2020-0.127.361 – Datenschutzbehörde Entscheidung

GZ: 2020-0.127.361 vom 9. Juli 2020 (Verfahrenszahl: DSB-D124.365)

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Eugen A*** (Beschwerdeführer) vom 2. April 2019 gegen die Bildungsdirektion N*** (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wie folgt:

1. Der Beschwerde wird stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Auskunft verletzt hat, indem sie ihm keine dem Art. 15 DSGVO entsprechende Auskunft erteilt hat.

2. Der Beschwerdegegnerin wird aufgetragen , dem Beschwerdeführer binnen vier Wochen eine dem Art. 15 DSGVO entsprechende Auskunft zu erteilen.

Rechtsgrundlagen : Art. 12, Art. 15, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Mit Eingabe vom 2. April 2019, verbessert durch zwei Eingaben vom 13. Mai 2019 (ha. eingelangt am 14. bzw. 17. Mai 2019) brachte der Beschwerdeführer Beschwerde bei der Datenschutzbehörde ein und behauptete darin eine Verletzung im Recht auf Auskunft. Die Beschwerdegegnerin wolle eine volle Datenauskunft über die gespeicherten Daten nur im Zuge einer Akteneinsicht iSd § 17 AVG gewähren.

Der Beschwerdeführer wolle volle Datenauskunft und Akteneinsicht im Schülerbeschreibungsbogen bzw. Schülerstammblatt der (ehemaligen) öffentlichen Hauptschule B***straße *9, A-**3* Y***, Schuljahr 1959/60. Die Datenauskunft werde verwehrt.

2. In ihrer Stellungnahme vom 25. Oktober 2019 (ha. eingelangt am 28. Oktober 2019) führte die Beschwerdegegnerin aus, der Beschwerdeführer habe am 16. Jänner 2019 ein Ansuchen um Auskunft gemäß DSGVO gestellt. Mit Schreiben vom 14. März 2019 sei der Beschwerdeführer in die Bildungsdirektion N*** zur Akteneinsicht geladen worden, damit sei natürlich die Eröffnung des Zugangs zu den bei der Bildungsdirektion N*** geführten personenbezogenen Datenbestände des Beschwerdeführers gemeint gewesen.

Im Zuge der „Akteneinsicht“ wäre dem Beschwerdeführer vollumfänglich Einsicht in den bei der Bildungsdirektion N*** geführten personenbezogenen Daten gewährt worden. Auch hätte man ihm Auszüge und Abschriften der Daten- und Aktensammlung zur Verfügung gestellt. Dieses Ladungsschreiben sei am 18. März 2019 nachweislich durch persönliche Übernahme zugestellt worden. Der Beschwerdeführer habe auf dieses Schreiben nicht reagiert.

3. Der Beschwerdeführer brachte mit Schreiben vom 5. November 2019 (ha. eingelangt am 7. November 2019) vor, die Stellungnahme der Beschwerdegegnerin bringe nichts Neues. Es seien Urkunden von der Beschwerdegegnerin vorgelegt worden, die schon vom Beschwerdeführer vorgelegt worden seien.

B. Beschwerdegegenstand

Aus dem Vorbringen des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht aus Auskunft verletzt hat, indem sie ihn in Reaktion auf ein Auskunftsbegehren zur Akteneinsicht geladen hat.

C. Sachverhaltsfeststellungen

Am 16. Jänner 2019 stellte der Beschwerdeführer auszugsweise folgendes Begehren per E-Mail an die Beschwerdegegnerin:

„ An die Bildungsdirektion N***

vormals ***schulrat ***

Ersuchen um Datenauskunft:

Ich ersuche um volle Auskunft über meine Person gespeicherten Daten.

Auch alle eingehende und ausgehende eMails.“

Die Beschwerdegegnerin beantwortete den Antrag des Beschwerdeführers mit Schreiben vom 14. März 2019 wie folgt:

„ Sehr geehrter Herr A***!

Aufgrund Ihres Ansuchens um Auskunft über Ihre bei der Bildungsdirektion N*** befindlichen Daten zu Ihrer Person möchten wir Sie zur Akteneinsicht zu folgendem Termin einladen:

Datum: Donnerstag, 28. März 2019

Zeit: 9:00 Uhr

Ort: ***, Erdgeschoss

Gemäß § 17 AVG können Sie sich von Akten oder Aktenteilen an Ort und Stelle Abschriften selbst anfertigen oder auf ihre Kosten Kopien oder Ausdrucke erstellen lassen.

Wir bitten Sie einen amtlichen Lichtbildausweis mitzunehmen.

Wenn Sie dieser Ladung aus wichtigen Gründen (z.B. Krankheit, zwingende berufliche Verhinderung) nicht Folge leisten können, werden Sie ersucht dies unverzüglich mitzuteilen, um den Termin allenfalls verschieben zu können.“

Der Beschwerdeführer ist zu dem im Schreiben genannten Termin nicht erschienen. Die Beschwerdegegnerin benachrichtigte daraufhin den Beschwerdeführer mit Schreiben vom 28. März 2019, dass aufgrund des unentschuldigten Nichterscheinens das „Datenauskunftsverfahren“ eingestellt werde.

Beweiswürdigung : Diese Feststellungen ergeben sich aus dem insofern übereinstimmenden Vorbringen der Verfahrensparteien und den übermittelten Beilagen.

D. In rechtlicher Hinsicht folgt daraus:

Eine betroffene Person hat gemäß Art. 15 DSGVO das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, hat die betroffene Person auch das Recht auf Auskunft über diese personenbezogenen Daten und über die in Art. 15 Abs. 1 lit. a bis h leg. cit. angeführten Informationen, ferner gegebenenfalls zusätzlich über die Informationen gemäß Abs. 2 der Bestimmung.

Des Weiteren hat der Verantwortliche gemäß Art. 15 Abs. 3 leg. cit. einer betroffenen Person Kopien der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen, wenn dies von der betroffenen Person beantragt wird.

Wenn die Beschwerdegegnerin ausführt, dass es dem Beschwerdeführer im Zuge der Akteneinsicht vollumfänglich möglich gewesen wäre, Einsicht in den bei der Beschwerdegegnerin geführten personenbezogenen Datenbeständen zu erhalten und man ihm im Zuge dessen Auszüge und Abschriften der Daten- und Aktensammlung zu Verfügung gestellt hätte, so ist ihr Folgendes entgegenzuhalten.

Der DSGVO ist eine Subsidiaritätsregelung nach § 44 Abs. 5 DSG im Anwendungsbereich des 3. Hauptstücks des DSG (welches gegenständlich nicht zur Anwendung kommt) fremd.

Daraus ist abzuleiten, dass nunmehr mittels eines Auskunftsbegehrens grundsätzlich auch Auskunft über den Inhalt von Urkunden und Aktenbestandteilen begehrt werden kann (vgl. dazu den Bescheid vom 18. April 2019, GZ DSB-D122.913/0001-DSB/2019), sofern darin personenbezogene Daten der betroffenen Person enthalten sind und der sachliche Anwendungsbereich der DSGVO eröffnet ist (vgl. Art. 4 Abs. 1 leg. cit).

Des Weiteren hat eine Auskunft gemäß Art. 15 DSGVO jedenfalls die über die betroffene Person verarbeiteten personenbezogenen Daten („Stammdaten“) sowie die Informationen gemäß Art. 15 Abs. 1 lit. a – h („Metadaten“) zu enthalten, welche dem Beschwerdeführer wohl auch durch Erscheinen zum Termin zur Akteneinsicht nicht zur Kenntnis gebracht worden wären.

Ein Verantwortlicher hat gemäß Art. 12 Abs. 1 geeignete Maßnahmen zu treffen, um einer betroffenen Person alle Informationen gemäß den Art. 13 und 14 und alle Mitteilungen gemäß den Art. 15 bis 22 und Art. 34 DSGVO, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln .

Diese Informationen sind gemäß Art. 12 Abs. 3 DSGVO unverzüglich, in jedem Fall aber innerhalb eines Monats nach Antrag zur Verfügung zu stellen.

Die Beschwerdegegnerin hat daher jedenfalls unzureichend auf den Antrag auf Auskunft reagiert und war ihr aufzutragen, dem Beschwerdeführer eine dem Art. 15 DSGVO entsprechende Auskunft zu erteilen.

Spruchpunkt 2 stützt sich auf Art. 58 Abs. 2 lit. c DSGVO. Die Einschränkung gemäß § 24 Abs. 5 DSG hat außer Betracht zu bleiben, weil diese in Art. 58 DSGVO keine Deckung findet (vgl. dazu BVwG vom 28. Mai 2020, GZ W211 221 6385-1).

Es war somit spruchgemäß zu entscheiden.