VwGH bestätigt: Marketingklassifikationsdaten in der Form von Sinus-Geo-Milieus können sensible Daten beinhalten
Die Abgrenzung zwischen sensiblen Daten und nicht-sensiblen Daten ist oftmals schwierig. Diese Frage hat in der jüngeren Vergangenheit den Europäischen Gerichtshof (EuGH), die Datenschutzbehörde (DSB), das Bundesverwaltungsgericht (BVwG) und nun auch den Verwaltungsgerichtshof (VwGH) hinsichtlich der Einordnung von Sinus-Geo-Milieus beschäftigt. Im Antwortschreiben auf ein Auskunftsbegehren waren ua auch Marketingklassifikationsdaten in der Form von Sinus-Geo-Milieu-Daten enthalten.
Der VwGH hat in dieser Sache hinsichtlich der Einordnung solcher „Sinus Geo Milieu“-Daten nunmehr entschieden, dass es sich dabei um sensible personenbezogene Daten gemäß Artikel 9 DSGVO handeln kann (VwGH 17. Mai 2024, Ra 2023/04/0005-6).
Dies entspricht der aktuellen Rechtsprechung des VwGH (VwGH Ro 2021/04/0007) und des EuGH wonach Art. 9 Abs. 1 DSGVO nicht dahin ausgelegt werden kann, dass die Verarbeitung personenbezogener Daten, die indirekt sensible Informationen über eine natürliche Person offenbaren können, von der in diesen Bestimmungen vorgesehenen verstärkten Schutzregelung ausgenommen ist und die Anforderungen an das „Hervorgehen“ nicht allzu hoch angelegt werden sollten.
In Übereinstimmung mit der bisherigen nationalen höchstgerichtlichen Rechtsprechung war es nicht entscheidungswesentlich, ob es sich bei den verfahrensgegenständlichen Informationen betreffend eine Weltanschauung um eine gefestigte „innere“ Überzeugung handelt, da Art. 9 DSGVO insbesondere auch davor schützen soll, dass betroffene Personen durch die Datenverarbeitung dem Risiko besonders schwerwiegender Diskriminierungen ausgesetzt sind und es beim Schutz nach Art. 9 Abs. 1 DSGVO nicht darauf ankommt, ob die Zuordnung intendiert ist bzw. ob sie in Bezug auf den Betroffenen (inhaltlich) zutrifft. Unter Berücksichtigung des Schutzzwecks des Art. 9 DSGVO, die Benachteiligung von Personen aufgrund ihrer Zugehörigkeit zu einem bestimmten Milieu bzw. einer bestimmten Weltanschauung zu vermeiden, ergeben sich aus den mit einem Wahrscheinlichkeitswert zugeschriebenen Sinus-Geo-Milieus weltanschauliche Überzeugungen im Sinne des Art. 9 Abs. 1 DSGVO. Nach Ansicht des VwGH ist es dabei nicht relevant, ob jedem einzelnen Milieu bzw. jeder einzelnen Zuschreibung einer Wahrscheinlichkeit für sich allein betrachtet eine weltanschauliche Überzeugung zu entnehmen ist, sondern vielmehr maßgeblich, dass jedenfalls einzelnen dieser Milieus Hinweise auf weltanschauliche Überzeugungen zu entnehmen sind. Ausgehend aus dem Zusammenspiel der den einzelnen Milieus zugeordneten Wahrscheinlichkeitswerten bzw. einer Gesamtsicht ließen sich daraus Schlussfolgerungen auf (wenn auch nur vermutete) weltanschauliche Überzeugungen ziehen.
Der VwGH hat sich dem Erkenntnis zu Folge dabei auch an einem Beitrag, den die Autorin zusammen mit Beata Mangelberger in der jusIT 5/2021 (Mangelberger/Scheichenbauer, Die Grenzen der weltanschaulichen Überzeugung in der DS-GVO, in jusIT 5/2021) verfasst hat, orientiert, in welchem wir vertreten haben, dass es bei der rechtlichen Würdigung der Frage, ob Sinus-Geo-Milieus sensible Daten sind, auf die Gesamtheit aller Attribute und deren Zuordnungen zu einer konkreten Person abzustellen ist und wir diese dann als Daten im Sinne von Art. 9 DSGVO betrachten, wenn daraus die (vermutete) weltanschauliche Überzeugung des Betroffenen mit hinlänglicher Sicherheit hervorgeht.
Im zugrunde liegenden Sachverhalt war die Mitbeteiligte mit deutlich dominanter Wahrscheinlichkeit dem Milieu „Postmaterielle“ zugeordnet worden und im Zusammenspiel mit den fallbezogen der Mitbeteiligten mit geringen Wahrscheinlichkeitswerten zugeordneten Sinus-Geo-Milieus „Konservative“ und „Traditionelle“ ergaben sich in einer Gesamtbetrachtung unter Berücksichtigung des Schutzzwecks des Art. 9 DSGVO aus den verfahrensgegenständlichen Informationen ausreichend deutlich weltanschauliche Überzeugungen im Sinne des Art 9. DSGVO.
Die aktuelle Entscheidung des VwGH betont die Wichtigkeit, sich im Vorfeld einer Datenverarbeitung gründlich mit der Kategorisierung auseinander zu setzen.
Autorin
Dr. Heidi Scheichenbauer ist als Senior Consultant und Senior Researcher im Research Institute – Digital Human Rights Center tätig. Sie hat Rechtswissenschaften an der Universität Wien und der Erasmus Universität Rotterdam mit Schwerpunkt Computer und Recht studiert. Nach ihrem Studium arbeitete sie als Juristin und wissenschaftliche Mitarbeiterin bei der KMU Forschung Austria, wo die Lösung datenschutzrechtlichen Fragestellungen zu ihrem Aufgabengebiet gehörte. Nach ihrer Zeit bei der KMU Forschung Austria war sie als Juristin beim Fundraising Verband Austria beschäftigt, wo sie unter anderem die Verbandsmitglieder bei der Umsetzung der Datenschutz-Grundverordnung beraten hat. Sie ist Mitglied im Verein der behördlichen und betrieblichen Datenschutzbeauftragten (Privacyofficers.at) und Autorin zahlreicher datenschutzrechtlicher Publikationen.