Gegenstand der Entscheidung ist die Verarbeitung von Sinus-Geo-Milieu-Daten durch ein österreichisches Postunternehmen. Im Rahmen der Gewerbeberechtigung als Adressverlag wurden personenbezogene Daten mit Wahrscheinlichkeitswerten zu Sinus-Geo-Milieus verknüpft und an Geschäftskunden für deren Marketingzwecke weitergegeben.

Aufgrund einer erhobenen Beschwerde, stellte die Aufsichtsbehörde die rechtsgrundlose Datenverarbeitung damit einen Verstoß gegen die EU-DSGVO fest. Das dagegen erhobene Rechtsmittel half dem Postunternehmen jedoch nicht, weil die Rechtsansicht der Aufsichtsbehörde bestätigt wurde. Die Instanz stellte fest, dass die Wahrscheinlichkeitswerte zu Sinus-Geo-Milieus personenbezogene Daten iSd EU-DSGVO seien, weil sie Aussagen über die Grundhaltung und Lebensweise der betroffenen Person enthielten. Auch wenn diese Daten über statistische Wahrscheinlichkeiten errechnet wurden und zunächst nur Gebäuden zugeordnet waren, erfolgte am Ende eine Verknüpfung mit der konkreten natürlichen Person. Da die Revision an den österreichischen Verwaltungsgerichtshof für zulässig erklärt wurde, hatte nun dieser über den Streit zu entscheiden.

Nach dem Postunternehmen sei die Datenverarbeitung rechtmäßig gewesen. Sinus-Geo-Milieus seien Marketingklassifikationen, die als statistische Wahrscheinlichkeitswerte zunächst Gebäuden (bzw Adressen) zugeordnet seien und deshalb nicht als personenbezogene Daten zu betrachten. Schon gar nicht handle es sich um besondere Kategorien von personenbezogenen Daten. Ferner sei ihre Praxis durch genehmigte Verhaltensregeln gedeckt und daher rechtlich zulässig.

Diesen Argumenten wird in dieser Entscheidung nicht gefolgt:

• Konkret einer natürlichen Person zugeordnete Sinus-Geo-Milieus sind Informationen „über“ diese Person.
• Diese Wahrscheinlichkeitsaussagen sind somit personenbezogene Daten.
• Denn alle Daten, die (lediglich) über statistische Wahrscheinlichkeiten errechnet worden sind, sind bei entsprechender Zuordnung zu einer natürlichen Person personenbezogene Daten.
• Für den besonderen Schutz gemäß Art 9 EU-DSGVO genügt, wenn indirekte Hinweise auf Merkmale für einen durchschnittlichen, objektiven Dritten erkennbar sind.
• Auf eine gefestigte „innere“ Überzeugung der betroffenen Person kommt es dabei jedoch nicht an.
• Auch ist es unerheblich, ob jeder Zuschreibung einer Wahrscheinlichkeit eine Information gemäß Art 9 EU-DSGVO zu entnehmen ist, wenn sich aus dem Zusammenspiel der einzelnen Wahrscheinlichkeitswerte bzw einer Gesamtsicht darauf Schlussfolgerungen auf (wenn auch nur vermutete) besondere Kategorien von personenbezogenen Daten ziehen lassen.
• Verhaltensregeln können nicht dahingehend verstanden werden, dass sie eine Rechtmäßigkeit der Verarbeitung besonderer Kategorien von personenbezogenen Daten ohne Vorliegen eines Ausnahmetatbestandes vorsehen würden.