Begründung
1
1. Aus dem angefochtenen Erkenntnis ergibt sich folgender unstrittiger Sachverhalt:
2
1.1. Die Revisionswerberin betreibt ein unternehmens- und branchenübergreifendes Kundenbindungsprogramm unter der Bezeichnung „X Club“. Kunden der teilnehmenden Handelsgeschäfte können sich als Mitglieder registrieren, auf Basis ihrer Einkäufe Punkte sammeln und diese in der Folge für den Erhalt von Rabatten etc. einlösen. Im Rahmen der Mitgliederregistrierung wird in Punkt 4.4. der Datenschutzerklärung unter der Überschrift „Automationsunterstützte Verarbeitung und Analyse (Profiling für Zielgruppenselektionen, [...])“ darauf hingewiesen, dass der Betreiber mit Einwilligung des (Club)Mitglieds als alleiniger Verantwortlicher die bei ihm selbst und bei den Partnern verarbeiteten Mitgliederstammdaten und Einkaufsdaten der Mitglieder zur automationsunterstützten Personalisierung von Werbe- und Marketingmaßnahmen verwende, analysiere und so neue Marketing_Profilingdaten gewinne. Rechtsgrundlage für die Verarbeitung sei die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Laut Punkt 4.4.6. der Datenschutzerklärung sei diese Einwilligung freiwillig und könne jederzeit widerrufen werden.1.1. Die Revisionswerberin betreibt ein unternehmens- und branchenübergreifendes Kundenbindungsprogramm unter der Bezeichnung „X Club“. Kunden der teilnehmenden Handelsgeschäfte können sich als Mitglieder registrieren, auf Basis ihrer Einkäufe Punkte sammeln und diese in der Folge für den Erhalt von Rabatten etc. einlösen. Im Rahmen der Mitgliederregistrierung wird in Punkt 4.4. der Datenschutzerklärung unter der Überschrift „Automationsunterstützte Verarbeitung und Analyse (Profiling für Zielgruppenselektionen, [...])“ darauf hingewiesen, dass der Betreiber mit Einwilligung des (Club)Mitglieds als alleiniger Verantwortlicher die bei ihm selbst und bei den Partnern verarbeiteten Mitgliederstammdaten und Einkaufsdaten der Mitglieder zur automationsunterstützten Personalisierung von Werbe- und Marketingmaßnahmen verwende, analysiere und so neue Marketing_Profilingdaten gewinne. Rechtsgrundlage für die Verarbeitung sei die Einwilligung nach Artikel 6, Absatz eins, Litera a, DSGVO. Laut Punkt 4.4.6. der Datenschutzerklärung sei diese Einwilligung freiwillig und könne jederzeit widerrufen werden.
3
1.2. Die Datenschutzbehörde (im Weiteren: belangte Behörde) leitete gegen die Revisionswerberin ein amtswegiges Prüfverfahren im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der von der Revisionswerberin für das Kundenbindungsprogramm durchgeführten Registrierung von Kundendaten zum Zweck personalisierter Werbestrategien ein.
4
Mit Bescheid vom 23. Oktober 2019 sprach die belangte Behörde - hier zusammengefasst - aus, das amtswegige Prüfverfahren sei berechtigt gewesen, und traf die Feststellung, dass das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den beim „X Club“ registrierten Personen zum Zweck des Profiling durch die Revisionswerberin mit einem bestimmten Wortlaut nicht den Anforderungen an eine Einwilligung gemäß Art. 4 Z 11 DSGVO und Art. 7 DSGVO entspreche und folglich die Verarbeitung von personenbezogenen Daten mangels gültiger Einwilligung unzulässig sei (Spruchpunkt 1.). Ferner wurde die Revisionswerberin angewiesen, innerhalb einer Frist von drei Monaten bei sonstiger Exekution die Einholung der Einwilligung gemäß Art. 4 Z 11 DSGVO und Art. 7 DSGVO anzupassen (Spruchpunkt 2.). Ferner wurde der Revisionswerberin untersagt, die gemäß Spruchpunkt 1. eingeholten Einwilligungen ab 1. Mai 2020 zum Zweck des Profiling zu verwenden, außer es würde von den betroffenen Personen innerhalb derselben Frist eine gültige Einwilligung eingeholt werden (Spruchpunkt 3.).Mit Bescheid vom 23. Oktober 2019 sprach die belangte Behörde - hier zusammengefasst - aus, das amtswegige Prüfverfahren sei berechtigt gewesen, und traf die Feststellung, dass das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den beim „X Club“ registrierten Personen zum Zweck des Profiling durch die Revisionswerberin mit einem bestimmten Wortlaut nicht den Anforderungen an eine Einwilligung gemäß Artikel 4, Ziffer 11, DSGVO und Artikel 7, DSGVO entspreche und folglich die Verarbeitung von personenbezogenen Daten mangels gültiger Einwilligung unzulässig sei (Spruchpunkt 1.). Ferner wurde die Revisionswerberin angewiesen, innerhalb einer Frist von drei Monaten bei sonstiger Exekution die Einholung der Einwilligung gemäß Artikel 4, Ziffer 11, DSGVO und Artikel 7, DSGVO anzupassen (Spruchpunkt 2.). Ferner wurde der Revisionswerberin untersagt, die gemäß Spruchpunkt 1. eingeholten Einwilligungen ab 1. Mai 2020 zum Zweck des Profiling zu verwenden, außer es würde von den betroffenen Personen innerhalb derselben Frist eine gültige Einwilligung eingeholt werden (Spruchpunkt 3.).
5
Die belangte Behörde stellte in diesem Bescheid fest, dass die verfahrensgegenständlichen Einwilligungen zum Profiling in unterschiedlichen Formen bei der jeweiligen Anmeldung von den Mitgliedern eingeholt würden, wobei den Anforderungen des Art. 4 Z 11 DSGVO bzw. Art. 7 DSGVO an die Form der Einwilligungen in keiner der möglichen Anmeldearten entsprochen werde. Die Informationen über Profiling seien nämlich nicht in einer leicht zugänglichen Form verfügbar und ebenso wenig in klarer und einfacher Sprache formuliert. Die eingeholten Einwilligungen könnten daher nicht als Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. a DSGVO herangezogen werden. Auf berechtigte Interessen habe sich die Revisionswerberin nicht gestützt. Es komme somit weder die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO noch ein anderer Tatbestand als Rechtsgrundlage für die Verarbeitung in Betracht, weshalb in Spruchpunkt 1. festzustellen gewesen sei, dass die verfahrensgegenständliche Verarbeitung von personenbezogenen Daten mangels gültiger Einwilligung der registrierten Personen unzulässig sei. Wegen der Feststellung eines Verstoßes gegen Art. 7 Abs. 2 DSGVO und fehlender Rechtsgrundlage für die gegenständliche Datenverarbeitung seien die entsprechenden Abhilfeaufträge zu erteilen gewesen. Es stehe der Revisionswerberin frei, durch Einholung neuer Einwilligungserklärungen eine rechtmäßige Datenverarbeitung herzustellen. Die belangte Behörde stellte in diesem Bescheid fest, dass die verfahrensgegenständlichen Einwilligungen zum Profiling in unterschiedlichen Formen bei der jeweiligen Anmeldung von den Mitgliedern eingeholt würden, wobei den Anforderungen des Artikel 4, Ziffer 11, DSGVO bzw. Artikel 7, DSGVO an die Form der Einwilligungen in keiner der möglichen Anmeldearten entsprochen werde. Die Informationen über Profiling seien nämlich nicht in einer leicht zugänglichen Form verfügbar und ebenso wenig in klarer und einfacher Sprache formuliert. Die eingeholten Einwilligungen könnten daher nicht als Rechtsgrundlage gemäß Artikel 6, Absatz eins, Litera a, DSGVO herangezogen werden. Auf berechtigte Interessen habe sich die Revisionswerberin nicht gestützt. Es komme somit weder die Einwilligung nach Artikel 6, Absatz eins, Litera a, DSGVO noch ein anderer Tatbestand als Rechtsgrundlage für die Verarbeitung in Betracht, weshalb in Spruchpunkt 1. festzustellen gewesen sei, dass die verfahrensgegenständliche Verarbeitung von personenbezogenen Daten mangels gültiger Einwilligung der registrierten Personen unzulässig sei. Wegen der Feststellung eines Verstoßes gegen Artikel 7, Absatz 2, DSGVO und fehlender Rechtsgrundlage für die gegenständliche Datenverarbeitung seien die entsprechenden Abhilfeaufträge zu erteilen gewesen. Es stehe der Revisionswerberin frei, durch Einholung neuer Einwilligungserklärungen eine rechtmäßige Datenverarbeitung herzustellen.
6
1.3. Gegen diese Entscheidung erhob die Revisionswerberin Beschwerde an das Bundesverwaltungsgericht.
7
1.4. Die belangte Behörde fasste in der Folge am 11. Dezember 2019 die verfahrensgegenständliche Beschwerdevorentscheidung und änderte den Spruch des Erstbescheides dahingehend ab, dass dieser insgesamt lautete (Anonymisierung durch den Verwaltungsgerichtshof):
„1. Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass
a)
das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den am ‚X Club‘ registrierten betroffenen Personen zum Zweck des Profiling durch die Beschwerdeführerin mit dem Wortlaut ‚[...]‘ unter Verwendung der Methoden i) Webseite ‚www.X -Club.at‘ und ii) Anmeldebroschüre (‚Flyer‘) nicht den Anforderungen an eine Einwilligung gemäß Art. 4 Z 11 DSGVO und Art. 7 DSGVO entspricht, und dass das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den am ‚X Club‘ registrierten betroffenen Personen zum Zweck des Profiling durch die Beschwerdeführerin mit dem Wortlaut ‚[...]‘ unter Verwendung der Methoden i) Webseite ‚www.X -Club.at‘ und ii) Anmeldebroschüre (‚Flyer‘) nicht den Anforderungen an eine Einwilligung gemäß Artikel 4, Ziffer 11, DSGVO und Artikel 7, DSGVO entspricht, und dass
b)
für die bisherige Verarbeitung von personenbezogenen Daten von den am ‚X Club‘ registrierten betroffenen Personen zum Zweck des Profiling durch die Y Club GmbH neben der Einwilligung, die unter Verwendung der Methoden i) Webseite ‚www.X -Club.at‘ und ii) Anmeldebroschüre (‚Flyer‘) eingeholt wurden, keine andere Rechtsgrundlage nach Art. 6 DSGVO in Betracht kommt und die genannte bisherige Verarbeitung daher unrechtmäßig ist.für die bisherige Verarbeitung von personenbezogenen Daten von den am ‚X Club‘ registrierten betroffenen Personen zum Zweck des Profiling durch die Y Club GmbH neben der Einwilligung, die unter Verwendung der Methoden i) Webseite ‚www.X -Club.at‘ und ii) Anmeldebroschüre (‚Flyer‘) eingeholt wurden, keine andere Rechtsgrundlage nach Artikel 6, DSGVO in Betracht kommt und die genannte bisherige Verarbeitung daher unrechtmäßig ist.
2. Der Y Club GmbH wird die Verarbeitung von personenbezogenen Daten von den am ‚X Club‘ registrierten betroffenen Personen zum Zweck des Profiling im Umfang von Spruchpunkt 1 untersagt.
3. Für die Umsetzung von Spruchpunkt 2. wird der Beschwerdeführerin eine Frist von sechs Monaten eingeräumt.“
8
1.5. Mit Erkenntnis vom 31. August 2021 gab das Bundesverwaltungsgericht - aufgrund eines Vorlageantrages - im ersten Rechtsgang der Beschwerde der Revisionswerberin Folge und hob die Beschwerdevorentscheidung insgesamt ersatzlos auf. Einer gegen dieses Erkenntnis erhobenen Revision der belangten Behörde gab der Verwaltungsgerichtshof mit Erkenntnis vom 8. Februar 2022, Ro 2021/04/0033, insofern statt, als die ersatzlose Behebung im Umfang der Spruchpunkte 2.) und 3.) der Beschwerdevorentscheidung aufgehoben wurde. Die ersatzlose Behebung des Spruchpunktes 1.) der Beschwerdevorentscheidung durch das Bundesverwaltungsgericht wurde mit diesem Erkenntnis bestätigt und war daher nicht mehr Gegenstand des Verfahrens vor dem Bundesverwaltungsgericht im zweiten Rechtsgang.
9
2. Mit dem nunmehr angefochtenen Erkenntnis wies das Bundesverwaltungsgericht nach Durchführung einer öffentlichen mündlichen Verhandlung die von der Revisionswerberin erhobene Beschwerde mit der Maßgabe ab, dass die Spruchpunkte 2) und 3) der Beschwerdevorentscheidung wie folgt zu lauten hätten:
„2) Der U GmbH wird die automatisierte Verarbeitung der Teilnahme- und Einkaufsdaten von am ‚ Club‘ mittels der Methode ‚Webseite‘ www.X-club.at (in der Fassung 23. Oktober 2019) und Anmeldebroschüre ‚Flyer‘ registrierten betroffenen Personen zum Zweck der Erstellung von Profilen über deren Einkaufsverhalten untersagt.
3) Für die Umsetzung von Spruchpunkt 2 wird der Beschwerdeführerin eine Frist von sechs Monaten ab Rechtskraft der Entscheidung eingeräumt.“
10
Die Revision erklärte das Bundesverwaltungsgericht für zulässig.
11
Nach ausführlicher Darstellung des Verfahrensgangs traf das Bundesverwaltungsgericht detaillierte Feststellungen zu Form und Inhalt der den Betroffenen zur Verfügung gestellten Anmeldeformulare und zu den von diesen unterfertigten maßgeblichen Erklärungen.
12
Ausgehend von diesen Feststellungen begründete das Bundesverwaltungsgericht seine Entscheidung in rechtlicher Hinsicht - zusammengefasst - wie folgt:
13
Die Beschwerdevorentscheidung gemäß § 14 VwGVG - so das Bundesverwaltungsgericht zum Umfang der Rechtssache - sei eine Entscheidung über die Beschwerde, die diese, soweit kein Vorlageantrag gestellt werde, endgültig erledige. Die „Sache des Verfahrens“ in diesem Stadium könne nicht anders begrenzt werden als im Verfahren vor dem Verwaltungsgericht selbst. § 14 VwGVG verweise zudem (auch) ausdrücklich auf § 27 VwGVG, der den zulässigen Prüfungsumfang für das Verwaltungsgericht festlege. Zur Sache des Verfahrens vor dem Verwaltungsgericht und dem äußersten Rahmen seiner Prüfbefugnis habe der Verwaltungsgerichtshof schon wiederholt ausgeführt, dass es sich dabei jedenfalls nur um jene Angelegenheit handle, die den Inhalt des Spruchs des Ausgangsbescheides gebildet habe. Fallbezogen führte das Bundesverwaltungsgericht aus, die Formulierung des ersten Satzes von Spruchpunkt 3 des Ausgangsbescheids könne zwar zunächst dahingehend verstanden werden, dass die belangte Behörde ein Verbot der Verwendung der in Spruchpunkt 1 näher dargestellten Einwilligungserklärungen aussprechen wollte. Allerdings werde im zweiten Satz ausgeführt, dass dies (das Verbot der Verwendung der Einwilligungen) nicht gelte, wenn von den betroffenen Personen gültige Einwilligungserklärungen eingeholt würden („Dies gilt nicht, sofern von den betroffenen Personen innerhalb derselben Frist eine gültige Einwilligung, unter Einhaltung der Anforderungen an eine Einwilligung gemäß Spruchpunkt 2 eingeholt wird.“). Weshalb die Verwendung verbotener Einwilligungserklärungen nach Einholung anderer adaptierter Einwilligungserklärungen erlaubt sein sollte, sei nicht verständlich. Der Hinweis im zweiten Satz lasse vielmehr den Schluss zu, dass die belangte Behörde kein Verbot der Verwendung der Einwilligungserklärungen, sondern ein Verbot der darauf basierenden Datenverarbeitungen ausgesprochen habe. Die Begründung des Ausgangsbescheids lasse zudem keine Zweifel daran bestehen, dass auch Spruchpunkt 3 des Ausgangsbescheids ein Verbot der auf den ungültigen Einwilligungserklärungen basierenden Datenverarbeitungen anordnen sollte. Dort werde nämlich ausschließlich auf ein auf Art. 58 Abs. 2 lit. f DSGVO gestütztes Verbot der Datenverarbeitung - und mit keinem Wort auf ein Verbot der Verwendung von Einwilligungserklärungen - Bezug genommen. Sonstige Anhaltspunkte dafür, dass die belangte Behörde ihre Prüfbefugnis im vorliegenden Fall überschritten habe, lägen nicht vor.Die Beschwerdevorentscheidung gemäß Paragraph 14, VwGVG - so das Bundesverwaltungsgericht zum Umfang der Rechtssache - sei eine Entscheidung über die Beschwerde, die diese, soweit kein Vorlageantrag gestellt werde, endgültig erledige. Die „Sache des Verfahrens“ in diesem Stadium könne nicht anders begrenzt werden als im Verfahren vor dem Verwaltungsgericht selbst. Paragraph 14, VwGVG verweise zudem (auch) ausdrücklich auf Paragraph 27, VwGVG, der den zulässigen Prüfungsumfang für das Verwaltungsgericht festlege. Zur Sache des Verfahrens vor dem Verwaltungsgericht und dem äußersten Rahmen seiner Prüfbefugnis habe der Verwaltungsgerichtshof schon wiederholt ausgeführt, dass es sich dabei jedenfalls nur um jene Angelegenheit handle, die den Inhalt des Spruchs des Ausgangsbescheides gebildet habe. Fallbezogen führte das Bundesverwaltungsgericht aus, die Formulierung des ersten Satzes von Spruchpunkt 3 des Ausgangsbescheids könne zwar zunächst dahingehend verstanden werden, dass die belangte Behörde ein Verbot der Verwendung der in Spruchpunkt 1 näher dargestellten Einwilligungserklärungen aussprechen wollte. Allerdings werde im zweiten Satz ausgeführt, dass dies (das Verbot der Verwendung der Einwilligungen) nicht gelte, wenn von den betroffenen Personen gültige Einwilligungserklärungen eingeholt würden („Dies gilt nicht, sofern von den betroffenen Personen innerhalb derselben Frist eine gültige Einwilligung, unter Einhaltung der Anforderungen an eine Einwilligung gemäß Spruchpunkt 2 eingeholt wird.“). Weshalb die Verwendung verbotener Einwilligungserklärungen nach Einholung anderer adaptierter Einwilligungserklärungen erlaubt sein sollte, sei nicht verständlich. Der Hinweis im zweiten Satz lasse vielmehr den Schluss zu, dass die belangte Behörde kein Verbot der Verwendung der Einwilligungserklärungen, sondern ein Verbot der darauf basierenden Datenverarbeitungen ausgesprochen habe. Die Begründung des Ausgangsbescheids lasse zudem keine Zweifel daran bestehen, dass auch Spruchpunkt 3 des Ausgangsbescheids ein Verbot der auf den ungültigen Einwilligungserklärungen basierenden Datenverarbeitungen anordnen sollte. Dort werde nämlich ausschließlich auf ein auf Artikel 58, Absatz 2, Litera f, DSGVO gestütztes Verbot der Datenverarbeitung - und mit keinem Wort auf ein Verbot der Verwendung von Einwilligungserklärungen - Bezug genommen. Sonstige Anhaltspunkte dafür, dass die belangte Behörde ihre Prüfbefugnis im vorliegenden Fall überschritten habe, lägen nicht vor.
14
Unbestritten sei die Revisionswerberin dem in der Beschwerdevorentscheidung ausgesprochenen (und oben näher dargelegten) Verbot mit der Löschung der bisher erstellten bzw. infolge der Unterlassung der Erstellung weiterer solcher Profile in Bezug auf die mittels Flyer sowie der Webseite registrierten Personen nach Erhalt der Beschwerdevorentscheidung nachgekommen. Bei einer in der Herstellung des in einem Bescheid geforderten Zustandes handle es sich jedoch nicht um eine vom Verwaltungsgericht im Rahmen des Beschwerdeverfahrens zu beachtende Änderung des maßgebenden Sachverhaltes. Eine solche könne nicht zur Aufhebung des Titelbescheides führen.
15
Zum Inhalt des Bescheids führte das Bundesverwaltungsgericht aus, die in Art. 58 Abs. 2 lit. f DSGVO normierte Abhilfebefugnis setze voraus, dass ein Verstoß gegen die DSGVO vorliege. Die belangte Behörde gründe den Bescheid auf einen Verstoß gegen Art. 6 DSGVO. Es liege für die in Rede stehende Datenverarbeitung zum Profiling weder eine gültige Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO noch eine sonstige Rechtsgrundlage des Art. 6 DSGVO vor.Zum Inhalt des Bescheids führte das Bundesverwaltungsgericht aus, die in Artikel 58, Absatz 2, Litera f, DSGVO normierte Abhilfebefugnis setze voraus, dass ein Verstoß gegen die DSGVO vorliege. Die belangte Behörde gründe den Bescheid auf einen Verstoß gegen Artikel 6, DSGVO. Es liege für die in Rede stehende Datenverarbeitung zum Profiling weder eine gültige Einwilligung gemäß Artikel 6, Absatz eins, Litera a, DSGVO noch eine sonstige Rechtsgrundlage des Artikel 6, DSGVO vor.
16
Unstrittig sei, dass die Revisionswerberin - sofern eine Einwilligung dazu erteilt worden sei - im Zeitpunkt der Bescheiderlassung Einkaufs- und Teilnahmedaten zusammengeführt und daraus Profile über registrierte Mitglieder erstellt habe, welche auf deren zukünftiges Einkaufsverhalten schließen ließen. Dazu habe sie ihren Mitgliedern im Rahmen der Anmeldung - sofern hier wesentlich - mittels Flyer und Webseite vorgefertigte Einwilligungserklärungen zur Verfügung gestellt. Die in Rede stehende datenschutzrechtliche Einwilligungserklärung sei sowohl beim Flyer als auch bei der Webseite nicht gesondert, sondern gemeinsam mit der Anmeldung zum X Club und der dafür erforderlichen Bestätigung ihrer AGB und ihrer Datenschutzerklärung eingeholt worden. Unter detaillierter Bezugnahme auf die Gestaltung der Anmeldeformulare legte das Bundesverwaltungsgericht dar, weshalb der belangten Behörde beizupflichten sei, dass ein Kunde bereits aufgrund der optischen Ausgestaltung der Einwilligungserklärung im Rahmen des physischen Anmeldevorganges nicht aktiv wahrnehmen werde, dass er hier eigentlich eine Einwilligungserklärung zum Datenprofiling unterfertige. Die mittels Flyer eingeholte Einwilligung erfülle daher - entsprechend den Ausführungen der belangten Behörde - nicht die Kriterien des Art. 7 Abs. 2 erster Satz DSGVO. Dasselbe gelte aufgrund der Gestaltung der von der Revisionswerberin verwendeten Webseite. Da die gegenständlich überprüften Ersuchen um Einwilligung unter Verwendung der Methoden „Flyer“ und Webseite nicht den Anforderungen von Art. 4 Z 11 DSGVO und Art. 7 Abs. 2 DSGVO entsprächen, handle es sich um ungültige Einwilligungserklärungen. Die Voraussetzungen des Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sei somit nicht gegeben.Unstrittig sei, dass die Revisionswerberin - sofern eine Einwilligung dazu erteilt worden sei - im Zeitpunkt der Bescheiderlassung Einkaufs- und Teilnahmedaten zusammengeführt und daraus Profile über registrierte Mitglieder erstellt habe, welche auf deren zukünftiges Einkaufsverhalten schließen ließen. Dazu habe sie ihren Mitgliedern im Rahmen der Anmeldung - sofern hier wesentlich - mittels Flyer und Webseite vorgefertigte Einwilligungserklärungen zur Verfügung gestellt. Die in Rede stehende datenschutzrechtliche Einwilligungserklärung sei sowohl beim Flyer als auch bei der Webseite nicht gesondert, sondern gemeinsam mit der Anmeldung zum X Club und der dafür erforderlichen Bestätigung ihrer AGB und ihrer Datenschutzerklärung eingeholt worden. Unter detaillierter Bezugnahme auf die Gestaltung der Anmeldeformulare legte das Bundesverwaltungsgericht dar, weshalb der belangten Behörde beizupflichten sei, dass ein Kunde bereits aufgrund der optischen Ausgestaltung der Einwilligungserklärung im Rahmen des physischen Anmeldevorganges nicht aktiv wahrnehmen werde, dass er hier eigentlich eine Einwilligungserklärung zum Datenprofiling unterfertige. Die mittels Flyer eingeholte Einwilligung erfülle daher - entsprechend den Ausführungen der belangten Behörde - nicht die Kriterien des Artikel 7, Absatz 2, erster Satz DSGVO. Dasselbe gelte aufgrund der Gestaltung der von der Revisionswerberin verwendeten Webseite. Da die gegenständlich überprüften Ersuchen um Einwilligung unter Verwendung der Methoden „Flyer“ und Webseite nicht den Anforderungen von Artikel 4, Ziffer 11, DSGVO und Artikel 7, Absatz 2, DSGVO entsprächen, handle es sich um ungültige Einwilligungserklärungen. Die Voraussetzungen des Artikel 6, Absatz eins, Litera a, DSGVO (Einwilligung) sei somit nicht gegeben.
17
Sache des Verfahrens sei jedoch die Überprüfung der Rechtmäßigkeit der betreffenden Datenverarbeitung im Sinne des Art. 6 DSGVO, weshalb das Gericht das Vorliegen allfälliger (weiterer) Rechtfertigungstatbestände zu erörtern habe. In Bezug auf die hier vorliegende Datenverarbeitung des „Profiling“ sei keine Einschränkung des Anwendungsbereichs des Art. 6 DSGVO ersichtlich. Sache des Verfahrens sei jedoch die Überprüfung der Rechtmäßigkeit der betreffenden Datenverarbeitung im Sinne des Artikel 6, DSGVO, weshalb das Gericht das Vorliegen allfälliger (weiterer) Rechtfertigungstatbestände zu erörtern habe. In Bezug auf die hier vorliegende Datenverarbeitung des „Profiling“ sei keine Einschränkung des Anwendungsbereichs des Artikel 6, DSGVO ersichtlich.
18
Nach Art. 6 Abs. 1 lit. f DSGVO sei die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig: erstens müsse von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens müsse die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürften die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen.Nach Artikel 6, Absatz eins, Litera f, DSGVO sei die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig: erstens müsse von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens müsse die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürften die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen.
19
Nach Erwägungsgrund 47 der DSGVO könne die Verarbeitung personenbezogener Daten zum Zweck der Direktwerbung grundsätzlich als eine einem berechtigten Interesse des Verantwortlichen dienende Verarbeitung betrachtet werden. Ebenso bestünden keine Bedenken daran, dass die erhobenen Daten für die Verwirklichung des vorliegenden Zwecks der personalisierten Werbung notwendig und auch angemessen seien. Die Revisionswerberin habe sich allerdings den Kunden gegenüber ausschließlich auf Art. 6 Abs. 1 lit. a DSGVO berufen und dazu u.a. in ihren AGB zusätzlich ausgeführt, dass eine solche Datenverarbeitung „nur sofern das Mitglied einwilligt“ durchgeführt werde. Damit habe die Revisionswerberin der betroffenen Person gegenüber zum Ausdruck gebracht, dass diese die Durchführung einer solchen Datenverarbeitung selbst in der Hand habe. Da im vorliegenden Fall die betroffenen Personen weder bei dem Flyer noch bei der Webseite eine Einwilligung zum vorliegenden Profiling wahrgenommen hätten, hätten die Betroffenen angesichts der Formulierung „nur sofern das Mitglied einwilligt“ davon ausgehen dürfen, dass eine solche Datenverarbeitung gerade nicht durchgeführt werde. Auch ein zu unterstellendes Interesse teilnehmender Personen an bedürfnisorientierten Vorteilen führe nicht dazu, dass die Betroffenen damit rechneten, dass von der Revisionswerberin erhobene Daten automatisiert verknüpft und ein Profil über ihre persönlichen Einkaufsvorlieben erstellt werde. Eine eigene Mitteilung darüber sei nicht erfolgt. Vor diesem Hintergrund würden in einer Gesamtbetrachtung die Geheimhaltungsinteressen der betroffenen Personen die berechtigten Interessen der Revisionswerberin überwiegen, weshalb Art. 6 Abs. 1 lit. f DSGVO nicht zur Anwendung gelange. Nach Erwägungsgrund 47 der DSGVO könne die Verarbeitung personenbezogener Daten zum Zweck der Direktwerbung grundsätzlich als eine einem berechtigten Interesse des Verantwortlichen dienende Verarbeitung betrachtet werden. Ebenso bestünden keine Bedenken daran, dass die erhobenen Daten für die Verwirklichung des vorliegenden Zwecks der personalisierten Werbung notwendig und auch angemessen seien. Die Revisionswerberin habe sich allerdings den Kunden gegenüber ausschließlich auf Artikel 6, Absatz eins, Litera a, DSGVO berufen und dazu u.a. in ihren AGB zusätzlich ausgeführt, dass eine solche Datenverarbeitung „nur sofern das Mitglied einwilligt“ durchgeführt werde. Damit habe die Revisionswerberin der betroffenen Person gegenüber zum Ausdruck gebracht, dass diese die Durchführung einer solchen Datenverarbeitung selbst in der Hand habe. Da im vorliegenden Fall die betroffenen Personen weder bei dem Flyer noch bei der Webseite eine Einwilligung zum vorliegenden Profiling wahrgenommen hätten, hätten die Betroffenen angesichts der Formulierung „nur sofern das Mitglied einwilligt“ davon ausgehen dürfen, dass eine solche Datenverarbeitung gerade nicht durchgeführt werde. Auch ein zu unterstellendes Interesse teilnehmender Personen an bedürfnisorientierten Vorteilen führe nicht dazu, dass die Betroffenen damit rechneten, dass von der Revisionswerberin erhobene Daten automatisiert verknüpft und ein Profil über ihre persönlichen Einkaufsvorlieben erstellt werde. Eine eigene Mitteilung darüber sei nicht erfolgt. Vor diesem Hintergrund würden in einer Gesamtbetrachtung die Geheimhaltungsinteressen der betroffenen Personen die berechtigten Interessen der Revisionswerberin überwiegen, weshalb Artikel 6, Absatz eins, Litera f, DSGVO nicht zur Anwendung gelange.
20
Nichts Anderes könne für die von der Revisionswerberin ins Treffen geführte Bestimmung des Art. 6 Abs. 4 DSGVO und die dort eingeräumte Möglichkeit einer Zweckänderung gelten. Es komme nach Erwägungsgrund 50 der DSGVO darauf an, „in welchem Kontext die Daten erhoben wurden, insbesondere auf die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, in Bezug auf die weitere Verwendung dieser Daten [...]“. Entscheidend für dieses Kriterium seien somit die Handlungen des Verantwortlichen und die daraus abzuleitenden Erwartungen der betroffenen Person. Von einer Zweckvereinbarkeit kann nicht ausgegangen werden, wenn die betroffene Person nicht damit rechnen müsse, dass der Verantwortliche ihre personenbezogenen Daten zu einem anderen Zweck weiterverarbeite. Diesen Anforderungen halte die vorliegende Information der Revisionswerberin nicht stand. Dementsprechend könne sich die Revisionswerberin auch nicht auf Art. 6 Abs. 4 DSGVO stützen.Nichts Anderes könne für die von der Revisionswerberin ins Treffen geführte Bestimmung des Artikel 6, Absatz 4, DSGVO und die dort eingeräumte Möglichkeit einer Zweckänderung gelten. Es komme nach Erwägungsgrund 50 der DSGVO darauf an, „in welchem Kontext die Daten erhoben wurden, insbesondere auf die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, in Bezug auf die weitere Verwendung dieser Daten [...]“. Entscheidend für dieses Kriterium seien somit die Handlungen des Verantwortlichen und die daraus abzuleitenden Erwartungen der betroffenen Person. Von einer Zweckvereinbarkeit kann nicht ausgegangen werden, wenn die betroffene Person nicht damit rechnen müsse, dass der Verantwortliche ihre personenbezogenen Daten zu einem anderen Zweck weiterverarbeite. Diesen Anforderungen halte die vorliegende Information der Revisionswerberin nicht stand. Dementsprechend könne sich die Revisionswerberin auch nicht auf Artikel 6, Absatz 4, DSGVO stützen.
21
Die Revision sei zulässig, weil es „an höchstgerichtlicher Rechtsprechung zur Gestaltung einer Einwilligungserklärung nach der DSGVO“ fehle.
22
3. Gegen dieses Erkenntnis richtet sich die ordentliche Revision. Die belangte Behörde erstattete eine Revisionsbeantwortung.
23
4. Nach Art. 133 Abs. 4 B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.4. Nach Artikel 133, Absatz 4, B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
24
Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegens der Voraussetzungen des Art. 133 Abs. 4 B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.Nach Paragraph 34, Absatz eins, VwGG sind Revisionen, die sich wegen Nichtvorliegens der Voraussetzungen des Artikel 133, Absatz 4, B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.
25
Nach § 34 Abs. 1a VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Art. 133 Abs. 4 B-VG an den Ausspruch des Verwaltungsgerichtes gemäß § 25a Abs. 1 VwGG nicht gebunden.Nach Paragraph 34, Absatz eins a, VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Artikel 133, Absatz 4, B-VG an den Ausspruch des Verwaltungsgerichtes gemäß Paragraph 25 a, Absatz eins, VwGG nicht gebunden.
26
4.1. Vorauszuschicken ist, dass das Bundesverwaltungsgericht die hier maßgeblichen Rechtsfragen - ausgehend von einem lückenlos dargestellten Sachverhalt - dogmatisch und methodisch einwandfrei behandelt und fallbezogen umfassend begründet hat.
27
4.2. Das Bundesverwaltungsgericht begründet die Zulässigkeit der Revision mit der fehlenden Rechtsprechung „zur Gestaltung einer Einwilligungserklärung nach der DSGVO“. Mit dieser Begründung wird keine konkrete Rechtsfrage aufgezeigt, die durch den Verwaltungsgerichtshof zu klären wäre.
28
Insofern die Revision diese Begründung dahingehend vertieft, es sei zu klären, „ob bei der Beurteilung der Wirksamkeit einer schriftlichen Einwilligung iSd Art 6 Abs 1 lit a iVm Art 7 Abs 2 DSGVO das Erfordernis der (gestalterischen und inhaltlichen) Trennung von Sachverhalten gemäß Art. 7 Abs 2 Satz 1 DSGVO bereits dann erfüllt wird, wenn die Erklärungen zu den einzelnen Sachverhalten Schritt für Schritt abgefragt werden“, ist dem Folgendes zu entgegnen: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat (Art. 7 Abs. 1 DSGVO). Ob der klaren rechtlichen Anordnung des Art. 7 DSGVO zu den Bedingungen für eine Einwilligung im Einzelfall entsprochen wird, ist anhand der konkret maßgeblichen Umstände zu prüfen. Eine im Einzelfall vorgenommene rechtliche Beurteilung kann nur dann die Zulässigkeit einer Revision begründen, wenn dies wegen einer krassen Fehlbeurteilung der einzelfallbezogenen Umstände durch das Verwaltungsgericht aus Gründen der Rechtssicherheit geboten ist (vgl. dazu VwGH 16.1.2025, Ra 2024/04/0424, Rn. 18). Dass dem Bundesverwaltungsgericht bei der rechtlichen Beurteilung der Frage der Rechtswirksamkeit der fallbezogenen Einwilligungen, die das Bundesverwaltungsgericht ausgehend von detaillierten Sachverhaltsfeststellungen vorgenommen hat, eine derartige Fehlbeurteilung der einzelfallbezogenen Umstände - im Rahmen der verfahrensgegenständlichen Prüfung der Rechtmäßigkeit der ausgeübten Befugnisse gemäß Art. 58 DSGVO - unterlaufen wäre, zeigt die Revisionswerberin nicht auf.Insofern die Revision diese Begründung dahingehend vertieft, es sei zu klären, „ob bei der Beurteilung der Wirksamkeit einer schriftlichen Einwilligung iSd Artikel 6, Absatz eins, Litera a, in Verbindung mit Artikel 7, Absatz 2, DSGVO das Erfordernis der (gestalterischen und inhaltlichen) Trennung von Sachverhalten gemäß Artikel 7, Absatz 2, Satz 1 DSGVO bereits dann erfüllt wird, wenn die Erklärungen zu den einzelnen Sachverhalten Schritt für Schritt abgefragt werden“, ist dem Folgendes zu entgegnen: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat (Artikel 7, Absatz eins, DSGVO). Ob der klaren rechtlichen Anordnung des Artikel 7, DSGVO zu den Bedingungen für eine Einwilligung im Einzelfall entsprochen wird, ist anhand der konkret maßgeblichen Umstände zu prüfen. Eine im Einzelfall vorgenommene rechtliche Beurteilung kann nur dann die Zulässigkeit einer Revision begründen, wenn dies wegen einer krassen Fehlbeurteilung der einzelfallbezogenen Umstände durch das Verwaltungsgericht aus Gründen der Rechtssicherheit geboten ist vergleiche , dazu VwGH 16.1.2025, Ra 2024/04/0424, Rn. 18). Dass dem Bundesverwaltungsgericht bei der rechtlichen Beurteilung der Frage der Rechtswirksamkeit der fallbezogenen Einwilligungen, die das Bundesverwaltungsgericht ausgehend von detaillierten Sachverhaltsfeststellungen vorgenommen hat, eine derartige Fehlbeurteilung der einzelfallbezogenen Umstände - im Rahmen der verfahrensgegenständlichen Prüfung der Rechtmäßigkeit der ausgeübten Befugnisse gemäß Artikel 58, DSGVO - unterlaufen wäre, zeigt die Revisionswerberin nicht auf.
29
4.3.1. Die Revision bringt ergänzend zur Begründung der Zulässigkeit vor, das Verwaltungsgericht weiche von der Rechtsprechung des Verwaltungsgerichtshofs ab, indem es der Revisionswerberin im Spruchpunkt 2) des angefochtenen Erkenntnisses die automatisierte Verarbeitung näher genannter Daten von näher genannten Personen zum Zweck der Erstellung von Profilen über deren Einkaufsverhalten (mit Setzung einer Leistungsfrist in Spruchpunkt 3) untersage, obwohl die belangte Behörde im Ausgangsbescheid die Revisionswerberin zur Anpassung näher beschriebener Ersuchen um Einwilligung (in ein Profiling) angewiesen (damaliger Spruchpunkt 2) und ihr die Verwendung der eingeholten Einwilligungen ab einem bestimmten Datum zum Zweck des Profiling untersagt hätte (damaliger Spruchpunkt 3). Die Untersagung der Datenverarbeitung im angefochtenen Erkenntnis sei im Sinne der Rechtsprechung ein aliud. In diesem Zusammenhang lege das Verwaltungsgericht den maßgeblichen Spruch des Bescheides unrichtigerweise unter Heranziehung der Begründung aus und gelange zu einem unvertretbaren Ergebnis. Nur wenn der Spruch eines Bescheides auslegungsbedürftig in dem Sinn sei, dass er für sich allein betrachtet Zweifel an seinem Inhalt aufkommen lasse, dürfe seine Begründung zur Deutung - also nicht zur Ergänzung oder Ausweitung - von Sinn und Inhalt der darin verkörperten individuellen Norm herangezogen werden.
30
4.3.2. Dem ist Folgendes zu entgegnen: Den äußersten Rahmen für die Prüfbefugnis des Verwaltungsgerichts bildet die „Sache“ des bekämpften Bescheides. „Sache“ des Beschwerdeverfahrens vor dem Verwaltungsgericht ist somit - ungeachtet des durch § 27 VwGVG 2014 vorgegebenen Prüfumfangs - nur jene Angelegenheit, die den Inhalt des Spruchs der vor dem Verwaltungsgericht belangten Verwaltungsbehörde gebildet hat. Das Verwaltungsgericht hat also die Angelegenheit zu entscheiden, die von der Verwaltungsbehörde entschieden wurde (vgl. zu allem VwGH 25.6.2024, Ra 2022/04/0167, Rn. 21, mwN).4.3.2. Dem ist Folgendes zu entgegnen: Den äußersten Rahmen für die Prüfbefugnis des Verwaltungsgerichts bildet die „Sache“ des bekämpften Bescheides. „Sache“ des Beschwerdeverfahrens vor dem Verwaltungsgericht ist somit - ungeachtet des durch Paragraph 27, VwGVG 2014 vorgegebenen Prüfumfangs - nur jene Angelegenheit, die den Inhalt des Spruchs der vor dem Verwaltungsgericht belangten Verwaltungsbehörde gebildet hat. Das Verwaltungsgericht hat also die Angelegenheit zu entscheiden, die von der Verwaltungsbehörde entschieden wurde vergleiche , zu allem VwGH 25.6.2024, Ra 2022/04/0167, Rn. 21, mwN).
31
Entscheidet das Verwaltungsgericht in einer Angelegenheit, die überhaupt noch nicht oder in der von der Rechtsmittelentscheidung in Aussicht genommenen rechtlichen Art nicht Gegenstand des verwaltungsbehördlichen Verfahrens war, im Ergebnis erstmals in Form eines Erkenntnisses, so fällt eine solche Entscheidung nicht in die funktionelle Zuständigkeit des Verwaltungsgerichts und die Entscheidung ist in diesbezüglichem Umfang mit Rechtswidrigkeit infolge Unzuständigkeit belastet. Vor dem Hintergrund des oben Gesagten kommt es bei der Beurteilung des Umfangs der Kognitionsbefugnis des Verwaltungsgerichts darauf an, worüber die Behörde mit dem angefochtenen Bescheid abgesprochen hat.
32
Der Bescheid einer Verwaltungsbehörde ist dabei als Ganzes zu beurteilen. Für die Lösung der Frage, inwieweit in einem Bescheid die Absicht bestanden hat, über individuelle Rechtsverhältnisse in einer der Rechtskraft fähigen Weise abzusprechen, ist nicht nur vom Spruch des Bescheides auszugehen, sondern zu dessen Deutung auch die Begründung heranzuziehen (vgl. zu alldem VwGH 25.6.2024, Ra 2022/04/0167, Rn. 26, mwN).Der Bescheid einer Verwaltungsbehörde ist dabei als Ganzes zu beurteilen. Für die Lösung der Frage, inwieweit in einem Bescheid die Absicht bestanden hat, über individuelle Rechtsverhältnisse in einer der Rechtskraft fähigen Weise abzusprechen, ist nicht nur vom Spruch des Bescheides auszugehen, sondern zu dessen Deutung auch die Begründung heranzuziehen vergleiche , zu alldem VwGH 25.6.2024, Ra 2022/04/0167, Rn. 26, mwN).
33
Nach dem oben Gesagten war fallbezogen der Umfang der Kognitionsbefugnis des Bundesverwaltungsgerichts ausgehend vom Spruch des angefochtenen Bescheids unter - soweit zur Deutung notwendig - Heranziehung der Bescheidbegründung zu beurteilen. Die vor diesem rechtlichen Hintergrund vorzunehmenden Auslegungen von Bescheiden stellen Rechtsfragen dar, die ausgehend von den jeweiligen Umständen zu lösen sind und aus diesem Grund in ihrer Bedeutung in der Regel nicht über den Einzelfall hinausgehen. Die Anfechtung solcher Rechtsfragen vermag daher nur dann die Zulässigkeit einer Revision zu begründen, wenn das Verwaltungsgericht im Einzelfall zu einem rechtlich unvertretbaren Ergebnis gelangt, das sich aus Gründen der Rechtssicherheit als korrekturbedürftig erweist (vgl. die ständige Rechtsprechung zur vergleichbaren Auslegung von Parteierklärungen im Einzelfall, etwa VwGH 11.12.2023, Ra 2021/04/0095, Rn. 14).Nach dem oben Gesagten war fallbezogen der Umfang der Kognitionsbefugnis des Bundesverwaltungsgerichts ausgehend vom Spruch des angefochtenen Bescheids unter - soweit zur Deutung notwendig - Heranziehung der Bescheidbegründung zu beurteilen. Die vor diesem rechtlichen Hintergrund vorzunehmenden Auslegungen von Bescheiden stellen Rechtsfragen dar, die ausgehend von den jeweiligen Umständen zu lösen sind und aus diesem Grund in ihrer Bedeutung in der Regel nicht über den Einzelfall hinausgehen. Die Anfechtung solcher Rechtsfragen vermag daher nur dann die Zulässigkeit einer Revision zu begründen, wenn das Verwaltungsgericht im Einzelfall zu einem rechtlich unvertretbaren Ergebnis gelangt, das sich aus Gründen der Rechtssicherheit als korrekturbedürftig erweist vergleiche , die ständige Rechtsprechung zur vergleichbaren Auslegung von Parteierklärungen im Einzelfall, etwa VwGH 11.12.2023, Ra 2021/04/0095, Rn. 14).
34
Dass die fallbezogene Auslegung des maßgeblichen Bescheidspruchs durch das Bundesverwaltungsgericht im angefochtenen Erkenntnis unvertretbar wäre, vermag die Revision nicht darzulegen.
35
4.4. Die Revision führt zur Begründung der Zulässigkeit ferner ins Treffen, das Verwaltungsgericht weiche mit der gewählten Umschreibung der untersagten Datenverarbeitung von der - näher bezeichneten - Rechtsprechung des Verwaltungsgerichtshofs zum Bestimmtheitserfordernis des Spruchs von Leistungsbescheiden ab: Zum einen bleibe offen, was unter Profilen über das Einkaufsverhalten zu verstehen sei. Zum anderen sei nicht klar, welche Personen mit den „betroffenen Personen“ gemeint seien.
Dass mit den „Profilen über das Einkaufsverhalten“ im Spruch des angefochtenen Erkenntnisses „Profiling“ im Sinne des Art. 4 Z 4 DSGVO gemeint ist, dh per definitionem „jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen“, und dass fallbezogen diese Art der automatisierten Verarbeitung in Bezug auf das Einkaufsverhalten der betroffenen Personen untersagt wird, bedarf keiner näheren Erläuterung. In diesem Zusammenhang spielt es keine Rolle, wie viele der erhobenen Daten die Revisionswerberin hinsichtlich einer einzelnen betroffenen Person automatisiert verarbeitet hat oder zu verarbeiten gedenkt.Dass mit den „Profilen über das Einkaufsverhalten“ im Spruch des angefochtenen Erkenntnisses „Profiling“ im Sinne des Artikel 4, Ziffer 4, DSGVO gemeint ist, dh per definitionem „jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen“, und dass fallbezogen diese Art der automatisierten Verarbeitung in Bezug auf das Einkaufsverhalten der betroffenen Personen untersagt wird, bedarf keiner näheren Erläuterung. In diesem Zusammenhang spielt es keine Rolle, wie viele der erhobenen Daten die Revisionswerberin hinsichtlich einer einzelnen betroffenen Person automatisiert verarbeitet hat oder zu verarbeiten gedenkt.
Ferner genügt es, darauf zu verweisen, dass Art. 4 Z 1 DSGVO als „betroffene Person“ eine identifizierte oder identifizierbare Person bezeichnet, auf die sich die - jeweils maßgeblichen - „personenbezogenen Daten“ beziehen. Dass es sich bei den im Spruch bezeichneten „am ‚X Club‘ mittels der Methode ‚Webseite‘ www.X-club.at (in der Fassung 23. Oktober 2019) und Anmeldebroschüre ‚Flyer‘ registrierten betroffenen Personen“ um diejenigen natürlichen Personen handelt, deren personenbezogene Daten zunächst mittels der im Spruch umschriebenen Registrierung erfasst wurden, bedarf keiner weiteren Erläuterung und ist keineswegs als unzureichend bestimmt anzusehen.Ferner genügt es, darauf zu verweisen, dass Artikel 4, Ziffer eins, DSGVO als „betroffene Person“ eine identifizierte oder identifizierbare Person bezeichnet, auf die sich die - jeweils maßgeblichen - „personenbezogenen Daten“ beziehen. Dass es sich bei den im Spruch bezeichneten „am ‚X Club‘ mittels der Methode ‚Webseite‘ www.X-club.at (in der Fassung 23. Oktober 2019) und Anmeldebroschüre ‚Flyer‘ registrierten betroffenen Personen“ um diejenigen natürlichen Personen handelt, deren personenbezogene Daten zunächst mittels der im Spruch umschriebenen Registrierung erfasst wurden, bedarf keiner weiteren Erläuterung und ist keineswegs als unzureichend bestimmt anzusehen.
4.5. Insofern die Revision zur Zulässigkeit vorbringt, das Bundesverwaltungsgericht habe unberücksichtigt gelassen, dass die Revisionswerberin die betroffenen Personen „über die ohne ihre Einwilligung erfolgende Datenverarbeitung zum Zweck des Profiling für zielgruppen-orientierte Werbung mit der Datenschutzerklärung, Version V1-2022, gültig ab 19.06.2022, informiert“ habe, ist nicht ersichtlich, inwiefern dieses Vorbringen die maßgebliche Frage der Gültigkeit der hier zur Rede stehenden Einwilligungen im Nachhinein beeinflussen sollte.
4.6. Dem Vorbringen, das Bundesverwaltungsgericht weiche von der Rechtsprechung „zur Beschränkung von Maßnahmen nur bei festgestellten Verstößen und zum Verhältnismäßigkeitsgebot“ ab, weil es die Untersagung ausspreche, obwohl nach den Feststellungen im angefochtenen Erkenntnis „die Teilnahme- und Einkaufsdaten zusammengeführt und analysiert und dadurch Profile der Mitglieder über deren Einkaufsverhalten erstellt wurden, nur sofern das Mitglied im Rahmen der Anmeldung seine Einwilligung dazu erklärt hat“, ist zu entgegnen, dass das Bundesverwaltungsgericht die hier angesprochene Einwilligungserklärung nicht als eine rechtfertigende Einwilligung im Sinne des Art. 6 Abs. 1 lit. f DSGVO und ferner eine Zweckänderung im Sinne des Art. 6 Abs. 4 DSGVO hindernde Information angesehen hat. Inwiefern die Untersagung einer rechtswidrigen Datenverarbeitung überschießend sein sollte, ist nicht nachvollziehbar.4.6. Dem Vorbringen, das Bundesverwaltungsgericht weiche von der Rechtsprechung „zur Beschränkung von Maßnahmen nur bei festgestellten Verstößen und zum Verhältnismäßigkeitsgebot“ ab, weil es die Untersagung ausspreche, obwohl nach den Feststellungen im angefochtenen Erkenntnis „die Teilnahme- und Einkaufsdaten zusammengeführt und analysiert und dadurch Profile der Mitglieder über deren Einkaufsverhalten erstellt wurden, nur sofern das Mitglied im Rahmen der Anmeldung seine Einwilligung dazu erklärt hat“, ist zu entgegnen, dass das Bundesverwaltungsgericht die hier angesprochene Einwilligungserklärung nicht als eine rechtfertigende Einwilligung im Sinne des Artikel 6, Absatz eins, Litera f, DSGVO und ferner eine Zweckänderung im Sinne des Artikel 6, Absatz 4, DSGVO hindernde Information angesehen hat. Inwiefern die Untersagung einer rechtswidrigen Datenverarbeitung überschießend sein sollte, ist nicht nachvollziehbar.
Die Untersagung erfasst im Übrigen spruchgemäß nur jene Verarbeitungen, die auf einer bloß auf Anmeldungen mittels der im Spruchpunkt 2 genannten Registrierungsformen beruhen, weshalb von vornherein Verarbeitungen beruhend auf einer weiteren - separat erteilten, hier nicht behandelten - Einwilligung der betroffenen Personen von der Untersagung nicht umfasst wären. Das Revisionsvorbringen geht insofern ins Leere.
36
4.7. In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinne des Art. 133 Abs. 4 B-VG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.4.7. In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinne des Artikel 133, Absatz 4, B-VG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.
37
Von der in der Revision beantragten Verhandlung konnte gemäß § 39 Abs. 2 Z 1 VwGG abgesehen werden.Von der in der Revision beantragten Verhandlung konnte gemäß Paragraph 39, Absatz 2, Ziffer eins, VwGG abgesehen werden.
38
Der Ausspruch über den Aufwandersatz stützt sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2014.Der Ausspruch über den Aufwandersatz stützt sich auf die Paragraphen 47, ff VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2014.
Wien, am 29. September 2025