Dem Verantwortlichen ist zuzurechnen, dass die eingesetzte Datenschutzmanagerin bei ihrer Meinungsbildung auffallend sorglos war, zumal sie eine einschlägige datenschutzrechtliche Entscheidung denkunmöglich interpretiert und eine abweichende Rechtsmeinung zwar ua mit ihrem Vorgesetzten diskutiert, aber „mangels Mehrheitsfähigkeit“ und trotz der damit verbundenen drohenden massiven Auswirkungen keine weiteren Rechercheschritte gesetzt hat.

BVwG 27.12.2024, W258 2227269-1. Ein Unternehmen im Bereich Adressverlage und Direktmarketing wurde von der Aufsichtsbehörde wegen der unrechtmäßigen Verarbeitung von (u.a. besonderer Kategorien) personenbezogener Daten sowie des mangelhaften Verarbeitungsverzeichnisses und der unrichtigen DSFA sanktioniert. Im Rahmen ihrer Geschäftspraktiken schrieb das Unternehmen natürlichen Personen politische Affinitäten und umfassende Marketinginformationen zu. Während die Aufsichtsbehörde darin einen Verstoß sah, argumentiert das Unternehmen, dass die Tätigkeit gesetzlich von § 151 AT-GewO gedeckt und damit rechtskonform sei.

Wahrscheinlichkeit schafft Personenbezug.

Bei der Wahrscheinlichkeit, mit der sich eine betroffene Person für Wahlwerbung einer bestimmten Partei interessiert, handelt es sich um personenbezogene Daten, aus denen die politische Meinung hervorgeht, sodass diese dem Verarbeitungsverbot nach Art 9 Abs 1 EU-DSGVO unterliegt.

Selbstüberprüfung ist ungeeignet.

Organisationsverschulden, wenn die datenschutzrechtliche Erstbeurteilung einer, wenngleich datenschutzrechtlich ausgebildeten, Person auferlegt wird, die ein starkes Interesse an der Durchführung der geplanten „eigenen“ Datenverarbeitung haben könnte, weil eine beachtliche Gefahr grundlegender juristischer Fehlinterpretationen aufgrund fehlender allgemeiner juristischer Kenntnisse und eines „Confirmation-Bias“ besteht.