Der Oberste Gerichtshof hat als Revisionsgericht durch den Senatspräsidenten Hon. Prof. Dr. Gitschthaler als Vorsitzenden, den Hofrat Univ. Prof. Dr. Kodek, die Hofrätin Dr. Faber und die Hofräte Mag. Pertmayr sowie MMag. Sloboda als weitere Richter in der Rechtssache der klagenden Partei Dr. O*****, Rechtsanwalt, *****, gegen die beklagte Partei Ö***** Aktiengesellschaft, *****, vertreten durch Wolf Theiss Rechtsanwälte GmbH Co KG in Wien, wegen Unterlassung, über die Revision der beklagten Partei gegen das Urteil des Oberlandesgerichts Wien als Berufungsgericht vom 9. Dezember 2020, GZ 14 R 143/20g 24, womit das Urteil des Landesgerichts für Zivilrechtssachen Wien vom 14. Juli 2020, GZ 8 Cg 34/20h 14, bestätigt wurde, in nichtöffentlicher Sitzung zu Recht erkannt:
Der Revision wird nicht Folge gegeben.
Die Entscheidung über die Kosten des Revisionsverfahrens bleibt der Endentscheidung vorbehalten.
Entscheidungsgründe:
[1] Die Beklagte verfügt über eine Gewerbeberechtigung als Adressenverlag und war zehn Jahre lang als Adresshändlerin mit dem Ziel tätig, ihren werbetreibenden Kunden den zielgerichteten Versand von Werbung zu ermöglichen. In diesem Zusammenhang erhob sie seit 2017 Informationen zu den Parteiaffinitäten der gesamten österreichischen Bevölkerung. Meinungsforschungsinstitute führten dazu anonyme Umfragen durch, bei denen konkrete Fragen zum Interesse an Wahlwerbung gestellt wurden. Die Ergebnisse kombinierte die Beklagte mit Statistiken aus Wahlergebnissen, um letztlich mit Hilfe eines Algorithmus „Zielgruppenadressen“ nach soziodemografischen Merkmalen zu definieren, denen meistens über hundert Personen zugeschrieben wurden. Die einzelnen Personen wurden – außer bei unzureichender Signifikanz – je nach Wohnort, Alter, Geschlecht usw einer oder mehreren Marketinggruppen und -klassifikationen zugeordnet. Dafür kaufte die Beklagte auch Adressdaten von anderen Adresshändlern oder aus Kunden- und Interessentendateien von Unternehmen zu. Die Basisdaten wurden mit Hilfe von Wahlergebnissen laufend aktualisiert und immer wieder angewandt. Jene Daten, die nicht mit einem Sperrvermerk aufgrund eines Eintrags in die Robinsonliste versehen waren, wurden an zwei (namentlich genannte) politische Parteien und eine parteinahe Organisation verkauft. Im Bereich „Daten- und Adressmanagement“ arbeiteten zwischen 50 und 100 Mitarbeiter der Beklagten; sie unterliegen einer Verschwiegenheitspflicht.
[2] Nach der ersten Medienberichterstattung über die Verarbeitung von Daten zur Parteiaffinität durch die Beklagte am 7. 1. 2019 beschloss deren Vorstand wegen der negativen öffentlichen Resonanz am 9. 1. 2019 den Rückzug aus dem Geschäftszweig des Adresshandels mit Parteiaffinitäten.
[3] Die Beklagte erhielt in der Folge zahlreiche Auskunftsersuchen, darunter auch ein Schreiben des Klägers vom 14. 2. 2019, mit dem dieser die Beklagte aufforderte, ihn unter anderem über Art, Inhalt und Herkunft der ihn betreffenden gespeicherten Daten, weiters über die Speicherdauer sowie den Zweck und die rechtliche Grundlage der Datenverarbeitung zu informieren.
[4] Am 9. 5. 2019 übermittelte die Beklagte dem Kläger elektronisch die begehrte Auskunft, die unter anderem eine tabellarische „Übersicht verarbeitete Daten (gem § 151 GewO)“ mit folgendem auszugsweisen Inhalt enthielt:
[5] Die Daten des Klägers waren aufgrund seines Eintrags in die Robinsonliste nicht weitergegeben oder verkauft worden. Darauf wurde im Auskunftsschreiben auch hingewiesen.
[6] Der Kläger, der keine Einwilligung zur Datenverarbeitung erteilt hatte, war über die Speicherung seiner Daten zur Parteiaffinität verärgert. Zusätzlich erbost und beleidigt war der Kläger über die ihm seitens der Beklagten zugeschriebene „hohe Affinität“ zur FPÖ. Das Vorgehen der Beklagten beschäftigte ihn nochmals anlässlich der Verfahrensvorbereitung. Andere, nicht bloß vorübergehende gefühlsmäßige Beeinträchtigungen konnten nicht festgestellt werden.
[7] Bis zum 4. 6. 2019 löschte die Beklagte alle Daten zu den Parteiaffinitäten, auch jene des Klägers. Sie zog sich im Jahr 2019 schrittweise aus allen Marketingklassifikationen zurück und fungiert derzeit nur mehr als Vermittlerin zwischen Adresshändlern und Kunden.
[8] Der Kläger begehrt, die Beklagte habe es zu unterlassen, personenbezogene Daten, aus denen seine politische Meinung hervorgeht, insbesondere Daten zur Parteiaffinität zu verarbeiten; weiters möge sie zur Löschung all dieser Daten sowie zur Zahlung von 1.000 EUR verpflichtet werden. Soweit im Revisionsverfahren noch von Relevanz brachte er vor, die Beklagte habe ohne Einwilligung Daten über seine Parteiaffinität, also eine höchstpersönliche Angelegenheit verarbeitet und dabei seine Affinität zur FPÖ als „hoch“ aufgrund statistischer Hochrechnungen dargestellt. Sie habe damit gegen Art 9 DSGVO verstoßen. Ein Sympathisieren mit Parteien des rechten Randes liege ihm fern, weshalb die ihm zugeordnete Parteiaffinität eine Beleidigung und beschämend sowie im höchsten Maß kreditschädigend sei. Das Verhalten der Beklagten habe bei ihm großes Ärgernis und einen Vertrauensverlust ausgelöst, aber auch ein Gefühl der Bloßstellung. Er sei um die Freiheit gebracht worden, seine politischen Daten zu kontrollieren. Aufgrund des großen inneren Ungemachs stehe ihm ein Ersatzanspruch von 1.000 EUR für den immateriellen Schaden zu.
[9] Die Beklagte hält dem entgegen, sie habe aufgrund von anonymen Meinungsumfragen und öffentlich zugänglichen Informationen über Wahlsprengelergebnisse Marketinggruppen nach soziodemografischen und regionalen Merkmalen gebildet und statisch hochgerechnet, mit welcher Wahrscheinlichkeit Personen mit bestimmten soziodemografischen Eigenschaften und regionaler Zugehörigkeit Werbeinteressen für bestimmte politische Parteien aufwiesen. Die so errechneten Wahrscheinlichkeitswerte würden schon begrifflich nicht die Kriterien von personenbezogenen Daten im Sinn des Art 4 Z 1 DSGVO erfüllen. Umso weniger lasse sich aus statisch hochgerechneten Marketingklassifikationen „auf das Wahlverhalten und die politische Meinung“ des Klägers schließen, fehle es doch an einer relevanten auf die konkrete Person bezogenen (politischen) Informationskomponente. Es liege daher auch keine Verarbeitung „sensibler Daten“ nach Art 9 DSGVO zur politischen Meinung des Klägers vor. Die Verarbeitung sei rechtskonform im Rahmen der Gewerbeberechtigung der Beklagten im Sinn des § 151 GewO erfolgt. Ein Unterlassungsanspruch bestehe nicht. Die Beklagte beabsichtige nicht mehr, Marketingklassifikationen zu verarbeiten, weshalb keine Wiederholungsgefahr bestehe. Der Schadenersatz stehe nicht zu, weil die Unmutsgefühle des Klägers die beim Ersatz immaterieller Schäden zu berücksichtigende „Erheblichkeitsschwelle“ nicht überschritten.
[10] Das Erstgericht gab dem Unterlassungsbegehren statt und wies das Löschungs- (insoweit nicht mehr Gegenstand des Revisionsverfahrens) sowie das Zahlungsbegehren ab. Auch statistische Wahrscheinlichkeits-aussagen, die nicht bloße Prognose oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, seien personenbezogene Daten im Sinn des Art 4 Z 1 DSGVO. Aus § 151 Abs 6 GewO, der bloß eine Einschränkung jener Zwecke vorsehe, für welche Marketinginformationen und -klassifikationen verwendet werden dürfen, lasse sich für die Frage des Personenbezugs nichts ableiten. Dieser werde durch die Zuschreibung der Daten zu einer konkreten betroffenen Person hergestellt. Da die von der Beklagten verarbeiteten personenbezogenen Daten des Klägers über die Parteiaffinität Auskunft gäben, fielen sie unter die besondere Kategorie des Art 9 DSGVO. Mangels Vorliegens einer ausdrücklichen Einwilligung des Klägers sei die Verarbeitung rechtswidrig erfolgt. Auf Basis von Art 79 Abs 1 DSGVO, der das Recht auf einen wirksamen gerichtlichen Rechtsbehelf vorsehe, stünden dem Betroffenen neben Löschungs- und Schadenersatzansprüchen auch Unterlassungsansprüche zu. Art 82 DSGVO gewähre zwar den Ersatz auch des entstandenen immateriellen Schadens, im vorliegenden Fall sei aber die Erheblichkeitsschwelle für einen ersatzfähigen immateriellen Schaden nicht erreicht.
[11] Das Berufungsgericht bestätigte das Ersturteil und sprach aus, dass die ordentliche Revision zulässig sei. Es trat den rechtlichen Erwägungen des Erstgerichts zum immateriellen Schadenersatz bei und führte ergänzend aus, in ErwGr 146 zur DSGVO sei festgehalten, dass der Begriff des Schadens im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden sollte, die den Zielen dieser Verordnung im vollen Umfang entspricht. ErwGr 85 nenne Beispiele für immaterielle Schäden aufgrund einer Verletzung des Schutzes personenbezogener Daten, etwa Verlust der Kontrolle der personenbezogenen Daten oder Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder betrug, finanzielle Verluste, unbefugte Aufhebung der Pseudoanonymisierung, Rufschädigung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile. Die Aufzählung beziehe sich aber offenbar auf veröffentlichte Daten, die Daten des Klägers seien allerdings nicht weitergegeben oder veröffentlicht worden. Es sei davon auszugehen, dass die innerstaatlichen Schadenersatzregelungen die in der DSGVO angeordnete Haftung ergänzen, sodass die allgemeinen Anspruchsvoraussetzungen maßgeblich seien, sofern die DSGVO keine Sonderregelungen beinhalte; ersatzfähig sei aber auch nach der DSGVO nur ein tatsächlich eingetretener ideeller Schaden. Ungeachtet vereinzelt geäußerter Bedenken sei an dem dem österreichischen Schadenersatzrecht zu Grunde liegenden Prinzip festzuhalten, dass bloßes Unbehagen und bloße Ungelustgefühle jeder ohne Schadenersatzkonsequenz zu tragen hat und daher eine gewisse „Erheblichkeit“ des Schadens vorliegen muss.
[12] Auch der rechtlichen Beurteilung des Erstgerichts zur Berechtigung des Unterlassungsbegehrens schloss sich das Berufungsgericht an: Nach Art 4 Z 1 DSGVO seien „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Darunter fielen auch statistische Wahrscheinlichkeitsaussagen, die subjektive und/oder objektive Einschätzungen zu identifizierten oder identifizierbaren Personen liefern, etwa die Zuschreibung einer Parteiaffinität zu einer konkret betroffenen Person. Der in Art 9 Abs 1 der DSGVO gebrauchte Begriff der „politischen Meinung“ sei nicht näher definiert; das Erfordernis des Hervorgehens der politischen Meinung sei aber im Zweifel jedoch großzügig auszulegen, um Abgrenzungsproblemen vorzubeugen und ein einheitlich hohes Schutzniveau zu gewährleisten. Es solle bereits vorliegen, wenn „in Ansehung des betroffenen Datums die politische Meinung mit hinreichender Wahrscheinlichkeit abgeleitet werden kann“.
[13] Nach Art 79 Abs 1 DSGVO müsse ein gerichtlicher Rechtsbehelf bestehen, wenn die nach der DSGVO zustehenden Rechte verletzt wurden. Mangels näherer Konkretisierung, welche Ansprüche der betroffenen Person im Einzelnen zur Verfügung stehen, richte sich diese grundsätzlich nach nationalem Recht bzw nach den materiell rechtlichen Regelungen der DSGVO. Mindestvorgaben ergäben sich aus dem Effektivitätsgrundsatz (Art 4 Abs 3 EUV) und dem Gebot der „Wirksamkeit“ des Rechtsbehelfs (Art 47 GRC). So müsse auch die Möglichkeit offen stehen, eine Rechtsverletzung für die Zukunft durch einen Unterlassungsanspruch zu unterbinden. Irrelevant sei dabei der Umstand, dass die Verarbeitung der personenbezogenen Daten nur intern erfolgte und nicht nach außen in Erscheinung trat; dies schon deshalb, weil nach Art 6 DSGVO die ohne Einwilligung der betroffenen Person erfolgte Verarbeitung schon für sich genommen unrechtmäßig sei, ohne dass es einer Weitergabe oder Veröffentlichung der Daten bedürfe.
[14] Schließlich sei auch die Wiederholungsgefahr zu bejahen. Deren Wegfall sei nur anzunehmen, wenn das Verhalten des Beklagten nach der Beanstandung ernstliche Sinnesänderungen erkennen lässt; anderes gelte etwa, wenn er im Verfahren – wie hier – auf dem Standpunkt beharrt, zur beanstandeten Handlung berechtigt zu sein. Die alleinige Löschung der Daten und der schrittweise Rückzug der Beklagten aus allen Marketingklassifikationen noch im Jahr 2019 ließen die Gefahr künftiger Rechtsverletzungen nicht entfallen; schließlich verfüge die Beklagte nach wie vor über eine Gewerbeberechtigung als Adressenverlag.
[15] Der Kläger wendet sich mit seiner Revision gegen die Abweisung seines Zahlungsbegehrens. Die Beklagte bekämpft mit ihrer Revision den Zuspruch des Unterlassungsbegehrens.
[16] Die Revision der Beklagten, über die bereits in sinngemäßer Anwendung des § 391 ZPO mit Teilurteil erkannt werden kann, ist zulässig, weil höchstgerichtliche Rechtsprechung zur Frage fehlt, ob aus einer aus statistischer Auswertung von anonymen Umfragedaten ermittelten Wahrscheinlichkeitsaussage über die Parteiaffinität einer konkreten Person die politische Meinung der Person im Sinn des Art 9 Abs 1 DSGVO hervorgeht. Sie ist jedoch nicht berechtigt:
[17] 1. Zum Personenbezug einer Wahrscheinlichkeitsaussage nach Art 4 Z 1 DSGVO:
[18] 1.1. Diesbezüglich kann zunächst auf die Entscheidung 6 Ob 127/20z verwiesen werden:
[19] Art 4 Nr 1 DSGVO definiert „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Begriff ist weit zu verstehen ( Hödl in Knyrim , DatKomm Art 4 DSGVO Rz 9; Eßer in Eßer/Kramer/von Lewinski , DSGVO BDSG 6 Art 4 DSGVO Rz 7).
[20] Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf ( Hödl aaO; Klar/Kühling in Kühling/Buchner , DS GVO Art 4 Nr 1 Rz 10; ebenso persönliche Überzeugungen, Vorlieben, Verhaltensweisen oder Einstellungen nennend Ernst in Paal/Pauly , DSGVO BDSG² Art 4 DSGVO Rz 14). Damit umfasst der Begriff der „Information“ nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über sie, wie etwa „X ist ein zuverlässiger Mitarbeiter“ ( Klabunde in Ehmann/Selmayer , DS GVO² Art 4 Rz 9; vgl auch Gola in Gola , DSGVO² Art 4 Rz 13). In diesem Sinne sind Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend sind ( Reimer in Sydow , DSGVO² Art 4 Rz 41); der Wahrheitsgehalt ist für die Betrachtung unerheblich ( Klabunde aaO). Wahrscheinlichkeitsangaben haben Personenbezug, gleich ob sie sich auf Sachverhalte in der Vergangenheit, Gegenwart oder Zukunft beziehen ( Ernst aaO).
[21] Aggregierte oder statistische Daten sind hingegen dann nicht personenbezogen, wenn sie keine Rückschlüsse mehr auf eine einzelne Person zulassen, was im Einzelfall anhand der gewählten Gruppengröße, des Aggregationsniveaus oder der in der Statistik ausgewiesenen Merkmale zu beurteilen ist (
[22] § 151 Abs 6 GewO regelt nur die Verwendung dieser Daten, ändert aber nichts daran, dass es sich dabei um von der DSGVO erfasste personenbezogene Daten handelt.
[23] Knyrim (Zur Zulässigkeit des Adresshandels der Österreichischen Post AG, ecolex 2019, 715), dem sich das Erstgericht angeschlossen hatte, vertritt die Auffassung, dass die von der Post ermittelten Wahrscheinlichkeitsangaben keine Aussagen über spezifische Personen, sondern vielmehr anonyme, abstrakte Durchschnittswerte von Marketinggruppen darstellten, die einer Person lediglich „zugeschrieben“ würden. Es mangle daher schon am Kriterium der Information über eine bestimmte Person, weshalb „fraglich“ sei, ob die gegenständlichen Wahrscheinlichkeitsangaben als personenbezogene Daten einzustufen seien und daher unter die DSGVO fielen. Dem vermag sich der erkennende Senat nicht anzuschließen:
[24] Zusammenfassend unterliegen daher die hier zu beurteilenden Informationen dem Regime der DSGVO, sind sie doch dem Kläger direkt zugeordnet und enthalten Aussagen etwa über seine Vorlieben und Einstellungen; ob die Einschätzungen tatsächlich zutreffend sind, ist dabei hingegen unerheblich. Auch dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet sind, ändert nichts am Vorliegen personenbezogener Daten. Die „Affinitäten“ enthalten eine Wahrscheinlichkeitsaussage über bestimmte Interessen und Vorlieben des Klägers. Dem steht auch nicht die Entscheidung des Gerichtshofs der Europäischen Union (EuGH) entgegen (Rs C 141/12 und C 372/12 [ECLI:EU:C:2014:2081]), auf die sich die Beklagte in ihrer Revision beruft, ist doch dort ausdrücklich festgehalten, dass es sich bei den in der Analyse über den Aufenthaltstitel verwendeten Daten sehr wohl um personenbezogene Daten handelt.
[25] Zum selben Ergebnis gelangte im Übrigen erst jüngst das Bundesverwaltungsgericht (W 258 2217446 1) im Verfahren über einen die Beklagte betreffenden Bescheid der Datenschutzbehörde, der ebenfalls die „besondere[ n ] Kategorien personenbezogener Daten im Rahmen der Ausübung des Gewerbes 'Adressverlage und Direktmarketingunternehmen' mangels Einwilligung der betroffenen Personen“ zum Gegenstand hatte. Das Bundesverwaltungsgericht hielt dabei fest (ErwGr 3.2.3), dass die Verknüpfung der Parteiaffinität mit einer einzelnen Person das Inhaltselement einer personenbezogenen Information erfüllte; so enthalte, auch wenn die tatsächliche politische Meinung des Betroffenen nicht bekannt ist, die Parteiaffinität eine unmittelbare Aussage über die konkrete Person, nämlich mit welcher Wahrscheinlichkeit sie sich für Werbung von einer bestimmten politischen Partei interessiert; diese Aussage sei, auch wenn sie aufgrund der Ermittlungsmethode einer statistischen Schwankungsbreite unterliegt, nicht völlig zufällig, sondern leite sich aus Korrelationen ab, die aus Meinungsumfragen und Wahlergebnissen gewonnen worden seien; es handle sich um eine statistisch fundierte Einschätzung der Person in Bezug auf ihr Interesse an Werbung für eine bestimmte politische Partei.
[26] 1.2. Auf den in der Sache relevierten Umstand, die Beklagte sei durch Deduktion aus wirksam anonymisierten Daten Dritter sowie aus abstrakten statistischen Werten zu ihrer auf den Kläger als Individuum heruntergebrochenen Wahrscheinlichkeitsaussage gelangt, kommt es somit nicht an; ebenso wenig ist entscheidend, dass mit der Einschätzung der Parteiaffinität des Klägers keine Aussage über die tatsächlichen, sondern eben nur über die vermuteten politischen Vorlieben des Klägers getroffen wurde.
[27] 1.3 . Aus diesen Erwägungen geht auch der von der Beklagten gezogene Vergleich mit Wahlanalysen fehl, bei denen mangels Zuordnung statistisch erhobener Werte zu bestimmten Personen gerade keine Aussage über das vermutete Wahlverhalten eines Einzelnen getroffen und damit keine personenbezogenen Daten generiert würden. Mit ihrem sinngemäßen Hinweis darauf, dass aus Wahlanalysen von Dritten freilich – bei Kenntnis der jeweiligen persönlichen Daten des Einzelnen – ohne weiteres eine Wahrscheinlichkeitsaussage über die Parteiaffinität bestimmter Personen abgeleitet und auf diese Weise ein Personenbezug hergestellt werden kann, übersieht die Beklagte, dass der angesprochene Meinungsstreit über das Erfordernis eines relativen oder absoluten Personenbezugs nur die Frage betrifft, inwieweit die bloße Identifizierbarkeit einer Person, auf die sich ein spezifisches Datum tatsächlich bezieht, mit dem Wissen und den Mitteln eines Dritten ausreicht, um dieses als personenbezogenes Datum im Sinn des Art 4 Z 1 DSGVO zu qualifizieren (vgl nur Hödl in Knyrim , DatKomm Art 4 DSGVO Rz 10, 14 mwN). Dieser jedenfalls zu fordernde tatsächliche Bezug der in einem Datum enthaltenen Information zu einer Einzelperson fehlt bei Wahlanalysen; schon deshalb sind diese nicht als datenschutzrechtlich relevanter Verarbeitungsvorgang zu bewerten.
[28] 1.4. Der zutreffenden Auslegung des Art 4 Z 1 DSGVO durch das Berufungsgericht steht auch nicht die Entscheidung des Gerichtshofs der Europäischen Union Rs C 434/16, Nowak [ECLI:EU:C:2017:994], entgegen, auf die sich die Beklagte in ihrer Revision unter anderem beruft: Darin führt der EuGH in Ansehung der Vorgängerregelung des Art 2 lit a RL 95/46/EG aus, in der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Bestimmung des Begriffs „personenbezogene Daten“ komme das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen. Er sei nicht auf sensible oder private Informationen beschränkt, sondern umfasse potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt (vgl Rz 34).
[29] Dass aber die hier in Frage stehende, gerade in Bezug auf den Kläger selbst getroffene Wahrscheinlichkeitsaussage hinsichtlich dessen Affinität zur FPÖ eine Information „über“ den Kläger selbst im Sinn dieser Entscheidung ist, kann nicht ernstlich in Zweifel gezogen werden. Um andere Daten, namentlich um die von der Beklagten zur Erstellung dieser Wahrscheinlichkeitsaussage herangezogenen Umfragedaten und statistischen Prognosewerte, geht es, wie schon ausgeführt, nicht.
[30] 1.5. Es ist daher festzuhalten, dass sich das von der Beklagten gewünschte Auslegungsergebnis, wonach eine dem Kläger selbst zugeschriebene (hohe) Empfänglichkeit für Parteiwerbung der FPÖ kein personenbezogenes Datum sein soll, aus Art 4 Z 1 DSGVO keinesfalls ableiten lässt. Ist aber das Ergebnis der Auslegung des Unionsrechts – wie hier – unzweifelhaft, ist im Sinn der „acte clair“-Doktrin die Anrufung des EuGH entbehrlich (vgl RS0082949 [T18]); dies gilt selbst bei fehlender Rechtsprechung des EuGH (RS0082949 [T5]). Vom angeregten Vorabentscheidungsersuchen kann folglich abgesehen werden.
[31] 2. Zum „Hervorgehen der politischen Meinung“ gemäß Art 9 Abs 1 DSGVO:
[32] 2.1. Die Beklagte führt in ihrer Revision aus, der Begriff der politischen Meinung sei in Art 9 Abs 1 DSGVO nicht näher definiert. Es gehe zwar nicht nur um den Schutz des „Meinens“, sondern auch der dem „Meinen“ zugeordneten Tätigkeit. Die Datenkategorie umfasse daher allgemein- und parteipolitische Überzeugungen und Äußerungen ebenso wie jegliche sonstige Form der politischen Betätigung. Es sei allerdings allgemein anerkannt, dass stets auf ein tatsächliches Verhalten, zumindest auf eine konkrete Aussage über die Person abzustellen sei. Das sei bei der Zugehörigkeit zu einer Marketingzielgruppe aufgrund von Informationen wie Geschlecht, Alter, Wohnort usw nicht der Fall. Es fehle eine relevante auf die Person des Klägers bezogene (politische) Informationskomponente.
[33] 2.2. Diese Argumentation nimmt jedoch nicht ausreichend auf die rechtspolitische Zielsetzung hinter Art 9 Abs 1 DSGVO Bedacht, die sich nicht zuletzt aus ErwGr 51 zur DSGVO ergibt: Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, weil im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können (idS auch Artikel 29 Datenschutzgruppe, Advice paper on special categories of data [2011] 4). So wird denn auch in der Lehre – neben dem höchstpersönlichen bzw identitätsstiftenden Charakter des von Art 9 Abs 1 DSGVO erfassten Spektrums an Informationen – betont, dass die nach Abs 1 geschützten Datenkategorien ein hohes Schadens- und Diskriminierungspotential aufweisen, das sich immer wieder realisiert (vgl Frenzel in Paal/Pauly , DSGVO BDSG 3 Art 9 DSGVO Rz 6 mwN; weiters Kastelitz/Hötzendorfer/Tschohl in Knyrim , DatKomm Art 9 DSGVO Rz 3; Albers/Veit , BeckOK DatenschutzR Art 9 DS GVO Rz 17 f).
[34] 2.3. Wenn nun aber Art 9 DSGVO insbesondere auch davor schützen soll, dass betroffene Personen durch die Datenverarbeitung dem Risiko besonders schwerwiegender Diskriminierungen ausgesetzt sind, dann erscheint es geboten, nicht nur solche Daten in den Schutzbereich des Art 9 Abs 1 DSGVO einzubeziehen, aus denen die tatsächliche politische Einstellung des Betroffenen hervorgeht, sondern gerade auch Daten über vermutete politische Vorlieben des Einzelnen, birgt doch deren Verarbeitung ebenfalls das Risiko besonderer negativer Folgen für den Betroffenen in sich.
[35] 2.4. In diesem Sinn hat bereits das Bundesverwaltungsgericht in der bereits erwähnten Entscheidung W 258 2217446 1 (ErwGr 3.2.5), im Ergebnis überzeugend dargelegt, dass sich, berücksichtige man den Schutzzweck des Art 9 DSGVO, betroffene Personen vor Diskriminierungen aufgrund einer (unterstellten) politischen Meinung zu schützen, die hinreichende Wahrscheinlichkeit des Hervorgehens der politischen Meinung ergibt: Würden – wie hier – Personen mit einer hohen „Parteiaffinität“ als für Werbung – und damit für eine bestimmte politische Meinung – empfänglich angesehen und sollten deshalb gezielt mit Werbung über bestimmte politische Parteien beworben werden, stünden dazu spiegelbildlich die Gefahren, die Art 9 DSGVO vermeiden möchte: derartige Personen zu benachteiligen oder gar zu verfolgen, weil eine gewisse Nähe zu einer Partei vermutet wird.
[36] 2.5. Ist aber aus teleologischen Erwägungen auch die Verarbeitung eines Datums in den Schutzbereich des Art 9 Abs 1 DSGVO einzubeziehen, das keine Aussage über die tatsächlichen politischen Überzeugungen und Vorlieben trifft, sondern dessen Informationsgehalt sich in einer bloßen Wahrscheinlichkeitsaussage über die vermutete gesteigerte Empfänglichkeit des Betroffenen für Werbung einer speziellen politischen Partei erschöpft, dann stellt sich die von der Beklagten in der Folge aufgeworfene Frage nicht, ob aus dem hier in Rede stehenden Datum überhaupt eine politische Meinung des Klägers „hervorgeht“. Die dem Kläger seitens der Beklagten unterstellte politische Meinung tritt nämlich aus dessen Zuordnung zu der spezifischen Marketingzielgruppe (Wahlwerbung FPÖ), jedenfalls in Zusammenschau mit den übrigen Zielgruppenzuordnungen, deutlich zu Tage, geht also mit anderen Worten nicht bloß „mit hinreichender Wahrscheinlichkeit“, sondern unzweifelhaft hervor (aA Knyrim , Zur Zulässigkeit des Adresshandels der Österreichischen Post AG, ecolex 2019, 715 [718]: „Hervorgehen“ könne nur etwas, das von der Person selbst konkret kommt).
[37] 2.6. Aus diesem Grund ist für die Beklagte auch aus ihrem Verweis auf Jahnel (DSGVO [2021] Art 9 Rz 14 ff) nichts zu gewinnen, wonach nicht schon jede „theoretische Ableitung“ einer sensiblen Information die Zuordnung zur besonderen Datenkategorie nach sich ziehe; diese Information müsse aus den vorliegenden Daten aus objektiver Sicht mit hinlänglicher Sicherheit zu folgern sein. Soweit damit erkennbar zum Ausdruck gebracht werden soll, dass Daten alleine deshalb, weil daraus vage Schlüsse auf die allfällige politische Meinung der betroffenen Person gezogen werden könnten, noch nicht der besonderen Kategorie personenbezogener Daten nach Art 9 Abs 1 DSGVO zuzuordnen sind, dann ist dies zwar zutreffend. Darum geht es aber im vorliegenden Fall nicht:
[38] Der Vorwurf rechtswidriger Verarbeitung sensibler Daten betrifft hier nämlich weder die von der Beklagten aggregierten anonymisierten Umfragedaten und statistisch errechneten Wahrscheinlichkeitswerte noch die damit – zur Ermittlung der Parteiaffinität – verknüpften persönlichen Daten des Klägers wie Wohnort, Geschlecht usw (zur Frage, ob solche vorgelagerten Datenverarbeitungsvorgänge, die an sich unverfängliche persönliche Daten des Einzelnen betreffen, schon aufgrund des damit verfolgten Zwecks, nämlich der Ermittlung der vermuteten politischen Meinung des Betroffenen, mit Blick auf Art 9 Abs 1 DSGVO unzulässig sind, vgl jedoch Frenzel in Paal/Pauly , DSGVO BDSG 3 Art 9 DSGVO Rz 12 mwN; EDSA, Erklärung Nr 2/2019 zur Verwendung personenbezogener Daten im Rahmen politischer Kampagnen, angenommen am 13. 3. 2019); inkriminiert ist allein die Verarbeitung der im Ergebnis vorgenommenen Einschätzung über die (hoch )wahrscheinliche Empfänglichkeit des Klägers gerade für Werbematerial der FPÖ, die an der dem Kläger unterstellten parteipolitischen Vorliebe Zweifel lässt.
[39] 2.7. Aus denselben Erwägungen stellt sich im vorliegenden Fall auch nicht das in der Revision der Beklagten hervorgehobene Abgrenzungsproblem zwischen „gewöhnlichen“ und „sensiblen“ personenbezogenen Daten.
[40] 2.8. Soweit die Beklagte darüber hinaus kritisiert, das Berufungsgericht hätte bei der Frage, ob aus den Daten zur Parteiaffinität des Klägers sensible Informationen hervorgehen können, den objektiven Kontext der Verarbeitung, also den Verwendungszusammenhang mitberücksichtigen müssen, bleibt sie in ihren weiteren Revisionsausführungen eine nachvollziehbare Begründung schuldig, warum der von ihr selbst ins Treffen geführte Verarbeitungskontext (vgl Pkt 6.4.3 der Revision) dem Verarbeitungsvorgang die zuvor geschilderte Gefahr nehmen soll, vor der Art 9 Abs 1 DSGVO schützen will. Wieso es unbedenklich sein soll, spezifische statistisch ermittelte Wahrscheinlichkeitsaussagen zur Parteiaffinität konkreter Personen zu erfassen, um sie an politische Parteien oder deren Teilorganisationen zu Marketingzwecken zu verkaufen, ist angesichts des bereits angesprochenen hohen Schadens- und Diskriminierungspotentials dieser Daten unerfindlich. Damit kann aber im vorliegenden Fall offen bleiben, inwieweit bei der Zuordnung von Daten zu den verschiedenen Datenkategorien auf den Verarbeitungskontext abzustellen ist.
[41] 2.9. Vor dem Hintergrund des letztlich unter Bedachtnahme auf den Regelungszweck eindeutigen, mit dem Wortlaut des Art 9 Abs 1 DSGVO zwanglos in Einklang zu bringenden Auslegungsergebnisses besteht wegen Fehlens jedes Auslegungszweifels („acte clair“) auch in diesem Punkt keine Vorlagepflicht nach Art 267 AEUV.
[42] 3. Zum Unterlassungsanspruch nach der DSGVO:
[43] 3.1. Die Beklagte moniert weiters, der Unterlassungsanspruch des Klägers sei schon mangels rechtlicher Grundlage zu Unrecht bejaht worden, weil die DSGVO einen Unterlassungsanspruch nicht vorsehe; dem Kläger wäre ohnedies eine Beschwerde an die Datenschutzbehörde offen gestanden, um eine rechtswidrige Datenverarbeitung unterbinden zu lassen.
[44] 3.2. Bereits in den Entscheidungen 6 Ob 131/18k und 6 Ob 91/19d hat sich der Fachs enat mit dem System der Zweigleisigkeit des Rechtsschutzes nach der DSGVO eingehend befasst und dieses im Grundsatz mit Blick auf die Anordnung des Art 79 Abs 1 DSGVO bejaht, wonach jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Art 77 DSGVO das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden. Während sich die Erwägungen in der Entscheidung 6 Ob 131/18k auf einen gerichtlich geltend gemachten Löschungsanspruch nach Art 17 Abs 1 lit a DSGVO und § 45 Abs 2 Z 1 DSG bezogen, wurde in der Entscheidung 6 Ob 91/19d allgemein – auch in Ansehung mehrerer im Verfahren erhobener Unterlassungsansprüche wegen Datenschutzverstößen nach der DSGVO, unter anderem betreffend die Verarbeitung personenbezogener Daten des dortigen Klägers für Werbezwecke – hervorgehoben, dass der Betroffene neben einem bloßen Schadenersatzanspruch nach Art 82 DSGVO (und dem zuvor angesprochenen Löschungsanspruch) auch andere zivilrechtliche Ansprüche wegen Verstößen gegen die DSGVO im gerichtlichen Verfahren geltend machen kann. Schon im Rahmen dieser rechtlichen Erwägungen zur Rechtswegzulässigkeit wurde damit implizit zum Ausdruck gebracht, dass auch die streitgegenständlichen Unterlassungsansprüche von Art 79 Abs 1 DSGVO umfasst sind.
[45] 3.3. Der Wortlaut dieser Bestimmung spricht allgemein vom Recht auf einen „wirksamen gerichtlichen Rechtsbehelf“. Es entspricht der herrschenden Ansicht in Österreich und Deutschland, dass die Regelung unter anderem auch auf die Durchsetzung eines Unterlassungsanspruchs gerichtet ist (vgl Leupold/Schrems in Knyrim , DatKomm Art 79 DSGVO Rz 2, 23; Klauser , Rechtsdurchsetzung im Datenschutz nach der DSGVO und dem DSG 2018 idF des DS DeregulierungsG 2018, VbR 2018/48, 89 [92]; dens , Rechtsdurchsetzung im Datenschutz nach der DSGVO und dem DSG 2018 aus zivilprozessualer und verbraucherrechtlicher Sicht, in Nunner-Krautgasser/Garber/Klauser , Rechtsdurchsetzung im Datenschutz nach der DSGVO und dem DSG 2018 [2019] 43 [54]; Schwamberger , Parallelität und Bindungswirkung von Zivil- und Verwaltungsverfahren nach der DSGVO, Jahrbuch Datenschutzrecht 2019, 259 [272]; Jahnel , Zum Zusammenspiel zwischen dem verwaltungsrechtlichen Weg und dem Zivilrechtsweg und die Schnittstellen zum Verfassungsrecht und zum Europarecht, in Nunner Krautgasser/Garber/Klauser , Rechtsdurchsetzung 67 [71]; Thiele/Wagner , DSG [2020] § 29 Rz 50; von Lewinski in Eßer/Kramker/von Lewinski , DSGVO BDSG 6 Art 79 DSGVO Rz 2; Bergt in Kühling/Buchner , DS GVO/BDSG 2 Art 79 Rz 13; Spindler/Dalby in Spindler/Schuster , Recht der elektronischen Medien 4 Art 79 DSGVO Rz 17; Kreße in Sydow , DS GVO Art 79 Rz 10; Martini in Paal/Pauly , DS GVO/BDSG 3 Art 79 Rz 17).
[46] 3.4. Die Entscheidung des Oberlandesgerichts Köln 15 U 156/18 (BeckRS 2019, 10629), auf die sich die Beklagte beruft, steht dem nicht entgegen: Darin wurde ein aus der DSGVO abgeleiteter Unterlassungsanspruch, wie schon vom Berufungsgericht hervorgehoben, als Ergebnis einer gebotenen umfassenden Abwägung nach Art 6 Abs 1 lit f DSGVO verneint (ErwGr 51); von einer grundsätzlichen Ablehnung eines Unterlassungsanspruchs mangels Rechtsgrundlage in der DSGVO kann daher keine Rede sein (vgl etwa OLG Köln 15 W 21/19 NJW RR 2020, 30, wonach auf Grundlage von Art 79 Abs 1 DSGVO bei entsprechendem Bedürfnis im Zweifel auch vorbeugender einstweiliger Rechtsschutz zuzulassen sei [ErwGr 69]).
[47] 3.5. Die in Art 79 Abs 1 DSGVO gebrauchte Wendung „wirksamer gerichtlicher Rechtsbehelf“ ist unionsrechtsautonom zu bestimmen. Primärrechtlich ist das Recht auf einen wirksamen Rechtsbehelf in Art 47 GRC verankert (vgl auch den entsprechenden Hinweis in ErwGr 141 zur DSGVO), weshalb bei der Auslegung auf die dazu entwickelten Leitlinien – sowie auf die Rechtsprechung des EGMR zur zugrundeliegenden Garantie des Art 13 EMRK – zurückgegriffen werden kann. Ausgehend davon ist allgemein anerkannt, dass ein Rechtsbehelf nur dann „wirksam“ ist, wenn er geeignet ist, eine Rechtsverletzung oder ihre Fortdauer zu verhindern oder dem Verletzten eine angemessene Wiedergutmachung zu verschaffen (statt vieler Leupold/Schrems in Knyrim , DatKomm Art 79 DSGVO Rz 22; Martini in Paal/Pauly , DS GVO/BDSG 3 Art 79 Rz 16, 17; Kröll in Holoubek/Lienbacher , GRC-Kommentar 2 Art 47 Rz 35 mwN). Damit besteht aber für den Kläger schon auf Grundlage des Art 79 Abs 1 DSGVO ein Anspruch auf Unterlassung, wenn trotz der bereits erfolgten Löschung der rechtswidrig verarbeiteten Daten nach wie vor eine Rechtsverletzung droht.
[48] 3.6. Das entgegenstehende, nicht näher begründete Auslegungsergebnis der Beklagten, wonach der Unionsgesetzgebers mit den in Kapitel III der DSGVO statuierten Betroffenenrechten einen abschließenden Katalog von Rechtsbehelfen schaffen wollte und folglich bewusst von der ausdrücklichen Regelung eines Unterlassungsanspruchs im Verordnungstext abgesehen hat, kann schon wegen des expliziten Verweises auf Art 47 GRC in ErwGr 141 zur DSGVO und aufgrund des Umstands nicht überzeugen, dass das Gebot der Wirksamkeit des (gerichtlichen) Rechtsbehelfs in Art 79 Abs 1 DSGVO im Vergleich zur Vorgängerregelung (vgl Art 22 RL 95/46/EG) ausdrücklich betont wurde (vgl Leupold/Schrems in Knyrim , DatKomm Art 79 DSGVO Rz 3 f). Auch hier fehlt es daher an Auslegungszweifeln, die eine Vorabentscheidung durch den EuGH gebieten.
[49] 4. Zur Rechtswidrigkeit
[50] 4.1. Dass das Verhalten der Beklagten rechtswidrig war, bedarf keiner näheren Ausführungen. Nach Art 9 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt, sofern der Betroffene nicht ausdrücklich eingewilligt hat (Art 9 Abs 2 lit a DSGVO). Eine derartige Einwilligung wird von der Beklagten nicht behauptet.
[51] 4.2. § 151 GewO stellt keinen Rechtfertigungsgrund dar. Diesbezüglich kann gleichfalls auf die Entscheidung 6 Ob 127/20z verwiesen werden. § 151 Abs 6 GewO ermächtigt Adressverlage und Direktmarketingunternehmen, die durch sie erhobenen bzw ermittelten Daten an Dritte zu übermitteln, um diese Daten wirtschaftlich sinnvoll nutzen zu können. Die Bestimmung bezieht sich aber nicht auf von Dritten an Gewerbetreibende gemäß Abs 1 übermittelte Daten, weil diese nicht von Adressverlagen und Direktmarketingunternehmen – wie Abs 6 verlangt – für Marketingzwecke „erhoben“ wurden. Folglich ist eine Umgehung von Datenübermittlungen unter Zwischenschaltung eines Adressverlags und Direktmarketingunternehmens ohne Zustimmung des Betroffenen nicht möglich (6 Ob 127/20z; Riesz in Ennöckl/Raschauer/Wessely , GewO § 151 Rz 29; näher Mayer Schönberger , Warum Ermitteln nicht Erheben ist: Datenschutz und Direktmarketing, ecolex 2004, 417). Im Übrigen verlangt auch § 151 Abs 4 GewO für Daten iSd Art 9 Abs 1 DSGVO das ausdrückliche Einverständnis der betroffenen Person zur Verarbeitung dieser Daten.
[52] 5. Zur Wiederholungsgefahr:
[53] 5.1. Die Beklagte kritisiert schließlich, aufgrund ihres nachhaltigen Rückzugs aus dem Marketingbereich, des Verkaufs von Marketingklassifikationen und der bereits erfolgten Löschung der in Frage stehenden Marketingklassifikationen sei die Wiederholungsgefahr weggefallen, sodass der Unterlassungsanspruch jedenfalls aus diesem Grund abzuweisen gewesen wäre. Die Vernichtung des Datenbestands lasse sich nämlich nicht rückgängig machen, sodass eine künftige Rechtsverletzung faktisch ausgeschlossen sei. Von den nicht wiederherstellbaren Daten gehe keine Gefahr mehr aus.
[54] Mit diesem Vortrag legt die Beklagte allerdings nicht nachvollziehbar dar, wieso sie die Datenlöschung in der Zukunft davon abhalten soll, neuerlich personenbezogene Daten des Klägers zu verarbeiten, aus denen seine politische Meinung – im oben dargelegten Sinn – hervorgeht.
[55] 5.2. Nicht zielführend ist auch ihr Verweis auf die Entscheidung des Verwaltungsgerichtshofs, Ro 2020/03/0014, wonach eine Wiederholungsgefahr im Allgemeinen nicht mehr anzunehmen sei, wenn der Verletzer sein Geschäft oder seinen Geschäftszweig, in dessen Rahmen er die Rechtsverletzung begangen hatte, von sich aus eingestellt und den beanstandeten Zustand beseitigt hat. Im Anlassfall ging es um die Frage, ob trotz mittlerweile erfolgter Löschung einer bestimmten Domain die Gefahr drohe, dass der frühere Domaininhaber die inkriminierten Inhalte neuerlich unter derselben Domain veröffentlichen werde. Ausgehend davon, dass die besagte Domain gekündigt worden und schon seit einiger Zeit nicht mehr registriert war und folglich seither jedem zur Neuregistrierung offen stand, sodass der frühere Domaininhaber die Verfügungsgewalt über die Domain verloren hatte, hielt der Verwaltungsgerichtshof die Wiederholung der Rechtsverletzung für zumindest äußerst unwahrscheinlich: Eine Wiederholung der als rechtswidrig gerügten Handlung, konkret der Zugangsvermittlung des Access-Providers zur unter dieser Domain abrufbaren Website, wäre nur dann möglich, wenn dieselbe Domain neuerlich registriert und auf der unter dieser Domain abrufbaren Website die beanstandeten Rechtsverletzungen neuerlich begangen würden.
[56] Die vorliegende Fallkonstellation ist schon deshalb anders gelagert, weil die Beklagte nach dem Urteilssachverhalt nach wie vor über eine aufrechte Gewerbeberechtigung betreffend den Adresshandel verfügt, sodass sie durch nichts daran gehindert ist, von sich aus den Adresshandel wieder aufzunehmen und zu diesem Zweck neuerlich Daten über die Parteiaffinität (auch) des Klägers zu verarbeiten.
[57] 5.3. Hinzu kommt das nachhaltige Beharren der Beklagten auf dem Standpunkt, die Datenverarbeitung sei rechtmäßig erfolgt. Die bloße Beseitigung des Eingriffs unter Aufrechterhaltung eines Rechtsstandpunkts, der den Eingriff rechtfertigen soll, wird in der Regel den Wegfall der Wiederholungsgefahr nicht dartun (siehe zum Unterlassungsanspruch nach innerstaatlichem Recht RS0012055 [T2], vgl auch RS0079894).
[58] 6. Der Kostenvorbehalt gründet auf § 52 ZPO.
Rückverweise
Keine Verweise gefunden
