GZ: 2020-0.219.620 vom 24.4.2020 (Verfahrenszahl: DSB-D123.539)
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Paul A*** (Beschwerdeführer) vom 29. September 2018 gegen die N*** GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wie folgt:
- Die Beschwerde wird als unbegründet abgewiesen .
Rechtsgrundlagen : Art. 4 Z 8 bis Z 10, Art. 15, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Der Beschwerdeführer brachte in seiner Eingabe vom 29. September 2018 an die Datenschutzbehörde im Wesentlichen vor, die Beschwerdegegnerin habe auf sein Auskunftsbegehren vom 29. Juli 2018 [Anmerkung Bearbeiter: im Original in Folge eines offenkundigen Redaktionsversehens „2019“] mit Schreiben vom 26. August 2018 und 10. September 2018 nur mangelhaft geantwortet. Es seien 5 Dateien (Sammlungen an Brillenaufträgen) sowie Gesundheitsdaten (Daten über die Sehschwäche des Beschwerdeführers), die die Beschwerdegegnerin über den Beschwerdeführer verarbeitet, nicht beauskunftet worden.
2. Die Beschwerdegegnerin erwiderte mit Stellungnahme vom 29. Oktober 2018 zusammengefasst, sie habe den Antrag des Beschwerdeführers falsch interpretiert und nur auf Datenübermittlungen an einen Versicherungsträger bezogen. Die vollständige Auskunft sei nunmehr mit Schreiben vom 25. Oktober 2018 nachgeholt worden und liege der Stellungnahme an die Datenschutzbehörde bei.
3. Der Beschwerdeführer replizierte auf die Stellungnahme der Beschwerdegegnerin mit Schreiben vom 29. November 2018, die Auskunft der Beschwerdegegnerin vom 25. Oktober 2018 sei nach wie vor mangelhaft und unvollständig. Der Beschwerdeführer habe mit Schreiben vom 6. November 2018 an die Beschwerdegegnerin Ergänzungsfragen übermittelt, welche mit Schreiben vom 20. November 2018 beantwortet worden seien. Nach Durchsicht der Unterlagen habe der Beschwerdeführer festgestellt, dass die Beschwerdegegnerin Datenverarbeitungen zu seiner Person durchführe, welche zunächst verschwiegen worden seien. Hierfür liege auch keine Einwilligung des Beschwerdeführers vor.
4. Die Datenschutzbehörde teilte dem Beschwerdeführer mit Schreiben vom 8. Februar 2019 mit, dass – sofern er nicht begründe, weshalb die behauptete Rechtsverletzung nach wie vor bestehe – das Verfahren gemäß § 24 Abs. 6 DSG eingestellt werde, da aus seiner Stellungnahme hervorgeht, dass die Auskunft durch die Beschwerdegegnerin durch die Antwort auf seine Ergänzungsfragen nunmehr vollständig nachgeholt wurde.
5. Der Beschwerdeführer teilte mit Schreiben vom 17. Februar 2019 mit, er habe die Beschwerdegegnerin ergänzend mit E-Mail vom 30. Dezember 2018 ersucht, ihm hinsichtlich der Datenverarbeitung für Marketingzwecke zu beauskunften, welche Daten zu seiner Person an das Marketingunternehmen B*** GmbH weitergegeben werden. Seine Einwilligung hierzu sei nicht gegeben und bestreite der Beschwerdeführer auch ein behauptetes Interesse der Beschwerdegegnerin an dieser Weitergabe. Die Anfrage sei von der Beschwerdegegnerin, trotz Urgenz, unbeantwortet geblieben.
B. Beschwerdegegenstand
Aufgrund des verfahrenseinleitenden Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer durch eine unvollständige Auskunft in seinem Recht auf Auskunft verletzt hat.
Hingegen sind die Fragen, ob eine Einwilligung des Beschwerdeführers zur Datenverarbeitung gegeben ist sowie, ob ein rechtmäßiger Erlaubnistatbestand für die Weitergabe der Daten des Beschwerdeführers durch die Beschwerdegegnerin an das Marketingunternehmen B*** GmbH vorliegt, nicht Gegenstand dieses Beschwerdeverfahrens und ist dies gegebenenfalls in einer eigenständigen Beschwerde geltend zu machen.
C. Sachverhaltsfeststellungen
Der Beschwerdeführer begehrte mit 29. Juli 2018 von der Beschwerdegegnerin Auskunft über seine personenbezogenen Daten.
Die Beschwerdegegnerin antwortete dem Beschwerdeführer mit Schreiben vom 26. August 2018 wie folgt:
[Anmerkung Bearbeiter: Das im Original als grafische Datei (Faksimile eines Ausdrucks) wiedergegebene Schreiben kann mit vertretbarem Aufwand nicht pseudonymisiert werden; es enthält eine Auflistung von Datenkategorien, die zum Zweck der Erbringung einer vereinbarten Versicherungsleistung weitergegeben wurden.]
Die Beschwerdegegnerin antwortet dem Beschwerdeführer zudem nochmals mit Schreiben vom 10. September 2018 wie folgt:
[Anmerkung Bearbeiter: Das im Original als grafische Datei (Faksimile eines Ausdrucks) wiedergegebene Schreiben kann mit vertretbarem Aufwand nicht pseudonymisiert werden; es enthält eine Mitteilung der Beschwerdegegnerin ohne datenschutzrechtlichen Kontext, mit Ausnahme eines Hinweises, dass bereits eine Auskunftserteilung stattgefunden hat.]
Der Beschwerdeführer erhob daraufhin bei der Datenschutzbehörde mit 29. September 2018 Beschwerde wegen mangelhafter Auskunft.
Die Beschwerdegegnerin erteilte dem Beschwerdeführer im Laufe des Verfahrens vor der Datenschutzbehörde mit Schreiben vom 25. Oktober 2018 folgende Auskunft:
[Anmerkung Bearbeiter: Das im Original als grafische Datei (Faksimile eines Ausdrucks) wiedergegebene Schreiben kann mit vertretbarem Aufwand nicht pseudonymisiert werden; es enthält eine Auskunft gemäß Art. 15 DSGVO, in der insbesondere die personenbezogenen Daten des Beschwerdeführers, in die Datenkategorien „Kundendaten“, „Auftragsdaten“ und „Gesundheitsdaten“ untergliedert, detailliert wiedergegeben werden.]
Der Beschwerdeführer hielt die Auskunft der Beschwerdegegnerin weiterhin für mangelhaft und stellte mit E-Mail vom 6. November 2018 an die Beschwerdegegnerin folgende Ergänzungsfragen:
[Anmerkung Bearbeiter: Das im Original als grafische Datei (Faksimile eines Ausdrucks) wiedergegebene Schreiben kann mit vertretbarem Aufwand nicht pseudonymisiert werden; es enthält eine Nachfrage des Beschwerdeführers zu der mit 25. Oktober 2018 erteilten Auskunft, insbesondere warum dessen Daten ohne Einwilligung zu Marketingzwecken verarbeitet werden, welche konkreten Auftragsverarbeiter seine Daten verarbeiten und eine Bitte zur näheren Begründung der Speicherdauer.]
Die Beschwerdegegnerin antwortete auf die Ergänzungsfragen des Beschwerdeführers mit Schreiben vom 20. November 2018 wie folgt:
[Anmerkung Bearbeiter: Das im Original als grafische Datei (Faksimile eines Ausdrucks) wiedergegebene Schreiben kann mit vertretbarem Aufwand nicht pseudonymisiert werden; es enthält Erläuterungen der Beschwerdegegnerin zur Nachfrage des Beschwerdeführers vom 6. November 2018, insbesondere werden die von der Beschwerdegegnerin in Anspruch genommenen Auftragsverarbeiter genannt. Im Folgenden wird die lediglich jene Textpassage wiedergegeben, die sich auf die B*** GmbH bezieht.]
„ […]
Mit der Durchführung von Marketingaktionen und Werbemaßnahmen haben wir im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DS-GVO die Firma
B*** GmbH
T*** Straße 7
1**0 Wien
beauftragt. In diesem Zusammenhang werden die mit vorheriger Post bereits ordnungsgemäß beauskunfteten Kundendaten und Auftragsdaten verarbeitet. Die Gesundheitsdaten werden nicht weitergegeben. Die B*** GmbH verarbeitet die zur Verfügung gestellten Daten streng weisungsgebunden und ausschließlich für Zwecke von N*** GmbH.
[…]“
Der Beschwerdeführer wandte sich daraufhin mit weiteren Fragen an die Beschwerdegegnerin. Dieses Schreiben liegt der Datenschutzbehörde nicht vor.
Die Beschwerdegegnerin antwortete dem Beschwerdeführer mit Schreiben vom 17. Dezember 2018 wie folgt:
[Anmerkung Bearbeiter: Das im Original als grafische Datei (Faksimile eines Ausdrucks) wiedergegebene Schreiben kann mit vertretbarem Aufwand nicht pseudonymisiert werden; es enthält weitere Erläuterungen der Beschwerdegegnerin zur bereits erteilten Auskunft und der weiteren Nachfrage des Beschwerdeführers.]
Der Beschwerdeführer wandte sich daraufhin erneut mit E-Mail vom 30. Dezember 2018 an die Beschwerdegegnerin und verlangte ergänzende Auskunft darüber, welche seiner Daten an den Auftragsverarbeiter B*** GmbH weitergegeben wurden sowie wann diese Weitergabe erfolgte.
Eine Antwort der Beschwerdegegnerin auf dieses Schreiben erfolgte nicht.
Beweiswürdigung : Die getroffenen Feststellungen stützen sich auf das insofern übereinstimmende Vorbringen sowie auf die vorgelegte Kommunikation der Parteien.
D. In rechtlicher Hinsicht folgt daraus:
Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die Informationen gemäß Art. 15 Abs. 1 lit. a bis lit. h DSGVO.
In Folge ist daher zu prüfen, ob die Beschwerdegegnerin dem Beschwerdeführer eine unvollständige Auskunft erteilt hat:
Wie festgestellt, wurde dem Beschwerdeführer jedenfalls mit Schreiben vom 25. Oktober 2018 mitgeteilt, dass personenbezogene Daten über ihn verarbeitet werden, womit das Erfordernis der grundsätzlichen Bestätigung, ob eine Verarbeitung von personenbezogene Daten erfolgt, gemäß Art. 15 Abs. 1 1. Satz DSGVO erfüllt ist.
Im Hinblick auf die weiteren Informationen gemäß Art. 15 Abs. 1 lit. a und lit. b sowie lit. d bis lit. g DSGVO ist festzuhalten, dass auch diese – wie festgestellt – von der Beschwerdegegnerin erteilt wurden und die Datenschutzbehörde hier keine Verletzung im Recht auf Auskunft zu erkennen vermag. Informationen gemäß Art. 15 Abs. 1 lit. h DSGVO sind im gegenständlichen Fall nicht einschlägig und wurde dahingehend eine mangelhafte Beauskunftung vom Beschwerdeführer auch nicht behauptet.
Aus dem Vorbringen des Beschwerdeführers ergibt sich somit, dass lediglich die Frage offen ist, ob auch zu beauskunften ist, welche Daten wann von der Beschwerdegegnerin an den Auftragsverarbeiter „B*** GmbH“ weitergegeben wurden.
Zur Klärung dieser Frage sind folgende Bestimmungen der DSGVO beachtlich:
Art. 15 Abs. 1 lit c DSGVO normiert, dass die betroffene Person ein Recht auf Informationen über die Empfänger oder Kategorien von Empfängern hat, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfänger in Drittländern oder bei internationalen Organisationen.
Art. 4 Z 9 1. Satz DSGVO definiert „ Empfänger “ als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht.
Art. 4 Z 10 DSGVO definiert „ Dritter “ als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten.
Art. 4 Z 8 DSGVO definiert „ Auftragsverarbeiter “ als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet .
Aus einer Zusammenschau dieser Bestimmungen ergibt sich, dass ein Auftragsverarbeiter nicht als Dritter anzusehen, davon unabhängig jedoch als Empfänger iSd Art. 4 Z 9 DSGVO zu werten ist, da im Zuge der Auftragsverarbeitung dem Auftragsverarbeiter durch den Verantwortlichen personenbezogene Daten offengelegt bzw. zur Verfügung gestellt werden.
Die Qualifikation des Auftragsverarbeiters als Empfänger führt in weiterer Folge dazu, dass der Verantwortliche diesen gemäß Art. 15 Abs. 1 lit. c DSGVO der betroffenen Person beauskunften muss.
Dies geschah im gegenständlichen Verfahren – wie festgestellt – durch die Beschwerdegegnerin als Verantwortliche mit Schreiben vom 20. November 2018.
Zur Frage, ob der betroffenen Person auch jene Daten zu beauskunften sind, welche an die Empfänger offengelegt wurden, hat das Bundesverwaltungsgericht (BVwG) bereits festgehalten, dass eine betroffene Person ein solches Recht auf Auskunft über die konkret an die Empfänger übermittelten Daten hat (vgl. dazu das Erkenntnis des BVwG vom 09.12.2019, GZ: W214 2221970-1).
Für das gegenständliche Verfahren bedeutet dies, dass die Beschwerdegegnerin dem Beschwerdeführer daher auch die konkreten personenbezogenen Daten zu beauskunften hat, welche durch sie an ihren Auftragsverarbeiter „B*** GmbH“ offengelegt wurden.
Wie festgestellt, hat die Beschwerdegegnerin dem Beschwerdeführer mit Schreiben vom 20. November 2018 mitgeteilt, dass im Zuge dieser Auftragsverarbeitung die bereits beauskunfteten Kundendaten und Auftragsdaten des Beschwerdeführers verarbeitet werden. Zudem teilte sie dem Beschwerdeführer mit, dass die von ihr ebenso verarbeiteten Gesundheitsdaten des Beschwerdeführers, nicht an ihren Auftragsverarbeiter offengelegt wurden.
Im Schreiben vom 25. Oktober 2018 listete die Beschwerdegegnerin dem Beschwerdeführer bereits – wie festgestellt – die konkreten Daten auf, die sie unter den Kategorien „Kundendaten“, „Auftragsdaten“ und „Gesundheitsdaten“ verarbeitet.
Es ist für den Beschwerdeführer daher ausreichend nachvollziehbar, welche seiner personenbezogenen Daten dem Auftragsverarbeiter „B*** GmbH“ offengelegt wurden und ist für die Datenschutzbehörde dahingehend daher keine Verletzung des Beschwerdeführers im Recht auf Auskunft ersichtlich.
Letztlich stellt sich noch die Frage, ob die Beschwerdegegnerin dem Beschwerdeführer auch zu beauskunften hat, wann diese Daten des Beschwerdeführers an den Auftragsverarbeiter offengelegt wurden.
Für eine solche Verpflichtung, also die Zurverfügungstellung einer Art Protokolls mit Übermittlungszeitpunkten, finden sich jedoch weder in Art. 15 Abs. 1 lit. c DSGVO, noch in den sonstigen Bestimmungen des Art. 15 DSGVO entsprechende Anhaltspunkte und hat der Beschwerdeführer daher keinen Anspruch auf diese Informationen.
Im Übrigen ist auch nicht erkennbar, inwiefern diese Informationen dem Zweck des Auskunftsrechts dienlich wären, der darin besteht, sich der Verarbeitung bewusst zu werden und deren Rechtmäßigkeit überprüfen zu können (vgl. ErwGr 63 DSGVO).
Im Ergebnis hat die Beschwerdegegnerin dem Beschwerdeführer daher eine vollständige Auskunft im Sinne des Art. 15 DSGVO erteilt und liegt keine Verletzung des Beschwerdeführers in seinem Recht auf Auskunft vor.
Es war somit spruchgemäß zu entscheiden.
Rückverweise
RIS