Daten zur Parteiaffinität einer Person sind sensible Daten nach Art. 9 Abs. 1 DSGVO

Ro 2021/04/0007 vom 14. Dezember 2021

Im vorliegenden Fall betrieb ein Unternehmen mit einer Gewerbeberechtigung für einen Adressverlag und Direktwerbung eine Datenanwendung, in der personenbezogene Daten von Werbeadressaten (Zielgruppen) gesammelt und verwaltet wurden. Diese personenbezogenen Daten wurden (wahl-)werbetreibenden Kunden für zielgerichtete Werbemaßnahmen entgeltlich zur Verfügung gestellt.

Die verarbeiteten personenbezogenen Daten der Werbeadressaten umfassten unter anderem die Anrede, den Vor- und den Nachnamen, die Wohnadresse, das Geburtsdatum sowie darüber hinaus eine - auf einer Einschätzung beruhende - Bewertung der "Parteiaffinität". Die Angabe zur "Parteiaffinität" bezog sich auf fünf in Österreich wahlwerbende Parteien und erfolgte durch jeweilige Zuordnung mit Werten von "sehr niedrig", über "niedrig", "hoch" bis zu "sehr hoch".

Als Grundlage der Einschätzung dienten dem Unternehmen insbesondere die Ergebnisse von seit 2017 durchgeführten anonymen Meinungsumfragen, sowie die soziodemografischen Daten der betroffenen Personen wie etwa das Alter, die Bildung, das Einkommen und der Wohnort, wobei die erfassten Personen auf Basis dieser Daten in Gruppen eingeteilt wurden. Auf Grundlage der Ergebnisse der Meinungsumfragen, regionalen Wahlergebnissen sowie der Religionszugehörigkeit wurde für die diversen Personengruppen jeweils die Wahrscheinlichkeit für das Interesse an Werbung einer bestimmten politischen Partei errechnet.

Von den betroffenen Personen wurde keine Zustimmung zu der Verarbeitung der Daten zur Parteiaffinität eingeholt.

Mit dem verfahrensgegenständlichen Bescheid kam die Datenschutzbehörde nach Durchführung eines amtswegig eingeleiteten Prüfverfahrens zu dem Schluss, dass die verarbeiteten Daten zur Parteiaffinität eine besondere Kategorie personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO ("sensible Daten") darstellen würden, und ordnete an, deren Verarbeitung zu unterlassen. Gespeicherte Daten seien darüber hinaus zu löschen. Schließlich sei für die Datenanwendung eine Datenschutzfolgenabschätzung vorzunehmen und das Verarbeitungsverzeichnis für die Verarbeitung der Parteiaffinität, als sensible Daten, entsprechend zu ergänzen.

Eine vom Unternehmen dagegen erhobene Beschwerde wurde vom Bundesverwaltungsgericht im Wesentlichen abgewiesen (die Daten wurden in der Zwischenzeit gelöscht, weshalb lediglich die Anordnung der Löschung aufzuheben war). Auch nach Ansicht des Gerichts handle es sich bei den Daten zur Parteiaffinität sowohl um "personenbezogene Daten" gemäß Art. 4 Z 1 DSGVO als auch um sensible Daten gemäß Art. 9 Abs. 1 DSGVO. Die Daten unterlägen daher einem Verarbeitungsverbot, es komme keine Ausnahme zur Anwendung.

Das Unternehmen erhob in weiterer Folge Revision an den VwGH.

Der VwGH befasste sich mit der Rechtsfrage der grundsätzlichen Einordnung von Daten als sensible Daten nach Art. 9 Abs. 1 DSGVO und der fallbezogenen Frage, ob eine Einschätzung der Parteiaffinität unter diesen Begriff fällt.

Zunächst stellte der VwGH, unter Verweis auf Rechtsprechung des OGH, klar, dass der Begriff "personenbezogene Daten" nach Art. 4 Z 1 DSGVO alle Informationen umfasst, die sich auf eine identifizierte oder identifizierbare Person beziehen. Der Begriff ist weit zu verstehen. Darunter fallen etwa auch Einschätzungen oder Urteile über eine Person, selbst wenn diese falsch sind. Im vorliegenden Fall wurde die errechnete Parteiaffinität den namentlich erfassten Personen innerhalb einer Gruppe zugeordnet und weiterverarbeitet worden, weshalb es sich um "personenbezogene Daten" nach Art. 4 Z 1 DSGVO handelt.

Art. 9 Abs. 1 DSGVO untersagt die Verarbeitung personenbezogener Daten, aus denen politische Meinungen einer Person hervorgehen. Der VwGH betonte in Übereinstimmung, dass diese sensiblen Daten einen besonderen Schutz erfordern, weil im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Zum Schutz vor schwerwiegenden Diskriminierungen sind von Art. 9 Abs. 1 DSGVO nicht nur jene Daten erfasst, die der tatsächlichen politischen Meinung entsprechen, sondern auch Daten über eine vermutete politische Meinung. Es reicht im Übrigen aus, wenn aus den erfassten Daten die politischen Meinungen nur mittelbar - etwa in Form von indirekten Hinweisen - hervorgehen.

Im vorliegenden Fall deuteten die verarbeiteten Daten der betroffenen Personen hinreichend auf eine – vermutete – politische Meinung hin. Es handelte sich somit um sensible Daten im Sinne des Art. 9 Abs. 1 DSGVO, deren Verarbeitung untersagt ist, wenn keine Ausnahme (etwa eine Einwilligung der Betroffenen) vorliegt. Eine solche lag im konkreten Fall nicht vor.

Die Revision wurde abgewiesen.

Der VwGH hatte fallgegenständlich keine Zweifel an der Auslegung den unionsrechtlichen Bestimmungen ("acte clair"), weshalb eine Vorlage an den EuGH nicht geboten war.