Dieser Inhalt ist frei verfügbar. Mit einem Abonnement der RdW erhalten Sie die Zeitschrift in Print und vollen digitalen Zugriff im Web, am Smartphone und Tablet. Mehr erfahren…
Testen Sie
ALLE 13 Zeitschriftenportale
30 Tage lang kostenlos.
Der Zugriff endet nach 30 Tagen automatisch.
DSGVO: Art 82
IZm der Verletzung von Bestimmungen der DSGVO durch einen Adressverlag (Zuordnung einer statistisch ermittelten Parteiaffinität zu bestimmten Personen) hat der OGH mehrere Vorlagefragen an den EuGH gerichtet, und zwar
| - | ob der Zuspruch von Schadenersatz nach Art 82 DSGVO neben einer Verletzung von Bestimmungen der DSGVO auch erfordert, dass der Kl einen Schaden erlitten hat, oder ob bereits die Verletzung von Bestimmungen der DSGVO als solche für die Zuerkennung von Schadenersatz ausreicht; |
| - | ob für die Bemessung des Schadenersatzes neben den Grundsätzen der Effektivität und Äquivalenz weitere Vorgaben des Unionsrechts bestehen; |
| - | ob für den Zuspruch immateriellen Schadens eine Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht vorliegen muss, die über den Ärger über die Rechtsverletzung hinausgeht. |
Sachverhalt
Die Bekl verfügt über eine Gewerbeberechtigung als Adressenverlag und war zehn Jahre lang als Adresshändlerin mit dem Ziel tätig, ihren werbetreibenden Kunden den zielgerichteten Versand von Werbung zu ermöglichen. In diesem Zusammenhang erhob sie seit 2017 Informationen zu den Parteiaffinitäten der gesamten österreichischen Bevölkerung. Meinungsforschungsinstitute führten dazu anonyme Umfragen durch, bei denen konkrete Fragen zum Interesse an Wahlwerbung gestellt wurden. Die Ergebnisse kombinierte die Bekl mit Statistiken aus Wahlergebnissen, um letztlich mit Hilfe eines Algorithmus „Zielgruppenadressen“ nach soziodemografischen Merkmalen zu definieren, denen meistens über hundert Personen zugeschrieben wurden. Die einzelnen Personen wurden – außer bei unzureichender Signifikanz – je nach Wohnort, Alter, Geschlecht usw einer oder mehreren Marketinggruppen und -klassifikationen zugeordnet. Dafür kaufte die Bekl auch Adressdaten von anderen Adresshändlern oder aus Kunden- und Interessentendateien von Unternehmen zu. Die Basisdaten wurden mit Hilfe von Wahlergebnissen laufend aktualisiert. Jene Daten, die nicht mit einem Sperrvermerk aufgrund eines Eintrags in die Robinsonliste versehen waren, wurden an zwei politische Parteien und eine parteinahe Organisation verkauft. Die Mitarbeiter der Bekl im Bereich „Daten- und Adressmanagement“ unterlagen einer Verschwiegenheitspflicht.
Nach der ersten Medienberichterstattung über die Verarbeitung von Daten zur Parteiaffinität durch die Bekl beschloss deren Vorstand wegen der negativen öffentlichen Resonanz am 9. 1. 2019 den Rückzug aus dem Geschäftszweig des Adresshandels mit Parteiaffinitäten.
Der Kl begehrt die Unterlassung der Verarbeitung personenbezogener Daten, aus denen seine politische Meinung hervorgeht, insb Daten zur Parteiaffinität; weiters möge die Bekl zur Löschung all dieser Daten sowie zur Zahlung von 1.000 € verpflichtet werden. Soweit im Revisionsverfahren noch von Relevanz brachte er vor, die Bekl habe ohne Einwilligung Daten über seine Parteiaffinität, also eine höchstpersönliche Angelegenheit verarbeitet und dabei seine Affinität zur FPÖ als „hoch“ aufgrund statistischer Hochrechnungen dargestellt. Sie habe damit gegen Art 9 DSGVO verstoßen. Ein Sympathisieren mit Parteien des rechten Randes liege ihm fern, weshalb die ihm zugeordnete Parteiaffinität eine Beleidigung und beschämend sowie im höchsten Maß kreditschädigend sei. Das Verhalten der Bekl habe bei ihm großes Ärgernis und einen Vertrauensverlust ausgelöst, aber auch ein Gefühl der Bloßstellung. Er sei um die Freiheit gebracht worden, seine politischen Daten zu kontrollieren. Aufgrund des großen inneren Ungemachs stehe ihm ein Ersatzanspruch von 1.000 € für den immateriellen Schaden zu.
Entscheidung
Vorlagefragen
Der OGH hat dem EuGH folgende Fragen zur Vorabentscheidung vorgelegt:
| 1. | Erfordert der Zuspruch von Schadenersatz nach Art 82 DSGVO (Verordnung [EU] 2016/679 des Europäischen Parlaments und des Rates vom 27. 4. 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der RL 95/46/EG [Datenschutz-Grundverordnung]) neben einer Verletzung von Bestimmungen der DSGVO auch, dass der Kl einen Schaden erlitten hat oder reicht bereits die Verletzung von Bestimmungen der DSGVO als solche für die Zuerkennung von Schadenersatz aus? |
| 2. | Bestehen für die Bemessung des Schadenersatzes neben den Grundsätzen der Effektivität und Äquivalenz weitere Vorgaben des Unionsrechts? |
| 3. | Ist die Auffassung mit dem Unionsrecht vereinbar, dass Voraussetzung für den Zuspruch immateriellen Schadens ist, dass eine Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht vorliegt, die über den durch die Rechtsverletzung hervorgerufenen Ärger hinausgeht? |
Unterlassungsverpflichtung
Der Revision der Bekl gegen die Unterlassungsverpflichtung hat der OGH mit Teilurteil (ebenfalls) vom 15. 4. 2021 nicht Folge gegeben.
Nach Ansicht des OGH lässt sich aus Art 4 Z 1 DSGVO keinesfalls ableiten, dass die Zuschreibung einer (hohen) Empfänglichkeit für Parteiwerbung der FPÖ kein personenbezogenes Datum sei (zum Personenbezug einer Wahrscheinlichkeitsaussage nach Art 4 Z 1 DSGVO vgl die kürzlich ergangene E OGH 18. 2. 2021, 6 Ob 127/20z, Rechtsnews 30777).
Art 9 DSGVO untersagt grds die Verarbeitung personenbezogener Daten, aus denen „die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen“. Wenn Art 9 DSGVO insb auch davor schützen soll, dass betroffene Personen durch die Datenverarbeitung dem Risiko besonders schwerwiegender Diskriminierungen ausgesetzt sind, dann erscheint es geboten, nicht nur solche Daten in den Schutzbereich des Art 9 Abs 1 DSGVO einzubeziehen, aus denen die tatsächliche politische Einstellung des Betroffenen hervorgeht, sondern gerade auch Daten über vermutete politische Vorlieben des Einzelnen, birgt doch deren Verarbeitung ebenfalls das Risiko besonderer negativer Folgen für den Betroffenen in sich.
Wieso es unbedenklich sein sollte, spezifische statistisch ermittelte Wahrscheinlichkeitsaussagen zur Parteiaffinität konkreter Personen zu erfassen, um sie an politische Parteien oder deren Teilorganisationen zu Marketingzwecken zu verkaufen, ist angesichts des hohen Schadens- und Diskriminierungspotentials dieser Daten unerfindlich. Damit kann im vorliegenden Fall offen bleiben, inwieweit bei der Zuordnung von Daten zu den verschiedenen Datenkategorien auf den Verarbeitungskontext abzustellen ist.
Für den Kl besteht schon auf Grundlage des Art 79 Abs 1 DSGVO ein Anspruch auf Unterlassung, wenn trotz der bereits erfolgten Löschung der rechtswidrig verarbeiteten Daten nach wie vor eine Rechtsverletzung droht. Dass das Verhalten der Bekl rechtswidrig war, bedarf keiner näheren Ausführungen.
Wiederholungsgefahr
Die Bekl verfügt nach dem Urteilssachverhalt nach wie vor über eine aufrechte Gewerbeberechtigung betreffend den Adresshandel, sodass sie durch nichts daran gehindert ist, von sich aus den Adresshandel wieder aufzunehmen und zu diesem Zweck neuerlich Daten über die Parteiaffinität (auch) des Kl zu verarbeiten.
Hinzu kommt das nachhaltige Beharren der Bekl auf dem Standpunkt, die Datenverarbeitung sei rechtmäßig erfolgt. Die bloße Beseitigung des Eingriffs unter Aufrechterhaltung eines Rechtsstandpunkts, der den Eingriff rechtfertigen soll, wird idR den Wegfall der Wiederholungsgefahr nicht dartun (vgl RS0012055 [T2], RS0079894).
