Bundesverwaltungsgericht W254 2253357-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 14.11.2025
• ECLI: ECLI:AT:BVWG:2025:W254.2253357.1.00

Spruch

W254 2253357-1/23E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch die Richterin Dr.in Tatjana CARDONA als Vorsitzende sowie die fachkundige Laienrichterin Mag.a Viktoria HAIDINGER und den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer:in über die Beschwerde von XXXX , vertreten durch RA Mag. Robert HAUPT, LL.M., gegen Spruchpunkt 3. des Bescheides der Datenschutzbehörde vom 30.12.2021, Zl. D124.4651, 2021-0.819.576, (mitbeteiligte Partei: XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG) betreffend eine datenschutzrechtliche Angelegenheit, nach Durchführung einer mündlichen Verhandlung zu Recht:

A)

I. Der Beschwerde wird teilweise stattgegeben und festgestellt, dass die XXXX den XXXX dadurch im Recht auf Auskunft gemäß Art. 15 Abs. 1 DSGVO verletzt hat, indem sie ihm bis zum Abschluss des gegenständlichen Verfahrens keine Auskunft über die von ihr auf ihn bezogenen statistischen Daten zur Berechnung des Bonitätswerts erteilt hat.

II. Der XXXX wird aufgetragen, binnen vier Wochen bei sonstiger Exekution XXXX im Umfang des Spruchpunktes I. zu erteilen.

III. Im Übrigen wird die Beschwerde als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

1. Die beschwerdeführende Partei begehrte mit E-Mail vom 28.04.2021 erstmalig eine Auskunft iSd Art. 15 DSGVO über die sie betreffenden, bei der mitbeteiligten Partei gespeicherten Informationen. Die mitbeteiligte Partei erteilte daraufhin mit Schreiben vom 03.05.2021 Auskunft.

2. Mit E-Mail vom 07.07.2021 rügte die beschwerdeführende Partei die Unvollständigkeit dieser Auskunft und ersuchte um Vervollständigung. Dieser Aufforderung entsprechend erteilte die mitbeteiligte Partei der beschwerdeführenden Partei mit Schreiben vom 12.07.2021 eine ergänzende Auskunft.

3. Mit Schreiben vom 02.09.2021 brachte die beschwerdeführende Partei bei der Datenschutzbehörde (in der Folge: belangte Behörde) eine Datenschutzbeschwerde ein und führte darin, bezogen auf den gegenständlichen Beschwerdefall, im Wesentlichen aus, dass die der beschwerdeführenden Partei erteilte Auskunft, bestehend aus Vor- und Nachname, Geburtsdatum und Adresse, unvollständig sei, als die Datenschutzerklärung der mitbeteiligten Partei weitaus mehr Datenkategorien nenne, die verarbeitet würden und den Auskünften auch keine entsprechenden Negativeinträge zu entnehmen seien. Auch sei die Herkunft bezüglich der verarbeiteten personenbezogenen Daten unvollständig.

4. Im Zuge des verwaltungsbehördlichen Verfahrens erteilte die mitbeteiligte Partei mit Schreiben vom 29.09.2021 eine weitere ergänzende Auskunft.

5. Die mitbeteiligte Partei nahm mit Schreiben vom 12.10.2021 Stellung und führte darin, bezogen auf den Beschwerdefall, im Wesentlichen aus, dass sie folgende personenbezogene Daten der beschwerdeführenden Partei verarbeite: Name, Geburtsdatum, Adresse, unternehmerische Funktion und ermittelte Bonitätswerte. In der Datenschutzerklärung würden sämtliche Datenkategorien genannt seien, die die mitbeteiligte Partei theoretisch verarbeiten könnte. In Bezug auf die beschwerdeführende Partei verarbeite die mitbeteiligte Partei jedoch keine sonstigen Datenkategorien. Aufgrund des Nichtvorliegens von Zahlungserfahrungsdaten der beschwerdeführenden Partei würden auch keine solchen verarbeitet werden. Eine Änderung des Bonitätswertes könne sich zudem aus weiteren, nicht personenbezogenen statistischen Kriterien ergeben, welche sich abhängig von der wirtschaftlichen Entwicklung ändern würden.

6. In der Äußerung der beschwerdeführenden Partei vom 22.11.2021 monierte diese bezogen auf den gegenständlichen Beschwerdefall im Wesentlichen die Unvollständigkeit der von der mitbeteiligten Partei erteilten Auskünfte hinsichtlich der verarbeiteten personenbezogenen Daten der beschwerdeführenden Partei sowie auch der Herkunft der verarbeiteten Daten.

7. Mit Bescheid vom 30.12.2021 gab die belangte Behörde der Beschwerde teilweise statt und stellte eine Verletzung im Recht auf Auskunft fest, da die mitbeteiligte Partei bis zum Abschluss des verwaltungsbehördlichen Verfahrens keine Auskunft gemäß Art. 15 Abs. 1 lit. h DSGVO erteilt habe (Spruchpunkt 1.). Der mitbeteiligten Partei wurde aufgetragen, der mitbeteiligten Partei im Umfang des Spruchpunkt 1. eine Auskunft zu erteilen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.)

Begründend führte die belangte Behörde zu Spruchpunkt 3. im Wesentlichen aus, dass die beschwerdeführende Partei es verabsäumt habe, einen Beweis für die unvollständige Auskunft hinsichtlich Art. 15 Abs. 1 Satz 1 DSGVO bereitzustellen. Die auf die Allgemeinheit bezogene Datenschutzerklärung der mitbeteiligten Partei könne dieses Vorbringen nicht stützen und es gebe keine Anhaltspunkte dafür, dass die mitbeteiligte Partei weitere personenbezogene Daten verarbeite. Indem die mitbeteiligte Partei mit ihrem Schreiben vom 29.09.2021 die Quellen zu den Datensätzen der beschwerdeführenden Partei angeführt habe, sei sie dem diesbezüglichen Auskunftsbegehren nachgekommen.

8. Gegen Spruchpunkt 3. des Bescheides der belangten Behörde erhob die beschwerdeführende Partei mit Schreiben vom 07.02.2022 fristgerecht Beschwerde. Darin wurde im Wesentlichen vorgebracht, dass die beschwerdeführende Partei nicht nur die Mutmaßung aufgestellt, sondern im Laufe des verwaltungsbehördlichen Verfahrens substantiiert vorgebracht habe, dass die Auskunft der mitbeteiligten Partei hinsichtlich Art. 15 Abs. 1 Satz 1 DSGVO unvollständig sei. Auch die von der mitbeteiligten Partei für die Berechnung des Bonitätswerts miteinbezogenen statistischen Kriterien würden personenbezogene Daten darstellen, da diese mit dem Alter und Wohnort der beschwerdeführenden Partei verknüpft und ihr so zugeordnet würden. Dementsprechend würden auch die statistischen Parameter der Auskunftspflicht gemäß Art. 15 Abs. 1 Satz 1 DSGVO unterliegen.

9. Die gegenständliche Beschwerde und der Bezug habende Verwaltungsakt wurden von der belangten Behörde mit Schreiben vom 28.03.2022 vorgelegt und sind am 29.03.2022 beim Bundesverwaltungsgericht eingelangt. Mit diesem Schreiben wurde beantragt, die gegenständliche Beschwerde abzuweisen.

10. Die mitbeteiligte Partei informierte mit Schreiben vom 03.05.2023 die beschwerdeführende Partei über den von der mitbeteiligten Partei ermittelten Bonitätsscore.

11. In der Stellungnahme vom 23.05.2023 führte die mitbeteiligte Partei aus, dass sie abgesehen von den bereits beauskunfteten personenbezogenen Daten der beschwerdeführenden Partei keine weiteren verarbeite. Die unterschiedliche Höhe des Bonitätswerts indiziere nicht, dass die mitbeteiligte Partei zusätzliche personenbezogene Daten der beschwerdeführenden Partei verarbeite. Sie könne an den statistischen Parametern liegen oder auch daran, dass die Abfragen der Bonitätswerte zur beschwerdeführenden Partei unter verschiedenen Adressen erfolgt seien.

12. Die beschwerdeführende Partei monierte mit Stellungnahme vom 07.06.2023 erneut die Unvollständigkeit der von der mitbeteiligten Partei bisher erteilten Auskünfte hinsichtlich der verarbeiteten personenbezogenen Daten der beschwerdeführenden Partei. Alleine aus der Tatsache, dass die mitbeteiligte Partei erstmalig mit der Auskunft vom 03.05.2023 offenlegte, auch das Geschlecht der beschwerdeführenden Partei als personenbezogenes Datum zu verarbeiten, könne deduziert werden, dass die mitbeteiligte Partei weitere, bisher nicht beauskunftete personenbezogene Daten der beschwerdeführenden Partei verarbeite. Hinsichtlich der statistischen Parameter verwies die Stellungnahme im Wesentlichen auf das Beschwerdevorbringen.

13. Mit Verfügung des Geschäftsverteilungsausschusses vom 20.10.2023 wurde die gegenständliche Rechtssache der Gerichtsabteilung W245 abgenommen und der Gerichtsabteilung W221 zugewiesen.

14. Mit Verfügung des Geschäftsverteilungsausschusses vom 24.04.2024 wurde die gegenständliche Rechtssache der Gerichtsabteilung W221 abgenommen und der Gerichtsabteilung W254 zugewiesen.

15. Am 17.09.2025 fand eine öffentliche mündliche Verhandlung am Bundesverwaltungsgericht statt, in welcher sowohl ein informierter Vertreter der mitbeteiligten Partei als auch ein im Annexverfahren (GZ W 254 2253358-1) beantragter Zeuge einvernommen wurde und den Parteien Gelegenheit gegeben wurde, Fragen an die einvernommenen Personen zu stellen sowie weitere Beweismittel vorzulegen und ihre Standpunkte darzulegen.

16. Sowohl der Beschwerdeführer als auch die mitbeteiligte Partei erstatten im Nachhang zur mündlichen Beschwerdeverhandlung schriftliche Stellungnahmen, in welchen sie insbesondere die bereits in der mündlichen Beschwerdeverhandlung vorgelegten Beilagen nochmals schriftlich vorlegten.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Mit E-Mail vom 28.04.2021 begehrte die beschwerdeführende Partei von der mitbeteiligten Partei Auskunft gemäß Art. 15 DSGVO.

Die mitbeteiligte Partei gab der beschwerdeführenden Partei daraufhin mit Schreiben vom 03.05.2021 die sie betreffenden, gespeicherten personenbezogenen Daten der letzten sechs Monate, nämlich Name, Geburtsdatum, Adresse und unternehmerische Funktion, die Herkunft dieser Daten sowie eine Tabelle mit einem Partnerunternehmen und den an diesen Empfänger übermittelten Bonitätsscore bekannt.

Mit Schreiben vom 12.07.2021 erteilte die mitbeteiligte Partei der beschwerdeführenden Partei eine ergänzende Auskunft und vervollständigte darin die Tabelle mit sämtlichen die Identität bzw. Bonität der mitbeteiligten Partei abfragenden Partnerunternehmen für die Zeitspanne von 2014 bis 2021 und die an diese übermittelten Bonitätswerte.

Im Zuge des verwaltungsbehördlichen Verfahrens erteilte die mitbeteiligte Partei mit Schreiben vom 29.09.2021 eine weitere ergänzende Auskunft, welche im Wesentlichen jener Auskunft vom 12.07.2021 gleicht, zusätzlich aber hinsichtlich der Datensätze bezüglich der Namen und Adressen der beschwerdeführenden Partei die konkrete Quelle und bezüglich der Errechnung des Bonitätswerts die Information enthält, dass sich dieser auch durch von der gesamtwirtschaftlichen Entwicklung abhängige statische Kriterien verändern kann.

Mit Schreiben vom 03.05.2023 erteilte die mitbeteiligte Partei der beschwerdeführenden Partei weitere Informationen über den Bonitätswert und dessen Berechnung. Demnach erfolgt die Berechnung des Bonitätswerts unter Einbeziehung folgender personenbezogener Daten der betroffenen Person: Zahlungserfahrungsdaten, Alter, Geschlecht, Adresse und der vom Partnerunternehmen angeführten Anschrift der betroffenen Person. Zusätzlich zu diesen personenbezogenen Daten fließen bei der Berechnung des Bonitätswerts auch von der gesamtwirtschaftlichen Entwicklung abhängige statistische Parameter ein. Die konkrete Vermögenssituation wird bei der Ermittlung des Bonitätswerts nicht berücksichtigt.

1.2. Die mitbeteiligte Partei erteilte der beschwerdeführenden Partei keine Auskunft zu den konkreten Daten, die von den statistischen Parametern, die von der gesamtwirtschaftlichen Entwicklung abhängen, erfasst sind und die von ihr zur Berechnung des Bonitätswerts bezüglich der beschwerdeführenden Partei verwendet wurden. Die mitbeteiligte Partei hat nicht beauskunftet, welche statistischen Kriterien als Parameter bei der Berechnung des Bonitätsscores herangezogen werden.

Im Übrigen sind die Auskünfte der mitbeteiligten Partei hinsichtlich der verarbeiteten personenbezogenen Daten der beschwerdeführenden Partei und deren Herkunft vollständig.

2. Beweiswürdigung:

2.1. Die unter Punkt II.1.1. getroffenen Feststellungen ergeben sich aus dem unzweifelhaften und unstrittigen Akteninhalt, dem Vorbringen der Parteien und den von ihnen vorgelegten Dokumenten.

2.2. Die mitbeteiligte Partei führte in ihrer Auskunft vom 03.05.2023 an, dass in die Berechnung des Bonitätswerts der beschwerdeführenden Partei auch „mit keinen konkreten Personen verknüpfte“, von der gesamtwirtschaftlichen Entwicklung abhängige statistische Parameter einfließen würden, anhand derer sich der Score der betroffenen Person – also der beschwerdeführenden Partei – verändern könne. Nähere Auskunft dazu, um welche Parameter es sich dabei handle, erteilte die mitbeteiligte Partei nicht (s. zu deren rechtlichen Relevanz noch unter II.3.2.).

Die Feststellung, dass die mitbeteiligte Partei mit den erteilten Auskünften vom 03.05.2021, 12.07.2021, 29.09.2021 und 03.05.2023 im Übrigen – abgesehen nämlich von den Daten bezüglich der besagten statistischen Parameter – dem Auskunftsbegehren der beschwerdeführenden Partei entsprochen hat und damit die Auskunft hinsichtlich der von der mitbeteiligten Partei verarbeiteten personenbezogenen Daten der beschwerdeführenden Partei insoweit vollständig ist, ergibt sich erstens daraus, dass dem Akteninhalt keine Anhaltspunkte dafür zu entnehmen sind, dass die mitbeteiligte Partei keine diesbezügliche vollständige Auskunft erteilt hätte. Dass die mitbeteiligte Partei insoweit sämtliche die beschwerdeführende Partei betreffende personenbezogene Daten beauskunftet hat, ist damit glaubhaft.

Zweitens hat die beschwerdeführende Partei im Laufe des verwaltungsbehördlichen Verfahrens auch keine stichhaltigen Beweise bzw. kein substantiiertes Vorbringen erstattet, die nahelegen würden, dass die mitbeteiligte Partei – abgesehen von den Daten bezüglich der besagten statistischen Parameter – weitere ihrer personenbezogenen Daten verarbeitet. Der Verweis der beschwerdeführenden Partei auf die allgemeine Datenschutzerklärung der mitbeteiligten Partei und der dort genannten personenbezogenen Daten bzw. Datenkategorien, welche die mitbeteilige Partei theoretisch verarbeiten kann, ist nicht geeignet, um aufzuzeigen, dass die mitbeteiligte Partei in Bezug auf die beschwerdeführende Partei alle oder zumindest weitere personenbezogenen Daten dieser Datenschutzerklärung verarbeitet.

Auch die von der mitbeteiligten Partei gewählte Wortfolge in der Stellungnahme vom 12.10.2021 (Rz 11), wonach sie „die meisten“ der in der Datenschutzerklärung genannten Datenkategorien, bezogen auf die beschwerdeführende Partei, nicht verarbeite, lässt den Rückschluss, die mitbeteiligte Partei hätte insoweit keine vollständige Auskunft erteilt, nicht zu. Die von der mitbeteiligten Partei verwendete Wortfolge „die meisten“ ist in diesem Zusammenhang entgegen der Ansicht der beschwerdeführenden Partei auch nicht unangebracht. „Meisten“ bezeichnet nach der allgemeinen Wortbedeutung den größten Teil einer Anzahl oder Menge. Die Datenschutzerklärung enthält insgesamt 26 verschiedene Datenkategorien, zu vier davon hat die mitbeteiligte Partei im Laufe des Verfahrens Auskunft erteilt, nämlich:

Identitätsdaten (Vor- und Nachname, Geburtsdatum, Geschlecht, akademischer Grad)

Kontaktdaten (Adresse)

Unternehmensbezogene Daten (unternehmerische Funktion)

Daten zur Bonität (Bonitätswert)

Indem die mitbeteiligte Partei zu vier von 26 der in der Datenschutzerklärung genannten Datenkategorien Auskünfte erteilt hat bzw. zu vier dieser Datenkategorien personenbezogene Daten der beschwerdeführenden Partei verarbeitet und beauskunftet hat, hat sie im Umkehrschluss die meisten, also den größten Teil, der in der Datenschutzerklärung genannten Datenkategorien nicht verarbeitet und dementsprechend auch nicht beauskunftet. Die verwendete Wortfolge der mitbeteiligten Partei „die meisten“ ist in diesem Kontext somit legitim und nicht zu beanstanden.

Die in den Auskünften der mitbeteiligten Partei vom 03.05.2021, 12.07.2021 und 29.09.2021 enthaltene Information, die Berechnung des Bonitätswerts werde aufgrund der statistischen Wahrscheinlichkeit „insbesondere“ aufgrund bestimmter Parameter berechnet, impliziert ebenso nicht, dass die mitbeteiligte Partei weitere personenbezogene Daten der beschwerdeführenden Partei verarbeitet. Unter Berücksichtigung dessen, dass aus der Stellungnahme der mitbeteiligten Partei vom 12.10.2021 (Rz 35, 36) hervorgeht, dass ebenso statistische Parameter in die Berechnung des Bonitätswerts miteinfließen, ist auch die Verwendung der Formulierung „insbesondere“ nicht zu beanstanden.

Daran ändert auch nichts, dass die mitbeteiligte Partei erstmalig mit der Auskunft vom 03.05.2023 beauskunftet hat, auch das Geschlecht als personenbezogenes Datum der beschwerdeführenden Partei zu verarbeiten. Das alleinige Vorbringen der beschwerdeführenden Partei in ihrer Stellungnahme vom 07.06.2023, die mitbeteiligte Partei müsse aufgrund dieser verspäteten Auskunft noch weitere ihrer personenbezogenen Daten verarbeiten, ist nicht geeignet, um aufzuzeigen, dass die zuletzt erteilte Auskunft vom 03.05.2023 insoweit unvollständig ist.

Das damit insoweit lediglich allgemeine Vorbringen der beschwerdeführenden Partei läuft in Übereinstimmung nach der Rechtsprechung des Verwaltungsgerichtshofes auf einen unzulässigen Erkundungsbeweis hinaus, zu dessen Aufnahme das Verwaltungsgericht nicht verpflichtet ist (VwGH 17.09.2019, Ra 2019/18/0332; VwGH 19.07.2021, Ra 2021/14/0231).

3. Rechtliche Beurteilung:

Zu A) Teilstattgabe der Beschwerde:

3.1. Rechtsgrundlagen:

Art. 4 Abs. 1 Z 1 DSGVO – Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; (…)

Art. 15 DSGVO – Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

3.2. In der Sache:

Die beschwerdeführende Partei stützt ihre gegenständliche Beschwerde zusammengefasst zum einen darauf, dass die mitbeteiligte Partei neben den beauskunfteten personenbezogenen Daten noch weitere ihrer Daten verarbeiten müsse, was sich insbesondere aus der umfassenderen Datenschutzerklärung ergebe. Wie aber bereits die Beweiswürdigung ergeben hat, gibt es dafür keine substantiierbaren Anhaltspunkte, weshalb diesem Teil des Beschwerdevorbringens bereits auf der Sachverhaltsebene nicht zu folgen war.

Zum anderen sieht die beschwerdeführende Partei in den von der mitbeteiligten Partei ebenso verarbeiteten statistischen Parametern, die von der gesamtwirtschaftlichen Entwicklung abhängen, ihr zuordenbar personenbezogene Daten. Die mitbeteiligte Partei geht hingegen davon aus, dass diese Parameter keinen Personenbezug haben und somit nicht zu beauskunften seien.

Rechtlich zu klären ist somit, ob die von der mitbeteiligten Partei für die Berechnung des Bonitätswerts verwendeten gesamtwirtschaftlichen, statistischen Parameter, personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO darstellen.

Art. 4 Z 1 DSGVO definiert „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

In der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit dieser Begriffsbestimmung kommt zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (EuGH 20.12.2017, C-434/16, Nowak, Rn. 34 f).

Deshalb weisen auch innere Zustände wie Meinungen, Motive, Wünsche, Überzeugungen und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- und Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug auf (OGH 15.04.2021, 6 Ob 35/21x, Rn. 20; ebenso VwGH 14.12.2021, Ro 2021/04/0007, Rn. 27). In dem diesen Judikaten zugrundeliegenden Sachverhalt erhob die Beklagte (Revisionswerberin) durch anonyme Umfragen und Statistiken Informationen zur Parteiaffinität der gesamten österreichischen Bevölkerung, um mithilfe eines Algorithmus „Zielgruppenadressen“ nach soziodemographischen Merkmalen zu definieren. Die einzelnen Personen wurden sodann je nach Wohnort, Alter, Geschlecht, usw. einer oder mehreren Marketinggruppen und Marketingklassifikationen zugeordnet und die Daten letztlich verkauft. Der OGH ging ebenso wie der VwGH davon aus, dass diese Informationen dem Regime der DSGVO unterliegen, da sie dem davon Betroffenen direkt zugeordnet waren. Dass die Daten (lediglich) über statistische Wahrscheinlichkeiten errechnet wurden, ändert laut OGH und VwGH nichts am Vorliegen personenbezogener Daten.

In der gegenständlichen Angelegenheit führte die mitbeteiligte Partei mit Schreiben vom 03.05.2023 an die beschwerdeführende Partei aus, dass in der Berechnung des Bonitätswerts „auch von der gesamtwirtschaftlichen Entwicklung abhängige und mit keinen konkreten Personen verknüpfte und daher keine personenbezogenen Daten darstellende statistische Parameter“ einfließen würden. Diese würden aus dem „Gesamtdatenbestand“ der mitbeteiligten Partei errechnet werden. Diese Parameter würden sich ebenfalls auf den Bonitätswert auswirken können und diesen ändern können.

Die mitbeteiligte Partei setzte diese statischen Daten somit in jenen Algorithmus ein, durch den sie den Bonitätswert der beschwerdeführenden Partei errechnete. Durch diesen Vorgang ordnete die mitbeteiligte Partei diese Daten aber der von ihr identifizierten, konkreten Person der beschwerdeführenden Partei zu, um unmittelbar über diese eine Aussage – nämlich die Einschätzung ihrer Kreditwürdigkeit – zu treffen. Sie setzte diese Daten mit anderen Worten in Bezug zur Person der beschwerdeführenden Partei.

Die fraglichen statistischen Parameter, die von der gesamtwirtschaftlichen Entwicklung abhängen und die sie der beschwerdeführenden Partei zuordnete, sind somit entgegen der Ansicht der mitbeteiligten Partei ebenso personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO und somit vom Recht auf Auskunft nach Art. 15 Abs. 1 DSGVO mitumfasst.

Der Beschwerde gegen Spruchpunkt 3. des angefochtenen Bescheides der Datenschutzbehörde war sohin insoweit stattzugeben und festzustellen, dass die mitbeteiligte Partei die beschwerdeführende Partei dadurch im Recht auf Auskunft gemäß Art. 15 Abs. 1 DSGVO verletzt hat, indem sie ihr bis zum Abschluss des gegenständlichen Verfahrens nicht Auskunft über die von ihr auf die beschwerdeführende Partei bezogenen statistischen Daten zur Berechnung des Bonitätswerts erteilt hat. Die mitbeteiligte Partei wird demgemäß angewiesen, der beschwerdeführenden Partei innerhalb einer Frist von vier Wochen bei sonstiger Exekution eine Auskunft in diesem Umfang zu erteilen.

Zu B) Unzulässigkeit der Revision:

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Die Kriterien der Subsumierung statistischer Daten unter den Begriff der personenbezogenen Daten im Sinne der DSGVO wurden bereits vor den Höchstgerichten geklärt (vgl. nochmals EuGH 20.12.2017, C-434/16; OGH 15.04.2021, 6 Ob 35/21x; VwGH 14.12.2021, Ro 2021/04/0007).