GZ: DSB-D123.223/0007-DSB/2018 vom 26.11.2018
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Mag. Erwin A*** (Beschwerdeführer), vertreten durch Dr. Johann B***, Rechtsanwalt in **** Wien, vom 13. Juli 2018 gegen die N*** Drogerie- und Parfümeriemärkte Ges.m.b.H. (Beschwerdegegnerin), vertreten durch E*** Rechtsanwälte Ges.m.b.H. in **** Wien, wegen Verletzung im Recht auf Auskunft wie folgt:
- Die Beschwerde wird abgewiesen .
Rechtsgrundlagen : § 24 Abs. 1 und 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 12 Abs. 3, 15 und 77 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 199 S. 1.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
Mit Eingabe vom 13. Juli 2018 (protokolliert zur GZ D123.223) behauptete der Beschwerdeführer eine Verletzung im Grundrecht auf Datenschutz, stützte sich auf Art. 6 DSGVO und rügte eine Verletzung der Informationspflicht, wobei er jeweils mehrere Beschwerdegegner bezeichnete.
Dem Mangelbehebungsauftrag vom 27. Juli 2018 entsprechend erhob der Beschwerdeführer mit Schreiben vom 27. August 2018 weitere Beschwerden, die zu den GZlen D123.482, D123.483 und D123.484 sowie D123.485 protokolliert wurden.
In der gegenständlichen Beschwerde behauptete der Beschwerdeführer eine Verletzung im Recht auf Auskunft und brachte dazu im Wesentlichen vor, er habe einen Antrag auf Auskunft am 11. Juni 2018 per E-Mail an die Beschwerdegegnerin gerichtet. Mit Schreiben vom 27. Juni 2018 habe Rechtsanwalt Dr. E*** die Anfrage des Beschwerdeführers unter Anschluss eines Datenauszuges der F*** Warenhandels AG beantwortet. Dem Schreiben sei zu entnehmen, dass der Beschwerdeführer nicht Mitglied im Kundenklub der Beschwerdegegnerin sei und daher keine zur Auskunft relevanten Daten vorliegen würden. Diese Antwort werde vom Beschwerdeführer als Verweigerung und nicht als bloßes Versehen qualifiziert, dies insbesondere im Hinblick auf die enorme Unternehmensgröße der Beschwerdegegnerin. Der Beschwerdeführer verfüge über eine „N***-CARD“ und habe diese u.a. am 11. Juli 2018 auch erfolgreich nutzen können. Es sei daher völlig unverständlich, warum die Beschwerdegegnerin ihrer Auskunftspflicht nicht nachkomme. Durch die Auskunftsverweigerung werde der Beschwerdeführer in seinem Recht auf Auskunft gemäß Art. 15 DSGVO hinsichtlich seiner personenbezogenen Daten verletzt.
Auf Ersuchen der Beschwerdegegnerin wurde die Frist zur Abgabe einer Stellungnahme durch die Datenschutzbehörde bis zum 5. November 2018 erstreckt.
Mit Stellungnahme vom 2. November 2018 teilte die Beschwerdegegnerin mit, dass die behauptete Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO nachträglich beseitigt worden sei. Richtig sei, dass dem Beschwerdeführer mit Schreiben vom 27. Juni 2018 die Auskunft erteilt worden sei, dass der Beschwerdegegnerin keine Mitgliedschaft des Beschwerdeführers an ihrem Kundenbindungsprogramm bekannt sei. Im Zuge des verfahrensgegenständlichen Beschwerdeverfahrens sei der Beschwerdegegnerin nun bekannt geworden, dass der Beschwerdeführer Teilnehmer des Kundenbindungsprogrammes der Beschwerdegegnerin sei. Dementsprechend verarbeite die Beschwerdegegnerin personenbezogene Daten des Beschwerdeführers, insbesondere zur Durchführung dieses Kundenbindungsprogrammes. Nach Bekanntwerden dieser neuen Information habe die Beschwerdegegnerin die Erteilung der richtigen Auskunft an den Beschwerdeführer veranlassen. Mit Schreiben vom 30. Oktober 2018 habe die Beschwerdegegnerin den Antrag des Beschwerdeführers auf Auskunft richtig und vollständig beantwortet.
Mit Schreiben vom 19. November 2018 teilte die Datenschutzbehörde dem Beschwerdeführer unter Verweis auf § 24 Abs. 6 DSG mit, dass sie durch die Reaktion der Beschwerdegegnerin die gegenständliche Beschwerde als gegenstandslos betrachte. Der Beschwerdeführer erhalte innerhalb einer Frist von zwei Wochen im Rahmen des Parteiengehörs gemäß § 45 Abs. 3 AVG die Möglichkeit zu begründen, warum er die ursprüngliche Rechtsverletzung (keine Auskunftserteilung) zumindest teilweise nach wie vor als nicht beseitigt erachte.
Mit Schreiben vom 21. November 2018 teilte der Beschwerdeführer mit, „wenn innerhalb dieser Frist (gemeint: Art. 12 Abs. 3 DSGVO) keine Reaktion auf das Auskunftsbegehren erfolgt, liegt jedenfalls eine Verletzung des Auskunftsrechts vor.“ Es werde daher ausdrücklich festgehalten, dass die Beschwerdegegnerin ihrer Auskunftspflicht erst nach Einbringen der gegenständlichen Beschwerde und damit verspätet nachgekommen sei, weshalb die Rechtsverletzung zweifelsfrei feststehen. Es habe daher seitens der Beschwerdegegnerin ein grobes Organisationsverschulden vorgelegen.
Zur Wahrung seiner berechtigten Interessen begehrte der Beschwerdeführer daher, dass die Datenschutzbehörde mit der beabsichtigten Einstellung des Verfahrens die Nichterteilung der Auskunft gemäß Art. 15 DSGVO seitens der Beschwerdegegnerin (wegen Organisationsverschuldens – zumindest – auf Grund grober Fahrlässigkeit auf Seiten der Beschwerdegegnerin), in eventu, die Nichterteilung der Auskunft gemäß Art. 15 DSGVO seitens der Beschwerdegegnerin vor Erhebung der Beschwerde (wegen Organisationsverschuldens – zumindest – auf Grund grober Fahrlässigkeit auf Seiten der Beschwerdeführerin), in eventu die (deutlich) verspätete Erteilung der Auskunft gemäß Art. 15 DSGVO (wegen Organisationsverschuldens – zumindest – auf Grund grober Fahrlässigkeit auf Seiten der Beschwerdegegnerin), feststellt.
B. Beschwerdegegenstand
Gegenständlich stellt sich die Frage, ob der Beschwerdeführer dadurch in seinem Recht auf Auskunft verletzt wurde, weil sein Auskunftsbegehren verspätet, jedoch vor Abschluss des Verfahrens vor der Datenschutzbehörde, beantwortet wurde.
C. Sachverhaltsfeststellungen
Mit Schreiben vom 11. Juni 2018 forderte der Beschwerdeführer die Beschwerdegegnerin auf, ihm Auskunft über die Verarbeitung seiner personenbezogenen Daten gemäß Art. 15 DSGVO zu erteilen.
Mit Schreiben vom 27. Juni 2018 übermittelte die rechtsfreundlich vertretene Beschwerdegegnerin die Auskunft der F*** Warenhandels AG. Darüber hinaus wurde im Schreiben ausgeführt, dass weitere Mitgliedschaften an anderen Kundenclubs (z.B. Z*** und N***) nicht bekannt seien.
Mit Schreiben vom 30. Oktober 2018 beantwortete die Beschwerdegegnerin das Auskunftsbegehren des Beschwerdeführers vom 11. Juni 2018.
Beweiswürdigung : Die getroffenen Feststellungen beruhen auf dem insofern unstrittigen Vorbringen der Parteien sowie auf dem Akteninhalt.
D. In rechtlicher Hinsicht folgt daraus:
Der Beschwerdegegner hat sein Auskunftsbegehren am 11. Juni 2018 an die Beschwerdegegnerin übermittelt. Die einmonatige Frist des Art. 12 Abs. 3 Satz 1 DSGVO hat demnach am 11. Juli 2018 geendet.
Art. 15 DSGVO regelt das Auskunftsrecht der betroffenen Person sowie die damit verbundenen Mitteilungen und Maßnahmen des Verantwortlichen. Die betroffene Person kann eine Bestätigung darüber verlangen, ob ihre personenbezogenen Daten verarbeitet wurden. Im Falle einer Verarbeitung hat die betroffene Person einen Anspruch auf Auskunft über die personenbezogenen Daten sowie nähere in Abs. 1 lit. a bis h leg. cit definierte Informationen. Zweck der Norm ist es, der betroffenen Person einen Einblick in das „Ob und Wie“ der Verarbeitung (Art. 4 Z 2 DSGVO) von personenbezogenen Daten zu ermöglichen. Eine faire und transparente Verarbeitung speist sich nicht zuletzt aus der Möglichkeit für die betroffene Person, sich problemlos und in angemessenen Abständen (vgl. ErwGr. 63) nicht nur über die Existenz des Verarbeitungsvorgangs und seine Zwecke (ErwGr. 60) zu informieren, sondern insbesondere auch über verschiedene weitere, mit der Verarbeitung zusammenhängende Absichten und Rechtsfolgen. Hierdurch soll der betroffenen Person die Überprüfung der Rechtmäßigkeit der Verarbeitung eröffnet werden. Das Auskunftsrecht bzw. die damit verbundenen Mitteilungen und Maßnahmen dienen damit auch einer effektiven Rechtsdurchsetzung (vgl. Paal in Paal/Pauly , Datenschutz-Grundverordnung, Art. 15, Rz 3).
Ziel des auf Art. 15 DSGVO gestützten Beschwerdeverfahrens ist es, Auskunft über die Verarbeitung personenbezogener Daten durch den Beschwerdegegner zu erhalten. Demgemäß hat der österreichische Gesetzgeber für Verantwortliche im § 24 Abs. 6 DSG die Möglichkeit geschaffen, behauptete Rechtsverletzungen bis zum Abschluss des Verfahrens vor der Datenschutzbehörde zu beseitigen.
Dem Beschwerdevorbringen ist zu entnehmen, dass dem Auskunftsbegehren des Beschwerdeführers, wenn auch verspätet, entsprochen worden ist. Ein Vorbingen, wonach die Auskunft mangelhaft erteilt worden ist, ist der Beschwerde nicht zu entnehmen.
Damit ist der Beschwerdeführer aber klaglos gestellt, weil er über die begehrten Informationen unstrittig verfügt.
Zum Vorbringen, wonach die Auskunft nicht innerhalb der Frist des Art. 12 Abs. 3 DSGVO erteilt worden ist, ist festzuhalten, dass aus Art. 77 DSGVO (iVm § 24 DSG) lediglich das Recht ableitbar ist, Beschwerde an eine Aufsichtsbehörde zu erheben und dadurch die Durchsetzung subjektiver Rechte – nötigenfalls mittels behördlichem Leistungsauftrag – zu ermöglichen. Ein Recht auf Feststellung , dass die Auskunft zu spät erteilt worden ist, kann dieser Bestimmung jedoch nicht entnommen werden (vgl. dazu zur insoweit vergleichbaren Rechtslage nach dem DSG 2000 das Erkenntnis des Verwaltungsgerichtshofes vom 27. September 2007, Zl. 2006/06/0330, mwN).
Vor diesem Hintergrund war spruchgemäß zu entscheiden.
Rückverweise
