DSB: Amtswegige Prüfung von Marketinganalyseverfahren der Post AG

eJournal-Artikel

Originalsprache: Deutsch
ZIIR Band 8
Judikatur, 5713 Wörter
Seiten 274-283
https://doi.org/10.33196/ziir202003027401

20,00 €

inkl MwSt

Sofortiger PDF-Download

Es handelt sich bei der „politischen Affinität“ einer Person – unabhängig davon, ob dies eine „Durchschnittswahrscheinlichkeit für eine Marketinggruppe“ darstellt – jedenfalls um personenbezogene Daten iSv Art 4 Z 1 DSGVO. So sind Daten mit Bezug zu einer Person personenbezogen, auch wenn sie unzutreffend sind.

Die solcherart auch nur geschätzte oder prognostizierte politische Affinität eines Menschen gehört zu den sensiblen Daten iSv Art 9 Abs 1 DSGVO, handelt es sich doch um politische Meinungen oder weltanschauliche Überzeugungen. Wenn die dafür berechneten Werte im Datensatz der betroffenen Person faktisch abgespeichert und damit zuordenbar sind, wird dieser Person eine politische Affinität konkret zugeschrieben. Der Wahrheitsgehalt ist für die Betrachtung unerheblich.

Marketinganalyseverfahren (hier: die Verarbeitungstätigkeit „DAM Zielgruppenadressen“ der Österreichischen Post AG) unterscheiden sich im Ergebnis nicht von „herkömmlichen“ Profiling-Vorgängen bzw sonstigen automatisierten Entscheidungsfindungen, etwa durch Kreditauskunfteien. In all diesen Fällen werden mit statistischen Verfahren, teilweise angereichert durch konkrete Erfahrungswerte zu bestimmten Personen, Werte ermittelt, die einer bestimmten oder bestimmbaren Person zugeordnet werden.

Die Zulässigkeit der Verarbeitung von Daten nach Art 9 Abs 1 DSGVO richtet sich ausschließlich nach den in Art 9 Abs 2 leg cit taxativ aufgezählten Tatbeständen. Demnach wird zur Verarbeitung besonderer Kategorien von Daten iSv Art 9 Abs 1 DSGVO auch gemäß § 151 Abs 4 GewO 1994 im Zuge der Ausübung des Gewerbes für Adressverlage und Direktmarketingunternehmen ein ausdrückliches Einverständnis der betroffenen Personen vorausgesetzt. Liegt dieses nicht vor, ist die Verarbeitung auch mangels anderer Rechtsgrundlagen unrechtmäßig.

Verarbeitet ein Verantwortlicher massenhaft sensible Daten (hier: tatsächliche Vermarktung von ca. 3,1 Mio Datensätzen, die politische Affinitäten zuordnen), ist er verpflichtet vor Verarbeitungsaufnahme eine Datenschutz-Folgenabschätzung nach Art 35 DSGVO durchzuführen. Hat er diese unterlassen, ist eine weitere Ausführung der Verarbeitungstätigkeit untersagt und sind die vorhandenen Datensätze zu löschen.

Redaktionelle Leitsätze

Thiele, Clemens

ZIIR 2020, 274
Verarbeitungsverzeichnis, unrichtiges
Österreichische Post AG
§ 151 Abs 5 GewO
Adresshandel
Art 6 Abs 1 lit f DSGVO
§ 151 Abs 6 GewO
DSB, 11.02.2019, DSB-D213.747/0002-DSB/2019 (nrk), DAM Zielgruppenadressen
§ 151 Abs 3 GewO
Datenschutz-Folgenabschätzung, unterlassene
Art 35 DSGVO
§ 151 Abs 4 GewO
Art 9 Abs 2 lit a DSGVO
Medienrecht
Art 30 DSGVO
Recht auf Geheimhaltung
Daten, sensible
Art 4 Z 2 DSGVO
Art 4 Z 1 DSGVO
Art 9 Abs 1 DSGVO
Prüfverfahren, amtswegiges
Parteiaffinitäten
Art 9 Abs 2 lit g DSGVO