I.römisch eins.
1 1. Die revisionswerbenden Parteien betreiben (den Feststellungen des angefochtenen Erkenntnisses zufolge) in G ein Hotel samt Restaurant (Betrieb S). Die Mitbeteiligte betreibt eine Reiseplattform, die in Österreich unter www.[...].at abrufbar ist und auf der - neben der Bereithaltung allgemeiner Informationen - für registrierte Nutzer die Möglichkeit besteht, Bewertungen und Erfahrungsberichte abzugeben. Der Betrieb S war auf dieser Plattform „gelistet“. Mit Schreiben vom 27. Juni 2019 begehrten die revisionswerbenden Parteien von der Mitbeteiligten die Löschung aller ihrer personenbezogenen Daten. Diesem Löschungsbegehren wurde nicht entsprochen.
2 Mit Eingabe vom 28. August 2019 erhoben die revisionswerbenden Parteien bei der Datenschutzbehörde (DSB, belangte Behörde) eine Datenschutzbeschwerde gegen die Mitbeteiligte wegen rechtswidriger Datenverarbeitung und einer Verletzung im Recht auf Löschung gemäß Art. 17 Abs. 1 lit. d DSGVO.
3 2. Mit Bescheid vom 18. September 2020 wies die belangte Behörde diese Datenschutzbeschwerde gestützt (insbesondere) auf Art. 6 Abs. 1 lit. f DSGVO als unbegründet ab.
4 3. Mit dem angefochtenen Erkenntnis vom 13. Mai 2022 wies das Bundesverwaltungsgericht (BVwG) die dagegen erhobene Beschwerde der revisionswerbenden Parteien nach Durchführung einer mündlichen Verhandlung ab. Die Revision wurde gemäß Art. 133 Abs. 4 B-VG für zulässig erklärt.
5 Das BVwG stellte fest, die Mitbeteiligte habe den Betrieb der revisionswerbenden Parteien ohne deren Einwilligung auf ihrer Plattform „gelistet“. Zudem gab das BVwG einige der (sowohl negativen als auch positiven) Eintragungen, in denen die revisionswerbenden Parteien namentlich genannt worden seien, auszugsweise wieder. Der Betrieb der revisionswerbenden Parteien werde auf der Plattform der Mitbeteiligten einige Male pro Monat bewertet.
6 In seiner rechtlichen Beurteilung legte das BVwG zunächst dar, dass das Medienprivileg gemäß § 9 Datenschutzgesetz auf den vorliegenden Fall nicht anwendbar und die DSB somit zur Behandlung der Beschwerde zuständig sei bzw. dass die auf der Plattform verarbeiteten allgemeinen Informationen und Bewertungen als personenbezogene Daten im Sinn des Art. 4 Z 1 DSGVO anzusehen seien.
7 In der Folge verwies das BVwG auf den Rechtfertigungstatbestand des Art. 6 Abs. 1 lit. f DSGVO, dem zufolge eine Datenverarbeitung zulässig sei, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sei, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Ein (weit zu verstehendes) berechtigtes Interesse an der Datenverarbeitung (in Betracht kämen rechtliche, wirtschaftliche oder ideelle Interessen) könne auch aus der Wahrnehmung des Rechts auf Meinungs- und Informationsfreiheit resultieren (siehe näher dazu Pkt. II.4.1.).
8 Anschließend nahm das BVwG eine auf den vorliegenden Fall bezogene Beurteilung vor und bejahte mit jeweils näherer Begründung das Vorliegen der drei genannten Voraussetzungen. In diesem Zusammenhang erfolgten Ausführungen dazu, dass die gegenständlichen Bewertungen in die Sozialsphäre (und nicht in die Privatsphäre) der revisionswerbenden Parteien fielen (siehe Pkt. II.5.1.), dass es diesen zumutbar sei, die Bewertungsplattform auf allenfalls unberechtigte Kritik durchzusehen (siehe Pkt. II.6.1.) und dass die Mitbeteiligte hinreichende Maßnahmen ergriffen habe, um missbräuchliche Verwendungen durch Nutzer einzuschränken bzw. es den Vertretern von Betrieben zu ermöglichen, sich gegen Kommentare zu wehren (siehe Pkt. II.7.1.).
9 Aufgrund der Rechtmäßigkeit der Datenverarbeitung sei auch der Löschungsanspruch der revisionswerbenden Parteien nicht berechtigt.
10 Hinsichtlich der Zulassung der Revision hielt das BVwG fest, es handle sich bei der Frage, ob Kommentare auf einer Bewertungsplattform für Hotelbetriebe im Sinn des Art. 6 Abs. 1 lit. f DSGVO zulässig seien, zwar um eine Einzelfallentscheidung, es fehle aber an Rechtsprechung des Verwaltungsgerichtshofes dazu, welchen Grundsätzen eine Interessenabwägung im Zusammenhang mit Bewertungsplattformen genügen müsse.
11 4. Gegen dieses Erkenntnis richtet sich die vorliegende ordentliche Revision.
12 Die DSB und die Mitbeteiligte erstatteten jeweils eine Revisionsbeantwortung, in der sie die Abweisung (die DSB auch die Zurückweisung) der Revision beantragen. Die DSB beantrage zudem Aufwandersatz.
II.römisch II.
Der Verwaltungsgerichtshof hat erwogen:
13 1. Die Revision ist im Hinblick auf die vom BVwG aufgeworfene Rechtsfrage, die (neben anderen Fragen) auch von den revisionswerbenden Parteien als grundsätzlich erachtet wird, sowie angesichts dessen, dass es an Rechtsprechung des Verwaltungsgerichtshofes zur Rechtmäßigkeit einer Datenverarbeitung durch Bewertungsplattformen am Maßstab des Art. 6 Abs. 1 lit. f DSGVO bzw. zu den für die insoweit vorzunehmende Interessenabwägung maßgeblichen Grundsätzen fehlt, zulässig, aus nachstehenden Erwägungen aber nicht berechtigt.
14 2. Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung [DSGVO]) lauten auszugsweise:
„[Erwägungsgründe]
(47) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines Verantwortlichen, auch eines Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen, oder eines Dritten begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht. Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen. [...] Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.
[...]
(65) Eine betroffene Person sollte ein Recht auf Berichtigung der sie betreffenden personenbezogenen Daten besitzen sowie ein ,Recht auf Vergessenwerden‘, wenn die Speicherung ihrer Daten gegen diese Verordnung oder gegen das Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, verstößt. Insbesondere sollten betroffene Personen Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht mehr verarbeitet werden, wenn die personenbezogenen Daten hinsichtlich der Zwecke, für die sie erhoben bzw. anderweitig verarbeitet wurden, nicht mehr benötigt werden, wenn die betroffenen Personen ihre Einwilligung in die Verarbeitung widerrufen oder Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten eingelegt haben oder wenn die Verarbeitung ihrer personenbezogenen Daten aus anderen Gründen gegen diese Verordnung verstößt. [...] Die weitere Speicherung der personenbezogenen Daten sollte jedoch rechtmäßig sein, wenn dies für die Ausübung des Rechts auf freie Meinungsäußerung und Information, [...] erforderlich ist.
[...]
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
[...]
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
[...]
Artikel 17
Recht auf Löschung (,Recht auf Vergessenwerden‘)
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
[...]
c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.
d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
[...]
(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist
a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;
[...]
Artikel 21
Widerspruchsrecht
(1) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
[...]“
15 3. Der Gerichtshof der Europäischen Union (EuGH) hat festgehalten, es ist Sache des nationalen (vorlegenden) Gerichts, festzustellen, ob eine Datenverarbeitung durch eines der in Art. 6 Abs. 1 lit. b bis f DSGVO genannten Erfordernisse gerechtfertigt ist. Ebenso ist die im Zusammenhang mit Art. 6 Abs. 1 lit. f DSGVO erfolgende, von den konkreten Umständen des Einzelfalls abhängige Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen Sache des nationalen (vorlegenden) Gerichtes (vgl. zu allem EuGH 4.7.2023, C-252/21, Meta Platforms, Rn. 96, 110).
16 Der Verwaltungsgerichtshof wiederum hat - unter Bezugnahme auf das Urteil EuGH 17.6.2021, C-597/19, M.I.C.M, Rn. 106 - festgehalten, dass nach Art. 6 Abs. 1 lit. f DSGVO die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist: erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (vgl. VwGH 9.5.2023, Ro 2020/04/0037, Rn. 52).
17 Das BVwG hat im Zuge seiner Beurteilung alle drei Voraussetzungen bejaht. Das Vorbringen der revisionswerbenden Parteien richtet sich zwar primär gegen die Interessenabwägung, in einem ersten Schritt wird aber auch das Vorliegen eines berechtigten Interesses an der Datenverarbeitung bzw. die Erforderlichkeit der Datenverarbeitung an sich in Abrede gestellt.
4. Rechtfertigung durch ein berechtigtes Interesse
18 4.1. Das BVwG geht davon aus, dass die gegenständliche Datenverarbeitung dem legitimen Informationsinteresse in Form der Ausübung der Meinungs- und Informationsfreiheit der bewertenden Gäste ebenso wie dem legitimen Interesse der Öffentlichkeit an einer Information über die am Markt angebotenen Leistungen dient. Dieses Informationsinteresse umfasse bei Hotelbetrieben (und insbesondere bei Familienbetrieben) auch das Verhalten der dieses Hotel vertretenden bzw. betreibenden Personen. Es liege daher ein direkter Bezug zur Person des Dienstleistungserbringers (und hier somit zu den revisionswerbenden Parteien) vor.
Dass die Mitbeteiligte mit der Plattform kommerzielle Interessen verfolge (indem sie versuche, Hotelbetreiber dazu zu bringen, kostenpflichtige Zusatzdienste zu buchen), könne das (unabhängig davon bestehende) Informationsinteresse der Öffentlichkeit nicht beeinträchtigen, weil die Plattform die genannten berechtigten Interessen ungeachtet eines allfälligen wirtschaftlichen Hintergrundes erfülle. Die Datenverarbeitung sei somit von der Meinungsfreiheit der bewertenden Nutzer und von der Informationsfreiheit der potentiellen Gäste umfasst.
19 Die revisionswerbenden Parteien gehen demgegenüber davon aus, dass ihrem Recht auf Schutz ihrer personenbezogenen Daten (lediglich) das finanzielle Interesse der Mitbeteiligten (daran, Hotelbetreibern ihre „Prämienfunktionen“ zu verkaufen) gegenüberzustellen sei. Während - so die revisionswerbenden Parteien unter Bezugnahme auf die Rechtsprechung zu anderen Bewertungsplattformen - ein erhebliches Interesse der Öffentlichkeit an Informationen über die Qualität des Unterrichts von Lehrpersonal bzw. von ärztlichen Dienstleistungen bestehe, sei das Interesse der Öffentlichkeit an Informationen über die Qualität der von ihnen angebotenen Leistungen nicht annähernd vergleichbar; dies auch deshalb, weil der Betrieb S (als Betrieb der gehobenen Preisklasse) nur für einen kleinen Teil der Öffentlichkeit von Interesse sei, während Informationen über ärztliche Dienstleistungen die breite Masse betreffen würden.
Weiters bringen die revisionswerbenden Parteien (unter Bezugnahme auf die Ausführungen des [deutschen] Bundesgerichtshofes [BGH] in seinem Urteil vom 20. Februar 2018, VI ZR 30/17) vor, dass die Mitbeteiligte ihre Stellung als „neutraler“ Informationsvermittler verlassen habe, weil sie versuche, potenzielle Gäste durch eine gezielte systematische Besserstellung zu ihren zahlenden Kunden zu lenken. Zudem seien unfreiwillig „gelistete“ Unternehmen aufgrund der marktbeherrschenden Stellung der Mitbeteiligten faktisch gezwungen, kostenpflichtige Dienste der Mitbeteiligten in Anspruch zu nehmen. Das Recht der revisionswerbenden Parteien, frei über die eigene Onlinepräsenz zu entscheiden, überwiege das Interesse der Nutzer an Informationen, zumal diese Informationen auch auf anderen Plattformen (wie etwa Buchungsplattformen) beschafft werden könnten.Weiters bringen die revisionswerbenden Parteien (unter Bezugnahme auf die Ausführungen des [deutschen] Bundesgerichtshofes [BGH] in seinem Urteil vom 20. Februar 2018, römisch VI ZR 30/17) vor, dass die Mitbeteiligte ihre Stellung als „neutraler“ Informationsvermittler verlassen habe, weil sie versuche, potenzielle Gäste durch eine gezielte systematische Besserstellung zu ihren zahlenden Kunden zu lenken. Zudem seien unfreiwillig „gelistete“ Unternehmen aufgrund der marktbeherrschenden Stellung der Mitbeteiligten faktisch gezwungen, kostenpflichtige Dienste der Mitbeteiligten in Anspruch zu nehmen. Das Recht der revisionswerbenden Parteien, frei über die eigene Onlinepräsenz zu entscheiden, überwiege das Interesse der Nutzer an Informationen, zumal diese Informationen auch auf anderen Plattformen (wie etwa Buchungsplattformen) beschafft werden könnten.
20 Die DSB hält dem in ihrer Revisionsbeantwortung entgegen, das Argument der revisionswerbenden Parteien, ihr Betrieb und damit auch die Bewertungen darüber seien nur für einen kleinen Teil der Bevölkerung von Interesse, zeige, dass nur in einem geringen Maß in ihre Rechte eingegriffen werde.
21 Die Mitbeteiligte verweist in ihrer Revisionsbeantwortung (wie bereits das BVwG) auf das legitime Interesse in Form der Ausübung der Meinungs- und Informationsfreiheit. Es wäre eine sachlich nicht gerechtfertigte Ungleichbehandlung, könnten sich Betriebe der gehobenen Preisklasse einer Bewertung durch die Öffentlichkeit entziehen. Entgegen der Ansicht der revisionswerbenden Parteien spreche ein Hotelbetrieb eine weitaus größere Öffentlichkeit an als etwa ein Arzt oder ein Lehrer, die vor allem aufgrund der örtlichen Nähe ausgewählt und besucht würden. Die Mitbeteiligte bestreitet auch, dass sie ihre Stellung als neutraler Informationsvermittler verlassen habe und durch ihre kostenpflichtigen Dienste verdeckte Vorteile gewähre; vielmehr würden die mit den kostenpflichtigen Diensten verbundenen Vorteile transparent dargestellt. Dem Verweis der revisionswerbenden Parteien auf die Informationsbeschaffung über Buchungsplattformen hält die Mitbeteiligte entgegen, es wäre sachlich nicht gerechtfertigt, eine Bereitstellung von Informationen über (reine) Bewertungsplattformen per se auszuschließen.
22 4.2. Das BVwG ist zutreffend davon ausgegangen, dass die Wahrnehmung des Rechts auf Meinungs- und Informationsfreiheit ein berechtigtes Interesse im Sinn des Art. 6 Abs. 1 lit. f DSGVO darstellen kann (vgl. dazu - wenn auch jeweils noch zur früheren Rechtslage nach der Richtlinie 95/46/EG - EuGH 6.11.2003, C-101/01, Lindqvist, Rn. 86 [zur Meinungsfreiheit]; EuGH 13.5.2014, C-131/12, Google Spain, Rn. 81, 97 [zum Interesse am Zugang zu Informationen]; sowie weiters die Stellungnahme 06/2014 der Artikel-29-Datenschutzgruppe zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gemäß Art. 7 der Richtlinie 95/46/EG, WP 217, S 31, 43; vgl. zudem - zu Art. 6 Abs. 1 lit. f DSGVO - OGH 2.2.2022, 6 Ob 129/21w, Rn. 55; sowie Schantz, in Simitis/Hornung/Spieker [Hrsg.], DSGVO, Art. 6 Rn. 98 f). In vergleichbarer Weise sieht auch die Regelung des Art. 17 Abs. 3 lit. a DSGVO eine Ausnahme vom Recht auf Löschung von Daten vor, soweit die Verarbeitung der Daten zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist (vgl. in diesem Zusammenhang auch Erwägungsgrund 65 zur DSGVO, dem zufolge eine weitere Speicherung der personenbezogenen Daten rechtmäßig sein sollte, wenn dies für die Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist).
23 Die Meinungsäußerungsfreiheit erfasst sowohl das Recht von Empfängern von Dienstleistungen, ihre Meinung zur Qualität von Dienstleistungen und damit in Zusammenhang stehend auch zum Verhalten der für die Leistungserbringung verantwortlich zeichnenden natürlichen Personen zu äußern, als auch das Recht von potenziellen zukünftigen Empfängern derartiger Dienstleistungen, von diesen Meinungsäußerungen Kenntnis zu nehmen (vgl. dazu - im Zusammenhang mit einer Ärztebewertungsplattform und wiederum noch zur früheren Rechtslage - VfGH 8.10.2015, G 264/2015, Rn. 36; vgl. auch - zu einem Unternehmensbewertungsportal - OGH 18.4.2023, 6 Ob 46/23t, Rn. 19; weiters BGH 15.2.2022, VI ZR 692/20, Rn. 20). Da die von der Mitbeteiligten betriebene Plattform die Abgabe derartiger Meinungsäußerungen ebenso wie eine strukturierte Suche danach ermöglicht, dient sie der Ausübung der Meinungsäußerungsfreiheit. Somit ist aber die damit verbundene Verarbeitung personenbezogener Daten grundsätzlich zur Wahrung eines berechtigten Interesses (im Sinn des Art. 6 Abs. 1 lit. f DSGVO) erforderlich.
24 An diesem Ergebnis vermag der von den revisionswerbenden Parteien ins Treffen geführte Aspekt, dass die Mitbeteiligte selbst mit dem Betrieb ihrer Bewertungsplattform finanzielle Interessen verfolge, schon deshalb nichts zu ändern, weil Art. 6 Abs. 1 lit. f DSGVO ausdrücklich auf die berechtigten Interessen „des Verantwortlichen oder eines Dritten“ abstellt. Die Verfolgung kommerzieller Interessen durch den Verantwortlichen vermag das (zuvor angesprochene) Recht von Dienstleistungsempfängern an der Äußerung bzw. von potenziellen Dienstleistungsempfängern am Empfang von Meinungen nicht zu beeinträchtigen. Schließlich zeigen die revisionswerbenden Parteien auch nicht substantiiert auf, dass die Mitbeteiligte nicht als neutrale Informationsvermittlerin aufgetreten wäre. Derartiges lässt sich auch aus der hier gegenständlichen Datenverarbeitung nicht ablesen, zumal die vom BVwG (exemplarisch) festgestellten (und in der Revision nicht bestrittenen) Bewertungen betreffend den Betrieb S bzw. die revisionswerbenden Parteien (die ihrerseits wiederum nicht vorbringen, von der Mitbeteiligten kostenpflichtige Leistungen in Anspruch genommen zu haben) überwiegend positiv waren (vgl. diesbezüglich im Übrigen auch Jahnel, DSGVO [2021] Art. 6 Rn. 74, dem zufolge bei der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO zu berücksichtigen ist, dass Verarbeitungen auch zum Vorteil der betroffenen Person gereichen können).
25 Die revisionswerbenden Parteien zeigen auch nicht nachvollziehbar auf, weshalb sie aufgrund einer behaupteten marktbeherrschenden Stellung der Mitbeteiligten faktisch gezwungen seien, deren kostenpflichtige Dienste in Anspruch zu nehmen, zumal sie selbst an anderer Stelle vorbringen, dass dem Informationsinteresse der Öffentlichkeit auch im Wege anderer Plattformen (Buchungsplattformen) Rechnung getragen werden könne. Entgegen der Auffassung der revisionswerbenden Parteien ist für den Verwaltungsgerichtshof keine sachliche Rechtfertigung dafür ersichtlich, das Recht auf Ausübung der Meinungsäußerungsfreiheit auf solche Plattformen zu beschränken, über die die zu bewertenden Leistungen gebucht worden sind (und damit eine Meinungsäußerung auf reinen Bewertungsplattformen nicht als berechtigtes Interesse anzuerkennen).
26 Schließlich spricht auch der seitens der revisionswerbenden Parteien geltend gemachte (von der Mitbeteiligten bestrittene) Umstand, dass die gegenständlichen Daten (nur) für einen kleinen Teil der Öffentlichkeit von Interesse seien, nicht gegen die Annahme des Bestehens eines berechtigten Interesses. Derartige Umstände können zwar bei der Interessenabwägung und somit der Frage des Überwiegens zu beachten sein, aber nicht dazu führen, dass ein Informationsinteresse deshalb schon dem Grunde nach nicht als berechtigtes Interesse anzusehen ist, weil es nur einen (ausgewählten) Teil der Öffentlichkeit betrifft.
5. Eingriff in die Privat- bzw. Sozialsphäre
27 5.1. Das BVwG hat im Rahmen seiner Interessenabwägung (neben anderen Aspekten) festgehalten, hinsichtlich des Geheimhaltungsinteresses sei danach zu differenzieren, in welche Sphäre der Persönlichkeit eingegriffen werde. Dabei genieße die (als solche bezeichnete) Sozialsphäre, in der der Betroffene mit Außenstehenden in Kommunikation trete, keinen so weitgehenden Schutz wie die Privatsphäre. In der Sozialsphäre müsse sich der Betroffene auf eine Beobachtung und Bewertung seines Verhaltens einstellen. Die revisionswerbenden Parteien seien in den Bewertungen lediglich im Rahmen ihrer beruflichen Tätigkeit als Mitarbeiter bzw. Betreiber des Hotels bewertet worden. Die gegenständlichen Bewertungen fielen somit in die Sozialsphäre.
28 Die revisionswerbenden Parteien wenden sich gegen diese Zuordnung, weil „die Dienstleistung eines Hotelbetriebs auch jederzeit auf eine andere Person übertragen werden“ könne. Die Bewertungsseite bleibe auch bei einer Betriebsübernahme unverändert bestehen; folglich sei der Hotelbetrieb nicht der Sozialsphäre zuzurechnen.
29 Nach Ansicht der DSB in ihrer Revisionsbeantwortung seien die gegenständlichen Bewertungen klar der Sozialsphäre im Sinn der Berufssphäre zuzurechnen. Daran könne auch nichts ändern, dass den revisionswerbenden Parteien im Fall einer Übergabe des Betriebes an einen Dritten ein Löschungsanspruch hinsichtlich jener Einträge zukommen könne, in denen sie namentlich genannt seien.
30 Die Mitbeteiligte hält dem diesbezüglichen Revisionsvorbringen entgegen, dass der von den revisionswerbenden Parteien begründend ins Treffen geführte Sachverhalt (Übernahme des Betriebs S durch einen Dritten) aktuell nicht vorliege und dass im Fall eines Eigentümerwechsels die Möglichkeit bestehe, alte Bewertungen zu beseitigen.
31 5.2. Der EuGH hat (wenn auch noch zur Vorgängerregelung des Art. 7 lit. f der Richtlinie 95/46/EG) festgehalten, dass das Kriterium der Schwere der Beeinträchtigung der Rechte und Freiheiten der betroffenen Person einen wesentlichen Gesichtspunkt der Abwägung im Einzelfall darstellt. Dabei ist der Art der in Rede stehenden personenbezogenen Daten und ihrer möglicherweise sensiblen Natur Rechnung zu tragen (vgl. dazu EuGH 11.12.2019, C-708/18, TK, Rn. 56 f). Weiters hat der EuGH (wiederum zur früheren Rechtslage) davon gesprochen, dass der (zwischen den gegenbeteiligten Interessen zu findende) Ausgleich von der Art der Informationen und von deren Sensibilität für das Privatleben der betroffenen Person abhängen kann (vgl. EuGH 13.5.2014, C-131/12, Google Spain, Rn. 81; vgl. weiters Reimer in Sydow/Marsch [Hrsg.], DS-GVO/BDSG [2022], Art. 6 DS-GVO Rn. 84, der davon spricht, dass bei der Gewichtung der gegenbeteiligten Interessen der „Intimitätsgrad“ der Daten ihrer Art nach zu beachten ist; sowie Schantz, in Simitis/Hornung/Spieker [Hrsg.], DSGVO, Art. 6 Rn. 105, der davon spricht, dass eine Datenverarbeitung besonders schwerwiegend ist, wenn die Daten einen Bereich betreffen, der mit besonders hohen Vertraulichkeitserwartungen verbunden ist). Auch der Oberste Gerichtshof (OGH) hat anerkannt, dass im Rahmen der Interessenabwägung zu berücksichtigen ist, in welche Sphäre der Persönlichkeit eingegriffen wird, und dabei der Sozialsphäre, in welcher der Betroffene als in Gemeinschaft stehender Mensch in Kommunikation mit Außenstehenden tritt, keinen so weitgehenden Schutz zuerkannt wie dem höchstpersönlichen Lebensbereich (OGH 2.2.2022, 6 Ob 129/21w, Rn. 70).
32 Der Verwaltungsgerichtshof schließt sich zunächst der Auffassung des Obersten Gerichtshofes an, der zufolge im Zuge der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO danach zu differenzieren ist, ob die verarbeiteten Daten den (so genannten) Kernbereich der geschützten Privatsphäre betreffen, wie dies etwa bei Daten zum Sexualleben der betroffenen Person der Fall ist, oder die (so genannte) Sozialsphäre, die dadurch gekennzeichnet ist, dass die betroffene Person mit Außenstehenden interagiert bzw. in der Öffentlichkeit in Erscheinung tritt, wie dies etwa bei der Erbringung von Dienstleistungen gegenüber Dritten der Fall ist (vgl. wiederum OGH 6 Ob 129/21w, Rn.70).
33 Dem BVwG ist nicht entgegenzutreten, wenn es die gegenständlichen Bewertungen (betreffend das Auftreten der revisionswerbenden Parteien im Rahmen ihrer Tätigkeit als Hotelbetreiber) der Sozialsphäre (konkret in Form der beruflichen Sphäre) und nicht der privaten oder häuslichen Sphäre der revisionswerbenden Parteien zugeordnet hat. Ebenso wenig ist es zu beanstanden, wenn es diesen Umstand bei der Interessenabwägung dahingehend berücksichtigt hat, dass dies als ein geringerer Eingriff in den Schutz der personenbezogenen Daten angesehen wurde, weil es sich dabei um die Bewertung eines Verhaltens handelt, das in der Öffentlichkeit stattgefunden hat (vgl. in diesem Zusammenhang etwa auch Hödl in Knyrim [Hrsg.], DatKomm [2019] Art. 4 Rn. 21, wonach vertrauliche - mit häuslichen und privaten Aktivitäten verknüpfte - Daten die möglichen Risiken für die Rechte und Freiheiten von Personen erhöhen können). Entgegen der Ansicht der revisionswerbenden Parteien ist der mit der gegenständlichen Datenverarbeitung einhergehende Eingriff auch nicht deshalb der Privatsphäre zuzuordnen, weil die Möglichkeit bestehe, dass die revisionswerbenden Parteien ihren Betrieb veräußern könnten. Zwar könnte der Umstand einer Betriebsübergabe seinerseits bei einer Interessenabwägung zu berücksichtigen sein, der Eintritt dieses Ereignisses wird aber von den revisionswerbenden Parteien nicht behauptet. Ausgehend davon ist vorliegend daher auch nicht zu prüfen, ob für diesen Fall von Seiten der Mitbeteiligten vereinfachte Löschungsmöglichkeiten zur Verfügung gestellt werden. Der bloße Umstand, dass sich die Eingriffsintensität einer Datenverarbeitung durch die Änderung maßgeblicher Umstände in Zukunft ändern kann, führt für sich genommen nicht dazu, dass eine solche Datenverarbeitung von vornherein nicht der Sozial- bzw. Berufssphäre zuzurechnen wäre.
6. Zumutbarkeit der Durchsuchung von Bewertungsplattformen
34 6.1. Das BVwG hat dem Argument der revisionswerbenden Parteien, es sei ihnen unzumutbar, das Internet nach missbräuchlichen Kommentaren zu „durchforsten“, entgegengehalten, dass die Mitbeteiligte die Möglichkeit anbiete, per E-Mail über neue Bewertungen informiert zu werden. Der Aufwand sei daher (auch vor dem Hintergrund der gegenständlich geringen „Bewertungsfrequenz“) nicht als überschießend anzusehen. Zudem müssten es sich Personen mit maßgeblichem Einfluss auf einen Hotelbetrieb gefallen lassen, dass ihr Verhalten beobachtet und in der Öffentlichkeit kritisiert werde, und es sei ihnen zumutbar, einer allenfalls unberechtigten Kritik entgegenzutreten; dazu gehöre auch die Notwendigkeit der Sichtung maßgeblicher Bewertungsplattformen, sofern es - wie hier der Fall - möglich sei, zu Bewertungen Stellung zu nehmen.
35 Die revisionswerbenden Parteien halten dem entgegen, für eine Information über neue Bewertungen wären die revisionswerbenden Parteien gezwungen, der Mitbeteiligten eine E-Mail-Adresse zur Verfügung zu stellen und damit in die Verarbeitung dieser Daten einzuwilligen. Dies stünde in Widerspruch zur DSGVO. Zudem könnten sie nur dann auf kritische Kommentare antworten, wenn sie sich ihrerseits auf der Plattform registrierten und damit die Nutzungsbedingungen akzeptierten. Weiters bringen die revisionswerbenden Parteien vor, sie seien auf „unzähligen Bewertungsplattformen“ gelistet und der Aufwand, sämtliche dieser Plattformen zu durchsuchen, sei unzumutbar. Es stehe daher ein Löschungsanspruch gegenüber einer einzelnen Bewertungsplattform zu, auch wenn der Aufwand zur Durchsuchung allein dieser Plattform zumutbar wäre.
36 Die DSB merkt in ihrer Revisionsbeantwortung diesbezüglich an, die revisionswerbenden Parteien hätten gegenständlich nur ein Recht auf Löschung gegen die Mitbeteiligte geltend gemacht, weshalb auf eine allfällige unrechtmäßige Datenverarbeitung durch andere Bewertungsplattformen nicht einzugehen sei.
37 Die Mitbeteiligte verweist - wie schon das BVwG - auf die Möglichkeit für Hotelbetriebe, über neue Bewertungen per E-Mail informiert zu werden. Zudem gebe es Drittanbieter, die gegen eine Gebühr eine Überwachung von Bewertungsplattformen anbieten würden. Es gebe somit genügend (verschiedene) Überwachungsmöglichkeiten. Der damit einhergehende Aufwand für die revisionswerbenden Parteien sei nicht überschießend. Es bestehe auch die Möglichkeit, einer allenfalls unberechtigten Kritik entgegenzutreten. Der Zweitrevisionswerber habe von dieser Möglichkeit auch Gebrauch gemacht. Für Datenverarbeitungen durch andere Plattformen sei die Mitbeteiligte nicht verantwortlich. Schließlich weist die Mitbeteiligte auch darauf hin, dass die revisionswerbenden Parteien als Hotelbetreiber in der Öffentlichkeit stünden und sich deshalb eine Beobachtung durch diese gefallen lassen müssten.
38 6.2. Festzuhalten ist zunächst, dass Gegenstand des zugrundeliegenden Verfahrens nur ein von den revisionswerbenden Parteien geltend gemachter Löschungsanspruch gegen die Mitbeteiligte ist, nicht hingegen eine allfällige rechtswidrige Datenverarbeitung durch andere Bewertungsplattformen. Ausgehend davon kann nach Ansicht des Verwaltungsgerichtshofes für die Frage der Zumutbarkeit der Suche nach kritischen Bewertungen nicht auf sämtliche Bewertungsplattformen, sondern nur auf diejenige der Mitbeteiligten abgestellt werden.
39 Die revisionswerbenden Parteien weisen zwar dem Grunde nach zutreffend darauf hin, dass die für die Inanspruchnahme einer automatischen Verständigung erforderliche Registrierung die Bekanntgabe einer E-Mail-Adresse an die Mitbeteiligte bedingen würde. Allerdings wäre ein damit verbundener Eingriff in Datenschutzrechte seinerseits nicht als übermäßig schwerwiegend zu werten (zumal auch auf der Website des Betriebs S eine E-Mail-Adresse angeführt ist). Das BVwG hat in diesem Zusammenhang auch zutreffend darauf verwiesen, dass es das Anbieten einer Dienstleistung an die Öffentlichkeit mit sich bringt, sich einer Beobachtung und allenfalls Kritik auszusetzen (vgl. etwa auch EuGH 4.7.2023, C-252/21, Meta Platforms, Rn. 116, wonach bei der nach Art. 6 Abs. 1 lit. f DSGVO vorzunehmenden Abwägung auch die vernünftigen Erwartungen der betroffenen Person zu berücksichtigen sind und es somit auch eine Rolle spielt, ob eine betroffene Person vernünftigerweise mit einer Verarbeitung rechnen musste oder nicht; vgl. auch VwGH 9.5.2023, Ro 2020/04/0037, Rn. 57; weiters Schantz, in Simitis/Hornung/Spieker [Hrsg.], DSGVO, Art. 6 Rn. 132, dem zufolge ein hohes Informationsinteresse an geschäftlichen Sachverhalten besteht und das Interesse der betroffenen Person aufgrund ihrer Teilnahme am Markt herabgesetzt ist). Damit geht aber auch das Erfordernis einher, Bewertungsplattformen im Hinblick auf derartige Kritik durchzusehen.
7. Missbrauchsschutz
40 7.1. Das BVwG legte seiner Interessenabwägung diesbezüglich Folgendes zugrunde: Ein Nutzer, der eine Bewertung abgeben wolle, müsse sich vor einer Bewertung auf der Plattform registrieren, die Nutzungsbedingungen akzeptieren und bestätigen, Gast des Betriebes gewesen zu sein. Die Identität der Bewertenden werde von der Mitbeteiligten aber nicht geprüft. Betreiber eines Objektes müssten, wenn sie dieses „als Inhaber“ übernehmen wollen, (ebenfalls) die Nutzungsbedingungen der Mitbeteiligten akzeptieren. Registrierte Benutzer (Hotelbetreiber) könnten (problematische) Bewertungen an die Mitbeteiligte melden; diese würde die gemeldeten Inhalte prüfen und sie entfernen, wenn sie den Richtlinien nicht entsprächen. Nutzer, die missbräuchliche Inhalte veröffentlichen würden, könnten von der Mitbeteiligten gesperrt werden. Die Mitbeteiligte versuche zwar, durch verschiedene Methoden unrichtige Bewertungen zu erkennen, sie könne aber letztlich nicht vor Bewertungen durch fiktive Nutzer zu fiktiven Sachverhalten schützen.
In seiner rechtlichen Beurteilung hielt das BVwG zum Vorbringen der revisionswerbenden Parteien betreffend missbräuchliche Bewertungen und den unzureichenden Missbrauchsschutz der Mitbeteiligten zunächst fest, es bestehe kein berechtigtes Interesse daran, wissentlich falsche (oder strafrechtlich relevante) Bewertungen abzugeben bzw. über solche informiert zu werden. Nach Ansicht des BVwG sei für die Frage, ob das Bestehen einer Missbrauchsmöglichkeit die Rechtswidrigkeit der Datenverarbeitung nach sich ziehe, ausschlaggebend, wie intensiv die zur Missbrauchsverhinderung denkbaren Maßnahmen die in die Interessenabwägung einzubeziehenden Grundrechte einschränken würden (Verweis auf OGH 2.2.2022, 6 Ob 129/21w, Rn. 80). Dies betreffe etwa Maßnahmen, welche den Betroffenen in die Lage versetzten, dem Betreiber der Bewertungsplattform missbräuchliche Einträge zu melden und diese entfernen zu lassen. Vorliegend habe die Mitbeteiligte Maßnahmen ergriffen, um missbräuchliche Verwendungen einzudämmen, bzw. es den Vertretern von gelisteten Betrieben ermöglicht, sich gegen Kommentare zu wehren. So müssten sich bewertende Nutzer registrieren und bestätigen, dass es sich um ihre eigenen Erfahrungen handle. Vertreter von Betrieben könnten missbräuchliche Inhalte unkompliziert melden, die im Anschluss von der Mitbeteiligten geprüft und „allenfalls entfernt“ würden. Zwar müsse sich ein Vertreter eines Betriebes (anders als ein Nutzer) vor einer Registrierung identifizieren. Dieser unterschiedliche Aufwand sei aber gerechtfertigt, weil Vertreter von Betrieben auch die Möglichkeit hätten, die allgemeinen Informationen des Betriebes ändern zu lassen.
Weiters sei nach Ansicht des BVwG zu berücksichtigen, dass die Missbrauchsmöglichkeit auch zu positiven Bewertungen führen könne und dass allgemein bekannt sei, dass im Internet abrufbare Inhalte wie Bewertungen unrichtig sein könnten. Zudem könnten die Bewertungen nur von Personen eingesehen werden, welche die Plattform besuchten und nach dem Betrieb S suchten. Schließlich seien die revisionswerbenden Parteien auch nur in einzelnen Kommentaren namentlich genannt.
Zwar wäre - so das BVwG weiter - der Missbrauchsschutz größer, wenn die bewertenden Nutzer ihre Identität bzw. die tatsächliche Inanspruchnahme der Dienstleistungen des Hotelbetriebs nachweisen müssten. Diese Nachweispflicht würde aber die Meinungsfreiheit zu stark einschränken, weil der damit einhergehende Aufwand die Bereitschaft zur Vornahme von Bewertungen herabsetzen würde. Es wäre auch sachlich nicht gerechtfertigt, eine Bewertung nur auf Buchungsplattformen zu ermöglichen, wenn die bewertete Leistung über diese Plattform gebucht worden sei. Die von der Mitbeteiligten ergriffenen Maßnahmen zum Missbrauchsschutz seien im Ergebnis als ausreichend anzusehen; das verbleibende Missbrauchspotential ziehe keine Rechtswidrigkeit der Datenverarbeitung nach sich.
41 Die revisionswerbenden Parteien führen ins Treffen, auch nach den Feststellungen des BVwG würden fiktive Bewertungen grundsätzlich auf der Plattform der Mitbeteiligten veröffentlicht. Entgegen der Ansicht des BVwG wäre es der Mitbeteiligten aber möglich und auch zumutbar, die Identität der bewertenden Personen und ihrer Eigenschaft als Gäste zu überprüfen. So könnten etwa auf einer (näher bezeichneten) Buchungsplattform Bewertungen nur nach einem tatsächlich absolvierten Aufenthalt abgegeben werden, wobei die Identität der bewertenden Personen zuvor überprüft werde. Die Kenntnis davon, wer eine Bewertung abgebe, sei auch Voraussetzung dafür, dass die revisionswerbenden Parteien kreditschädigende Bewertungen zivilrechtlich verfolgen könnten. Aus der Pflicht zur Einrichtung eines wirksamen Kontrollsystems ergebe sich eine Klarnamenpflicht.
Die Entscheidungen des OGH zur Lehrerbewertungsplattform erachten die revisionswerbenden Parteien als nicht übertragbar, weil zwischen dem Hotelbetreiber und den Gästen (anders als zwischen Lehrern und Schülern) kein Abhängigkeitsverhältnis bestehe. Bei der Mitbeteiligten sei nicht einmal eine Registrierung mittels Handynummer erforderlich, obwohl damit im Streitfall eine Rückverfolgung gewährleistet wäre. Hätte die Mitbeteiligte ein wirksames Kontrollsystem eingerichtet (was nicht der Fall sei), hätte der (im angefochtenen Erkenntnis näher dargestellte, das Restaurant der revisionswerbenden Parteien betreffende) negative Beitrag nicht bezogen auf das Hotel „gepostet“ werden können, weil der Bewertende keine Übernachtung im Hotel gebucht habe. Frei erfundene Bewertungen könnten seitens der Hotelbetreiber nur dann „geahndet“ werden, wenn sie ihren Betrieb auf der Plattform registrieren würden. Dies komme aber einem unzulässigen Zwang zum Vertragsabschluss gleich. Das Missbrauchskontrollsystem der Mitbeteiligten sei jedenfalls unzureichend.
42 Die Mitbeteiligte geht in ihrer Revisionsbeantwortung davon aus, dass ihre (in einer Äußerung vom 23. Februar 2022 näher beschriebenen) Maßnahmen zur Unterbindung missbräuchlicher Bewertungen wirksam seien. Zu dem von den revisionswerbenden Parteien begründend herangezogenen Vorfall an der Hotelbar hält die Mitbeteiligte fest, dass sich dieser Vorfall unstrittig in den Räumlichkeiten des Hotels ereignet habe und die Bewertung daher auch nicht fiktiv sei.
43 7.2. Auch wenn das Interesse am Schutz personenbezogener Daten, die das Auftreten am Markt zum Inhalt haben, - im Hinblick auf die gebotene Berücksichtigung der vernünftigen Erwartungen der betroffenen Person (vgl. dazu oben Rn. 39) - durch die Teilnahme am Markt herabgesetzt sein kann, besteht jedoch ein großes Interesse an der Richtigkeit der veröffentlichten Daten (vgl. in diesem Sinn etwa Schantz, in Simitis/Hornung/Spieker [Hrsg.], DSGVO, Art. 6 Rn. 132). An der Verarbeitung unrichtiger Daten kann nämlich kein berechtigtes Interesse bestehen (vgl. OGH 2.2.2022, 6 Ob 129/21w, Rn. 72; weiters erneut Schantz, in Simitis/Hornung/Spieker [Hrsg.], DSGVO, Art. 6 Rn. 107). Zwar kann eine Meinung als solche nicht am Maßstab der (Un)Richtigkeit gemessen werden, allerdings ist - wie die revisionswerbenden Parteien ins Treffen führen - ein Schutz vor „fiktiven Bewertungen“ durch „fiktive Gäste“ (somit ein Schutz davor, dass keine Bewertungen abgegeben werden, denen keine tatsächliche Inanspruchnahme der Dienstleistung zugrunde lag) anzuerkennen. Der BGH hat (im Zusammenhang mit der begehrten Unterlassung der Verbreitung von Bewertungen bestimmter, näher bezeichneter Nutzer eines Hotelbewertungsportals) etwa festgehalten, dass die geschützten Interessen der von einer Bewertung betroffenen Person die Interessen des Portalbetreibers überwiegen, wenn der Bewertung kein Gästekontakt zugrunde lag; die von der betroffenen Person erhobene Rüge des fehlenden Gästekontaktes wurde als grundsätzlich ausreichend erachtet, um Prüfpflichten des Betreibers auszulösen (BGH 9.8.2022, VI ZR 1244/20, Rn. 35ff; näher dazu auch Franz, Zu den Prüfpflichten eines Hotelbewertungsportals, in WRP 2022, 1469, 1471 f).
44 Umgekehrt hat der Verfassungsgerichtshof im bereits zitierten Erkenntnis G 264/2015, Rn. 40 ff, eine Regelung, die den von einer Aufnahme in eine öffentlich zugängliche Datenanwendung betroffenen Personen ein jederzeitiges und begründungsloses Widerspruchsrecht einräumt, das - ohne eine Abwägung der gegenbeteiligten Interessen zu ermöglichen - eine unbedingte Verpflichtung des Verantwortlichen zur Löschung der Daten nach sich zieht, im Ergebnis als unverhältnismäßigen Eingriff in die Meinungsäußerungs- und Informationsfreiheit des Art. 10 EMRK angesehen.
45 Der Europäische Gerichtshof für Menschenrechte (EGMR) hat in seinem Urteil vom 7. Dezember 2021, Standard Verlagsgesellschaft mbH gg. Österreich, Nr. 39378/15, Rn. 75 ff, festgehalten, dass die EMRK zwar kein absolutes Recht auf Anonymität im Internet vorsehe, umgekehrt aber auch Verständnis für das Interesse von Internetnutzern an der Nichtaufdeckung ihrer Identität zum Ausdruck gebracht. Neben dem bedeutenden Wert der Anonymität im Internet sei auch anderen berechtigten Notwendigkeiten (wie dem Schutz der Rechte und Freiheiten Dritter) Relevanz einzuräumen. Es sei daher eine Abwägung der miteinander in Konflikt stehenden Interessen vorzunehmen. In seinem Urteil vom 10. Oktober 2013, Delfi AS gg. Estland, Nr. 64569/09, Rn. 88 ff, berücksichtigte der EGMR das System einer Betreiberin (dort eines Internet-Newsportals) zur Meldung und Entfernung von (unangebrachten) Kommentaren. In diesem Zusammenhang hat es der EGMR auch als beachtenswert angesehen, dass die (dortige) Betreiberin Kommentare von nicht registrierten Nutzern zugelassen (wodurch es für die von den Kommentaren betroffene Person sehr schwer war, die Identität der Nutzer festzustellen) und damit eine gewisse Verantwortung für die Kommentare übernommen hat.
46 Der OGH hat dem Grunde nach anerkannt, dass die Ausübung des Rechts auf Meinungsäußerung auch im Weg anonymer Bewertungen erfolgen kann (vgl. die Nachweise in OGH 18.4.2023, 6 Ob 46/23t, Rn. 10). Auch die Gefahr einer schlechten Bewertung ist dabei grundsätzlich hinzunehmen (OGH 2.2.2022, 6 Ob 129/21w, Rn. 89). Weiters hat der OGH anerkannt, dass die mit einem möglichen Missbrauch einer Bewertungsplattform verbundenen Gefahren für die Persönlichkeitsrechte der bewerteten Personen ebenso wie die zur Verhinderung eines derartigen Missbrauchs getroffenen Maßnahmen in die Abwägungsentscheidung einzubeziehen sind (OGH 2.2.2022, 6 Ob 129/21w, Rn. 66, 80 ff, zu einer Lehrerbewertungsplattform). Dabei hat der OGH auch zum Ausdruck gebracht, dass - zumal die Möglichkeit anonymer Meinungsäußerungen im Internet nicht schlechthin unterbunden werden darf - betroffene Personen missbräuchliche Bewertungen bis zu einem gewissen Grad hinzunehmen haben (vgl. erneut OGH 6 Ob 129/21w, Rn. 84). Dem zitierten Urteil lässt sich aber auch entnehmen, dass der Ausschluss einer „Freitextbewertung“ (und damit auch von Beleidigungen) bei der Abwägungsentscheidung zu berücksichtigen ist (Rn. 89). Schließlich hat es der OGH (im Zusammenhang mit der Lehrerbewertungsplattform) als maßgeblich erachtet, dass Bewertungen nur von Personen eingesehen werden konnten, die die App heruntergeladen und die konkrete Schule ausgewählt hatten (OGH 2.2.2022, 6 Ob 129/21w, Rn. 90).
47 7.3. Ausgehend davon ergibt sich für den vorliegenden Fall Folgendes: Der Umstand, dass die Mitbeteiligte die Identität der Nutzer vor Abgabe einer Bewertung nicht überprüft (und es somit für den bewerteten Hotelbetreiber unsicher ist, ob er - etwa im Fall rufschädigender Äußerungen - die Identität des betreffenden Nutzers eruieren kann), ist bei der vorzunehmenden Interessenabwägung jedenfalls in Anschlag zu bringen. Demgegenüber kommt dem von der Mitbeteiligten diesbezüglich ins Treffen geführten Umstand, dass sich Nutzer vor Abgabe einer Bewertung unter Angabe einer E-Mail-Adresse registrieren müssen, in diesem Zusammenhang keine besondere Bedeutung zu, weil sich aus dieser Registrierung mangels Überprüfung nicht zwingend Rückschlüsse auf eine bestimmte Person ziehen lassen.
48 Allerdings wäre im Hinblick auf den ebenfalls anzuerkennenden Wert der Möglichkeit, im Internet anonym seine Meinung zu äußern, ein genereller Ausschluss anonymer Bewertungen (und damit eine von den revisionswerbenden Parteien geltend gemachte Klarnamenpflicht) unzulässig. Daran vermag auch der in der Revision vorgebrachte Umstand, zwischen dem Hotelbetreiber und den Gästen bestehe kein Abhängigkeitsverhältnis (das im Fall einer Pflicht zur Identitätsangabe die Bereitschaft zur Vornahme von Bewertungen beeinträchtigen könnte), für sich allein nichts zu ändern (auch den vom EGMR in den oben [Rn. 45] zitierten Entscheidungen zu beurteilenden Konstellationen lag kein Abhängigkeitsverhältnis in dem von den revisionswerbenden Parteien etwa für das Verhältnis zwischen Lehrer und Schüler angenommenen Sinn zugrunde). Ausgehend davon kann aber auch das Fehlen einer Prüfung der Bewertung vor ihrer Veröffentlichung (daraufhin, ob der Nutzer die bewertete Dienstleistung auch tatsächlich in Anspruch genommen hat) - und damit der Umstand, dass eine betroffene Person möglicherweise für eine gewisse Zeit auch die Bereithaltung missbräuchlicher Bewertungen hinnehmen muss (vgl. in diesem Zusammenhang etwa BGH 15.2.2022, VI ZR 692/20, Rz. 41, wo von einem hinzunehmenden, systemimmanenten Umstand die Rede ist) - für sich allein nicht die Rechtswidrigkeit der Datenverarbeitung nach sich ziehen.
49 Es ist auch nicht zu beanstanden, wenn bei der Interessenabwägung in einer Konstellation wie der vorliegenden die Umstände, dass gegenständlich nur der Sozialsphäre der revisionswerbenden Parteien zuzuordnende Daten verarbeitet worden sind, dass die Zugänglichkeit der Daten eine konkrete Suche nach dem Betrieb der revisionswerbenden Parteien voraussetzt und dass Internetbewertungen in der allgemeinen Wahrnehmung keine uneingeschränkte Glaubwürdigkeit vermitteln, miteinbezogen werden. Auf Seiten der Interessen der revisionswerbenden Parteien wäre demgegenüber zu berücksichtigen, dass es vorliegend auch um (so der OGH in seiner Rechtsprechung) „Freitextbewertungen“ geht, bei denen die mögliche Beeinträchtigung des Schutzes personenbezogener Daten größer ist als bei einer bloßen Vergabe von Punkten.
50 Das BVwG hat auch dem Grunde nach zutreffend angenommen, dass bei der vorzunehmenden Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO diesbezüglich in Anschlag zu bringen ist, welche Maßnahmen der Verantwortliche selbst setzt bzw. der (von der Datenverarbeitung) betroffenen Person zur Verfügung stellt, um einen möglichen Missbrauch zu verhindern bzw. wie intensiv derartige Maßnahmen ihrerseits in die einzubeziehenden Interessen bzw. Grundrechte eingreifen.
51 Die im Zusammenhang mit der Missbrauchsverhinderung der Interessenabwägung zugrunde gelegten Feststellungen des BVwG sind zwar kursorisch geblieben. So hält das BVwG fest, dass die Mitbeteiligte gemeldete Inhalte entfernen würde, wenn sie den Richtlinien nicht entsprächen, ohne den Inhalt dieser Richtlinien näher darzustellen. Weiters spricht das BVwG davon, dass Vertreter von Betrieben missbräuchliche Inhalte unkompliziert melden könnten, die im Anschluss von der Mitbeteiligten geprüft und „allenfalls entfernt“ würden. In welchen Fällen, somit unter welchen Voraussetzungen ein Beitrag gelöscht wird, wird aber nicht näher dargelegt.
52 Allerdings ist den revisionswerbenden Parteien ihrerseits entgegenzuhalten, dass eine Relevanz der damit verbundenen Verfahrensmängel nicht aufgezeigt wird. Zwar bringt die Revision vor, dass der (im angefochtenen Erkenntnis näher dargestellte, einen Vorfall an der Hotelbar des Betriebes S betreffende) negative Beitrag nicht bezogen auf das Hotel hätte „gepostet“ werden können (weil der Bewertende keine Übernachtung im Hotel gebucht habe), wenn die Mitbeteiligte ein wirksames Kontrollsystem eingerichtet hätte. Damit wird aber nicht zum Ausdruck gebrachte, dass sich der diesem negativen Beitrag zugrundeliegende Sachverhalt überhaupt nicht ereignet hätte (und nicht nur anders zu bewerten bzw. einzuordnen gewesen wäre). Somit zeigen die revisionswerbenden Parteien aber nicht auf, welche der hier in Rede stehenden personenbezogenen Daten nur aufgrund der behaupteten Unzulänglichkeit des Missbrauchsschutzes der Mitbeteiligten nicht gelöscht worden seien. Ausgehend davon wird daher auch mit dem Vorbringen zum Fehlen eines wirksamen Kontrollsystems fallbezogen keine Rechtswidrigkeit der gegenständlichen Datenverarbeitung aufgezeigt.
53 8. Dem vom Zweitrevisionswerber ins Treffen geführten Umstand, wonach er als ehemals politisch exponierte Person im besonderen Maß gefährdet sei, missbräuchlichen Kommentaren ausgesetzt zu sein, hielt das BVwG entgegen, eine betroffene Person könne ihre besondere Situation dadurch geltend machen, dass sie der Datenverarbeitung gemäß Art. 21 DSGVO unter Verweis auf diese Besonderheit widerspreche. Ein solcher Widerspruch sei vorliegend nicht erfolgt.
54 Die revisionswerbenden Parteien bringen dazu vor, der Umstand der politischen Tätigkeit des Zweitrevisionswerbers sei im Verfahren und insbesondere in der mündlichen Verhandlung mehrfach vorgebracht worden. Zudem hätten die revisionswerbenden Parteien ihr Löschungsbegehren auf keine konkrete Norm gestützt. Die Ausführungen des BVwG, es sei kein Widerspruch gemäß Art. 21 DSGVO erfolgt, sei daher aktenwidrig.
55 Dem ist entgegenzuhalten, dass sich weder aus dem (im Verfahren erfolgten) Hinweis auf die vormalige politische Tätigkeit des Zweitrevisionswerbers noch aus dem behaupteten Umstand, das Löschungsbegehren sei auf keine konkrete Norm gestützt worden, ableiten lässt, dass ein Widerspruch gemäß Art. 21 DSGVO erhoben worden sei. Zudem wird in dem (im Akt befindlichen) Löschungsbegehren vom 27. Juni 2019 (ebenso wie in der Datenschutzbeschwerde vom 28. August 2019) darauf hingewiesen, dass der Löschungstatbestand des Art. 17 Abs. 1 lit. d DSGVO (unrechtmäßige Datenverarbeitung) erfüllt sei (wohingegen auf Art. 17 Abs. 1 lit. c DSGVO, der auf das Einlegen eines Widerspruchs nach Art. 21 DSGVO abstellt, nicht Bezug genommen wird).
56 9. Schließlich sieht sich der Verwaltungsgerichtshof auch nicht veranlasst, der Anregung der revisionswerbenden Parteien auf Einholung einer Vorabentscheidung durch den EuGH nachzukommen. Zu der die Zulässigkeit der Verarbeitung ohne Einwilligung betreffenden Frage ist anzumerken, dass die Einwilligung schon nach der Systematik des Art. 6 Abs. 1 DSGVO nur einen von mehreren (alternativen) Rechtfertigungsgründen darstellt. Zur Interessenabwägung ist wiederum auf die Rechtsprechung des EuGH zu verweisen, wonach die von den konkreten Umständen des Einzelfalls abhängige Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen Sache des nationalen (vorlegenden) Gerichtes ist (vgl. erneut EuGH C-252/21, Rn. 110).
57 10. Die Revision war somit gemäß § 42 Abs. 1 VwGG als unbegründet abzuweisen.
58 Von der Durchführung der beantragten mündlichen Verhandlung konnte gemäß § 39 Abs. 2 Z 6 VwGG abgesehen werden, weil das Verwaltungsgericht - ein Tribunal im Sinn des Art. 6 MRK und ein Gericht im Sinn des Art. 47 GRC - eine mündliche Verhandlung durchgeführt hat, weshalb weder Art. 6 MRK noch Art. 47 GRC der Abstandnahme von einer mündlichen Verhandlung vor dem Verwaltungsgerichtshof entgegenstehen (vgl. etwa VwGH 23.6.2022, Ro 2019/04/0221 bis 0222, Rn. 36).
59 Die Entscheidung über den Aufwandersatz beruht auf den §§ 47 ff, insbesondere § 53 Abs. 1 VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2014.
Wien, am 17. Mai 2024