OGH: Zum „Verantwortlichen“ iSd Art 4 Z 7 DSGVO
Der Umstand, dass Nutzer ihre verbale oder Stern-Bewertung eingeben und auch wieder löschen können, womit sie zum Betrieb des Dienstes der Beklagten beitragen, entpflichtet die Beklagte als diejenige, die die Daten verarbeitet, nicht
Art 4 DSGVO, Art 6 DSGVO
GZ 6 Ob 221/23b, 20.09.2024
OGH: Der Verantwortliche ist in Art 4 Z 7 DSGVO definiert als „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche bzw können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden“.
Wegen des angestrebten hohen Niveaus des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen, welchen als Betroffenen ein wirksamer und umfassender Schutz gewährt werden soll, genügt eine Mitwirkung „an der Entscheidung über die Zwecke und Mittel der Verarbeitung“, um als Verantwortlicher iSd Art 4 Z 7 DSGVO angesehen zu werden. Der EuGH hat bereits klargestellt, dass der Betreiber einer Suchmaschine als für die entsprechende Verarbeitung „Verantwortlicher“ iSd Art 4 Z 7 anzusehen ist.
Die Beklagte steht hier hinsichtlich ihres Dienstes G* My Business, mit dem Unternehmensprofile erstellt und eingesehen werden können, auf dem Standpunkt, sie sei nicht (Daten-)Verantwortliche, weil die Indexierung der Profildaten durch die Muttergesellschaft erfolge, die diese Daten selbständig erhebe. Für die Bewertungen und dabei allenfalls eingegebenen Texte seien allein die Nutzer Verantwortliche; diese könnten die Bewertungen auch jederzeit wieder entfernen. Diese Auffassung ist nicht zu teilen. Die Beklagte ist als Datenverantwortliche einzustufen, verfolgt sie doch in Bezug auf die von ihr betriebenen Dienste ihr Eigeninteresse und handelt insoweit zu dessen Förderung. Sie stellt eine Verknüpfung der (wenn auch von den Nutzern eingegebenen) Bewertungen mit dem Profil/Namen des Unternehmens her und führt so diese von ihr vorgegebenen Kategorien an Informationen in ihrem Dienst zusammen, was eine Verarbeitung iSd DSGVO darstellt. Sie gibt den Rahmen der Bewertung durch die Vergabemöglichkeit von bis zu 5 Sternen unter allfälliger Verknüpfung mit einem Text-Kommentar vor, reiht die Bewertungen und führt sie in eine Gesamtbewertung zusammen. Der Umstand, dass Nutzer ihre verbale oder Stern-Bewertung eingeben und auch wieder löschen können, womit sie zum Betrieb des Dienstes der Beklagten beitragen, entpflichtet die Beklagte als diejenige, die die Daten verarbeitet, nicht, zumal eine Kontrolle über sämtliche Aspekte und Bereiche der Datenverarbeitung nicht notwendig ist, wenn etwa der - schon deswegen - Verantwortliche die Datensammlung organisiert.
