GZ: DSB-D216.580/0002-DSB/2018 vom 28.5.2018
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Andreas A*** (Beschwerdeführer) vom 1. November 2017 gegen den N***-Gläubigerschutzverband (Beschwerdegegner) wegen Verletzung im Recht auf Löschung in Folge Weigerung des Beschwerdegegners personenbezogene Daten des Beschwerdeführers, welche im Zuge der Kommunikation erhoben wurden, zu löschen wie folgt:
1. Der Beschwerde wird stattgegeben und wird festgestellt , dass der Beschwerdegegner den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzte, indem er dessen Antrag auf Löschung seiner personenbezogenen Daten vom 22. Juli 2017 nicht entsprochen hat.
2. Dem Beschwerdegegner wird aufgetragen , dem Antrag des Beschwerdeführers auf Löschung sämtlicher Daten unverzüglich, spätestens jedoch binnen zwei Wochen zu entsprechen und den Beschwerdeführer in weiterer Folge von der Löschung seiner Daten schriftlich in Kenntnis zu setzen.
Rechtsgrundlagen : §§ 24 und 69 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 5 Abs. 1 lit e, Art. 17 Abs. 1 lit. a und Abs. 3 lit. e, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. d und Art. 77 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 S. 1.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
Der Beschwerdeführer brachte in seiner Eingabe vom 1. November 2017 und Stellungnahme vom 17. November 2017 an die Datenschutzbehörde im Wesentlichen vor, der Beschwerdegegner habe ohne entsprechender Rechtsgrundlage sowie ohne seine Zustimmung seine Daten gespeichert. In weiterer Folge habe der Beschwerdegegner auch den Anträgen auf gänzliche Löschung seiner Daten beharrlich nicht entsprochen. Der Eingabe waren mehrere an den Beschwerdegegner gerichtete Anträge auf Löschung des Beschwerdeführers beigefügt.
Der Beschwerdegegner erwiderte mit Stellungnahme vom 9. November 2017 zusammengefasst, der Beschwerdeführer habe bereits im Jahre 2012 eine Löschung aus der Datenbank beantragt, welche auch durchgeführt worden sei. Jedoch seien die Daten des Beschwerdeführers (Vor- und Zuname, Geburtsdatum und Adresse) aus „sicher amtsbekannten Gründen“ in einem internen Arbeitsverzeichnis gemäß § 8 Abs 2 Z 5 DSG 2000 ( Bemerkung Sachbearbeiterin: offensichtlich gemeint § 8 Abs. 3 Z 5 DSG 2000) gespeichert worden. Die Speicherung der Daten sei zur häufigen Kommunikation mit dem Beschwerdeführer sowie zur Sicherstellung keiner Neuaufnahme von dessen Daten notwendig.
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner durch die Abweisung des Antrags auf Löschung des Beschwerdeführers, betreffend die Speicherung der Daten des Beschwerdeführers zu Dokumentations- und Kommunikationszwecken gegen das Recht auf Löschung verstoßen hat.
C. Sachverhaltsfeststellungen
Der Beschwerdeführer begehrte am 6. Juli 2017 die Löschung seiner Daten aus der Datenbank des Beschwerdegegners. In weiterer Folge wurden dessen Daten zwar gelöscht und dies dem Beschwerdeführer mit Schreiben vom 27. Juli 2017 mitgeteilt, jedoch gab der Beschwerdegegner dem Beschwerdeführer gegenüber bekannt, dass eine erneute Speicherung seiner Daten (Vor- und Zuname, Geburtsdatum sowie aktuelle Adresse) zu Dokumentations- und Kommunikationszwecken erfolgte. Daraufhin begehrte der Beschwerdeführer die Löschung sämtlicher Daten, da zu einer Speicherung für Dokumentations- und Kommunikationszwecken keine Rechtsgrundlage bestehe. Dem erneuten Antrag auf Löschung wurde durch den Beschwerdegegner jedoch nicht entsprochen.
Beweiswürdigung : Die getroffenen Feststellungen stützen sich auf das insofern übereinstimmende Vorbringen der Parteien.
D. In rechtlicher Hinsicht folgt daraus:
1. Rechtslage zum Zeitpunkt der Entscheidung:
Entsprechend der ab 25. Mai 2018 geltenden neuen Rechtslage war das bisher nach § 30 DSG 2000, BGBl. I Nr. 165/1999 idF BGBl. I Nr. 83/2013 geführte Kontroll- und Ombudsmannverfahren als Beschwerdeverfahren nach § 24 DSG, BGBl. I Nr. 165/1999 idgF, fortzuführen (vgl. dazu § 69 Abs. 4 DSG).
2. Zum Recht auf Löschung:
Art. 17 DSGVO lautet samt Überschrift ( Hervorhebungen durch die Datenschutzbehörde ):
Artikel 17
Recht auf Löschung („Recht auf Vergessenwerden“)
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig .
b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.
d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.
f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.
(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.
(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist
a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;
b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;
d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder
e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen .
Im vorliegenden Fall hat der Beschwerdeführer entsprechend Art. 17 Abs. 1 DSGVO verlangt, die ihn betreffenden personenbezogenen Daten unverzüglich zu löschen.
Der Beschwerdegegner stützt sich in seiner Stellungnahme gegenüber der Datenschutzbehörde auf § 8 Abs. 3 Z 5 DSG 2000, welcher nach der ab dem 25. Mai 2018 geltenden Rechtslage in Art. 17 Abs. 3 lit e DSGVO Deckung findet.
Art. 17 Abs. 3 DSGVO normiert Ausnahmetatbestände, in denen kein Recht auf Löschung nach Art. 17 Abs. 1 und Abs. 2 DSGVO besteht.
Der kurze Verweis des Beschwerdegegners auf „sicher amtsbekannte Gründe“ stellt jedoch keinesfalls einen ausreichenden Beweis dar, um die Erforderlichkeit der Verarbeitung gemäß Art. 17 Abs. 3 DSGVO zu belegen. Insbesondere die Speicherung der Daten im Hinblick auf eine eventuell zukünftige Kontaktaufnahme mit dem Beschwerdeführer, wenn dieser die Löschung seiner gesamten Daten verlangt und daraus zu schließen ist, dass eine derartige Kommunikation nicht mehr erfolgen wird, ist gemäß Art. 17 Abs. 1 lit. a DSGVO nicht notwendig. Die zeitlich unbegrenzte Speicherung von personenbezogenen Daten für eine eventuell zukünftige Kontaktaufnahme stellt außerdem eine Verletzung des Grundsatzes der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO dar.
Andere, eine fortgesetzte Datenspeicherung rechtfertigende Gründe, wurden vom Beschwerdegegner nicht vorgebracht.
Aus Sicht der Datenschutzbehörde liegt im Ergebnis daher keine erforderliche Datenverarbeitung des Beschwerdegegners nach Art. 17 Abs. 3 DSGVO vor und erweist sich der Antrag des Beschwerdeführers auf Löschung seiner personenbezogenen Daten aus den oben erörterten Gründen als berechtigt.
Für die Wiederherstellung des datenschutzkonformen Zustandes war dem Beschwerdegegner gemäß Art. 58 Abs. 2 lit d DSGVO aufzutragen, unverzüglich, spätestens jedoch binnen zwei Wochen, sämtliche Daten des Beschwerdeführers zu löschen sowie diesen über die erfolgte Löschung zu benachrichtigen.
Rückverweise
