DSB-D122.844/0006-DSB/2018 vom 21.6.2018
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.
Spruch neu gefasst gemäß Erkenntnis des Bundesverwaltungsgerichts vom 24.5.2019, GZ: W258 2205602-1/8E.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Herrn Alfred A*** (Beschwerdeführer) vom 22. Jänner 2018 gegen die N*** Bank AG (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wie folgt:
1. Es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, indem sie ihm, über seine Anfrage vom 28.11.2017, ihm Auskunft über seine Daten, nämlich Überweisungen an die Hausverwaltung "XXXX" sowie die Hausverwaltung "XXXX" der vergangenen 5 Jahre zu gewähren, keine Auskunft erteilt hat.
2. Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von zwei Wochen bei sonstiger Exekution Auskunft gemäß Art. 15 DSGVO zu erteilen.
Rechtsgrundlagen : §§ 32 ff des Zahlungsdienstegesetzes 2018 – ZaDiG 2018, BGBl. I Nr. 17; §§ 24 und 69 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 5 Abs. 1 lit. e, Art. 15, Art. 12 Abs. 5 lit. a, Art. 55 Abs. 1, Art. 56 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c und Art. 77 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 S. 1.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1) Mit Eingabe vom 22. Jänner 2018 rügte der Beschwerdeführer, dass er von der Beschwerdegegnerin Überweisungsnachweise der letzten fünf Jahre benötige und lediglich Überweisungsnachweise, welche nicht länger als ein Jahr zurückdatieren, einsehen könne. Daraufhin ersuchte der Beschwerdeführer die Beschwerdegegnerin um Übermittlung der Nachweise für die anderen Jahre. Die Beschwerdegegnerin hätte aber die Zurverfügungstellung der Überweisungsnachweise mit EUR 30,-- pro Jahr vergebührt. Der Beschwerdeführer hätte daraufhin ein datenschutzrechtliches Auskunftsbegehren gestellt und bis Ablauf der Frist keine Auskunft bekommen.
2) Mit Aufforderung zur Stellungnahme vom 29. Jänner 2018, GZ: DSB-D122.844/0001-DSB/2018, forderte die Datenschutzbehörde die Beschwerdegegnerin auf, die Rechtsverletzung zu beseitigen und eine Auskunft direkt an den Beschwerdeführer zu erteilen bzw. gegebenfalls Stellung zu nehmen. Die Beschwerdegegnerin führte mit Eingabe vom 10. Februar 2018 aus, dass Duplikatskontoauszüge, die nicht mittels e**Banking elektronisch abgefragt werden könnten, laut Aushang mit EUR 30,-- verrechnet würden.
3) Die Datenschutzbehörde räumte dem Beschwerdegegner mit Erledigung vom 23. Februar 2018, GZ: DSB-D122.844/0002-DSB/2018, rechtliches Gehör ein. Der Beschwerdeführer nahm mit Eingabe vom 14. März 2018 Stellung und führte zusammengefasst aus, dass eine datenschutzrechtliche Auskunft grundsätzlich kostenlos zu erteilen wäre und nach der Rechtsprechung der Datenschutzbehörde lediglich tatsächlich anfallende Kosten zum Ersatz vorgeschrieben werden könnten. Im vorliegenden Fall sei nicht ersichtlich, wie die vorgeschriebenen Kosten zustande kämen und er beantragte, dementsprechend die Kosten festzustellen und der Beschwerdegegnerin aufzutragen, dem Auskunftsbegehren nachzukommen.
4) Mit einer weiteren Aufforderung zur Stellungnahme vom 18. April 2018, GZ: DSB D122.844/0003 DSB/2018, teilte die Datenschutzbehörde mit, dass Kostenersatz nur für tatsächlich anfallende Kosten vorgeschrieben werden könne und dass die Beschwerdegegnerin darlegen möge, wie sich die verlangten Kosten zusammensetzen würde.
5) Mit Eingabe vom 30. April 2018 führte die Beschwerdegegnerin aus, dass sie bereits aus der Verpflichtung des ZaDiG heraus dem Beschwerdeführer eine kostenlose Auskunft erteilt hätte und aufgrund dieser spezialgesetzlichen Regelung dem Beschwerdeführer keine weitere kostenlose Auskunft zustehe. Diesbezüglich hätte auch die Datenschutzbehörde in ihrer Rechtsprechung das Vorliegen einer Schikane in dem Fall, wo die Daten noch elektronisch mittels e**Banking einsehbar wären, bejaht. Des Weiteren habe der OGH in 6 Ob 25/90 eine Schikane hinsichtlich jener Daten, die schon vor dem Auskunftsbegehren in Kontoauszügen mitgeteilt worden wären, bejaht. Darüber hinaus sehe das ZaDiG, in Umsetzung der Zahungsdienste-RL der Datenschutz-RL gleichrangig, vor, dass an die wiederholte Zurverfügungstellung von Informationen Entgelte geknüpft werden könnten. Das Entgelt sei jedenfalls angemessen. Die Beschwerdegegnerin verwies auch die Bestimmungen des nach dem 25. Mai 2018 geltenden Art. 12 Abs. 5 lit. a und b DSGVO, wonach ein Entgelt verlangt werden könne. Auch könne dem Unionsgesetzgeber nicht unterstellt werden, dass die Bestimmungen des Art. 40 ff der RL 2015/2366 ohne Anwendungsbereich zu bleiben hätten und dies sei der Fall, wenn es der Beschwerdegegnerin nicht zugestanden würde, ein angemessenes Entgelt zu verrechnen. Auch seien nicht alle Zahlungsverkehrsdaten ohne weiteren Aufwand verfügbar. Es würde die Auskunft wesentliche personelle Ressourcen binden und sei die Auskunft, dort wo die Beschwerdegegnerin auf Dritt-Dienstleiter angewiesen sei, mit monetären Aufwendungen verbunden. Im vorliegenden Fall wären der Beschwerdegegnerin für das Jahr 2013 Kosten in der Höhe von EUR 9,92 entstanden.
6) Die Datenschutzbehörde gewährte dem Beschwerdeführer mit Erledigung vom 3. Mai 2018, GZ: DSB-D122.844/0005-DSB/2018, abermals rechtliches Gehör. Eine inhaltliche Stellungnahme des Beschwerdeführers ist nicht eingelangt.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Auskunft verletzt hat, indem sie auf das Auskunftsersuchen vom 28. November 2018 nicht regiert hat, sowie die Frage, ob mit dem Recht auf Auskunft auch Duplikatsauszüge verlangt werden können.
C. Sachverhaltsfeststellungen
Der Beschwerdeführer richtete ein Auskunftsbegehren am 28. November 2017 an die Beschwerdegegnerin und begehrte Auskunft über eigene Daten, speziell über Überweisungen der Jahre zurück bis 2013. Die Beschwerdegegnerin hat keine datenschutzrechtliche Auskunft erteilt und knüpft eine Auskunft an Kosten von EUR 30,-- pro Jahr. Für das Jahr 2013 fallen der Beschwerdegegnerin Kosten in der Höhe von EUR 9,92 an.
Beweiswürdigung : Beweise wurden durch die Stellungnahmen der Parteien aufgenommen. Der Sacherhalt ist insoweit unstrittig, als dass die Parteien übereinstimmend den Sachverhalt schilderten und die Klärung der tatbestandrelevanten Frage lediglich in der rechtlichen Beurteilung liegt.
D. In rechtlicher Hinsicht folgt daraus:
1. Allgemeines:
Entsprechend der ab 25. Mai 2018 geltenden Rechtslage war das bisher nach § 31 DSG 2000, BGBl. I Nr. 165/1999 idF BGBl. I Nr. 83/2013, geführte Verfahren als Beschwerdeverfahren nach § 24 DSG, BGBl. I Nr. 165/1999 idgF, fortzuführen (vgl. dazu § 69 Abs. 4 DSG).
Zur Anwendbarkeit des DSG in der geltenden Fassung und der DSGVO ist auszuführen, dass es gemäß § 69 DSG keine gesetzliche angeordnete Übergangsfrist gibt und daher die Rechtslage im Zeitpunkt der behördlichen Entscheidung maßgeblich ist. Es kommt nämlich vorliegend nicht darauf an, was an einem bestimmten Stichtag oder in einem konkreten Zeitraum rechtens war, da sowohl das DSG 2000 als auch das DSG es einem Beschwerdegegner einräumen, bis zum Ende des behördlichen Verfahrens die Auskunft nachzuholen (vgl. dazu aus der stRsp des VwGH das Erkenntnis vom 28. Februar 2018, Zl. Fe 2016/06/0001 mwN). Somit ist das seinerzeitige Begehren des Beschwerdeführers, welches sich auf die damals geltende Rechtslage des § 26 DSG 2000 stützte, nach dem nunmehr anwendbaren Recht auf Auskunft nach Art. 15 DSGVO zu beurteilen und dem ZaDiG 2018 gegenüberzustellen.
2. Zur Berechtigung der Beschwerde:
Die Beschwerde ist schon deshalb berechtigt, weil die Beschwerdegegnerin unbestritten auf das datenschutzrechtliche Auskunftsbegehren nicht in der nach dem DSG bzw. der DSGVO vorgesehen Weise reagiert hat. Bereits die Nichtreaktion auf ein Auskunftsbegehren stellt eine Verletzung im Recht auf Auskunft dar (vgl. dazu den Bescheid der Datenschutzkommission vom 10. April 2013, GZ K121.924/0006-DSK/2013), weshalb der Beschwerde stattzugeben war.
Der Beschwerdeführer behauptet darüber hinaus, die Beschwerdegegnerin habe ihn im Recht auf Auskunft dadurch verletzt, dass sie (nicht nachvollziehbare) Kosten an die Auskunft über gewisse Kontoauszüge knüpfe und führte dazu die Rechtsprechung der Datenschutzkommission zur GZ: K121.394 ins Treffen, wonach das Recht auf Auskunft kostenlos zu gewähren sei und nur tatsächlich angefallene Kosten vorgeschrieben werden könnten.
Die zitierte Rechtsprechung der Datenschutzkommission bezieht sich auf die Rechtslage vor dem Inkrafttreten der DSGVO und betrifft Regelinhalte, die sich in der jetzigen Rechtslage nicht wiederfinden.
Umgelegt auf den aktuellen Fall ist daher auszuführen:
2.1. Zum Auskunftsbegehren im Verhältnis zu Informationspflichten:
Der Beschwerdeführer verlangt als datenschutzrechtliche Auskunft die (kostenlose) Bereitstellung von Informationen, über die die Beschwerdegegnerin verfügt. Die Beschwerdegegnerin vergebührt die gegenständliche Beantwortung der Auskunft, bestreitet jedoch nicht das Vorliegen eines datenschutzrechtlichen Auskunftsbegehrens. Die Beschwerdegegnerin vermeint ihren Verpflichtungen nach dem ZaDiG 2018 nachgekommen zu sein, und nimmt deshalb an, dass die Voraussetzungen des Art. 12 Abs. 5 lit. a und b DSGVO vorliegen und der Beschwerdeführer sein Recht schikanös ausübe.
Dazu ist auszuführen, dass Art. 15 DSGVO keine dem § 26 Abs. 6 DSG 2000 gleichlautende Regelung kennt, wonach das datenschutzrechtliche Auskunftsbegehren nur subsidiär zu anderen Einsichtsrechten ausgeübt werden kann. Vielmehr besteht das grundsätzliche Recht auf Auskunft gemäß Art. 15 DSGVO, soweit keine zulässige Beschränkung nach Art. 23 DSGVO vorliegt.
Gilt hingegen eine speziellere materielle Regelung nach dem Unionsrecht, so geht diese nach dem Grundsatz lex specialis derogat legis generalis vor. Die DSGVO kann nicht dahingehend interpretiert werden, als regle sie die Betroffenenrechte abschließend. Vielmehr regelt die DSGVO, ihrem Anwendungsbereich entsprechend, die Betroffenenrechte in allgemeiner Weise , wobei es nicht ausgeschlossen ist, dass in anderen Rechtsakten der Union speziellere Regelungen zu den Betroffenenrechten vorgesehen sind (vgl. dazu bspw. Art. 12 ff der Richtlinie (EU) 2016/680; Art. 41 der Verordnung (EG) Nr. 1987/2006 oder Art. 37 der Verordnung (EG) Nr. 767/2008).
Da im vorliegenden Fall das ZaDiG 2018 (das in Umsetzung der Richtlinie (EU) 2015/2366 erlassen wurde) kein spezielles Auskunftsrecht normiert, kann dadurch auch auf das Recht zur allgemeinen datenschutzrechtlichen Auskunft über eigene Daten nicht beschränkt werden. Die genannte Richtlinie verweist im Gegenteilt auf die Richtlinie 95/46/EG (Datenschutz-RL), welche für die Verarbeitung personenbezogener Daten maßgeblich ist (ErwGr. 89, Art. 95 der RL (EU) 2015/2366). Gemäß Art. 94 Abs. 2 DSGVO gelten Verweise auf die Datenschutz-RL als Verweise auf die DSGVO.
2.2. Zum Umfang der datenschutzrechtlichen Auskunft:
Der Beschwerdeführer verlangt in seinem Auskunftsbegehren die Bereitstellung von „Kontoauszügen“ für den Zeitraum von 2013 – 2018:
„Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können […]“ (Erwägungsgrund 63 DSGVO)
Dem Beschwerdeführer steht es zu, eine kostenlose Kopie der zu überprüfenden personenbezogenen Daten zu erhalten, wobei das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf (Art. 15 Abs. 3 und 4 DSGVO).
Der Beschwerdeführer kann das Recht auf Auskunft geltend machen, um die ihn betreffende Datenverarbeitung zu überprüfen. Da Zahlungsbelege üblicherweise weit mehr als personenbezogene Daten der betroffenen Person, in diesem Fall des Beschwerdeführers, beinhalten, kann das datenschutzrechtliche Auskunftsrecht auch nur so weit gehen, als, dass es dem Zweck der Überprüfung der Rechtmäßigkeit der Datenverarbeitung entspricht (vgl. das Urteil des EuGH vom 17. Juli 2014 in den verbundenen Rechtssachen C-141/12 und C 372/12).
Die Beschwerdegegnerin hat daher den Beschwerdeführer betreffende personenbezogene Daten dem Auskunftsbegehren folgend, unter Berücksichtigung der Einschränkung des Art. 15 Abs. 4 DSGVO, offenzulegen.
Auch dem Eventualargument, der Beschwerdeführer gehe schikanös vor und die Beschwerdegegnerin mache berechtigter Weise von ihrem Recht Art. 12 Abs. 5 lit. a DSGVO von Vorschreibung von Kosten bei exzessiven Auskunftsbegehren Gebrauch, kann nicht gefolgt werden.
Die Beschwerdegegnerin bezieht sich in ihrer Stellungnahme auf ein allgemeines Schikaneverbot und führt dazu aus, der OGH habe ein solches bejaht und dass mit Art. 12 Abs. 5 lit. a und b DSGVO ebenfalls schikanöse Rechtsausübung entgegengewirkt werden soll.
Dazu ist zu allererst auszuführen, dass die österreichische Judikatur das Vorliegen eines „allgemeinen Schikaneverbots“ verneint und lediglich eine Rechtsausübung, welche gegen die guten Sitten des § 1295 Abs. 2 ABGB verstößt, verpönt ist (vgl. dazu 2 Ob 576/55, 3 Ob 520/51 uaN, s. dazu aber auch OGH in der Entscheidung vom 10. Juli 1986, 6 Ob 12/85 = SZ 59/123 = RdW 1986, 306 = JBl 1986, 643).
Was aber einen davon unterschiedlich zu beurteilenden speziellen Anspruch der Beschwerdegegnerin (des Verantwortlichen) gemäß Art. 12 Abs. 5 lit. a und b DSGVO betrifft, wird ihr zugestanden, dass im Falle der offenkundig unbegründeten bzw. exzessiven Rechtsausübung ein Anspruch auf Vorschreibung von Kosten oder ein „Verweigerungsrecht“ zustünde.
Der Gesetzgeber geht dabei arg. „ insbesondere im Fall häufiger Wiederholung “ davon aus, dass eine gewisse Intensität vorliegen muss, die es dem Verantwortlichen unzumutbar machen würde, das grundsätzlich anlasslose subjektive Kontrollrecht gegen sich gelten lassen zu müssen ( Leiter in Gantschacher/Jelinek/Schmidl/Spanberger , Kommentar zur Datenschutz-Grundverordnung 1 2017, zu Art. 12; siehe auch den Bescheid der DSK vom 14.9.2012, GZ K121.830/0008-DSK/2012).
Der Beschwerdeführer übt das Auskunftsrecht zum ersten Mal gegenüber der Beschwerdegegnerin aus und verlangt sehr spezifische Daten. Hier wird auch berücksichtigt, dass der Beschwerdeführer nur eine Auskunft über Daten verlangt, die er selbst nicht mehr über das e**Banking einsehen kann und deswegen die Mitwirkung der Beschwerdegegnerin erforderlich ist.
Der Beschwerdeführer hat sohin bei der Ausübung seines Auskunftsrechts kein Verhalten gesetzt, welches es der Beschwerdegegnerin unzumutbar machen würde, ohne Vorschreibung von Kosten tätig zu werden, oder sich zu weigern die Auskunft zu erteilen.
Es war daher spruchgemäß zu entscheiden.
Mit Erkenntnis vom 24.5.2019, GZ: W258 2205602-1/8E , hat das Bundesverwaltungsgericht (BVwG) die gegen diesen Bescheid erhobene Beschwerde abgewiesen, jedoch den Spruchpunkt 1. inhaltlich neu gefasst. Die ordentliche Revision an den Verwaltungsgerichtshof (VwGH) ist für zulässig erklärt worden.
Rückverweise
RIS