Verwaltungsgerichtshof Ro 2025/04/0007

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 24.06.2026
• ECLI: ECLI:AT:VWGH:2026:RO2025040007.J00

Spruch

1. Die Revision wird hinsichtlich des Spruchpunktes A) V.) [bezeichnet als A) III.)] a) und b) des angefochtenen Erkenntnisses, insoweit das Bundesverwaltungsgericht das Straferkenntnis der Datenschutzbehörde in dessen Spruchpunkt I. mit näher genannter Maßgabe bestätigt sowie die dazu verletzten Rechtsvorschriften bezeichnet hat, als unbegründet abgewiesen.

2. Der Revision wird hinsichtlich der Spruchpunkte A) III.), A) IV.) [bezeichnet als A) III.)], A) V.) [bezeichnet als A) III.)] a) und b) Folge gegeben und in der Sache selbst dahingehend erkannt, dass das Straferkenntnis einschließlich seiner unangefochten gebliebenen Spruchteile insgesamt zu lauten hat wie folgt:

„Die Ö, hat als Verantwortliche im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DatenschutzGrundverordnung; DSGVO), ABl. Nr. L 119 vom 4.5.2016, S. 1, an ihrem Firmensitz Folgendes zu verantworten:

I. Sie hat vom 25. Mai 2018 bis 21. Februar 2019 im Rahmen der Ausübung des Gewerbes ‚Adressverlage und Direktmarketingunternehmen‘ für ihr Produkt ‚DAMZielgruppenadressen‘ die Wahrscheinlichkeit, mit der sich eine natürliche Person für Wahlwerbung einer bestimmten Partei interessiert (‚ParteiAffinitäten‘) verarbeitet, nämlich für die in ihrer DAMDatenbank enthaltenen natürlichen Personen berechnet, ihnen zugeordnet und gespeichert und verkauft, letzteres um es Dritten zu ermöglichen, Streuverluste in der Werbung zu verringern, nämlich

a)zugeordnet und gespeichert bis zum 21.02.2019 für etwa 2,2 Millionen natürliche Personen und,

b)bis zum 30.06.2018 berechnet für und verkauft an die S hinsichtlich aller in a) genannten Daten und bis zum 21.02.2019 an den W und die Ö hinsichtlich aller in a) genannten Daten eingeschränkt auf natürliche Personen mit Adressen in N.

Die Verantwortliche hat dadurch folgende Rechtsvorschriften verletzt: Art. 5 Abs. 1 lit. a iVm Art. 9 Abs. 1 iVm Art. 83 Abs. 5 lit. a DSGVO.

II.

a)

1. ) Sie hat ab 25. Mai 2018 bis Februar 2019 für ihr Produkt ‚DAMZielgruppenadressen‘ hinsichtlich der in ihrer DAMDatenbank enthaltenen Personen zumindest eine Liste der empfangenen Pakete samt dem Zeitpunkt ihres Empfangs aus dem Geschäftsbereich der Paketzustellung übernommen (‚Kennzahlen‘) und daraus die Paketfrequenz der jeweiligen Person berechnet, dh die Anzahl der Pakete, welche die Person in einem bestimmten Zeitraum empfangen hat, und in Folge die Daten anonymisiert, um daraus ein Hochrechnungsmodell für Marketingzwecke zu erstellen.

Die Verantwortliche hat dadurch folgende Rechtsvorschriften verletzt: Art. 5 Abs. 1 lit. a 2. und 3. Fall iVm Art. 83 Abs. 5 lit. a DSGVO, Art. 5 Abs. 1 lit. b iVm Art. 6 Abs. 4 iVm Art. 83 Abs. 5 lit. a DSGVO.

2. ) Hinsichtlich des Vorwurfs, sie habe im Rahmen der Ausübung des Gewerbes ‚Adressverlage und Direktmarketingunternehmen‘ die ‚Umzugsaffinität‘, bzw. die zu ihrer Berechnung verwendete ‚Umzugshäufigkeit‘, unrechtmäßig verarbeitet, wird das Verfahren gemäß § 45 Abs. 1 Z 1 2. Fall VStG eingestellt.

b)

in Bezug auf den Tatvorwurf der unrechtmäßigen Verarbeitung durch die Speicherung und den Verkauf personenbezogener Daten der Kategorien

-Spendenaffinität

-Bioaffinität

-Partnerschaft

-Jahreseinkommen

-Erwerbsart

-Qualifikation

-Konsumorientierte Basis

-Nachtschwärmer

-Investmentaffinität

-Lebensphase

wird das Verfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt.

III. In Bezug auf den Tatvorwurf gegen die Beschuldigte, dadurch gegen ihre Pflicht zur Durchführung einer DatenschutzFolgenabschätzung betreffend die Anwendung ‚DAMZielgruppenadressen‘ verstoßen zu haben, indem die DatenschutzFolgenabschätzung nicht im Zeitraum März bis Juni 2018, sondern zu einem späteren Zeitpunkt, jedenfalls aber nach dem 25. Mai 2018, durchgeführt wurde, wird das Verfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt.

IV. In Bezug auf den Tatvorwurf, die DatenschutzFolgenabschätzung zur Anwendung ‚DAM Zielgruppenadressen‘ sei ab dem 25. Mai 2018 fehlerhaft, da in dieser die Verarbeitung von besonderen Kategorien personenbezogener Daten verneint wurde, obwohl die ‚Parteiaffinität‘ errechnet und verarbeitet wurde, und dennoch im Ergebnis das Vorliegen eines hohen Risikos jedenfalls verneint wurde, wird das Verfahren gemäß § 45 Abs. 1 Z 2 VStG eingestellt.

V. In Bezug auf den Tatvorwurf, das Verzeichnis zur Verarbeitungstätigkeit ‚DAMZielgruppenadressen‘ sei ab dem 25. Mai 2018 fehlerhaft, da laut diesem

a)eine Verarbeitung besonders schutzwürdiger Daten, darunter auch die politische Meinung,

sowie

b)eine umfangreiche Verarbeitung von sensiblen Daten verneint wird, wird das Verfahren gemäß § 45 Abs. 1 Z 2 VStG eingestellt.

VI. In Bezug auf den Tatvorwurf, die Verantwortliche habe es ab dem 25. Mai 2018 unterlassen, ein mangelfreies Verzeichnis von Verarbeitungstätigkeiten zur Anwendung ‚DAMZielgruppenadressen‘ zu erstellen, indem sie es unterlassen hat, darin eine ausreichende Beschreibung der Datenkategorie ‚Marketing‘ aufzunehmen, nämlich

‚MARKETING, wie Teilzahler, Kundenkarten, Schnäppchenjäger, Tierliebhaber, Sport, Sinus Milieu, Neurotypen, Reisen, Bio, Nachtschwärmer, Freizeitgriller, Paket Score, Heimwerker, Onlinekäufer, Brand, Style High Fashion, Lebensphase, ParteiAffinität, Einkommen, Kaufkraft, Landwirtschaft, Anzahl Kinder, Baby, Kleinkind, Kind, Schulkind, Jugendliche, Familienstand‘ wird das Verfahren gemäß § 45 Abs. 1 Z 2 VStG eingestellt.

VII. In Bezug auf den Tatvorwurf, wonach die Beschuldigte die Vornahme einer Konsultation gemäß Art. 36 DSGVO (zu Unrecht) unterlassen hat, wird das Verfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt.

VIII. In Bezug auf den Tatvorwurf, wonach die Beschuldigte ihre Pflichten nach Art. 14 DSGVO nicht erfüllt hat, indem sie Betroffene nicht im erforderlichen Ausmaß darüber informiert, welche nicht direkt beim Betroffenen erhobenen Daten von wem und auf welche Weise erhoben und im Anschluss an Dritte übermittelt bspw. verkauft oder auf andere Weise zur Verfügung gestellt werden, wird das Verfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt.

Die Geldbuße wird gemäß Art. 83 Abs. 5 lit. a iVm Art. 83 Abs. 3 DSGVO mit

€ 13.000.000 (in Worten: Dreizehn Millionen Euro)

festgesetzt.

Der Beitrag zu den Kosten des Verfahrens wird gemäß § 64 Abs. 1 VStG mit € 100.000 (in Worten: Einhunderttausend Euro) festgesetzt.

Der zu zahlende Gesamtbetrag beträgt daher € 13.100.000 (in Worten: Dreizehn Millionen Einhunderttausend Euro).“

Der Bund hat der Revisionswerberin Aufwendungen in der Höhe von € 1.346,40 binnen 14 Tagen bei sonstiger Exekution zu ersetzen.