GZ: DSB-D123.076/0003-DSB/2018 vom 31.10.2018
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Walter A*** (Beschwerdeführer) vom 25. Juni 2018 gegen die N*** Wasservertriebs GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung und wegen Verletzung der Informationspflicht wie folgt:
1. Der Beschwerde wird stattgegeben und es wird festgestellt, dass
a) Die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzte, indem sie seine Handynummer zu Werbemaßnahmen verwendete, und
b) die Beschwerdegegnerin ihre Informationspflicht nach Art. 14 Abs. 1 und Abs. 2 lit. a bis e und g DSGVO verletzte.
2. Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution eine vollständige Mitteilung gemäß Art. 14 DSGVO hinsichtlich jener Informationen, die dem Beschwerdeführer nicht bereits im Rahmen dieses Verfahrens zur Kenntnis gebracht wurden, zu erteilen.
Rechtsgrundlagen : §§ 1 Abs. 1 und 2, 24 Abs. 1 und 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 14, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Datenschutz-Grundverordnung (DSGVO), ABl. Nr. L 119 vom 4.5.2016, S. 1.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit Eingabe vom 20. Juni 2018 (ha. eingelangt am 25. Juni 2018) behauptete der Beschwerdeführer einen Verstoß gegen Art. 5, Art. 7, Art. 13 sowie Art. 14 DSGVO und brachte vor, dass die Beschwerdegegnerin diesen am 20. Juni 2018 telefonisch kontaktiert habe, um einen Wasserspender zu verkaufen. Auf die Frage des Beschwerdeführers, woher die Beschwerdegegnerin seine Handynummer habe, habe er keine Auskunft erhalten.
2. Mit Stellungnahme vom 30. Juli 2018 brachte die Beschwerdegegnerin zusammengefasst vor, dass am 20. Juni 2018 tatsächlich ein Telefonat zwischen ihr und dem Beschwerdeführer stattgefunden habe. Es läge jedoch keine Verletzung der Grundsätze für die Verarbeitung personenbezogener Daten, noch ein Verstoß gegen die Informationspflichten vor. Der Fokus läge im Großhandel und auf dem Vertragsabschluss mit Unternehmen bzw. Organisationen. Die Beschwerdegegnerin habe die auf der Website des Landesverbandes des „**** psychologischen Hilfsverbands“ (http://www.****hv.at) kundgemachte Telefonnummer angerufen. Diese Nummer weise keinerlei Bezug auf eine bestimmte oder bestimmbare natürliche Person auf. Die Nummer sei ein Datum, das sich nicht auf eine natürliche Person, sondern auf eine Organisation beziehe. Jedoch könnten nur natürliche Personen Betroffene iSd DSGVO sowie des DSG sein. Selbst wenn der Beschwerdeführer eine betroffene Person sei, läge keine Verletzung vor, da das bloße Anwählen der auf der Website veröffentlichen Nummer keine Informationspflicht nach Art. 14 DSGVO auslöse. Zwar sei die Telefonnummer der Organisation „**** psychologischer Hilfsverband“ zwar auf der Website der Organisation erhoben, jedoch weder gespeichert, noch weitergegeben, oder in anderer weitergehender Weise genutzt worden. Der Umstand, dass bei einem einmaligen Telefonanruf dem Gesprächspartner zunächst eine Vielzahl an Informationen mitgeteilt werden müsste, die alle nicht relevant wären, um das eigentliche Gespräch beginnen zu können, würde die Anforderungen der DSGVO bei Weitem überspannen. Die Beschwerdegegnerin habe im Übrigen ihr Unternehmen sowie den Zweck des Anrufes ordnungsgemäß genannt.
3. In seiner Stellungnahme vom 9. August 2018 entgegnete der Beschwerdeführer , dass es sich bei der auf der Website angegebenen Handynummer um eine Anrufmöglichkeit bzw. eine Kontaktmöglichkeit für Betroffene handle, um sich beraten zu lassen. Auch sei auf der Website ersichtlich, dass es sich hierbei um eine Website für Menschen mit seelischen Problemen handle. Telefonwerbung sei in Österreich verboten. Ferner habe die Beschwerdegegnerin behauptet, dass der Beschwerdeführer bereits ein Produkt von ihr habe, was jedoch nicht stimmen würde.
B. Beschwerdegegenstand
Ausgehend vom Vorbringen des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem sie seine Handynummer zu Werbemaßnahmen verwendete.
Darüber hinaus stellt sich die Frage, ob die Beschwerdegegnerin ihre Informationspflicht verletzt hat, indem sie dem Beschwerdeführer im Rahmen dieser telefonischen Kontaktaufnahme keine (vollständige) Information erteilt hat.
C. Sachverhaltsfeststellungen
1. Die Beschwerdegegnerin erhob eine Handynummer auf der Website des Landesverbandes des „**** psychologischen Hilfsverbands“, http://www.****hv.at/.
2. Die URL http://www.****hv.at/gestaltet sich auszugsweise wie folgt (Formatierung nicht 1:1 wiedergegeben):
[Anmerkung Bearbeiter: Der hier im Original als Faksimile wiedergegebene Teil der Website des ****HV kann für Zwecke der Rechtsdokumentation nicht mit vertretbarem Aufwand pseudonymisiert wiedergegeben werden. Zusammengefasst handelt es sich um die Website einer gemeinnützigen Organisation, die Hilfe für Menschen mit psychischen Erkrankungen, seelischen und psychosozialen Problemen anbietet. Der Beschwerdeführer scheint dort mit Foto als „Obmann“ und Kontaktperson auf.]
3. Klickt man auf den neben dem Bild des Beschwerdeführers befindlichen Link „Lesen Sie hier weiter“, gelangt man auf das Profil des Beschwerdeführers mit der URL http://www.****hv.at/****.html. Diese gestaltet sich auszugsweise wie folgt (Formatierung nicht 1:1 wiedergegeben):
[Anmerkung Bearbeiter: Der hier im Original als Faksimile wiedergegebene Teil der Website des ****HV kann für Zwecke der Rechtsdokumentation nicht mit vertretbarem Aufwand pseudonymisiert wiedergegeben werden. Zusammengefasst handelt es sich um eine Selbstbeschreibung mit Foto unter Angabe einer allgemeinen E-Mail-Adresse des ****HV und einer Mobiltelefonnummer des Beschwerdeführers.]
Beweiswürdigung : Die getroffenen Feststellungen beruhen auf der insofern unstrittigen Eingabe des Beschwerdeführers vom 20. Juni 2018, auf der Stellungnahme der Beschwerdegegnerin vom 30. Juli 2018 sowie auf einem Abruf der URLS http://www.****hv.at/ und http://www.****hv.at/****.html am 31. Oktober 2018.
4. Die Beschwerdegegnerin kontaktierte den Beschwerdeführer telefonisch ohne Vorliegen einer Einwilligung, um ihre Produkte zu verkaufen bzw. anzubieten. Der Beschwerdeführer verlangte im Rahmen des telefonischen Gesprächs die Information, aus welcher Quelle die Beschwerdegegnerin diese Handynummer habe. Die Beschwerdegegnerin teilte diese Information nicht mit.
Beweiswürdigung : Die getroffenen Feststellungen beruhen auf der Eingabe des Beschwerdeführers vom 20. Juni 2018. Die Beschwerdegegnerin bestritt dies in ihrer Stellungnahme vom 30. Juli 2018 auch nicht, sondern führte bloß ins Treffen, dass eine Information über „unser Unternehmen und den Zweck des Anrufes“ – sohin gerade nicht aus welcher Quelle die Handynummer bezogen wurde – genannt wären.
D. In rechtlicher Hinsicht folgt daraus:
D. 1 Zur Zuständigkeit der Datenschutzbehörde
Einleitend ist zu bemerken, dass Anrufe zu Werbezwecken ohne vorherige Einwilligung des Teilnehmers („Unerbetene Nachrichten“) nach der Bestimmung von § 107 Abs. 1 TKG 2003 (die Art. 13 der Richtlinie 2002/58/EG umsetzt) zu beurteilen und eine entsprechende Verwaltungsstrafe gemäß § 109 Abs. 4 Z 8 TKG 2003 ggf. von der zuständigen Fernmeldebehörde zu verhängen ist.
Diesbezüglich hat sich die Rechtslage auch mit Geltung der DSGVO seit 25. Mai 2018 nicht verändert (vgl. Art. 95 DSGVO, wonach die Verordnung natürlichen oder juristischen Personen in Bezug auf die Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen in der Union keine zusätzlichen Pflichten auferlegt, soweit sie besonderen in der Richtlinie 2002/58/EG festgelegten Pflichten unterliegen, die dasselbe Ziel verfolgen).
Dies bedeutet jedoch nicht, dass dem Beschwerdeführer keine Datenschutzbeschwerde gemäß § 24 Abs. 1 DSG bzw. Art. 77 Abs. 1 DSGVO zusteht. Zwar richtet sich die Zulässigkeit des Anrufs zu Werbezwecken - wie dargelegt - nach den Bestimmungen des TKG 2003, insofern ist eine Beurteilung der Rechtmäßigkeit der Verarbeitung iSv Art. 6 DSGVO ausgeschlossen. Jedoch kann durch einen Verstoß gegen das TKG 2003 gleichzeitig sehr wohl eine Verletzung des Rechts auf Geheimhaltung nach § 1 Abs. 1 DSG und auch eine Verletzung jener Bestimmungen der DSGVO vorliegen, die dem Verantwortlichen gerade keine zusätzlichen Pflichten iSv Art. 95 DSGVO auferlegen.
D. 2 Zur Verletzung des Rechts auf Geheimhaltung
a) Personenbezogenes Datum
Wie von der Beschwerdegegnerin selbst vorgebracht wurde die Handynummer auf der Website des Landesverbandes des „**** psychologischen Hilfsverbands“ (****HV) erhoben und sodann verwendet, um diesen zu kontaktieren.
Sofern die Beschwerdegegnerin vorbringt, dass es sich aus ihrer Sicht um gar kein personenbezogenes Datum des Beschwerdeführers handle, sondern sie lediglich einen Vertragsabschluss mit dem ****HV bezweckt habe, ist ihr entgegen zu halten, dass es gerade nicht auf die Intention des Verantwortlichen ankommt, Daten in bestimmter Weise zu verwerten. Ebenso wenig stellt § 1 Abs. 1 DSG auf ein Verschulden des Verantwortlichen ab. Vielmehr ist hinsichtlich der Frage, ob ein personenbezogenes Datum vorliegt, darauf abzustellen, ob mit einem vertretbaren und rechtlich zulässigen Aufwand eine Identifizierung möglich ist (vgl. dazu das Urteil des EuGH vom 19. Oktober 2016, C-582/14, Rz. 43 ff).
Im gegenständlichen Fall befindet sich das „Profil“ des Beschwerdeführers unterhalb der angegebenen Telefonnummer auf der URL http://www.****hv.at/. Auf dem Profil des Beschwerdeführers mit der URL http://www.****hv.at/****.html ist erkennbar, dass es sich hierbei um die Handynummer des Beschwerdeführers und im Ergebnis somit um ein personenbezogenes Datum handelt („Walter A*** – Mobil 06** / 1*2*3**45“). Der Umstand, dass diese Handynummer offenbar auch bedürftigen Personen als „Beratungsnummer“ dient, schadet dabei nicht.
b) In der Sache
Im gegenständlichen Fall ist zunächst zu bemerken, dass sich der Beschwerdeführer zwar auf eine Verletzung der Art. 5 und Art. 7 DSGVO (sohin eine mangelnde Einwilligung) stützte, die Betroffenenrechte jedoch in Kapitel III DSGVO (Art. 12 bis 23) taxativ aufgezählt werden. Nach Rechtsprechung der Datenschutzbehörde kann sich eine betroffene Person dem Grunde nach trotzdem auf jede Bestimmung der DSGVO stützen, sofern dies im Ergebnis zu einer denkmöglichen Verletzung des Rechts auf Geheimhaltung nach § 1 Abs. 1 DSG führen kann (vgl. DSB vom 13. September 2018, DSB-D123.070/0005-DSB/2018, wonach ein Verstoß des Verantwortlichen gegen Art. 32 zu einer Verletzung von § 1 Abs. 1 DSG führen kann). Dementsprechend war eine Verletzung des Rechts auf Geheimhaltung zu überprüfen, das – wie dargelegt – nicht von Art. 95 DSGVO umfasst ist.
Die Beschwerdegegnerin bringt vor, dass der Beschwerdeführer (als Obmann des ****HV) die Handynummer ohnehin auf der Website veröffentlicht habe. Sie übersieht dabei jedoch, dass die Handynummer gerade nicht allgemein verfügbar gestellt wurde, um Anrufe zu Werbezwecken zu erhalten. Vielmehr dient die Handynummer als „Beratungsnummer“ für bedürftige Personen und soll gerade nicht zweckwidrig (für Werbemaßnahmen) verwendet werden.
Die generelle Annahme der Beschwerdegegnerin des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten ist mit den Bestimmungen der DSGVO nicht vereinbar (vgl. Jahnel , Handbuch Datenschutzrecht [2010] Rz 4/27, jedoch noch in Bezug auf § 8 Abs. 2 DSG 2000). Diese Sichtweise ist auch in Einklang mit den Vorgaben von § 107 Abs. 1 TKG 2003, wonach eine auf einer Homepage zur Verfügung gestellte Handynummer zu Beratungszwecken gerade nicht als Rechtsgrundlage für die Durchführung von Werbezwecken ausreichend ist, sondern ausdrücklich eine Einwilligung des Teilnehmers (bzw. in der datenschutzrechtlichen Terminologie: der betroffenen Person) verlangt wird.
Im Ergebnis ist daher festzuhalten, dass die Beschwerdegegnerin die zur Verfügung gestellte Handynummer des Beschwerdeführers zweckwidrig für Werbemaßnahmen verwendet hat, weshalb eine Verletzung im Recht auf Geheimhaltung festzustellen war.
D. 3 Zur Verletzung der Informationspflicht
a) Zu Art. 14 als subjektivem Recht
Wie bereits dargelegt, werden die Betroffenenrechte in Kapitel III DSGVO (Art. 12 bis 23) taxativ aufgezählt. Zwar wird die Bestimmung Art. 14 (Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden) nicht in Art. 12 Abs. 2 erwähnt, der lediglich festhält, dass der Verantwortliche der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22 der Verordnung (sohin nicht Art. 14) erleichtern muss.
Der europäische Gesetzgeber hat sich jedoch entschlossen, die Informationspflicht nach Art. 14 DSGVO dennoch in Kapitel III der Verordnung zu regeln und gerade nicht in Kapitel VI, der die Pflichten des Verantwortlichen und des Auftragsverarbeiters regelt. Bereits aus der Überschrift von Kapitel III („Rechte der betroffenen Person“) erhellt, dass es sich gemäß Art. 14 zwar einerseits um die Pflicht des Verantwortlichen handelt, bestimmte Informationen zur Verfügung zu stellen, jedoch andererseits auch ein Recht der betroffenen Person statuiert, diese Informationen auch zu erhalten.
Der Umstand, dass Art. 14 offenbar nicht in Art. 12 Abs. 2 DSGVO erwähnt wird, kann nur so zu verstehen sein, dass der Verantwortliche – etwa im Gegensatz zum Recht auf Auskunft oder Löschung – gerade nicht erst auf Antrag einer betroffenen Person tätig werden muss (vgl. Art. 12 Abs. 3, wonach „über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich“ zu informieren ist), sondern die Informationspflicht des Verantwortlichen antragsunabhängig zu erfüllen ist.
Vor diesem Hintergrund muss eine Verletzung der Informationspflicht nicht – so wie etwa eine Verletzung von Art. 32 DSGVO (vgl. erneut DSB vom 13. September 2018 a.a.O.) – unter § 1 Abs. 1 DSG subsumiert werden, sondern kann unmittelbar auf Basis der DSGVO als subjektives Recht geltend gemacht werden.
b) In der Sache
Im vorliegenden Fall wurden personenbezogene Daten des Beschwerdeführers (Handynummer) nicht beim Beschwerdeführer erhoben. Im Anschluss wurde die Handynummer verwendet, um den Beschwerdeführer zu Werbezwecken zu kontaktieren. Vor diesem Hintergrund wurde die Beschwerdegegnerin gemäß Art. 14 DSGVO informationspflichtig.
Gegenständlich verweigerte die Beschwerdegegnerin zunächst die seitens des Beschwerdeführers ausdrücklich im Rahmen der telefonischen Kontaktaufnahme geforderte Mitteilung der Information hinsichtlich der Quelle (was, wie ausgeführt, als subjektives Recht verlangt werden kann). Diese Information wurde im Rahmen des Verfahrens vor der Datenschutzbehörde nachträglich erteilt.
Darüber hinaus verstieß die Beschwerdegegnerin auch gegen Art. 14 Abs. 3 lit. b der Verordnung, wonach auch die weiteren Informationen nach Art. 14 DSGVO zum Zeitpunkt der ersten Mitteilung an den Beschwerdeführer zur Verfügung zu stellen sind. Selbst wenn man die telefonische Kontaktaufnahme nicht als Mitteilung versteht und somit Art. 14 Abs. 3 lit. a DSGVO zur Anwendung kommt, hätte die Beschwerdegegnerin spätestens einen Monat nach Erhebung der Daten die entsprechenden Informationen zur Verfügung stellen müssen.
Im Ergebnis war auch eine Verletzung der Informationspflicht gemäß Art. 14 DSGVO festzustellen.
Eine Frist von vier Wochen scheint angemessen, um die noch fehlenden Informationen nach Art. 14 Abs. 1 und Abs. 2 lit. a bis e und g DSGVO zu erteilen (vgl. Art. 14 Abs. 5 lit. a DSGVO).
Es war daher spruchgemäß zu entscheiden.
Rückverweise
