung brachte die Beschwerdegegnerin mit Eingabe vom 22. Juli 2021 vor, dass die Daten des Beschwerdeführers nicht an Dritte zu Marketingzwecken weitergegeben worden seien. Der Beschwerdeführer habe sein Recht auf Widerspruch in beiden Fällen bereits in der Filiale der Beschwerdegegnerin ausgeübt. Die verfahrensgegenständlichen Informationstexte aus den Jahren 2018 und 2019 seien aktuell nicht mehr in Verwendung.
8. Seitens des Beschwerdeführers erfolgte keine weitere Äußerung.
B. Beschwerdegegenstand
Ausgehend vom Vorbringen des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem sie im Rahmen des Vertragsformulars zur Einrichtung eines Urlaubs*faches Daten des Beschwerdeführers zu Marketingzwecken verarbeitet hat.
C. Sachverhaltsfeststellungen
1. Die Beschwerdegegnerin ist Gewerbetreibende aus dem Bereich Adressverlag und Direktmarketingunternehmen gemäß § 151 GewO.
Unter anderem bietet die Beschwerdegegnerin ihren Kundinnen und Kunden die Möglichkeit an, (innerhalb eines im Voraus bestimmten Zeitraums) einlangende Sendnungen bei der zuständigen Geschäftsstelle der Wohn- bzw. Firmenanschrift zu lagern. Die Einrichtung eines solchen *fachs „Urlaub“ kann sowohl online wie auch vor Ort in einer Filiale bauftragt werden.
Erfolgt der Auftrag bzw. die Einrichtung des *fachs in einer Filiale der Beschwerdegegnerin vor Ort, so wird hierzu ein dort zur Verfügung gestellter Touch Pad Terminal verwendet.
Beweiswürdigung : Die getroffenen Feststellungen basieren auf den diesbezüglich übereinstimmenden Angaben der Verfahrensparteien in ihren Eingaben vom 3. bzw. 20. August 2018 sowie einer amtswegigen Recherche der Datenschutzbehörde.
2. Der Beschwerdeführer beauftragte in der Geschäftsstelle seines Wohnortes die Einrichtung eines *fachs „Urlaub“ unter Verwendung des oben genannten Touch Pad-Terminals und wurde zwischen der Beschwerdegegnerin und dem Beschwerdeführer am 3. August 2018 nachfolgende Vereinbarung geschlossen (Formatierung nicht in 1:1 wiedergegeben):
*fach Urlaub
Tag Monat Jahr Tag Monat Jahr
Gültig ab: 13 06 2018 Gültig bis: 19 08 2018
Empfänger: Preis: EUR …
Beweiswürdigung : Diese Feststellung gründet auf der verfahrenseinleitenden Eingabe vom 3. August 2018, insbesondere auf der hierin vorgelegten Kopie eines Ausdrucks der zwischen den Verfahrensparteien geschlossenen Vereinbarung, welcher dem Beschwerdeführer – laut eigener Angaben – im Anschluss an seine Unterfertigung via Touch Pad-Terminal ausgehändigt wurde und dessen Echtheit seitens der Beschwerdegegnerin zu keinem Zeitpunkt in Zweifel gezogen wurde.
3. Im Rahmen der Auftragserteilung bzw. Einrichtung des *fachs anhand des Touch Pad-Terminals wurde der Beschwerdeführer – bei Aufruf der entsprechenden Seite – (auch) über die im Zusammenhang mit dem einzurichtenden *fach „Urlaub“ stehende Datennutzung informiert (Formatierung nicht in 1:1 wiedergegeben):
Information über Datennutzung: Ihre personenbezogenen Daten (Anrede, Titel, Vorname, Nachname,
Geburtsdatum, Adresse) können von der N*** AG an Dritte gem. § 151
Gewerbeordnung zu Marketingzwecken übermittelt werden.
Sie sind jederzeit und ohne Angabe von Gründen berechtigt, die Übermittlung an Dritte zu
Marketingzwecken zu untersagen. In diesem Fall entfernen Sie im untenstehenden Kästchen das Kreuz
oder richten Sie Ihren Widerspruch an www.n**at/ kontakt, Telefon 0******** oder mittels
Schreiben an das N***Kunden- Service, Z*gasse 34, 1*** W***.
Ich widerspreche einer Datenweitergabe nicht.
Die (oben abgebildete) Checkbox mit dem Vermerk „Ich widerspreche einer Datenweitergabe nicht.“ war hierbei vorangekreuzt.
Durch das Anklicken der Checkbox und Aufheben des Kreuzes hierdurch konnte die Datenweitergabe zu Marketingzwechen untersagt werden.
Beweiswürdigung : Die Feststellungen zur erteilten Information sowie zur Ausgestaltung des Formulars basieren auf den diesbezüglich übereinstimmenden Angaben der Verfahrensparteien im Rahmen deren Eingaben vom 3. bzw. 20. August 2018.
Insbesondere, dass die beschriebene und aus der (den) obigen Abbildung(en) ersichtliche Checkbox bei Aufruf der diesbezüglichen Seite (grundsätzlich) vorangekreuzt ist, ergibt sich einerseits aus dem diesbezüglichen Vorbringen des Beschwerdeführers im Rahmen seiner Beschwerde vom 3. August 2018, welches die Beschwerdegegnerin in ihrem Vorbringen vom 20. August 2018 auch insofern bestätigt, als sie selbst vorbringt, dass der Beschwerdeführer „ umgehend durch das Entfernen des vorangehakten Kästchens die Datenverwendung zu Marketingzwecken untersagen [könne]. “
Andererseits ergibt sich dies eindeutig aus dem (aus der obigen Abbildung ersichtlichen) über der verfahrensgegenständlichen Checkbox stehenden (Informations-)Text, wonach die Übermittlung personenbezogener Daten an Dritte zu Marketingzwecken untersagt werden könne und die bzw. der Betreffende unter anderem „in diesem Fall das Kreuz aus dem nachfolgenden Kästchen [entfernen solle].“
4. Im vorliegenden Fall hat der Beschwerdeführer durch Anklicken der Checkbox und dadurch Aufheben des Kreuzes die Datenweitergabe zu Marketingzwechen untersagt und wurden seine im Zusammenhang mit der Einrichtung des *fachs „Urlaub“ erhobenen personenbezogenen Daten nicht an Dritte zu Marketingzwecken weitergeleitet.
Beweiswürdigung : Diese Feststellung ergibt sich zum einen aus der obigen Abbildung des unterfertigten Vertragstextes, aus welcher ersichtlich wird, dass in der beschriebenen Checkbox kein Kreuz gesetzt ist, und hat der Beschwerdeführer die tatsächliche Übermittlung seiner personenbezogen Daten weder in seiner Eingabe vom 3. August 2018 noch zu einem späteren Zeitpunkt auch tatsächlich behauptet. Zum anderen gründet die Feststellung auf den Angaben der Beschwerdegegnerin im Rahmen ihrer Stellungnahme vom 20. August 2018, wonach der Beschwerdeführer „anlässllich des Abschlusses seiner Urlaubs-*fach-Vereinbarung der beschwerdegegenständlichen Datenübermittlung widersprochen [habe] und die N*** AG daher keinerlei personenbezogene Daten zu Marketingzwecken [nutze].“
5. Mit nachfolgender Vereinbarung vom 24. Juni 2019 beauftragte der Beschwerdeführer im darauffolgenden Jahr abermals die Einrichtung eines *fachs „Urlaub“ unter Verwendung des bereits genannten Touch Pad-Terminals (Formatierung nicht in 1:1 wiedergegeben):
*fach Urlaub
Tag Monat Jahr Tag Monat Jahr
Gültig ab: 13 06 2018 Gültig bis: 19 08 2018
Empfänger: Preis: EUR ….
Beweiswürdigung : Diese Feststellung gründet auf der verfahrenseinleitenden Eingabe vom 27. Juni 2019, insbesondere auf der hierin vorgelegten Kopie eines Ausdrucks der zwischen den Verfahrensparteien geschlossenen Vereinbarung, welcher dem Beschwerdeführer – laut eigener Angaben – im Anschluss an seine Unterfertigung via Touch Pad-Terminal ausgehändigt wurde und dessen Echtheit seitens der Beschwerdegegnerin zu keinem Zeitpunkt in Zweifel gezogen wurde.
6. Im Rahmen der Auftragserteilung bzw. Einrichtung des *fachs anhand des Touch Pad-Terminals wurde der Beschwerdeführer – bei Aufruf der entsprechenden Seite – (auch) über die im Zusammenhang mit dem einzurichtenden *fach „Urlaub“ stehende Datennutzung informiert (Formatierung nicht in 1:1 wiedergegeben):
Die (oben abgebildete) Checkbox mit dem Vermerk „Ich bin mit einer Datenweitergabe nicht einverstanden.“ war hierbei (zunächst) leer.
Durch das Anklicken der Checkbox und Setzen eines Kreuzes hierdurch konnte die Datenweitergabe zu Marketingzwechen untersagt werden.
Beweiswürdigung : Die Feststellungen zur erteilten Information sowie zur Ausgestaltung des Formulars basieren auf den diesbezüglich übereinstimmenden Angaben der Verfahrensparteien.
7. Im vorliegenden Fall hat der Beschwerdeführer durch Anklicken der Checkbox die Datenweitergabe zu Marketingzwechen untersagt und wurden seine im Zusammenhang mit der Einrichtung des *fachs „Urlaub“ erhobenen personenbezogenen Daten nicht an Dritte zu Marketingzwecken weitergeleitet.
Beweiswürdigung : Diese Feststellung ergibt sich zum einen aus der obigen Abbildung des unterfertigten Vertragstextes und hat der Beschwerdeführer die tatsächliche Übermittlung seiner personenbezogen Daten weder in seiner Eingabe vom 27. Juni 2019 noch zu einem späteren Zeitpunkt auch tatsächlich behauptet. Zum anderen gründet die Feststellung auf den Angaben der Beschwerdegegnerin im Rahmen ihrer Stellungnahme vom 5. September 2019, wonach der Beschwerdeführer anlässlich des Abschlusses seiner Urlaubs-*fach-Vereinbarung der beschwerdegegenständlichen Datenübermittlung widersprochen habe.
8. Den Vereinbarungen über das „*fach Urlaub“ waren jeweils folgendes Informationsschreiben beigelegt (Formatierung nicht 1:1 wiedergegeben, auszugsweise soweit verfahrensrelevant):
Information über die Datenverwendung gemäß Datenschutz-
Grundverordnung (DSGVO):
Die N*** AG (Anschrift: N*** Kunden-Service, Z***gasse 34, 1***, W*** I E-
Mail:
kunden-service@n**.com I Tel. 0******) verarbeitet Ihre Daten zu folgenden Zwecken:
Zuteilung von Sendungen
Ihre Daten werden zu Logistikzwecken verwendet, weil ohne diese Daten die gewünschte
Zustellung von Sendungen nicht möglich ist. Auch nach Vertragsende werden Name und
Adresse aller Personen weiterhin verarbeitet um Sendungen zuzustellen. Die Datenspeicherung
nach Vertragsende erfolgt im berechtigten Interesse der N*** AG um Ihre
Sendungen automationsunterstützt und somit rasch und kostengünstig zustellen zu können.
Rechtsgrundlagen für diese Datennutzung sind der Vertrag mit Ihnen sowie Art. 6 Abs. 1 lit. b
und f DSGVO.
Marketing
Die N*** AG hat ein berechtigtes Interesse daran ihre Leistungen und Produkte zu bewerben.
Daher können Ihre Daten (Anrede, Titel, Vorname, Nachname, Geburtsdatum,
Adresse) dazu verwendet werden, Ihnen Informationen über Produkte und Dienstleistungen der
N*** AG zuzuschicken. Außerdem können Ihre Daten (Anrede, Titel, Vorname, Nachname,
Geburtsdatum, Adresse) zu Marketingzwecken Dritter verarbeitet werden (Tätigkeit als
Adressverlag und Direktmarketingunternehmen). Wenn Sie der Nutzung Ihrer Daten zu
Marketingzwecken Dritter nicht widersprochen haben, können diese Daten Unternehmen für
Direktmarketingzwecke übermittelt werden. Sie sind jederzeit und ohne Angabe von Gründen
berechtigt, die Nutzung der Daten zu Marketingzwecken zu untersagen. In diesem Fall
richten Sie Ihren Widerspruch an www.n**at/ kontakt, Telefon 0******** oder mittels Schreiben
an das N***Kunden- Service, Z***gasse 34, 1***, W***.
Rechtsgrundlagen für die Marketingnutzung sind Art 6 Abs. 1 lit. f DSGVO in Verbindung mit
Erwägungsgrund 47, sowie § 151 GewO.
Dauer der Datenspeicherung
Ihr Vertrag über das Urlaubsfach wird bis zu 3 Jahren nach Vertragsende gespeichert, falls
Sie der Datennutzung zu Marketingzwecken Dritter widersprochen haben, ansonsten so lange
Ihre Daten für Marketingzwecke genutzt werden, also bis zum Widerspruch gegen die
Marketingnutzung. Name und Adresse aller Personen werden gespeichert, solange sie für die
Zustellung von Sendungen benötigt werden.
Ihre Rechte
Wenn Sie möchten, geben wir Ihnen jederzeit Auskunft über Ihre personenbezogenen Daten,
die wir verarbeiten. Zusätzlich haben Sie auch in einigen Fällen ein Recht auf Datenportabilität,
Einschränkung der Verarbeitung, Berichtigung oder Löschung Ihrer personenbezogenen Daten
sowie ein Widerspruchsrecht gegen die Verarbeitung. Außerdem haben Sie eine
Beschwerdemöglichkeit bei der österreichischen Datenschutzbehörde.
D. In rechtlicher Hinsicht folgt daraus:
1.) Der Beschwerdeführer brachte in seiner das Verfahren zur GZ: D123.289 konstituierenden Eingabe vom 3. August 2018 vor, dass er Beschwerde wegen der „unrechtmäßigen Einholung einer Einwilligung zur Datenweitergabe“ erhebe, und er stützte sein Vorbringen im Wesentlichen darauf, dass die Beschwerdegegnerin im Rahmen der Einrichtung eines Urlaubs*faches um die Einwilligung zur Datenweitergabe personenbezogener Daten an Dritte zu Marketingzwecken durch eine vorangekreuzte Checkbox ersuche und somit gegen Art. 7 DSGVO verstoße.
2.) Die Datenschutzbehörde hat bereits ausgesprochen, dass die Betroffenenrechte in Kapitel III DSGVO (Art. 12 bis 23) taxativ aufgezählt werden, sich eine betroffene Person im Rahmen eines Beschwerdeverfahrens jedoch auf jede Bestimmung der DSGVO stützen kann, sofern dies im Ergebnis zu einer denkmöglichen Verletzung des Rechts auf Geheimhaltung nach § 1 Abs 1 DSG führen kann (vgl. DSB vom 13. September 2018, DSB-D123.070/0005-DSB/2018, wonach ein Verstoß des Verantwortlichen gegen Art. 32 DSGVO zu einer Verletzung von § 1 Abs 1 DSG führen kann).
3.) Grundsätzlich ist es möglich, dass eine betroffene Person dadurch im Recht auf Geheimhaltung verletzt wird, dass das Ersuchen um Einwilligung zur Verarbeitung unter Verwendung einer Methode erfolgt, die nicht den Anforderungen an eine Einwilligung gemäß Art. 4 Z 11 DSGVO und Art. 7 Abs. 2 DSGVO entspricht.
4.) Vor diesem Hintergrund und angesichts der Tatsache, dass nach stRsp des VwGH Parteienerklärungen (also auch Anbringen [ Walter/Kolonovits/Muzak/Stöger 9 Rz 152]) im Verfahren ausschließlich nach ihrem objektiven Erklärungswert auszulegen sind (vgl. auch VwGH 6. November 2006, 2006/09/0094; m.w.N.) und entscheidend ist, wie die Erklärung (vgl. VwGH 28. Juli 2000, 94/09/0308 uA) unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszwecks und der Aktenlage objektiv verstanden werden muss (VwGH 24. Jänner 1994, 93/10/0192; 6. November 2001, 97/18/0160; 19. Jänner 2011, 2009/08/0058; vgl. auch VfSlg 17.082/2003), ist hinsichtlich der Eingabe vom 3. August 2018 von einer Beschwerde wegen der Verletzung im Recht auf Geheimhaltung auszugehen.
5.) Gleichermaßen monierte der Beschwerdeführer im Rahmen der das Beschwerdeverfahren zur GZ: D205.235 einleitenden Eingabe vom 25. Juli 2019 die unzulässige Einholung einer Einwilligung bzw. infolge dessen eine rechtswidrige Verarbeitung seiner personenbezogenen Daten und folgerte daraus eine Verletzung im Recht auf Geheimhaltung.
6.) Vor dem Hintergrund des im Wesentlichen gleichlautenden Beschwerdevorbringens- und Sachverhaltes erwies sich die Verfahrensverbindung gegenständlich iSd § 39 Abs. 2 AVG als aus verfahrensökonomischen Gründen zweckmäßig.
7.) Zum Beschwerdevorbringen gilt es eingangs festzuhalten, dass Art. 77 Abs. 1 DSGVO wie auch § 24 Abs. 1 DSG ausdrücklich normieren, dass das Recht zur Erhebung einer Beschwerde bei der Aufsichtsbehörde nur dann besteht, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO bzw. § 1 oder Art. 2 des ersten Hauptstücks DSG verstößt. Der Gesetzeswortlaut setzt daher eine tatsächliche Verarbeitung personenbezogener Daten des Betroffenen voraus.
8.) Wie den Feststellungen zu entnehmen ist, wurden gegenständlich zwar unbestrittenermaßen personenbezogene Daten des Beschwerdeführers (insbesondere Vor- und Nachname, Geburtsdatum, Adresse) im Rahmen des Vertragsabschlusses „*fach Urlaub“ erfasst und folglich auch iSd Art. 4 Z 2 DSGVO zum Zwecke der Vertragserfüllung durch die Beschwerdegegnerin verarbeitet. Dies wurde vom Beschwerdeführer jedoch zu keinem Zeitpunkt moniert.
9.) Entgegen der Ansicht des Beschwerdeführers erfolgte gegenständlich jedoch weder eine Einholung einer datenschutzrechtlichen Einwilligung, noch eine (Weiter-)Verarbeitung zu Marketingzwecken Dritter:
10.) Sowohl aus dem Wortlaut der Vereinbarung des *fachs „Urlaub“ aus 2018 („ Ich widerspreche einer Datenweitergabe nicht.“ ) als auch aus 2019 („ Ich bin mit einer Datenweitergabe nicht einverstanden.“ ) wird ersichtlich, dass das Anklicken der „Checkbox“ keine affirmative Willensbekundung zur Datenverarbeitung iSd Art. 4 Z 11 DSGVO ausdrücken, sondern vielmehr eine Ablehnung in Form eines Widerspruchs gem. Art. 21 leg. cit. ermöglichen soll. Dies erschließt sich im Übrigen auch aus dem, den Feststellungen zugrunde gelegten Informationsschreiben der Beschwerdegegnerin, aus welchem klar ersichtlich wird, dass die Datenverarbeitung zu Marketingzwecken Dritter auf der Rechtsgrundlage „berechtigte Interessen“ (Art. 6 Abs. 1 lit. f DSGVO) erfolgt und von welchem dem Beschwerdeführer laut eigenen Angaben auch Kenntnis erlangte.
11.) Im vorliegenden Fall hat der Beschwerdeführer gerade durch Anklicken der (vorangekreuzten) Checkbox wirksam Widerspruch eingelegt und ist infolgedessen keine vom Beschwerdeführer monierte Weitergabe noch sonstige Verarbeitung seiner personenbezogenen Daten zu Marketingzwecken erfolgt .
12.) Somit war spruchgemäß zu entscheiden.