Im Mai 2020 verständigte Sky Österreich seine Kunden via Mail über einen bevorstehenden Abgleich von Kundendaten mit der Österreichischen Post. Sollten sich Daten geändert haben, würden diese aktualisiert werden. Der Abgleich erfolgte ohne Einwilligung. Verbraucher hätten dem Datenaustausch aktiv widersprechen müssen.
Vorweg lehnte das HG Wien die Unterbrechung des Verfahrens ab. Den Einwand, der VKI wäre nicht klagslegitimiert, weil der österreichische Gesetzgeber Art 80 Abs 2 DSGVO nicht umgesetzt hat, weist das Gericht zurück. Eine Abrede der Aktivlegitimation des VKI wäre mit Art 7 Abs 2 der Klausel-RL (Richtlinie 93/13/EWG) unvereinbar, so das HG Wien. Dass die Einhaltung der Bestimmungen der Klausel-RL auch im Anwendungsbereich der DSGVO dem Willen des Unionsgesetzgebers entspricht, ergibt sich aus ErwGr 42 der DSGVO, welcher sich ausdrücklich auf diese bezieht. Der von der Beklagten ins Treffen geführten Entscheidung 4 Ob 84/19k lag hingegen ein anders gelagerter Sachverhalt zugrunde, weil es sich dort nicht um eine Verbandsklage gemäß § 28 KSchG handelte.
Aus diesen Erwägungen ist die Aktivlegitimation des klagenden Verbandes gegeben. Das Gericht sah daher keinen Anlass, das Verfahren bis zum Vorliegen der rechtskräftigen Entscheidung des EuGH in der Rechtssache C-319/20 bzw des BGH im Verfahren zu I ZR 186/17 zu unterbrechen.
Klausel 1: „Dazu geben wir deine Daten an die Österreichische Post zum Abgleich (aufgrund berechtigten Interesses, Art. 6 I f DSGVO). Sollte sich etwas geändert haben, werden deine Daten aktualisiert.
Falls du mit dieser Überprüfung nicht einverstanden bist, hast du hier die Möglichkeit, bis 20.5.2020 zu widersprechen.“
Das HG Wien befand diese Klausel aus mehreren Gründen für unzulässig. So verletzt sie den Grundsatz der Rechtmäßigkeit, Treu und Glauben, Transparenz, der Zweckbindung und der Datenminimierung iSd Art 5 Abs 1 lit a, b, c DSGVO sowie verstößt sie gegen das Richtigkeitsgebot iSd Art 5 Abs 1 lit d DSGVO. Ebenfalls ist die Klausel intransparent iSd § 6 Abs 3 KSchG und verstößt gegen das Grundrecht auf Datenschutz iSd § 1 DSG. Zusätzlich handelt es sich um eine unrechtmäßige Weiterverarbeitung von Daten nach Art 6 Abs 4 DSGVO.
Sky stützt sich bzgl der Überprüfung der Daten auf ein berechtigtes Interesse iSd Art 6 Abs 1 lit f DSGVO. Laut Gericht liegt ein solches jedoch nicht vor. Gemäß der AGB gelten Mitteilungen an die zuletzt bekanntgegebene Adresse von Verbrauchern als zugegangen. Die Überprüfung der Daten via Abgleich ist demnach nicht erforderlich. Die Klausel ist folglich unrechtmäßig und verstößt gegen Art 5 Abs 1 lit a DSGVO sowie in weiterer Folge gegen das Grundrecht auf Datenschutz gemäß § 1 DSG.
Weiters verstößt die Klausel gegen das Richtigkeitsgebot iSd Art 5 Abs 1 lit c DSGVO, da beim Abgleich mit der Post keine Rücksicht darauf genommen wird, ob es sich dabei um richtigere Daten handelt oder nicht. Da nicht gewährleistet ist, dass Verbraucher ihre richtigen Daten der Post bekannt geben, ist es nicht ausgeschlossen, dass durch den Datenabgleich richtige Daten auf unrichtige Daten ausbessert würden.
Die von der Beklagten vorgebrachte zweckändernden Weiterverarbeitung iSd Art 6 Abs 4 DSGVO scheitert laut Gericht an der Kompatibilitätsprüfung. Verbraucher konnten bei Vertragsabschluss nicht damit rechnen, dass die Überprüfung ihrer Daten durch Weitergabe an einen Dritten erfolgen würde. Weiters sieht die Klausel nicht vor, welche Daten konkret an die Österreichische Post weitergegeben werden, sodass auch ein Verstoß gegen Art 5 Abs 1 lit c DSGVO („Datenminimierung“) vorliegt, wonach die Verarbeitung von personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen.
Das Gericht befindet die Klausel weiters als intransparent iSv § 6 Abs 3 KSchG. Für Verbraucher ist nicht nachvollziehbar, ob sie dazu verpflichtet sind, Änderungen dieses Abgleichs zu überprüfen bzw ob falsch adressierte Zusendungen der Beklagten nun zu ihren Lasten gehen.
Klauseln aus den AGB von Sky Österreich:
Klausel 2: „[5.2] Die vom Abonnenten angegebenen personenbezogenen Daten sowie Daten über Art und Häufigkeit seiner Nutzung der von Sky erbrachten Leistungen wer- den von Sky verarbeitet und innerhalb der gesetzlichen Aufbewahrungsfristen (insbesondere nach UGB und BAO) gespeichert, soweit dies für die Vertragserfüllung, insbesondere für die Durchführung des Kundenservices sowie die Vergütungsabrechnung, erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden, abhängig vom jeweiligen Abonnement, ggf. an Dritte, welche in einem Vertragsverhältnis mit dem Abonnenten stehen (z.B. IPTV-Anbieter) und an Dienstleister, die im Auftrag von Sky Leistungen erbringen (Auftragsverarbeitung, Art. 28 DSGVO) übermittelt. Sofern sich ein Sky Dienstleister in einem Drittland befindet, wird durch geeignete Maßnahmen (insbesondere Verwendung von EU-Standardvertragsklauseln) gewährleistet, dass die Rechte des Abonnenten als betroffene Person gewahrt sind.“
Gemäß Art 13 Abs 1 lit e DSGVO muss Sky ggf über die Empfänger bzw Kategorien von Empfänger von personenbezogenen Daten informieren und gemäß lit f ggf die Absicht, Daten an ein Drittland zu übermitteln, und das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission bzw anderer geeigneter Garantien mitteilen. Selbst wenn man davon ausginge, dass die Nennung von Empfängerkategorien ausreichend sei, so wird den Informationspflichten nach Art 13 DSGVO nicht entsprochen, so das HG Wien. Nachdem die Klausel lediglich beispielhaft - „z.B. IPTV-Anbieter“ - anführt, gibt es offensichtlich mehrere Empfänger von Daten, die nicht genannt wurden. Auch die Nennung von „Dienstleistern“, stellt keine nachvollziehbare Empfängerkategorie dar, folgert das Gericht. Weiters legt die Klausel nicht offen, ob für die Übertragung in Drittländer ein Angemessenheitsbeschluss oder andere geeignete Garantien vorliegen. Die Klausel verletzt folglich den Transparenzgrundsatz iSv Art 5 Abs 1 lit a DSGVO. Die gilt ebenfalls für den in der Klausel befindlichen Verweis, dass verarbeitete Daten „innerhalb der gesetzlichen Aufbewahrungspflichten (insbesondere nach UGB und BAO)“ gespeichert werden. Dem durchschnittlichen Verbraucher ist nicht bekannt, auf welche Regelungen konkret damit Bezug genommen wird bzw wie lange diese Fristen sind. Zusätzlich liegt hier laut Gericht ein Verstoß gegen § 6 Abs 3 KSchG vor.
Klausel 3: „[5.7] Damit der Abonnent das Sky Angebot bestmöglich nutzen und (ggf. weitere) für ihn interessante Sky Produkte erwerben kann, nutzt Sky Adressdaten, die Sky im Zusammenhang mit dem Abonnementvertrag erhalten hat, um dem Abonnenten, auch über die Vertragslaufzeit hinaus, Informationen zu Sky Produkten aus dem Bereich Pay-TV per Post zukommen zu lassen (Direktwerbung).“
Aus dem der Klausel folgenden Satz geht hervor: „Sky verarbeitet zu diesem Zweck ggf. weitere Rahmendaten aus dem Abonnentenvertrag“. Die Datenschutz-Grundverordnung iSd Art 4 Z 2 DSGVO definiert als „Verarbeitung“ unter anderem auch die „Offenlegung durch Übermittlung“. Damit bleiben aber auch die möglichen Empfänger dieser Datenverarbeitung völlig offen, da eine Weitergabe an nicht näher bestimmte Dritte durch den Begriff „Verarbeitung“ möglich ist. Die Klausel ist jedenfalls intransparent, so das Gericht.
Das Urteil ist nicht rechtkräftig (Stand 29.6.2021).
HG Wien 26.5.2021, 57 Cg 32/20m
Rechtsvertreter: Dr. Stefan Langer, Rechtsanwalt in Wien
Zum News.
