Erhebung der Parteiaffinität durch die Österreichische Post AG

Die beklagte Post verfügte über eine Gewerbeberechtigung als Adressenverlag. Sie erhob Informationen zu den Parteiaffinitäten. Meinungsforschungsinstitute führten dazu anonyme Umfragen durch. Die Ergebnisse kombinierte die Beklagte mit Statistiken aus Wahlergebnissen, um letztlich mit Hilfe eines Algorithmus „Zielgruppenadressen“ nach soziodemografischen Merkmalen zu definieren, Dafür kaufte die Beklagte auch Adressdaten von anderen Adresshändlern oder aus Kunden- und Interessentendateien von Unternehmen zu. Diese Daten wurden an verschiedene Organisationen verkauft.

Der Kläger, der keine Einwilligung zur Datenverarbeitung erteilt hatte, war über die Speicherung seiner Daten zur Parteiaffinität verärgert. Zusätzlich erbost und beleidigt war der Kläger über die ihm seitens der Beklagten zugeschriebene „hohe Affinität“ zu einer bestimmten Partei. Andere, nicht bloß vorübergehende gefühlsmäßige Beeinträchtigungen konnten nicht festgestellt werden.

Der Kl begehrte Schadenersatz iHv EUR 1.000,-- und Unterlassung, personenbezogene Daten, aus denen seine politische Meinung hervorgeht, insbesondere Daten zur Parteiaffinität zu verarbeiten

SCHADENERSATZ

Zum Schadenersatzbegehren legte der OGH folgende Fragen dem EuGH zur Vorabentscheidung vor:

1. Erfordert der Zuspruch von Schadenersatz nach Art 82 DSGVO neben einer Verletzung von Bestimmungen der DSGVO auch, dass der Kläger einen Schaden erlitten hat oder reicht bereits die Verletzung von Bestimmungen der DSGVO als solche für die Zuerkennung von Schadenersatz aus?

2. Bestehen für die Bemessung des Schadenersatzes neben den Grundsätzen der Effektivität und Äquivalenz weitere Vorgaben des Unionsrechts?

3. Ist die Auffassung mit dem Unionsrecht vereinbar, dass Voraussetzung für den Zuspruch immateriellen Schadens ist, dass eine Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht vorliegt, die über den durch die Rechtsverletzung hervorgerufenen Ärger hinausgeht?

Dazu führte der OGH aus: Mit Art 82 Abs 1 DSGVO wird eine eigenständige – dh neben das innerstaatliche Schadenersatzregime tretende – datenschutzrechtliche Haftungsnorm statuiert. Folglich ist nicht nur der Begriff des „immateriellen Schadens“ in Art 2 Abs 1 DSGVO unionsautonom zu bestimmen. Vielmehr hat sich auch die Ausgestaltung der sonstigen Haftungsvoraussetzungen nach Abs 2 leg cit, ebenso wie Fragen der Bemessung des Ersatzanspruchs, in erster Linie nach Unionsrecht zu richten; das mitgliedstaatliche Haftungsregime wird insoweit überlagert.

Aus ErwGr 146 S 3 DSGVO wird abgeleitet, dass die Ersatzpflicht unter Berücksichtigung des unionsrechtlichen Effektivitätsgrundsatzes so bemessen werden muss, dass sie verhältnismäßig, wirksam und abschreckend ist. Der zugesprochene Betrag muss über eine rein symbolische Entschädigung hinausgehen.

Ungeachtet des unionsrechtlichen Effektivitätsgrundsatzes gebührt Ersatz nach Art 82 DSGVO aufgrund des zentralen Ausgleichsgedankens hinter der Haftung nur dann, wenn ein (ideeller) Schaden tatsächlich eingetreten ist. Für hypothetische, unbestimmte bzw nicht spürbare Nachteile durch den Eingriff in das Recht auf informationelle Selbstbestimmung wird auch nicht iS eines „Strafschadenersatzes“ gehaftet. Die Argumentation des Kl, ihm stehe schon wegen des „Verlusts der Kontrolle über die personenbezogenen Daten“ bzw aufgrund der „Verarbeitung von politischen Meinungen“ als solchen Schadenersatz zu, verfängt nicht.

Der Ersatz eines immateriellen Schadens nach Art 82 Abs 1 DSGVO setzt einen konkret nachzuweisenden ideellen Nachteil durch den Datenschutzverstoß voraus: Dieser kann etwa darin liegen, dass der Betroffene Zeit und Mühe aufwenden muss, um der Rechtsverletzung ein Ende zu setzen bzw um sich gegen den drohenden Missbrauch seiner Daten oder einen Folgeschaden zu schützen. Ebenso werden aus der Rechtsverletzung resultierende Gefühlsbeeinträchtigungen wie Ängste, Stress oder Leidenszustände aufgrund einer erfolgten oder auch nur drohenden Bloßstellung, Diskriminierung oder Ähnlichem zu einer Ersatzpflicht führen.

Eine besonders schwerwiegende Beeinträchtigung der Gefühlswelt wird nicht zu fordern sein, allein schon deshalb nicht, weil ErwGr 146 S 3 zur DSGVO eine weite Auslegung des Begriffs „des Schadens“ fordert, ohne dabei zwischen materiellen und immateriellen Nachteilen zu differenzieren.

Die Annahme einer Erheblichkeitsschwelle unter Rückgriff auf die Pauschalreise-RL (2015/2302/EU) hat nicht zu erfolgen, weil dort der Ersatz ausdrücklich auf „erhebliche Auswirkungen“ der Vertragswidrigkeit bzw „entgangene Urlaubsfreuden infolge erheblicher Probleme“ beschränkt ist. Eine entsprechende Einschränkung findet sich im Bereich der DSGVO nicht. Der weite Schadensbegriff des Art 82 Abs 1 DSGVO legt nahe, dass grundsätzlich auch ideelle Nachteile von eher geringerem Gewicht Berücksichtigung finden sollen.

Selbst wenn man aber im Bereich der Haftung nach Art 82 Abs 1 DSGVO auch geringfügige ideelle Nachteile – wie etwa bloß vorübergehende Leidenszustände und Unmutsgefühle – als grundsätzlich ersatzfähig ansehen sollte, kommt man unter dem Gesichtspunkt der „Spürbarkeit“ der Beeinträchtigung nicht umhin, diese von gänzlich unbeachtlichen Unannehmlichkeiten abzugrenzen, die mit der Rechtsverletzung geradezu typischerweise einhergehen und schon mit Blick auf die Ausgleichsfunktion der Haftung eine Entschädigung zur Ablinderung des erlittenen Ungemachs gar nicht erfordern, sodass eine – auch gering bemessene – Ersatzpflicht im Ergebnis unerwünschte Strafwirkung entfalten würde.

Zum Vorlagebeschluss.

UNTERLASSUNG

Der Kläger begehrte, die Beklagte habe es zu unterlassen, personenbezogene Daten, aus denen seine politische Meinung hervorgeht, insbesondere Daten zur Parteiaffinität zu verarbeiten; weiters begehrte er die Löschung all dieser Daten.

Zum Personenbezug einer Wahrscheinlichkeitsaussage nach Art 4 Z 1 DSGVO:

Die hier zu beurteilenden Informationen unterliegen dem Regime der DSGVO, sind sie doch dem Kläger direkt zugeordnet und enthalten Aussagen etwa über seine Vorlieben und Einstellungen; ob die Einschätzungen tatsächlich zutreffend sind, ist dabei hingegen unerheblich. Auch dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet sind, ändert nichts am Vorliegen personenbezogener Daten. Die „Affinitäten“ enthalten eine Wahrscheinlichkeitsaussage über bestimmte Interessen und Vorlieben des Klägers.

Auf den in der Sache relevierten Umstand, die Beklagte sei durch Deduktion aus wirksam anonymisierten Daten Dritter sowie aus abstrakten statistischen Werten zu ihrer auf den Kläger als Individuum heruntergebrochenen Wahrscheinlichkeitsaussage gelangt, kommt es somit nicht an; ebenso wenig ist entscheidend, dass mit der Einschätzung der Parteiaffinität des Klägers keine Aussage über die tatsächlichen, sondern eben nur über die vermuteten politischen Vorlieben des Klägers getroffen wurde.

§ 151 Abs 6 GewO regelt nur die Verwendung dieser Daten, ändert aber nichts daran, dass es sich dabei um von der DSGVO erfasste personenbezogene Daten handelt.

Zum „Hervorgehen der politischen Meinung“ gemäß Art 9 Abs 1 DSGVO:

„Politische Meinungen“ gehören zu den besonderen Kategorien personenbezogener Daten gemäß Art 9 Abs 1 DSGVO. Personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, weil im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können (ErwGr 51 DSGVO).

Wenn nun aber Art 9 DSGVO insbesondere auch davor schützen soll, dass betroffene Personen durch die Datenverarbeitung dem Risiko besonders schwerwiegender Diskriminierungen ausgesetzt sind, dann erscheint es geboten, nicht nur solche Daten in den Schutzbereich des Art 9 Abs 1 DSGVO einzubeziehen, aus denen die tatsächliche politische Einstellung des Betroffenen hervorgeht, sondern gerade auch Daten über vermutete politische Vorlieben des Einzelnen, birgt doch deren Verarbeitung ebenfalls das Risiko besonderer negativer Folgen für den Betroffenen in sich.

Zum Unterlassungsanspruch nach der DSGVO

Der OGH hat schon mehrmals die Zweigleisigkeit des Rechtsschutzes nach der DSGVO bejaht (s Art 79 Abs 1 DSGVO). Der Wortlaut dieser Bestimmung spricht allgemein vom Recht auf einen „wirksamen gerichtlichen Rechtsbehelf“. Es entspricht der hA, dass die Regelung ua auch auf die Durchsetzung eines Unterlassungsanspruchs gerichtet ist.

Zur Rechtswidrigkeit

Das Verhalten der Bekl war rechtwidrig. Nach Art 9 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen ua die politische Meinung hervorgeht, untersagt, sofern der Betroffene nicht ausdrücklich eingewilligt hat (Art 9 Abs 2 lit a DSGVO). Eine derartige Einwilligung wird von der Beklagten nicht behauptet.

§ 151 GewO stellt keinen Rechtfertigungsgrund dar (s 6 Ob 127/20z). § 151 Abs 6 GewO ermächtigt Adressverlage und Direktmarketingunternehmen, die durch sie erhobenen bzw ermittelten Daten an Dritte zu übermitteln, um diese Daten wirtschaftlich sinnvoll nutzen zu können. Die Bestimmung bezieht sich aber nicht auf von Dritten an Gewerbetreibende gemäß Abs 1 übermittelte Daten, weil diese nicht von Adressverlagen und Direktmarketingunternehmen – wie Abs 6 verlangt – für Marketingzwecke „erhoben“ wurden. Im Übrigen verlangt auch § 151 Abs 4 GewO für Daten iSd Art 9 Abs 1 DSGVO das ausdrückliche Einverständnis der betroffenen Person zur Verarbeitung dieser Daten.

OGH 15.4.2021, 6 Ob 35/21x