DSB-D122.970/0004-DSB/2019 – Dsk Entscheidung

 Text

GZ: DSB-D122.970/0004-DSB/2019 vom 8.11.2019

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Roland A*** (Beschwerdeführer) aus **** V***stadt vom 4. Juni 2018 (in der Fassung der Mangelbehebung vom 7. Juni 2018) gegen die N*** Online-Services Gesellschaft mbH Co KG (Beschwerdegegnerin) aus **** D***stadt, vertreten durch die R*** T*** Rechtsanwälte Ges.m.b.H. aus **** B***, wegen Verletzung im Recht auf Löschung in Folge Ablehnung des Antrags des Beschwerdeführers vom 26. Mai 2018 auf Löschung seiner Daten durch Mitteilung vom 4. Juni 2018 wie folgt:

1. Der Beschwerde wird Folge gegeben , und es wird festgestellt , dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzt hat, dass sie seinem Antrag auf Löschung des durch den „unique identifier“ „Petra“ + „ j***@***isp.at“ bezeichneten Nutzerprofils vom 28. Mai 2018 nicht nachgekommen ist und den Beschwerdeführer stattdessen mit E-Mail vom 4. Juni 2018 aufgefordert hat, ein Formular auszufüllen und dabei seine vollständigen Namens- und Adressdaten bekanntzugeben sowie Angaben zu früheren Kontakten ( „Kundennummer, Zahlen früherer Verfahren, Personalnummer oder Vergleichbares“ ) zu machen oder nicht näher bezeichnete „Unterlagen“ zur Bescheinigung seiner Identität vorzulegen.

2. Die Beschwerdegegnerin wird angewiesen , innerhalb einer Frist von zwei Wochen bei sonstiger Exekution das durch den „unique identifier“ „Petra“ + „ j***@***isp.at“ bezeichnete Nutzerprofil mit allen damit zusammenhängend gespeicherten Daten zu löschen .

Rechtsgrundlagen : Art. 4 Z 1, 2 und 5, Art. 11 Abs. 1 und 2, Art. 12 Abs. 2, Art. 17 Abs. 1 und Art. 58 Abs. 2 lit. c der VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), Abl. L 119 vom 4.5.2016, S. 1-88 idgF (im Folgenden kurz. DSGVO), iVm § 24 Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang :

1. In seiner Beschwerde vom 4. Juni 2018 (verbessert nach Mangelbehebungsauftrag der Datenschutzbehörde durch Ergänzung vom 7. Juni 2018) brachte der Beschwerdeführer vor, die Beschwerdegegnerin erschwere (und verletze) sein Recht auf Löschung in unzumutbarer Weise dadurch, dass sie vor Durchführung der von ihm am 26. Mai 2018 per E-Mail beantragten Löschung seiner Daten durch Antwortschreiben vom 4. Juni 2018 einen Identitätsnachweis durch Ausfüllen und Unterschreiben eines umfangreichen Formulars verlangt habe. Als Grund dafür sei zu vermuten, dass die Beschwerdegegnerin bestrebt sei, einen möglichst großen Datenbestand zu behalten.

2. Die Beschwerdegegnerin , vertreten durch die R*** T*** Rechtsanwälte Ges.m.b.H. aus B***, brachte in ihrer Stellungnahme vom 25. Juni 2018 dazu vor, sie betreibe ein Kleinanzeigenportal mit mehr als 4 Millionen Usern. Zur Registrierung als User sei lediglich die Angabe eines Vornamens und einer E-Mail-Adresse erforderlich. Beide Daten würden in Kombination als „unique identifier“ verwendet. Der Beschwerdeführer habe nun anlässlich seines Löschungsantrags lediglich den Familiennamen „A***“ und die E-Mail-Adresse „j***@***isp.at“ angegeben. Diese E-Mail-Adresse sei in der entsprechenden Datenverarbeitung der Beschwerdegegnerin jedoch weder mit dem Familiennamen „A***“ , noch mit dem Vornamen „Roland“ , sondern mit dem Vornamen „Petra“ verknüpft. Daher hätten begründete Zweifel an der Identität des nunmehrigen Beschwerdeführers mit dem User, dessen Daten zu löschen er verlangt hatte, bestanden. Aus diesem Grund sei die Beschwerdegegnerin berechtigt gewesen, einen Identitätsnachweis in geforderter Form zu verlangen. Grund für diese Vorgehensweise sei nicht das Bestreben, eine möglichst hohe Userzahl ausweisen zu können, sondern Eingriffe in Rechte Dritter zu verhindern, worauf Letzteres man den Beschwerdeführer auch hingewiesen habe. Die gewählte Vorgehensweise entspreche sowohl dem DSG 2000 als auch der DSGVO. Für die Zukunft sei geplant, ein automatisches Löschverfahren zu implementieren, dass es registrierten und eingeloggten Usern ermöglichen werde, die Löschung über ein „Privacy Dashboard“ selbst durchzuführen.

3. Nach Parteiengehör zum Vorbringen der Beschwerdegegnerin erwiderte der Beschwerdeführer (hier in seiner entsprechenden E-Mail, wie alle des Beschwerdeführers gesendet von der E-Mail-Adresse Adresse „j***@***isp.at“ , zeichnend als „Petra und Roland A***“ ) in seiner Stellungnahme vom 7. Juli 2018 darauf Folgendes: Die verwendete E-Mail-Adresse sei auf den Namen Roland A*** registriert und werde von ihm und seiner Ehefrau Petra verwendet. „Aus Gründen des Datenschutzes“ sei anlässlich der Registrierung als User bei der Beschwerdegegnerin der Name „Petra“ angegeben worden. Die Beschwerdegegnerin verlange unberechtigterweise bei der Löschung von Daten eine „Konkretisierung der Identität“ , die bei der Registrierung (oder anlässlich der zwischenzeitlich erfolgten Anforderung eines neuen Passwortes) vernachlässigt worden sei. Er wäre jederzeit bereit gewesen, den Vornamen seiner Frau oder das verwendete Passwort anzugeben, der von der Beschwerdegegnerin verlangte Identitätsnachweis durch Übersendung eines Formulars mit eigenhändiger Unterschrift sei im Vergleich damit sogar weniger gut geeignet, Zweifel an seiner Identität mit dem berechtigten User zu zerstreuen.

B. Beschwerdegegenstand :

4. Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin den Vollzug der vom Beschwerdeführer beantragten Löschung seiner Nutzerdaten zu Recht von einem Identitätsnachweis in Form der Übersendung eines eigenhändig unterschriebenen Formulars unter Bekanntgabe von u.a. Namens- und Adressdaten abhängig gemacht hat, oder ob der Beschwerdeführer dadurch in seinem Recht auf Löschung gemäß Art. 17 DSGVO verletzt worden ist.

C. Sachverhaltsfeststellungen :

5. Die Beschwerdegegnerin, ein mit Hauptsitz in Österreich (**** D***stadt) niedergelassenes und in der Rechtsform einer Kommanditgesellschaft organisiertes Unternehmen (im Firmenbuch eingetragen vom ****gericht **** D***stadt zu FN 3*2*4*r), betreibt ein Online-Kleinanzeigenportal ( „[Anmerkung Bearbeiter: zitierte Selbstbezeichnung der Beschwerdegegnerin aus Pseudonymisierungsgründen entfernt]“ ), das unter der URL https://www.n***.at zugänglich ist.

Beweiswürdigung : Diese Feststellungen stützen sich auf die glaubwürdigen und unbestrittenen Angaben der Beschwerdegegnerin, das öffentlich zugängliche Firmenbuch sowie den Aufruf der Website der Beschwerdegegnerin (zuletzt am 8. November 2019), insbesondere die dort zugängliche Datenschutzerklärung (https://www.n***.at/datenschutzerklaerung).

6. Der Beschwerdeführer ist bei der Beschwerdegegnerin als Nutzer (Inhaber eines Accounts) registriert. Die Registrierung erfolgte, gemäß den damals wie heute geltenden Allgemeinen Geschäftsbedingungen der Beschwerdegegnerin (Fassung vom 07.07.2011 https://www.n***.at/agb) und gemäß der im nunmehrigen Entscheidungszeitpunkt geltenden Datenschutzerklärung (vom August 2019, https://www.n***.at/datenschutzerklaerung; Punkt 2.2.1.: „Pflichtangaben sind nur Vorname und E-Mail-Adresse“ ), zu einem nicht näher bekannten Zeitpunkt online ohne Erbringung eines Identitätsnachweises durch Angabe des Vornamens „Petra“ (es handelt sich um den Vornamen der Ehegattin des Beschwerdeführers) und mit der E-Mail-Adresse „ j***@***isp.at“. Weiters wurden vom Beschwerdeführer die Geschlechtsangabe „weiblich“, eine Telefonnummer sowie Postleitzahl und Wohnort freiwillig im mit dem Account verbundenen Nutzerprofil gespeichert. Vorname und E-Mail-Adresse dienen dabei als „unique identifier“ zur Überprüfung der Berechtigung, über den Account zu verfügen.

Beweiswürdigung : Wie bisher hinsichtlich des von der Beschwerdegegnerin aufgestellten rechtlich Rahmens; im Übrigen stützen sich die Feststellungen auf die glaubwürdigen und unbestrittenen Angaben des Beschwerdeführers und die von ihm vorgelegten Dokumente (Ausdruck des Nutzerprofils, Beilage zur Stellungnahme vom 7.7.2018). Die Feststellung zur Nutzung von Daten als „unique identifier“ stützen sich auf das Vorbringen der Beschwerdegegnerin in der Stellungnahme vom 25. Juni 2018, Eingangsstück in GZ: DSB-D122.970/0003-DSB/2018.

7. Am 28. Mai 2018 hatte sich der Beschwerdeführer entschlossen, die Daten seines Accounts und Nutzerprofils zu löschen. Die Möglichkeit einer online selbst durchzuführenden Löschung stand nicht zur Verfügung. Stattdessen wurde von der Beschwerdegegnerin ein Download eines von der Website der Datenschutzbehörde stammenden Formulars (Bezeichnung: „Antrag an den Verantwortlichen Recht auf Löschung Art.17.pdf“ ) angeboten. Dieses Formular sah den Nachweis der Identität durch Angabe der vollständigen Namens- und Adressdaten sowie Angaben zu früheren Kontakten ( „Kundennummer, Zahlen früherer Verfahren, Personalnummer oder vergleichbares“ ) oder die Vorlage nicht näher bezeichneter „Unterlagen“ vor.

Beweiswürdigung : Wie bisher, das zitierte Formular wurde als Beilage zur Beschwerde vom 4. Juni 2018 vorgelegt.

8. Der Beschwerdeführer richtete daraufhin am 28. Mai 2018 folgende Nachricht von der E-Mail-Adresse „j***@***isp.at“ an die E-Mail-Adresse „datenschutz@n***.at“ der Beschwerdegegnerin:

„Guten Tag,

entweder Sie löschen meine Daten umgehend und unterrichten mich darüber, oder ich bin gezwungen mich an den Datenschutzbeauftragten zu wenden. Diese von Ihnen aufgebaute Hürde ist im Gesetz nicht vorgesehen. Sie können aber auch gerne bei mir vorbeikommen und meine Identität überprüfen.

A***“ (Formatierung nicht 1:1 wiedergegeben)

9. Darauf antwortete die Beschwerdegegnerin am 4. Juni 2018 per E-Mail folgendermaßen:

„Clara (N*** Datenschutz)

4. Juni, 07:54 CEST

Lieber N***-User,

vielen Dank für Ihre Nachricht.

Da nur die betroffene Person, die durch die zu löschenden personenbezogenen Daten identifiziert oder identifizierbar ist, anspruchsberechtigt ist und wir eine missbräuchliche Ausübung der Rechte vermeiden wollen, bitten wir Sie, uns das angehängte Formular auszufüllen und uns zu übermitteln.

Selbstverständlich werden diese Daten vertraulich behandelt und für keine anderen Zwecke als die Identifizierung und der Dokumentation der Löschung verwendet.

Wir bitten Sie zu bedenken, dass mit dieser Profillöschung alle Ihre Daten unwiderruflich gelöscht werden, und wir nur Löschbegehren von der zu löschenden E-Mail-Adresse annehmen können.

Mit Übermittlung des oben genannten Formulars versichern Sie uns, dass Sie die Befugnis haben, ein Löschbegehren für das betreffende Konto zu stellen.

Bei weiteren Fragen stehen wir gerne zur Verfügung.

Mitfreundlichen Grüßen,

N*** Datenschutz-Team

Anhänge

Antrag an den Verantwortlichen Recht auf Löschung Art 17.pdf“ (Formatierung nicht 1:1 wiedergegeben)

10. In Reaktion darauf hat der Beschwerdeführer noch am selben Tag die gegenständliche Beschwerde wegen Verletzung seines Löschungsrechts eingebracht.

Beweiswürdigung : Wie bisher sowie der Inhalt der unter Zl. DSB-D122.970 dokumentierten Verwaltungsakten der Datenschutzbehörde; der zitierte E-Mail-Wechsel stammt aus den Beilagen zur Beschwerde vom 4. Juni 2018.

D. In rechtlicher Hinsicht folgt daraus :

Summe :

11. Die Beschwerde hat sich als berechtigt erwiesen.

Anzuwendendes Recht :

12. Da der hier zu prüfende Sachverhalt sich, beginnend mit dem Verlangen des Beschwerdeführers nach Löschung seiner Daten vom 28. Mai 2018, vollständig nach dem 25. Mai 2018 ereignet hat, ist gemäß Art. 99 Abs. 2 DSGVO diese Verordnung des Unionsrechts sowie gemäß § 69 Abs. 7 DSG das DSG in der Fassung BGBl. I Nr. 24/2018 anzuwenden.

13. Für Fragen der Prüfung und des Nachweises der Identität einer betroffenen Person zur Ausübung ihrer Rechte sind folgende Bestimmungen der DSGVO maßgeblich:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. „Einschränkung der Verarbeitung“ […];

4. „Profiling“ […];

5. „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden; […]“

„Artikel 11

Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist

(1) Ist für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person durch den Verantwortlichen nicht oder nicht mehr erforderlich, so ist dieser nicht verpflichtet, zur bloßen Einhaltung dieser Verordnung zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren.

(2) Kann der Verantwortliche in Fällen gemäß Absatz 1 des vorliegenden Artikels nachweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so unterrichtet er die betroffene Person hierüber, sofern möglich. In diesen Fällen finden die Artikel 15 bis 20 keine Anwendung, es sei denn, die betroffene Person stellt zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen.“

„Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der

Rechte der betroffenen Person

(1) […]

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. […]“

Angewendet auf den festgestellten Sachverhalt folgt daraus :

14. Es steht fest, dass die Beschwerdegegnerin gemäß Art. 4 Z 1 und 2 DSGVO Daten des Beschwerdeführers verarbeitet. Diese Daten hat der Beschwerdeführer als Nutzer (und Kunde der Beschwerdegegnerin) selbst in das zur Datenverarbeitung der Beschwerdegegnerin dienenden (Online-)System eingegeben.

15. Da die Beschwerdegegnerin anlässlich der Verarbeitung der Daten des Beschwerdeführers keine Absicht hatte, den Beschwerdeführer zu identifizieren, das heißt, die Existenz und rechtserhebliche Identität (Übereinstimmung) des Beschwerdeführers als natürlicher Person (vgl. § 16 ABGB, Art. 4 Z 5 DSGVO spricht auch von einer „spezifischen betroffenen Person“ ) mit der im angelegten Nutzerprofil dargestellten „Online-Person“ zu überprüfen und entsprechende Daten (etwa die vollständigen Namensdaten, das Geburtsdatum oder eine überprüfbare Wohnadresse) zu speichern, lagen aus Sicht der Beschwerdegegnerin von Beginn an pseudonymisierte Daten gemäß Art. 4 Z 5 DSGVO vor. Es wäre zwar denkbar möglich gewesen, den Beschwerdeführer durch Erhebung zusätzlicher Daten zu identifizieren, die Beschwerdegegnerin hat es jedoch, was aus Sicht der Datenschutzbehörde entscheidend ist, ihren Nutzern als den von der Verarbeitung betroffenen Personen ausdrücklich freigestellt , pseudonyme Nutzerprofile anzulegen, indem sie bei der Registrierung keinerlei Identitätsnachweis verlangt hat. Die Beschwerdegegnerin hat damit von Beginn an im Sinne des Art. 11 Abs. 1 DSGVO auf eine Identifizierung des Beschwerdeführers als spezifischer betroffener Person verzichtet. Der Beschwerdeführer war für sie bis zum Zeitpunkt des Löschungsantrags gewissermaßen nur ein Pseudonym, ein Vorname und eine E-Mail-Adresse in ihrer Nutzerdatenbank.

16. Gemäß Art. 12 Abs. 2 DSGVO trifft die Beschwerdegegnerin [Anmerkung Bearbeiter: im Original in Folge eines Redaktionsversehens „Beschwerdeführerin“ ] die ausdrückliche Pflicht, der betroffenen Person u.a. die Ausübung des Löschungsrechts zu erleichtern. Eine Identifizierung der betroffenen Person darf dabei nur insoweit stattfinden, als sie notwendig ist, um die Berechtigung zur Ausübung des Löschungsrechts zu überprüfen. Dabei werden im vorliegenden Fall der verlangten Löschung eines pseudonymen Nutzerprofils die gespeicherten Profildaten heranzuziehen sein. Ein pseudonymer Nutzer kann sich etwa durch Kenntnis der Login-Daten (User-ID, Passwort), durch Angaben zum gespeicherten Dateninhalt des Profils oder durch die nachgewiesene Verfügungsgewalt über die Mailbox, deren E-Mail-Adresse anlässlich der Registrierung angegeben worden ist, identifizieren. Neue Daten (wie Vorname, Familienname, Wohnadresse, eine Ausweiskopie oder das grafische Bild einer eigenhändigen Unterschrift) müssen aus diesem Anlass nicht erhoben werden (vgl. Art. 11 Abs. 1 DSGVO). Diese wären im Übrigen für den angestrebten Zweck der Identitätsprüfung gar nicht geeignet, da bei der Beschwerdegegnerin keine Vergleichsdaten gespeichert sind, deren Identität (Übereinstimmung) mit den neu erhobenen Daten überprüft werden könnte. Darauf hat der Beschwerdeführer zu Recht hingewiesen.

17. Im Beschwerdefall hätte der Beschwerdeführer etwa durch die Beschwerdegegnerin aufgefordert werden können, beide Teile des von der Beschwerdegegnerin so bezeichneten „unique identifier“ , also Vorname und registrierte E-Mail-Adresse, zu nennen.

18. Dadurch, dass die Beschwerdegegnerin sich damit nicht begnügt, sondern auf dem Ausfüllen eines umfangreichen Formulars (das auf den Regelfall der Verarbeitung der Daten identifizierter, nicht pseudonymer natürlicher Personen abstellt) bestanden hat, hat sie den Beschwerdeführer in seinem Recht auf Löschung gemäß Art. 12 Abs. 2 iVm Art. 17 Abs. 1 DSGVO verletzt. Dies war gemäß § 24 Abs. 5 1. Satz DSG spruchgemäß festzustellen [Anmerkung Bearbeiter: im Original in Folge eines Redaktionsversehens „§ 25 Abs. 1 1. Satz DSG“ ].

19. Gemäß Art. 58 Abs. 2 lit c DSGVO iVm § 24 Abs. 5 2. Satz DSG war die Beschwerdegegnerin weiters anzuweisen, die Löschung des Nutzerprofils mit den Daten des Beschwerdeführers vorzunehmen. Dabei war in Rechnung zu stellen, dass der Beschwerdeführer bereits im Laufe des Verfahrens nachgewiesen hat, dass ihm beide Teil des „unique identifier“ bekannt sind, sodass keine entsprechende Bedingung zu setzen war. Eine Frist von zwei Wochen erscheint als angemessen und ausreichend, um eine einfache Datenverarbeitungsoperation wie die Löschung eines Nutzerprofils durchzuführen.