GZ: DSB-D122.273/0002-DSB/2015 vom 3. März 2015
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Dipl. Ing. G*** B*** (Beschwerdeführer) vom 26. November 2014 gegen das Amt der Steiermärkischen Landesregierung (Beschwerdegegner) wegen Verletzung im Recht auf Auskunft in Folge Weigerung, das Auskunftsbegehren des Beschwerdeführers inhaltlich zu beantworten, wie folgt:
- Die Beschwerde wird abgewiesen .
Rechtsgrundlagen : § 1 Abs. 3 Z 1, § 26 Abs. 1, 3 und 4, § 31 Abs. 1, 7 und 8 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien
1. Der Beschwerdeführer behauptet eine Verletzung im Recht auf Auskunft dadurch, dass der Beschwerdegegner auf sein Auskunftsbegehren vom 14. September 2014 keine Auskunft erteilt habe. Zwar habe der Beschwerdegegner um Mitwirkung ersucht, die Mitwirkungspflicht umfasse jedoch eindeutig nicht, dass der Beschwerdeführer als Auskunftswerber bekannt geben müsse, auf welche Anwendungen sich sein Ansuchen beziehe. Schon gar nicht könne gefordert werden, dass er auch noch Anhaltspunkte nenne, warum er vermute, dass er in allenfalls angegebenen Anwendungen enthalten sei. Der Beschwerdeführer habe keine Kenntnis, welche Verknüpfungen zwischen diversen Abteilungen bestünden und ob eventuell Querabfragen und damit Speicherungen seiner Daten erfolgen könnten. Gegen die Meinung des Beschwerdegegners, sein Aufwand sei ungerechtfertigt und unverhältnismäßig hoch, spräche, dass auch andere Landesregierungen kein Problem damit hätten, diese Auskünfte zu übermitteln. Da sich die Auskunftspflicht nur auf strukturierte Sammlungen von Daten erstrecke, stelle der Aufwand, in den Datenanwendungen des Beschwerdegegners, auch wenn diese sehr viele seien, eine Suchabfrage nach dem Namen zu starten, keinen unzumutbaren Aufwand dar. Weiters sei die Antwort des Beschwerdegegners bezüglich Dienstleister für den Beschwerdeführer völlig unverständlich. Wenn die Daten bei einem Dienstleister erfasst würden, dann würde er die Datenanwendung auch nicht im Register der beim Beschwerdegegner geführten Datenanwendung finden und könnte sohin nicht die dafür gewünschte Auskunft geben.
2. Der Beschwerdegegner brachte hierzu in seiner Stellungnahme vom 15. Jänner 2015 unter Verweis auf die Judikatur des Obersten Gerichtshofes, den Erläuterungen zur Regierungsvorlage zum DSG 2000, 1613 dB XX. GP, und der Rechtsprechung der Datenschutzkommission im Wesentlichen vor, dass der Beschwerdegegner in diesem Sinne den Beschwerdeführer in seiner Aufforderung ersucht habe, bekannt zu geben, welche Kontakte zum Beschwerdegegner bereits bestanden hätten oder welche Sachverhalte als Anknüpfungspunkte für eine Beziehung zum Land in Betracht kämen. Der Beschwerdegegner habe darüber hinaus auch einen aktuellen Registerauszug mitgeschickt und ersucht, die relevanten Datenanwendungen zu bezeichnen. Da der Beschwerdeführer dieser Aufforderung zur Mitwirkung nicht nachgekommen sei, obwohl er der Judikatur der Datenschutzkommission nach dazu verpflichtet gewesen wäre, sei eine Nichterteilung der Auskunft gerechtfertigt. Globalauskunftsbegehren hätten nicht nur in der Vergangenheit Probleme verursacht und deswegen zur Schaffung der Mitwirkungspflicht beim Auskunftsbegehren geführt, auch weitere Aspekte seien in diesem Zusammenhang relevant. So sei die Frage, ob ein ungerechtfertigter und unverhältnismäßiger Aufwand beim Auftraggeber entstehe, bei einem Globalauskunftsbegehren nicht nur im Einzelfall zu prüfen, sondern anhand der Kategorie „Globalauskunftsbegehren“. Bei solchen habe die Judikatur immer diesen überhöhten Aufwand angenommen. Dass bereits ein einziges Globalauskunftsbegehren erhebliche Zeitressourcen binde, sei bei einem Auftraggeber wie dem Amt der Steiermärkischen Landesregierung mit hundert oder auch mehr Datenanwendungen evident. Da es keine zentralen Zugriffe auf alle Datenanwendungen des Amtes gebe, müssten daher zunächst alle DienststellenleiterInnen verständigt und über den Sachverhalt aufgeklärt werden. Diese müssten dann die entsprechenden Aufträge an die jeweils zuständigen SachbearbeiterInnen oder EDV-Kontaktpersonen geben, die dann erst die Abfragen durchführen müssten. Ginge man davon aus, dass ein Abfragevorgang (einschließlich Information, Dokumentation, Bericht) etwa fünf Minuten dauere, wären das bei 100 Datenanwendungen 500 Minuten, ein Aufwand von etwa 1,2 Personentagen. Was für ein einziges Auskunftsbegehren noch vertretbar erscheinen könnte, werde bei Hochrechnung auf viele Begehren offensichtlich unverhältnismäßig. Bei 200 Begehren wäre bereits ein Personenjahr erforderlich, bei 1.000 Begehren fünf Personenjahre. Schon auf Grund dieser Zahlen sei evident, dass eine Mitwirkung durch Konkretisierung von Datenanwendungen von entscheidender Bedeutung sein müsse, um überhaupt in die Lage zu kommen, vernünftig zu reagieren. Hinsichtlich der Bekanntgabe von Dienstleistern gab der Beschwerdegegner zusammengefasst an, dass § 26 Abs. 1 DSG 2000 keine generelle Bekanntgabe von Dienstleistern eines Auftraggebers vorsehe, sondern nur von jenen, die mit der Verarbeitung von Daten des Auskunftswerbers beauftragt seien. Da im konkreten Verfahren nicht überprüft worden sei, welche Daten des Beschwerdeführers in Datenanwendungen des Amts vorhanden seien, habe naturgemäß kein Dienstleister ermittelt und bekanntgegeben werden können.
3. Der Beschwerdeführer replizierte darauf in seinem Schreiben vom 25. Jänner 2015 im Wesentlichen, es könne weder aus dem Gesetz noch aus der zitierten Mitwirkungspflicht abgeleitet werden, dass „Globalauskunftsbegehren“ nicht zulässig seien. Wenn der Gesetzgeber dies gewollt hätte, so hätte er dies zur Vermeidung von Unklarheiten im Gesetzestext formuliert. Es würde dem Sinn und der Absicht des Gesetzes widersprechen, wenn er nur derartige Anfragen stellen könne und dürfe, bei denen er schon begründet vermute, dass über ihn Daten gespeichert seien und dies dann auch noch dem Auftraggeber gegenüber begründe. Das Ziel einer derartigen Anfrage sei naturgemäß Datenanwendungen in Erfahrung zu bringen, in denen Daten über ihn gespeichert seien, bei denen er aber keine Vermutung gehabt habe, dass diese Daten gespeichert seien. Abgesehen davon habe der Beschwerdeführer sein Wissen um die Art der Beziehung zum Auftraggeber bekanntgegeben, im konkreten Fall umfasse diese Bekanntgabe die Information, dass er keine konkrete Kenntnis über eine Beziehung zum Auftraggeber habe. Des Weiteren könne nicht relevant sein, ob ein Verfahren, oder vielleicht sogar hunderte Verfahren anhängig seien. Es sei nicht zulässig, aus dem Zeitaufwand, der bei den beispielsweise angeführten 1.000 Begehren entstehe, eine generell ablehnende Behandlung von Globalauskunftsbegehren abzuleiten und eine Mitwirkungspflicht zu fordern, die dem Sinn des Gesetzes – eben Informationen über Datenspeicherungen zu bekommen, über die der Antragssteller bisher keine Ahnung hatte – zuwiderlaufe. Die zumutbare Mitwirkungspflicht erstrecke sich darauf, dass der Antragssteller zur Vermeidung ungerechtfertigten und unverhältnismäßigen Aufwands jene Kontakte und Sachverhalte bekanntgebe, bei welchen Datenanwendungen eine Vermutung der Datenspeicherung gegeben sei. Aber diese Mitwirkungspflicht bestehe eben nur dann, wenn es solche Kontakte und Sachverhalte gebe. Wenn es kein Wissen um derartige Kontakte und Sachverhalte gebe, dann erstrecke sich die Mitwirkungspflicht darauf, diese Information des „Nichtwissens“ weiterzugeben.
Es verstehe sich von selbst, so der Beschwerdeführer, dass jede Anfrage einen Aufwand beim Auftraggeber verursache und dieser Aufwand natürlich linear mit der Anzahl der Datenanwendungen steige, die vom Auftraggeber geführt werden. Aber dieser Aufwand steige nicht progressiv mit der Größe der Behörde. Mit dem gleichen Argument könnte ein wesentlich „kleinerer“ Auftraggeber argumentieren, dass er mit der Anfrage bezüglich einer oder zweier Datenanwendungen, die bei ihm geführt werden, überfordert sei, da er aufgrund seiner Größe für derartige Anfragen gar kein Personal habe.
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner zu Recht von einer inhaltlichen Auskunft Abstand genommen hat.
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:
1. Der Beschwerdeführer richtete am 14. September 2014 per E-Mail mit sicherer elektronischer Signatur ein Auskunftsbegehren an den Beschwerdegegner, in dem er um Auskunft über alle zu seiner Person gespeicherten Daten sowie über Dienstleister ersuchte.
2. Mit Schreiben vom 22. September 2014 forderte der Beschwerdegegner den Beschwerdeführer zur Mitwirkung am Auskunftsverfahren in ausreichendem Ausmaß wie folgt auf:
„1. Bitte geben Sie Ihr richtiges Geburtsdatum an, um eine allfällige Identitätsprüfung positiv abschließen zu können.
2. Bitte geben Sie an, in welchen Angelegenheiten Sie bereits mit dem Amt der Stmk. Landesregierung Kontakt hatten oder nennen Sie einen Sachverhalt, dem entnommen werden könnte, in welchen Datenanwendungen Ihre Daten allenfalls enthalten sein könnten […].
3. Kennzeichnen Sie bitte auf dem beiliegenden Registerauszug jene Datenanwendungen, von denen Sie vermuten, dass Sie darin enthalten sind.
4. Benennen Sie bitte jene Datenanwendungen der Standard- und Musterverordnung, BGBl. II Nr. 312/2004, von denen Sie vermuten, dass Sie darin enthalten sind.
SA0001 Rechnungswesen und Logistik
SA005 Haushaltsführung der Gebietskörperschaften und sonstigen juristischen Personen öffentlichen Rechts.
5. Geben Sie zu den Punkten 3 und 4 auch Anhaltspunkte an, warum Sie glauben darin enthalten zu sein.“
Zur Erfüllung der Mitwirkungsverpflichtung wurde dem Beschwerdeführer eine Frist von zwei Wochen eingeräumt. Des Weiteren wurde er auf § 26 Abs. 4 DSG 2000 hingewiesen. Diesem Schreiben war ein Registerauszug des Beschwerdegegners vom 19. September 2014 mit insgesamt 106 Datenanwendungen als Beilage angeschlossen. Dieser Registerauszug lautet auszugsweise wie folgt:
„[…]
Nr. 1
Personalinformationssystem
[…]
Nr. 7
Behindertenhilfe – Abrechnung von Heimkosten
[…]
Nr. 12
Krankenpflegepersonal
[…]
Nr. 14
Behindertenhilfe – Behindertenpflegegeld
[…]
Nr. 24
Pensionsbeiträge der Gemeindebediensteten
[…]
Nr. 27
Ausstellung der Jagdkarten
[…]
Nr. 28
Lohnverrechnung der Steiermärkischen Landesbahnen
[…]
Nr. 31
Pendlerbeihilfe
[…]
Nr. 33
Ruhebezüge der Bürgermeister
[…]
Nr. 35
Blindenbeihilfe
[…]
Nr. 37
Landesjagdabgabe
[…]
Nr. 40
Beihilfe bei Zwillingsgeburten (Förderung)
[…]
Nr. 41
Evidenz der Hausapotheken
[…]
Nr. 43
Förderung privater Anlagen zur Gewinnung von Solarenergie (FME-SOL)
[…]
Nr. 48
Heizkostenzuschuss
[…]
Nr. 56
Drogenberater-Datei
[…]
Nr. 61
Kinderbetreuungsgeld des Landes Steiermark
[…]
Nr. 63
Drogensubstitution
[…]
Nr. 84
ZP_Fremdenrechtliche Kartenbeauftragung, Herstellung von Aufenthaltstitelkarten
[…]
Nr. 91
GS_Checkit.Card
Verwaltung der Personen, die die Jugendkarte des Landes erhalten haben; Verwaltung und Veröffentlichung von Informationen über die möglichen Vergünstigungen mit der Checkit. Card
[…]
Nr. 101
VT: Sondertransporte, Ausnahmebewilligung für überdimensionale und überschwere Fahrzeuge (Sondertransporte)
[…]
Nr. 104
Wohnbeihilfe
Verwaltung aller Anträge auf Auszahlung von Wohnbeihilfen durch das Land Steiermark. Das Programm unterstützt bei der Berechnung des Anspruchs und ermöglicht die Auszahlung der Wohnbeihilfe. Alle zur Berechnung bzw. zur Ermittlung des Anspruchs relevanten Daten werden gespeichert. Zudem werden alle eingehenden Anträge und erforderlichen schriftlichen Nachweise digitalisiert und ebenfalls in der Anwendung verwaltet. […]“
3. Der Beschwerdeführer stellte daraufhin in seiner E-Mail-Nachricht vom 27. September 2014 sein Geburtsdatum richtig und führte weiters Folgendes aus:
„[…] Ad 2) Es gibt keinen konkreten Anlass eines Kontakts mit dem Land Steiermark für meine Anfrage, daher kann diesem Ersuchen nicht nachgekommen werden.
Ad 3 + 4) Ich benötige keine Bestätigung, dass Daten über mich in Registern gespeichert sind, bei denen ich das schon gesichert vermuten kann. Das Muster‐Formular der Datenschutzkommission sieht mehrere Varianten des Ansuchens vor: Einerseits kann die Anfrage auf eine bestimmte Datenanwendung eingeschränkt werden, andererseits sieht das Formular ausdrücklich vor, dass ich um Auskunft bzgl. aller zu meiner Person gespeicherten Daten ersuchen kann. Da ich nicht wissen kann, in welchen Registern Daten gespeichert sein könnten und die Anfrage genau darauf abzielt, Datenspeicherungen zu meiner Person in Erfahrungen zu bringen, die ich bisher nicht kenne, ist es nicht zumutbar, dass ich die Abfrage auf einzelne Register beschränke.
Ad 5) Bitte um Angabe, auf welche Gesetzesstelle Sie sich mit dieser Forderung beziehen: Die von Ihnen zitierte Mitwirkungspflicht kann sicherlich nicht so weit ausgelegt werden, dass der Anfrager auch noch belegen muss, warum er glaubt, in Datenanwendungen gespeichert zu sein.
Ergänzend weise ich darauf hin, dass sich meine Anfrage auch auf die Bekanntgabe von allfälligen Dienstleistern bezogen hat!“
4. Mit Schreiben vom 27. Oktober 2014 teilte der Beschwerdegegner dem Beschwerdeführer unter anderem mit, dass gemäß § 26 Abs. 4 DSG 2000 von der Erteilung der Auskunft mangels ausreichender Mitwirkung am Verfahren gemäß § 26 Abs. 3 DSG 2000 abgesehen werde.
5. Der Beschwerdegegner verfügt über keine zentralen Zugriffe auf alle seine Datenanwendungen. Ausgehend von einer Dauer des Abfragevorganges von fünf Minuten (einschließlich Information. Dokumentation, Bericht) erfordert die Abfrage bei 100 Datenanwendungen 500 Minuten und somit einen Aufwand von 1,2 Personentagen pro Auskunftsbegehren.
Beweiswürdigung : Diese Feststellungen beruhen auf den als Beilage mit der gegenständlichen Beschwerde vorgelegten zitierten Urkunden, samt Registerauszug des Beschwerdegegners vom 19. September 2014 und der Stellungnahme des Beschwerdegegners vom 15. Jänner 2015.
D. In rechtlicher Hinsicht folgt daraus:
1. Der Beschwerdeführer hat ein allgemeines, nicht auf bestimmte Datenanwendungen eingeschränktes Auskunftsbegehren auf Erhalt einer Auskunft über alle zu seiner Person gespeicherten Daten sowie über Dienstleister an den Beschwerdegegner gerichtet.
1.1. Vor diesem Hintergrund war der Beschwerdegegner berechtigt, die Mitwirkungsobliegenheit des Auskunftswerbers gemäß § 26 Abs. 3 DSG 2000 geltend zu machen, die bei Nichterfüllung gemäß § 26 Abs. 4 letzter Satz DSG 2000 zur Ablehnung der Beantwortung des Auskunftsbegehrens berechtigt.
2. Nach § 26 Abs. 1 DSG 2000 kommt dem Betroffenen (grundsätzlich) ein Recht auf eine umfassende und inhaltlich rechtmäßige Auskunft zu. Der Gesetzgeber hat dem von Datenverarbeitungen Betroffenen ein nicht weiter begründungsbedürftiges Interesse an der Auskunft in dem in dieser Bestimmung vorgesehenen Ausmaß zuerkannt (siehe dazu etwa das Erkenntnis des Verwaltungsgerichtshofes vom 6. Juni 2007, Zl. 2001/12/0004). Die Verpflichtung des Betroffenen, im Rahmen des Auskunftsverfahrens mitzuwirken, soll aber der Ausübung von Betroffenenrechten Grenzen setzen, und zwar dort, wo die Rechtsausübung des Betroffenen einen unverhältnismäßigen Aufwand beim Auftraggeber verursachen würde. Dieser Grundsatz ist aus der Verpflichtung zur entsprechenden Berücksichtigung der Rechte und Freiheiten Dritter abzuleiten und wird auch beim Auskunftsrecht Geltung beanspruchen dürfen. Gerade bei Auftraggebern mit sehr vielen Datenverarbeitungen kann die Verpflichtung des Auftraggebers, alle seine Datenverarbeitungen zu durchsuchen, wenn der Betroffene nicht den mindesten Hinweis darauf gibt oder geben will, in welchem Zusammenhang er in den Datenwendungen des Auftraggebers vorhanden sein könnte, eine beträchtliche Belastung des Auftraggebers (unter Umständen sogar Stilllegung der Datenverarbeitung für einige Zeit) bewirken. In dem Bestreben, einen Interessensausgleich zwischen dem Betroffenen und dem Auftraggeber zu erzielen, statuiert daher Abs. 3, dass der Betroffene in dem ihm zumutbaren Ausmaß mitwirken muss (sh. hierfür etwa den Bescheid der Datenschutzkommission vom 25. März 2003, GZ K120.744/001 DSK/2003, und die EB zur RV zum DSG 2000, 1613 dB XX. GP, 47).
2.1. Nun dürfen die Bestimmungen des § 26 Abs. 3 und 4 letzter Satz DSG 2000 zweifellos nicht so gelesen werden, dass der Auskunftswerber bereits vor Erteilung der Auskunft wissen müsste, welche Arten von Daten über ihn verarbeitet werden, doch wird eine faire Lastenverteilung verlangt, dass der Auskunftswerber auf Ersuchen des Befragten sein Wissen um die Art seiner Beziehung zum Befragten offenlegen muss, um den zur tatsächlichen Auffindung verarbeiteter Daten notwendigen Suchaufwand möglichst zu begrenzen (vgl. hierzu den Bescheid der Datenschutzkommission vom 16. Dezember 2009, GZ K121.541/0012-DSK/2009). Eine solche Offenlegung hat auch in der Weise zu erfolgen, dass der Auskunftswerber auf Ersuchen und Vorhalt der vom Befragten betriebenen Datenanwendungen mitteilt, in welchen dieser Datenanwendungen personenbezogene Daten des Auskunftswerbers enthalten sein könnten .
3. Im vorliegenden Fall führte der Beschwerdeführer in seinem Schreiben vom 27. September 2014 in Beantwortung des Schreibens des Beschwerdegegners vom 22. September 2014 aus, dass es keinen konkreten Anlass eines Kontakts mit dem Land Steiermark für seine Anfrage gebe. Weiters war der Beschwerdeführer nicht bereit, die Datenanwendungen zu bezeichnen bzw. einzuschränken, bezüglich derer er Auskunft wünschte, weil er nicht wissen könne, in welchen Registern Daten gespeichert seien könnten und die Anfrage genau darauf abziele, Datenspeicherungen zu seiner Person in Erfahrung zu bringen, die er bisher nicht kenne. Daher sei es nicht zumutbar, dass er die Abfrage auf einzelne Register beschränke.
3.1. Ausgehend davon kann nicht in Abrede gestellt werden, dass der Beschwerdeführer, wie in seiner Stellungnahme vor der Datenschutzbehörde vom 25. Jänner 2015 vorgebracht, sein Wissen um die Art der Beziehung zum Auftraggeber insofern bekanntgegeben und sohin der Mitwirkungspflicht insofern Folge geleistet hat, als er darlegte, keine konkrete Kenntnis über ihn betreffende Datenspeicherungen durch den Beschwerdegegner und somit über eine derartige Beziehung zum Beschwerdegegner zu haben.
3.2. Allerdings vertritt die Datenschutzbehörde die Auffassung, dass es dem Beschwerdeführer angesichts der im Registerauszug angeführten Datenanwendungen, die zum großen Teil auf einen bestimmten Beruf bzw. ein bestimmtes Anstellungsverhältnis, den Gesundheitszustand, den Wohnort, die Freizeitgestaltung etc. des betroffenen Personenkreises abstellen, sehr wohl möglich und zumutbar war, anhand seiner konkreten Lebensumstände das Auskunftsbegehren auf bestimmte Datenanwendungen einzuschränken bzw. bestimmte Datenanwendungen davon auszuschließen, um im Rahmen seiner Mitwirkungspflicht gemäß § 26 Abs. 3 DSG 2000 den notwendigen Suchaufwand möglichst zu begrenzen.
3.3. Dem Beschwerdegegner ist somit beizupflichten, dass der Beschwerdeführer seiner Mitwirkungspflicht gemäß § 26 Abs. 3 DSG 2000 nicht im vom Gesetzgeber geforderten zumutbaren Ausmaß nachgekommen ist, sodass eine Suche in allen 106 Datenanwendungen des Beschwerdegegners – auch unter dem Gesichtspunkt des fehlenden zentralen Zugriffs auf alle seine Datenanwendungen im Zusammenhalt mit dem dargelegten Zeiterfordernis sowie des dargelegten notwendigen internen, kaskadenartigen Arbeitsvorganges des Beschwerdegegners – wohl nur mit einem ungerechtfertigten und unverhältnismäßigen Aufwand verbunden wäre. Folglich hat der Beschwerdegegner mit Schreiben vom 27. Oktober 2014 zu Recht von der Erteilung der Auskunft abgesehen.
4. Eine Verletzung des Rechts auf Auskunft gemäß § 26 DSG 2000 durch den Beschwerdegegner konnte daher nicht festgestellt werden, weshalb spruchgemäß zu entscheiden war.
Rückverweise
