Justiz

Der Oberste Gerichtshof hat durch die Senatspräsidentin Dr. Hofer-Zeni-Rennhofer als Vorsitzende sowie die Hofrätinnen und Hofräte Hon.-Prof. Dr. Faber, Mag. Pertmayr, Dr. Weber und Mag. Nigl LL.M. als weitere Richter in der Rechtssache der klagenden Partei A*, vertreten durch Mag. Roman Taudes LL.M., Rechtsanwalt in Wien, gegen die beklagte Partei T*, vertreten durch BINDER GRÖSSWANG Rechtsanwälte GmbH in Wien, wegen Herausgabe, über den Rekurs der beklagten Partei gegen den Beschluss des Oberlandesgerichts Wien als Berufungsgericht vom 27. Jänner 2025, GZ 16 R 162/24x-38, mit dem der Beschluss des Landesgerichts für Zivilrechtssachen Wien vom 16. August 2024, GZ 16 Cg 66/23b-26, aufgehoben wurde, in nichtöffentlicher Sitzung den

Beschluss

gefasst:

I. Dem Gerichtshof der Europäischen Union werden gemäß Art 267 AEUV folgende Fragen zur Vorabentscheidung vorgelegt:römisch eins. Dem Gerichtshof der Europäischen Union werden gemäß Artikel 267, AEUV folgende Fragen zur Vorabentscheidung vorgelegt:

1. Setzt die Übermittlung personenbezogener Daten von einem Verantwortlichen an einen Auftragsverarbeiter eine gesonderte Rechtsgrundlage gemäß Art 6 Abs 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S 1; künftig: DSGVO) voraus?1. Setzt die Übermittlung personenbezogener Daten von einem Verantwortlichen an einen Auftragsverarbeiter eine gesonderte Rechtsgrundlage gemäß Artikel 6, Absatz eins, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, Amtsblatt , L 119/1 vom 4. Mai 2016, S 1; künftig: DSGVO) voraus?

2. Falls die Frage 1 verneint wird:

Setzt eine „in informierter Weise“ iSd Art 4 Z 11 DSGVO gegebene Einwilligung gemäß Art 6 Abs 1 lit a DSGVO in den Erhalt eines Newsletters voraus, dass die betroffene Person vor ihrer Einwilligung Kenntnis davon hat, dass der Verantwortliche die Absicht hat, sich für diese Datenverarbeitung (das Versenden eines Newsletters) eines Auftragsverarbeiters iSd Art 4 Z 8 DSGVO in einem Drittland zu bedienen?Setzt eine „in informierter Weise“ iSd Artikel 4, Ziffer 11, DSGVO gegebene Einwilligung gemäß Artikel 6, Absatz eins, Litera a, DSGVO in den Erhalt eines Newsletters voraus, dass die betroffene Person vor ihrer Einwilligung Kenntnis davon hat, dass der Verantwortliche die Absicht hat, sich für diese Datenverarbeitung (das Versenden eines Newsletters) eines Auftragsverarbeiters iSd Artikel 4, Ziffer 8, DSGVO in einem Drittland zu bedienen?

II. Das Verfahren vor dem Obersten Gerichtshof wird bis zum Einlangen der Vorabentscheidung des Gerichtshofs der Europäischen Union gemäß § 90a Abs 1 GOG ausgesetzt.römisch zwei. Das Verfahren vor dem Obersten Gerichtshof wird bis zum Einlangen der Vorabentscheidung des Gerichtshofs der Europäischen Union gemäß Paragraph 90 a, Absatz eins, GOG ausgesetzt.

Begründung:

I. Zur Vorlage:römisch eins. Zur Vorlage:

A. Sachverhalt

[1]                 Gegenstand des Verfahrens ist ein Schadenersatzanspruch des Klägers gegen die Beklagte, seine Vertragspartnerin, mit der Begründung, diese hätte unbefugt die E-Mail-Adresse des Klägers an eine Auftragsverarbeiterin in den USA übermittelt, wo die E-Mail-Adresse von Dritten erlangt und zu einem (erfolgreichen) Cyberangriff gegen den Kläger genutzt worden sei.

[2]                 Der Kläger kaufte im Jahr 2020 von der Beklagten eine „Hardware-Wallet“, auf der er Kryptowerte verwahrte, sowie eine von der Beklagten bereitgestellte Software zur Verwaltung der Kryptowerte. Die Beklagte bediente sich zur Verwaltung und Versendung von Newslettern an die E-Mail-Adressen ihrer Kunden eines US-amerikanischen Unternehmens als Auftragsverarbeiterin. Dieses verpflichtete sich gegenüber der Beklagten in Form von Standardvertragsklauseln zur Einhaltung angemessener Garantien für die Übermittlung von Daten in ein Drittland.

[3]                 Der Kläger erhielt am 5. 4. 2021 von der Beklagten eine E-Mail zur Bestätigung der Anmeldung zum Newsletter der Beklagten. Am Ende der E-Mail fand sich kleingedruckt folgender Text: „We use [das US-amerikanische Unternehmen] as our marketing automation platform. By confirming your subscription to T* News, you acknowledge that the information you provide will be transferred to [das US-amerikanische Unternehmen] for processing in accordance with their Privacy Policy and Terms.“

[4]                 Der Kläger las den kleingedruckten Text nicht. Er klickte auf den Link „Yes, subscribe me to this list“, um dem Empfang von Newslettern zuzustimmen. Ihm war nicht bewusst, dass die Beklagte seine E-Mail-Adresse zu Speicher- und Verarbeitungszwecken an US-amerikanische Server übermitteln würde. Hätte der Kläger gewusst, dass es sich bei dem im kleingedruckten Text genannten Unternehmen um einen US-amerikanischen Anbieter handelte und seine Daten auf US-amerikanischen Servern gespeichert und verarbeitet würden, hätte er seine Einwilligung zur Datenverarbeitung zwecks Erhalt des Newsletters nicht erteilt. Die Newsletter waren aus näher festgestellten Gründen nicht erforderlich, um den Kläger mit Hinweisen zu Updates der Software zu versorgen.

[5]                 Am 26. 3. 2022 wurden mittels einer Phishing-Attacke 319 Accounts des US-amerikanischen Unternehmens angegriffen und unter anderem die E-Mail-Adresse und die IP-Adresse des Klägers, die auf den Servern des US-amerikanischen Unternehmens gespeichert waren, gestohlen.

[6]                 Am 3. 4. 2022 erhielt der Kläger eine Phishing-Mail, durch die er dazu verleitet wurde, ein vermeintliches „Update“ herunterzuladen und seinen „Recovery Seed“ einzugeben, einen Code, mit dessen Hilfe auf die mit der Wallet verbundenen Kryptowährungen zugegriffen werden kann. In der Folge wurden die Kryptowerte des Klägers ohne sein Zutun auf ihm unbekannte „Wallets“ transferiert.

B. Vorbringen der Parteien

[7]                 Der Kläger begehrte die Verpflichtung der Beklagten, eine bestimmte Menge Bitcoin (künftig: BTC) und Ethereum (künftig: ETH) auf vom Kläger bekannt zu gebende Walletadressen zu transferieren.

[8]                 Die Beklagte hafte für den entstandenen Schaden, weil der Kläger der Übermittlung seiner Daten an ein US-amerikanisches Unternehmen nicht wirksam zugestimmt habe. Der Hinweis im Kleingedruckten, in der Fußzeile der E-Mail und auf Englisch, ohne Hinweis auf die Datenübermittlung in ein Drittland und ohne gesonderte Zustimmungsmöglichkeit dazu sei nicht ausreichend. Darüber hinaus machte der Kläger weitere der Beklagten zuzurechnende, für das vorliegende Vorabentscheidungsersuchen nicht relevante Pflichtverstöße als haftungsbegründend geltend.

[9]                 Die Beklagte bestritt Verstöße gegen die DSGVO und ein eigenes oder der Beklagten zuzurechnendes Verschulden. Die Verarbeitung der personenbezogenen Daten sei gemäß Art 6 Abs 1 lit a, b und f DSGVO rechtmäßig erfolgt. Der Kläger habe dem Newsletter-Versand zugestimmt. Dabei sei ihm kommuniziert worden, dass das beigezogene Unternehmen seine personenbezogenen Daten als Beauftragter der Beklagten erhalte. Es sei auf dessen Datenschutzerklärung verwiesen worden, aus der der Ort der Datenverarbeitung ersichtlich gewesen sei. Darüber hinaus sei für die Datenübermittlung an Auftragsverarbeiter keine Zustimmung erforderlich. Die Beklagte bestritt Verstöße gegen die DSGVO und ein eigenes oder der Beklagten zuzurechnendes Verschulden. Die Verarbeitung der personenbezogenen Daten sei gemäß Artikel 6, Absatz eins, Litera a, b und f DSGVO rechtmäßig erfolgt. Der Kläger habe dem Newsletter-Versand zugestimmt. Dabei sei ihm kommuniziert worden, dass das beigezogene Unternehmen seine personenbezogenen Daten als Beauftragter der Beklagten erhalte. Es sei auf dessen Datenschutzerklärung verwiesen worden, aus der der Ort der Datenverarbeitung ersichtlich gewesen sei. Darüber hinaus sei für die Datenübermittlung an Auftragsverarbeiter keine Zustimmung erforderlich.

C. Bisheriges Verfahren

[10]               Das Erstgericht gab der Klage im Umfang der Hälfte des Begehrens statt. Das Mehrbegehren wies es ab.

[11]               Es bejahte einen Schadenersatzanspruch des Klägers nach Art 82 Abs 1 DSGVO. Es begründete die Haftung der Beklagten damit, dass die Übermittlung der E-Mail-Adresse des Klägers an das US-amerikanische Unternehmen als Auftragsverarbeiterin rechtswidrig erfolgt sei, weil die Rechtfertigungsgründe des Art 6 Abs 1 lit a, b und f DSGVO nicht erfüllt gewesen seien. Darüber hinaus müsse sich die Beklagte ein (näher bezeichnetes) Verschulden der Auftragsverarbeiterin zurechnen lassen. Den Kläger treffe ein Mitverschulden von 50 %. Es bejahte einen Schadenersatzanspruch des Klägers nach Artikel 82, Absatz eins, DSGVO. Es begründete die Haftung der Beklagten damit, dass die Übermittlung der E-Mail-Adresse des Klägers an das US-amerikanische Unternehmen als Auftragsverarbeiterin rechtswidrig erfolgt sei, weil die Rechtfertigungsgründe des Artikel 6, Absatz eins, Litera a, b und f DSGVO nicht erfüllt gewesen seien. Darüber hinaus müsse sich die Beklagte ein (näher bezeichnetes) Verschulden der Auftragsverarbeiterin zurechnen lassen. Den Kläger treffe ein Mitverschulden von 50 %.

[12]               Das Berufungsgericht gab den Berufungen beider Parteien Folge, hob die angefochtene Entscheidung auf und verwies die Rechtssache zur Verfahrensergänzung an das Erstgericht zurück.

[13]               Es bestätigte die Beurteilung des Erstgerichts, dass die Erlaubnistatbestände des Art 6 Abs 1 lit a, b und f DSGVO für die Datenübermittlung an das US-amerikanische Unternehmen nicht erfüllt seien. Die Datenweitergabe an die Auftragsverarbeiterin bedürfe allerdings nicht der Erfüllung eines der Tatbestände des Art 6 Abs 1 DSGVO. Es seien lediglich die Garantien bei Übermittlung personenbezogener Daten an Drittländer gemäß Art 44 ff DSGVO einzuhalten. Zum Zeitpunkt der Zustimmungserklärung des Klägers und des Cyberangriffs habe kein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art 45 DSGVO bestanden. Im Zusammenhang mit der Feststellung, dass sich das US-amerikanische Unternehmen gegenüber der Beklagten zur Einhaltung von Standardvertragsklauseln verpflichtet habe, bestehe – aus näher ausgeführten Gründen – die Notwendigkeit einer Verfahrensergänzung. Es bestätigte die Beurteilung des Erstgerichts, dass die Erlaubnistatbestände des Artikel 6, Absatz eins, Litera a, b und f DSGVO für die Datenübermittlung an das US-amerikanische Unternehmen nicht erfüllt seien. Die Datenweitergabe an die Auftragsverarbeiterin bedürfe allerdings nicht der Erfüllung eines der Tatbestände des Artikel 6, Absatz eins, DSGVO. Es seien lediglich die Garantien bei Übermittlung personenbezogener Daten an Drittländer gemäß Artikel 44, ff DSGVO einzuhalten. Zum Zeitpunkt der Zustimmungserklärung des Klägers und des Cyberangriffs habe kein Angemessenheitsbeschluss der Europäischen Kommission gemäß Artikel 45, DSGVO bestanden. Im Zusammenhang mit der Feststellung, dass sich das US-amerikanische Unternehmen gegenüber der Beklagten zur Einhaltung von Standardvertragsklauseln verpflichtet habe, bestehe – aus näher ausgeführten Gründen – die Notwendigkeit einer Verfahrensergänzung.

[14]               Der Rekurs an den Obersten Gerichtshof gegen den Aufhebungsbeschluss sei zulässig, weil klärungsbedürftig sei, ob die Zulässigkeit des Datentransfers zwischen einem Verantwortlichen und einem Auftragsverarbeiter in einem Drittland von der Erfüllung eines Rechtfertigungsgrundes gemäß Art 6 Abs 1 DSGVO abhänge oder ob die Einhaltung der Art 44 ff DSGVO ausreiche. Der Rekurs an den Obersten Gerichtshof gegen den Aufhebungsbeschluss sei zulässig, weil klärungsbedürftig sei, ob die Zulässigkeit des Datentransfers zwischen einem Verantwortlichen und einem Auftragsverarbeiter in einem Drittland von der Erfüllung eines Rechtfertigungsgrundes gemäß Artikel 6, Absatz eins, DSGVO abhänge oder ob die Einhaltung der Artikel 44, ff DSGVO ausreiche.

[15]               Der Oberste Gerichtshof hat über den Rekurs des Klägers zu entscheiden, mit dem er die Klagestattgebung im vollen Umfang anstrebt.

D. Relevante Normen

[16]               Art 4 DSGVO lautet (auszugsweise): Artikel 4, DSGVO lautet (auszugsweise):

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

Z 2: 'Verarbeitung' jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;Ziffer 2 :, 'Verarbeitung' jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Z 10: 'Dritter' eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;Ziffer 10 :, 'Dritter' eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;

Z 11: 'Einwilligung' der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;“Ziffer 11 :, 'Einwilligung' der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;“

[17]               Art 13 Abs 1 DSGVO lautet (auszugsweise): Artikel 13, Absatz eins, DSGVO lautet (auszugsweise):

„Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

lit f: gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.“

[18]               Erwägungsgrund 42 zur DSGVO lautet:

„Erfolgt die Verarbeitung mit Einwilligung der betroffenen Person, sollte der Verantwortliche nachweisen können, dass die betroffene Person ihre Einwilligung zu dem Verarbeitungsvorgang gegeben hat. [...] Damit sie in Kenntnis der Sachlage ihre Einwilligung geben kann, sollte die betroffene Person mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen. [...]“

E. Begründung der Vorlage

Zur Frage 1:

[19]               1.1. Im vorliegenden Fall besteht kein Zweifel daran, dass die Übermittlung personenbezogener Daten des Klägers (konkret seiner E-Mail-Adresse) durch die Beklagte als Verantwortliche iSv Art 4 Z 7 DSGVO an das von ihr als Auftragsverarbeiterin herangezogene US-amerikanische Unternehmen den Regeln über Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen gemäß Kapitel V (Art 44 ff) DSGVO unterliegt. 1.1. Im vorliegenden Fall besteht kein Zweifel daran, dass die Übermittlung personenbezogener Daten des Klägers (konkret seiner E-Mail-Adresse) durch die Beklagte als Verantwortliche iSv Artikel 4, Ziffer 7, DSGVO an das von ihr als Auftragsverarbeiterin herangezogene US-amerikanische Unternehmen den Regeln über Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen gemäß Kapitel römisch fünf (Artikel 44, ff) DSGVO unterliegt.

[20]               Allerdings besteht nach Einschätzung des Obersten Gerichtshofs kein „acte claire“ zur Frage, ob die Übermittlung von personenbezogenen Daten eines Betroffenen durch den Verantwortlichen an einen von ihm herangezogenen Auftragsverarbeiter – unabhängig von den Kautelen der Art 44 ff DSGVO – nur dann rechtmäßig ist, wenn für diese Übermittlung ein gesonderter Erlaubnistatbestand nach Art 6 Abs 1 DSGVO vorliegt, oder ob die Beiziehung eines Auftragsverarbeiters durch den Verantwortlichen keiner gesonderten Rechtfertigung bedarf. Allerdings besteht nach Einschätzung des Obersten Gerichtshofs kein „acte claire“ zur Frage, ob die Übermittlung von personenbezogenen Daten eines Betroffenen durch den Verantwortlichen an einen von ihm herangezogenen Auftragsverarbeiter – unabhängig von den Kautelen der Artikel 44, ff DSGVO – nur dann rechtmäßig ist, wenn für diese Übermittlung ein gesonderter Erlaubnistatbestand nach Artikel 6, Absatz eins, DSGVO vorliegt, oder ob die Beiziehung eines Auftragsverarbeiters durch den Verantwortlichen keiner gesonderten Rechtfertigung bedarf.

1.2. In der deutschsprachigen Literatur werden dazu unterschiedliche Positionen vertreten:

[21]               1.2.1. Weit überwiegend wird vertreten, die Voraussetzungen für den Einsatz eines Auftragsverarbeiters seien abschließend in Art 28 und gegebenenfalls in Art 44 ff DSGVO geregelt, sodass für eine Übermittlung personenbezogener Daten von einem Verantwortlichen an seinen Auftragsverarbeiter eine gesonderte Rechtsgrundlage nach Art 6 (gegebenenfalls nach Art 9 DSGVO) nicht erforderlich sei (Bertermann/Peintinger in Ehmann/Selmayr, DS-GVO³ [2024] Art 28 Rz 4 ff; Hartung in Kühling/Buchner, Datenschutz-Grundverordnung/BDSG4 [2024] Art 28 DSGVO Rz 15 ff; Feiler/Forgò, EU-DSGVO und DSG2 [2022] Art 28 DSGVO Rz 1; Bogendorfer in Knyrim, Der DatKomm [65. Lfg 2022] Art 28 DSGVO Rz 21 ff; Martini in Paal/Pauly, Datenschutz-Grundverordnung3 [2021] Art 28 Rz 8a ff; Kramer in Auernhammer, DSGVO, BDSG7 [2020] Art 28 DSGVO Rz 7 ff). 1.2.1. Weit überwiegend wird vertreten, die Voraussetzungen für den Einsatz eines Auftragsverarbeiters seien abschließend in Artikel 28 und gegebenenfalls in Artikel 44, ff DSGVO geregelt, sodass für eine Übermittlung personenbezogener Daten von einem Verantwortlichen an seinen Auftragsverarbeiter eine gesonderte Rechtsgrundlage nach Artikel 6, (gegebenenfalls nach Artikel 9, DSGVO) nicht erforderlich sei (Bertermann/Peintinger in Ehmann/Selmayr, DS-GVO³ [2024] Artikel 28, Rz 4 ff; Hartung in Kühling/Buchner, Datenschutz-Grundverordnung/BDSG4 [2024] Artikel 28, DSGVO Rz 15 ff; Feiler/Forgò, EU-DSGVO und DSG2 [2022] Artikel 28, DSGVO Rz 1; Bogendorfer in Knyrim, Der DatKomm [65. Lfg 2022] Artikel 28, DSGVO Rz 21 ff; Martini in Paal/Pauly, Datenschutz-Grundverordnung3 [2021] Artikel 28, Rz 8a ff; Kramer in Auernhammer, DSGVO, BDSG7 [2020] Artikel 28, DSGVO Rz 7 ff).

1.2.2. Im Wesentlichen werden für diese Rechtsansicht, die als „Privilegierung“ der Auftragsverarbeitung bezeichnet wird, die folgenden Argumente vorgetragen:

[22]               Der Auftragsverarbeiter sei nicht „Dritter“ iSd Art 4 Z 10 DSGVO, sodass der Datenaustausch zwischen ihm und dem Verantwortlichen keine Übermittlung von Daten iSd Art 4 Z 2 DSGVO sei (Martini in Paal/Pauly, Datenschutz-Grundverordnung3 Art 28 Rz 8a; Hartung in Kühling/Buchner, Datenschutz-Grundverordnung/BDSG4 Art 28 DSGVO Rz 17; Bogendorfer in Knyrim, Der DatKomm, Art 28 DSGVO Rz 27). Der Auftragsverarbeiter sei nicht „Dritter“ iSd Artikel 4, Ziffer 10, DSGVO, sodass der Datenaustausch zwischen ihm und dem Verantwortlichen keine Übermittlung von Daten iSd Artikel 4, Ziffer 2, DSGVO sei (Martini in Paal/Pauly, Datenschutz-Grundverordnung3 Artikel 28, Rz 8a; Hartung in Kühling/Buchner, Datenschutz-Grundverordnung/BDSG4 Artikel 28, DSGVO Rz 17; Bogendorfer in Knyrim, Der DatKomm, Artikel 28, DSGVO Rz 27).

[23]               Der Auftragsverarbeiter sei an die Weisungen des Verantwortlichen gebunden (Hartung in Kühling/Buchner, Datenschutz-Grundverordnung/BDSG4 Art 28 DSGVO Rz 16) und datenschutzrechtlich als „Einheit“ mit dem Verantwortlichen zu betrachten (Kramer in Auernhammer, DSGVO, BDSG7 Art 28 DSGVO Rz 10). Der Auftragsverarbeiter sei an die Weisungen des Verantwortlichen gebunden (Hartung in Kühling/Buchner, Datenschutz-Grundverordnung/BDSG4 Artikel 28, DSGVO Rz 16) und datenschutzrechtlich als „Einheit“ mit dem Verantwortlichen zu betrachten (Kramer in Auernhammer, DSGVO, BDSG7 Artikel 28, DSGVO Rz 10).

[24]               Man könne die Auftragsverarbeitung als zulässiges Mittel der Verarbeitung begreifen, das der Verantwortliche unter der Voraussetzung der Einhaltung der Auflagen des Art 28 DSGVO einsetzen dürfe. Dafür spreche, dass nach Art 4 Z 2 DSGVO nicht nur einzelne Vorgänge, sondern auch eine Vorgangsreihe als Verarbeitung gälten (Bertermann/Peintinger in Ehmann/Selmayr, DS-GVO3 Art 28 Rz 7). Man könne die Auftragsverarbeitung als zulässiges Mittel der Verarbeitung begreifen, das der Verantwortliche unter der Voraussetzung der Einhaltung der Auflagen des Artikel 28, DSGVO einsetzen dürfe. Dafür spreche, dass nach Artikel 4, Ziffer 2, DSGVO nicht nur einzelne Vorgänge, sondern auch eine Vorgangsreihe als Verarbeitung gälten (Bertermann/Peintinger in Ehmann/Selmayr, DS-GVO3 Artikel 28, Rz 7).

[25]               Auch systematische Erwägungen sprächen dagegen, für die Datenübermittlung des Verantwortlichen an den Auftragsverarbeiter eine gesonderte Rechtfertigung iSd Art 6 DSGVO zu verlangen, weil ansonsten die Unterscheidung zwischen den Rechtspflichten eines Auftragsverarbeiters und jenen eines Verantwortlichen in der DSGVO keinen Sinn ergebe (Hartung in Kühling/Buchner, Datenschutz-Grundverordnung/BDSG4 Art 28 DSGVO Rz 18; vgl Martini in Paal/Pauly, Datenschutz-Grundverordnung3 Art 28 Rz 10). Auch systematische Erwägungen sprächen dagegen, für die Datenübermittlung des Verantwortlichen an den Auftragsverarbeiter eine gesonderte Rechtfertigung iSd Artikel 6, DSGVO zu verlangen, weil ansonsten die Unterscheidung zwischen den Rechtspflichten eines Auftragsverarbeiters und jenen eines Verantwortlichen in der DSGVO keinen Sinn ergebe (Hartung in Kühling/Buchner, Datenschutz-Grundverordnung/BDSG4 Artikel 28, DSGVO Rz 18; vergleiche Martini in Paal/Pauly, Datenschutz-Grundverordnung3 Artikel 28, Rz 10).

[26]               1.2.3. Allerdings wird in der Literatur auch vertreten, bei der Weitergabe personenbezogener Daten an einen Auftragsverarbeiter handle es sich um einen Verarbeitungsvorgang, der der Rechtfertigung gemäß Art 6 DSGVO bedürfe (Spoerr in Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht [51. Edition 2024] Art 28 DS-GVO Rz 30 f). 1.2.3. Allerdings wird in der Literatur auch vertreten, bei der Weitergabe personenbezogener Daten an einen Auftragsverarbeiter handle es sich um einen Verarbeitungsvorgang, der der Rechtfertigung gemäß Artikel 6, DSGVO bedürfe (Spoerr in Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht [51. Edition 2024] Artikel 28, DS-GVO Rz 30 f).

[27]               1.3. Für die überwiegende Meinung in der Literatur sprechen nach Ansicht des Obersten Gerichtshofs die Leitlinien 07/2020 des Europäischen Datenschutzausschusses, die zur Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter ausführen, die Rechtmäßigkeit der Verarbeitung gemäß Art 6 und gegebenenfalls Art 9 DSGVO leite sich „aus der Tätigkeit des Verantwortlichen“ ab (Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0, angenommen am 7. Juli 2021, Rz 80). 1.3. Für die überwiegende Meinung in der Literatur sprechen nach Ansicht des Obersten Gerichtshofs die Leitlinien 07 aus 2020, des Europäischen Datenschutzausschusses, die zur Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter ausführen, die Rechtmäßigkeit der Verarbeitung gemäß Artikel 6 und gegebenenfalls Artikel 9, DSGVO leite sich „aus der Tätigkeit des Verantwortlichen“ ab (Leitlinien 07 aus 2020, zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0, angenommen am 7. Juli 2021, Rz 80).

[28]               1.4. Eine Klarstellung durch den EuGH, ob die Übermittlung personenbezogener Daten durch den Verantwortlichen an einen Auftragsverarbeiter einer gesonderten Rechtsgrundlage nach Art 6 DSGVO bedarf, liegt – soweit ersichtlich – nicht vor. 1.4. Eine Klarstellung durch den EuGH, ob die Übermittlung personenbezogener Daten durch den Verantwortlichen an einen Auftragsverarbeiter einer gesonderten Rechtsgrundlage nach Artikel 6, DSGVO bedarf, liegt – soweit ersichtlich – nicht vor.

[29]               1.5. Im vorliegenden Fall teilt der Oberste Gerichtshof die Beurteilung der Vorinstanzen, dass die von der Beklagten für die Datenübermittlung an die Auftragsverarbeiterin (das US-amerikanische Unternehmen) in Anspruch genommenen Rechtfertigungsgründe des Art 6 Abs 1 lit a, b und f DSGVO nicht erfüllt sind. Sollte eine solche gesonderte Rechtsgrundlage gemäß Art 6 DSGVO für die Übermittlung der personenbezogenen Daten Betroffener vom Verantwortlichen an den Auftragsverarbeiter erforderlich sein, wäre im konkreten Fall von der Unzulässigkeit der Datenübermittlung an die Auftragsverarbeiterin auszugehen, ohne dass die vom Berufungsgericht aufgetragene Verfahrensergänzung erforderlich wäre. Daraus ergibt sich die Präjudizialität der Frage 1. 1.5. Im vorliegenden Fall teilt der Oberste Gerichtshof die Beurteilung der Vorinstanzen, dass die von der Beklagten für die Datenübermittlung an die Auftragsverarbeiterin (das US-amerikanische Unternehmen) in Anspruch genommenen Rechtfertigungsgründe des Artikel 6, Absatz eins, Litera a, b und f DSGVO nicht erfüllt sind. Sollte eine solche gesonderte Rechtsgrundlage gemäß Artikel 6, DSGVO für die Übermittlung der personenbezogenen Daten Betroffener vom Verantwortlichen an den Auftragsverarbeiter erforderlich sein, wäre im konkreten Fall von der Unzulässigkeit der Datenübermittlung an die Auftragsverarbeiterin auszugehen, ohne dass die vom Berufungsgericht aufgetragene Verfahrensergänzung erforderlich wäre. Daraus ergibt sich die Präjudizialität der Frage 1.

[30]               Aufgrund des in den Begründungsansätzen und im Ergebnis divergierenden Meinungsstandes in der deutschsprachigen Literatur geht der Oberste Gerichtshof von der Notwendigkeit der Auslegung des Unionsrechts durch den EuGH aus.

Zur Frage 2:

[31]               2.1. Wenn die Frage 1 verneint wird, stellt sich die Frage, ob die vom Betroffenen dem Verantwortlichen gemäß Art 6 Abs 1 lit a DSGVO gegebene Einwilligung zur Verarbeitung der sie betreffenden personenenbezogenen Daten zu einem bestimmten Zweck „in informierter Weise“ gemäß Art 4 Z 11 DSGVO zu ihrer Wirksamkeit erfordert, dass der Betroffene Kenntnis von der beabsichtigten Heranziehung eines Auftragsverarbeiters in einem Drittland hat. 2.1. Wenn die Frage 1 verneint wird, stellt sich die Frage, ob die vom Betroffenen dem Verantwortlichen gemäß Artikel 6, Absatz eins, Litera a, DSGVO gegebene Einwilligung zur Verarbeitung der sie betreffenden personenenbezogenen Daten zu einem bestimmten Zweck „in informierter Weise“ gemäß Artikel 4, Ziffer 11, DSGVO zu ihrer Wirksamkeit erfordert, dass der Betroffene Kenntnis von der beabsichtigten Heranziehung eines Auftragsverarbeiters in einem Drittland hat.

[32]               2.2. Das sich aus Art 4 Z 11 DSGVO ergebende Erfordernis, dass die Einwilligung „in informierter Weise“ erfolgen muss, bedeutet nach Art 13 DSGVO in Verbindung mit ihrem 42. Erwägungsgrund, dass der für die Verarbeitung Verantwortliche der betroffenen Person eine Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zukommen lassen muss, da dieser Person insbesondere die Art der zu verarbeitenden Daten, die Identität des für die Verarbeitung Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden, bekannt sein müssen. Solche Informationen müssen diese Person in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird (EuGH C-61/19, Orange România, ECLI:EU:C:2020:901, Rz 40). 2.2. Das sich aus Artikel 4, Ziffer 11, DSGVO ergebende Erfordernis, dass die Einwilligung „in informierter Weise“ erfolgen muss, bedeutet nach Artikel 13, DSGVO in Verbindung mit ihrem 42. Erwägungsgrund, dass der für die Verarbeitung Verantwortliche der betroffenen Person eine Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zukommen lassen muss, da dieser Person insbesondere die Art der zu verarbeitenden Daten, die Identität des für die Verarbeitung Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden, bekannt sein müssen. Solche Informationen müssen diese Person in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird (EuGH C-61/19, Orange România, ECLI:EU:C:2020:901, Rz 40).

[33]               2.3. Die Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, Version 1.1., angenommen am 4. Mai 2020, des Europäischen Datenschutzausschusses, nennen im Zusammenhang mit der Auftragsverarbeitung als notwendige Mindestinformationen, damit eine Einwilligung gültig ist, nur „(vi.) Angaben zu möglichen Risiken von Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien nach Artikel 46“ (Leitlinien 05/2020 Rz 64). Sie führen aber nicht aus, dass jede in Art 13 Abs 1 DSGVO angeführte Information für die Wirksamkeit der Einwilligung erforderlich sei. So verlangen sie für eine wirksame Einwilligung in die Verarbeitung insbesondere nicht konkret die Erteilung der Informationen gemäß Art 13 Abs 1 lit f DSGVO betreffend die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland zu übermitteln. Daher bleibt unklar, ob der Verantwortliche den Betroffenen über die Absicht der Übermittlung der personenbezogenen Daten an einen Auftragsverarbeiter in einem Drittland vor Erteilung der Zustimmung durch den Betroffenen informieren muss. 2.3. Die Leitlinien 05 aus 2020, zur Einwilligung gemäß Verordnung 2016/679, Version 1.1., angenommen am 4. Mai 2020, des Europäischen Datenschutzausschusses, nennen im Zusammenhang mit der Auftragsverarbeitung als notwendige Mindestinformationen, damit eine Einwilligung gültig ist, nur „(vi.) Angaben zu möglichen Risiken von Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien nach Artikel 46“ (Leitlinien 05 aus 2020, Rz 64). Sie führen aber nicht aus, dass jede in Artikel 13, Absatz eins, DSGVO angeführte Information für die Wirksamkeit der Einwilligung erforderlich sei. So verlangen sie für eine wirksame Einwilligung in die Verarbeitung insbesondere nicht konkret die Erteilung der Informationen gemäß Artikel 13, Absatz eins, Litera f, DSGVO betreffend die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland zu übermitteln. Daher bleibt unklar, ob der Verantwortliche den Betroffenen über die Absicht der Übermittlung der personenbezogenen Daten an einen Auftragsverarbeiter in einem Drittland vor Erteilung der Zustimmung durch den Betroffenen informieren muss.

[34]               Die genannten Leitlinien führen vielmehr aus, Auftragsverarbeiter müssten nicht im Rahmen des Erfordernisses der Einwilligung genannt werden, „wenngleich“ die Verantwortlichen im Einklang mit den Art 13 und 14 DSGVO eine vollständige Liste der Empfänger oder Kategorien von Empfängern einschließlich der Auftragsverarbeiter bereitstellen müssten (Leitlinien 05/2020 Rz 65). Die genannten Leitlinien führen vielmehr aus, Auftragsverarbeiter müssten nicht im Rahmen des Erfordernisses der Einwilligung genannt werden, „wenngleich“ die Verantwortlichen im Einklang mit den Artikel 13 und 14 DSGVO eine vollständige Liste der Empfänger oder Kategorien von Empfängern einschließlich der Auftragsverarbeiter bereitstellen müssten (Leitlinien 05 aus 2020, Rz 65).

[35]               Gleichzeitig wird klargestellt, dass abhängig von den Umständen und dem Kontext des jeweiligen Falls „möglicher Weise“ mehr Informationen erforderlich seien, damit die betroffene Person die jeweiligen Verarbeitungsvorgänge wirklich verstehe (Leitlinien 05/2020 Rz 65). Gleichzeitig wird klargestellt, dass abhängig von den Umständen und dem Kontext des jeweiligen Falls „möglicher Weise“ mehr Informationen erforderlich seien, damit die betroffene Person die jeweiligen Verarbeitungsvorgänge wirklich verstehe (Leitlinien 05 aus 2020, Rz 65).

[36]               2.4. Die Frage 2 zielt daher darauf ab, zu klären, ob in einem Fall wie dem vorliegenden die Wirksamkeit der Einwilligung zusätzlich zu den vom EDSA genannten Mindestinformationen davon abhängt, dass der Betroffene bei Erklärung seiner Einwilligung Kenntnis davon hat, dass sich der Verantwortliche zur konkreten Datenverarbeitung (Versenden eines Newsletters) eines Auftragsverarbeiters in einem Drittland zu bedienen gedenkt.

[37]               Die Frage 2 ist für die Lösung des konkreten Fall erforderlich, weil eine Information über die beabsichtigte Beiziehung eines Auftragsverarbeiters in einem Drittland im vorliegenden Fall der festgestellten Zustimmungserklärung nicht entnommen werden kann.

II. Zum Unterbrechungsbeschlussrömisch zwei. Zum Unterbrechungsbeschluss

[38]               Die Unterbrechung des Verfahrens gründet sich auf § 90a GOG. Die Unterbrechung des Verfahrens gründet sich auf Paragraph 90 a, GOG.