GZ: 2020-0.816.655 vom 7. Jänner 2021 (Verfahrenszahl: DSB-D124.2399)
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Brigitte A*** (Beschwerdeführerin) vom 24. Jänner 2020 (ha. eingelangt am 29. Jänner 2020), ergänzt am 28. Februar 2020, gegen die N*** Co Material GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Information wie folgt:
1. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin ihre Informationspflichten dadurch verletzt hat, indem sie keine Information über die Rechtsgrundlage der Datenverarbeitung erteilt hat.
2. Der Beschwerdegegnerin wird aufgetragen , innerhalb einer Frist von 4 Wochen bei sonstiger Exekution der Beschwerdeführerin Informationen über die Rechtsgrundlage für die erfolgte Verarbeitung der personenbezogenen Daten im Sinne des Art. 14 Abs. 1 lit. c DSGVO zu erteilen.
3. Im Übrigen wird die Beschwerde als unbegründet abgewiesen .
Rechtsgrundlagen : Art. 3, Art. 4 Z 16, Art. 12 Abs. 1, Art. 14 Abs. 1 bis Abs. 5, Art. 15, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1, Abs. 5 und Abs. 6 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 8 Abs. 1 des Bundes-Verfassungsgesetz (B-VG), BGBl. Nr. 1/1930 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit Eingabe vom 24. Jänner 2020 (ha. eingelangt am 29. Jänner 2020), ergänzt mit Eingabe vom 28. Februar 2020, behauptete die Beschwerdeführerin eine Verletzung im Recht auf Information und brachte dazu zusammengefasst wie folgt vor:
Am 17. Jänner 2020 habe die Beschwerdeführerin einen Brief (datiert vom 8. Jänner 2020) der Beschwerdegegnerin erhalten, mit welchem sie darüber informiert worden sei, dass ihre im Jahr 2019 gekauften Fenster möglicherweise fehlerhafte Beschläge aufweisen und sie sich daher zwecks Überprüfung an ein Callcenter wenden solle. Daraufhin habe sie am 21. Jänner 2020 den Hersteller sowie den Verkäufer der Fenster kontaktiert, wobei letzterer ihr einen Scan der Anfrage der Beschwerdegegnerin übermittelt habe. Der Brief der Beschwerdegegnerin an den Verkäufer der Fenster sei vom 8. August 2019, der Brief der Beschwerdegegnerin an die Beschwerdeführerin hingegen vom 8. Jänner 2020 (erhalten am 17. Jänner 2020). Dies bedeute, dass die Beschwerdegegnerin ihre Daten rund 5 Monate verarbeitet habe, ohne sie darüber zu informieren. Überdies entspreche der Brief nicht den Bestimmungen des Art. 14 DSGVO. Der Eingabe war das Schreiben vom 8. Jänner 2020 sowie das Schreiben vom 8. August 2019 (beides in polnischer Sprache) in Kopie beigefügt.
2. Mit Erledigung der Datenschutzbehörde vom 18. Februar 2020 wurde die Beschwerdeführerin auf die Möglichkeit der Beschwerdeerhebung bei der Aufsichtsbehörde ihres gewöhnlichen Aufenthaltsortes hingewiesen. Dies wurde durch die Beschwerdeführerin mit Eingabe vom 28. Februar 2020 abgelehnt.
3. Mit Erledigung vom 3. März 2020 forderte die Datenschutzbehörde die Beschwerdegegnerin zur Stellungnahme auf.
4. Am 24. März 2020 übermittelte die Beschwerdegegnerin der Beschwerdeführerin ein als „Auskunftserteilung nach Art. 15 DSGVO“ bezeichnetes Schreiben, welches auch in Kopie an die Datenschutzbehörde übermittelt wurde.
5. Mit Erledigung vom 17. April 2020 wies die Datenschutzbehörde die Beschwerdegegnerin erneut darauf hin, dass Gegenstand des Beschwerdeverfahrens eine behauptete Verletzung im Recht auf Information, jedoch nicht im Recht auf Auskunft sei und eine nachträgliche Beseitigung gemäß § 24 Abs. 6 DSG folglich den Vorgaben der Art. 13 bzw. 14 DSGVO entsprechen müsse. Seitens der Beschwerdegegnerin erfolgte jedoch keine weitere Stellungnahme.
6. Mit Erledigungen vom 23. Oktober 2020 und vom 1. Dezember 2020 gewährte die Datenschutzbehörde der Beschwerdeführerin Parteiengehör.
7. Mit Eingabe vom 7. Dezember 2020 brachte die Beschwerdeführerin vor, dass alle Papierbriefe der Beschwerdegegnerin in polnischer Sprache, die Auskunft vom 24. März 2020 jedoch (fälschlicherweise) in deutscher Sprache verfasst worden seien.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin die Beschwerdeführerin dadurch in ihrem Recht gemäß Art. 14 DSGVO verletzt hat, indem sie der Informationspflicht bei Erhebung der personenbezogenen Daten nicht ausreichend nachgekommen ist und diesen Mangel auch während des Verfahrens vor der Datenschutzbehörde nicht beseitigt hat.
C. Sachverhaltsfeststellungen
1. Bei der Beschwerdegegnerin handelt es sich um ein zur FN 3***45n eingetragenes Unternehmen mit Sitz in *020 M***, Z***gasse 5, dessen Unternehmensgegenstand u.a. die Herstellung von Fensterbeschlägen umfasst.
Beweiswürdigung : Die getroffenen Feststellungen beruhen auf einer amtswegigen Abfrage des Firmenbuchs (FN 3***45n) sowie der Website der Beschwerdegegnerin unter https:www.material*.eu, beides abgefragt am 4. Jänner 2021.
2. Am 17. Jänner 2020 erhielt die Beschwerdeführerin ein postalisches Schreiben der Beschwerdegegnerin, welches mit 8. Jänner 2020 datiert war. Inhalt des Schreibens war im Wesentlichen die Information darüber, dass die durch die Beschwerdeführerin zuvor von dem Unternehmen „E***“ erworbenen Fenster möglicherweise fehlerhafte Beschläge aufweisen. Das Schreiben war in polnischer Sprache verfasst.
3. Die für die Anfrage notwendigen Kontaktdaten der Beschwerdeführerin (Name sowie Wohnadresse) wurden der Beschwerdegegnerin aufgrund einer diesbezüglichen Anfrage vom 8. August 2019 durch das Unternehmen „E***“ übermittelt. Davon abgesehen, bestand zwischen der Beschwerdeführerin und der Beschwerdegegnerin zu keinem Zeitpunkt ein Vertragsverhältnis.
4. Mit Eingabe vom 24. Jänner 2020 (bei der Datenschutzbehörde eingelangt am 29. Jänner 2020) erhob die Beschwerdeführerin die gegenständliche Beschwerde. Daraufhin richtete die Beschwerdegegnerin am 23. März 2020 im laufenden Beschwerdeverfahren folgendes Schreiben an die Beschwerdeführerin, wobei dies auch der Datenschutzbehörde in Kopie übermittelt wurde (Formatierung nicht 1:1 wiedergegeben):
23. März 2020
Erteilung der Auskunft nach Art. 15 DSGVO
Frau A***,
wir kommen auf Ihr Auskunftsverlangen über die zu Ihrer Person gespeicherten Daten innerhalb der von der Datenschutzbehörde festgelegten Frist ab Eingang des Antrags bei uns wie folgt zurück:
Ihren Antrag auf Auskunft nach Art 15 DSGVO bzw. Ihre Datenschutzbeschwerde bei der Datenschutzbehörde haben wir am 19. März 2020 erhalten. Wir gehen davon aus, dass Sie Ihre Identität ausreichend bei der Datenschutzbehörde nachgewiesen haben.
Innerhalb der von der Datenschutzbehörde festgelegten Frist von zwei Wochen kommen wir hiermit Ihrem Antrag nach.
Für die Beantwortung Ihres Antrages haben wir zum Schutz Rechte Dritter folgende Regelungen festgelegt, die der Beauskunftung zugrunde gelegt werden:
- Zum Schutz von Rechten Dritter, Verschwiegenheit im Rahmen laufender Ermittlungen in Straf- bzw. Zivilrechtsverfahren sowie dem Schutz von Betriebs- und Geschäftsgeheimnissen werden davon betroffene Dokumentationen, Zeichnungen, Software- Code, Notizen, Berichte, Vermerke, Protokolle, Gutachten oder allgemeine Datensätze, die mit dem Auskunftsbegehrenden in Bezug stehen, die zur Kennzeichnung, Protokollierung bzw. Nachvollziehbarkeit von Tatsachen verwendet werden und dabei Daten des Auskunftsbegehrenden beinhalten, nicht beauskunftet, nicht in maschinenlesbarer Form weitergegeben und es wird auch keine Kopie der Daten bereitgestellt.
- Generell gilt auch, sofern in einem Dokument oder einem Datensatz neben dem Auskunftsbegehrenden weitere natürliche Personen genannt werden, deren Persönlichkeitsrechte im Sinne der DSGVO zu schützen sind, so werden diese nicht beauskunftet, nicht in maschinenlesbarer Form weitergegeben bzw. keine Kopie der Daten bereitgestellt.
- Temporäre Daten, sowie Protokolldateien, die systembedingt erzeugt, wieder überschrieben bzw. nur für Administrationszwecke und aus Gründen der Zuverlässigkeit und Betriebssicherheit der IT-Systeme erforderlich sind und direkte oder indirekt (IP-Adressen) Daten mit Personenbezug verarbeiten, werden übergreifend von spezifischen IT-Anwendungen verarbeitet. Wir bitten um Verständnis, dass wir eine Beauskunftung temporärer Daten bzw. Protokolldateien grundsätzlich aufgrund der Exzessivität des Begehrens nicht nachkommen können.
Unter Berücksichtigung des Schutzes von Rechten Dritter beauskunften wir folgende Daten zu Ihrer Person:
Wir verarbeiten personenbezogene Daten von Ihrer Person im Rahmen folgender Gruppen an Betroffenen:
Kategorien betroffener Personen Beschreibung
- Kunden (B2C) Consumer (Endverbraucher)
Wir führen für die oben angeführten Betroffenen folgende Verarbeitungstätigkeiten durch:
In den aufgelisteten Verarbeitungstätigkeiten werden folgende Kategorien von personenbezogenen Daten verarbeitet:
Seite 1/2
Bericht: DSGVO — Auskunftsbegehren nach Art. 15 (Brief); Katalog: AKTUELL Gedruckt am 23.03.2020
VERTRAULICH***
Im Rahmen der von uns durchgeführten Tätigkeiten übermitteln wir personenbezogene Daten, der Sie betreffenden Betroffenengruppen, an folgende Empfänger oder Kategorien von Empfängern:
Wir speichern Ihre personenbezogenen Daten solange dies gesetzlich gefordert wird, für den Zweck erforderlich ist oder die Nutzung entsprechend dem berechtigten Interesse des Unternehmens dies erfordert. An diese Speicherdauer anschließend versteht sich die nachfolgend aufgeführte Löschfrist. Zusätzlich ist die Herkunft der jeweiligen Daten angegeben.
Bei nachfolgenden Verarbeitungen setzen wir aus betrieblicher Notwendigkeit Verfahren zur automatisierten
Entscheidungsfindung / Profiling ein, die auf der nachfolgend beschriebenen Logik zur Datenerfassung basiert.
Verarbeitungstätigkeiten Profiling Logik
An dieser Stelle bestätigen wir Ihnen, dass wir über die, unter Berücksichtigung der Schutzrechte Dritter beauskunfteten Daten hinaus keine personenbezogenen Daten von Ihnen verarbeiten.
Im vorangegangenen Abschnitt haben wir Ihnen dargelegt welche Datenarten bzw. Kategorien von Daten wir zu welchen Verarbeitungstätigkeiten auch zu welchen Zwecken und Rechtsgrundlagen für die Sie betreffenden Betroffenengruppen verarbeiten. Um Ihnen auch, sofern gewünscht, eine Kopie der für Sie verarbeiteten Daten zu geben, ersuchen wir Sie um eine Präzisierung der betreffenden Daten, die Sie in Form eines Datenabzugs begehren.
Ihnen stehen grundsätzlich die Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerruf und Widerspruch zu. Dafür wenden Sie sich an uns. Wenn Sie glauben, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt oder Ihre datenschutzrechtlichen Ansprüche sonst in einer Weise verletzt worden sind, steht Ihnen ein Beschwerderecht bei der zuständigen Datenschutzbehörde zu.
Freundliche Grüße,
Die Material* Rechtsabteilung
Beweiswürdigung : Die getroffenen Feststellungen beruhen in erster Linie auf dem insofern glaubhaften Vorbringen der Beschwerdeführerin, als dass dies von der Beschwerdegegnerin trotz (mehrmaliger) Aufforderung zur Stellungnahme inhaltlich zu keinem Zeitpunkt bestritten wurde.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Allgemeines und maßgebliche Rechtsvorschriften
Eingangs wird festgehalten, dass sich die Zuständigkeit aufgrund der Hauptniederlassung der Beschwerdegegnerin (Art. 4 Z 16 lit. a DSGVO) in Österreich ergibt, wobei die gegenständliche Beschwerde unmittelbar bei der Österreichischen Datenschutzbehörde eingebracht wurde und folglich von dieser (ohne Anwendung des One-Stop-Shop-Verfahrens nach Art. 56 iVm Art. 60 DSGVO) zu behandeln war.
Gemäß Art. 12 Abs. 1 DSGVO trifft der Verantwortliche geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Art. 13 und 14, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.
Werden personenbezogene Daten nicht bei der betroffenen Person selbst erhoben, so ergibt sich die Informationspflicht aus Art. 14 DSGVO , wonach gemäß Abs. 1 leg. cit. folgende Informationen zu erteilen sind:
a) Namen und die Kontaktdaten des Verantwortlichen;
b) Kontaktdaten des Datenschutzbeauftragten;
c) die Verarbeitungszwecke sowie die Rechtsgrundlage für die Verarbeitung;
d) die verarbeiteten Datenkategorien;
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern;
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln.
Darüber hinaus stellt der Verantwortliche der betroffenen Person gemäß Abs. 2 leg. cit. folgende Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:
a) die Speicherdauer oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b) gegebenenfalls die berechtigten Interessen, die von dem Verantwortlichen verfolgt werden;
c) das Bestehen des Rechts auf Auskunft, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie auf Widerspruch gegen die Verarbeitung;
d) das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
f) die Datenquelle und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;
g) gegebenenfalls das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling.
Die oben genannten Informationen sind grundsätzlich innerhalb einer angemessenen Frist , längstens jedoch innerhalb eines Monats , zu erteilen. Falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung (Art. 14 Abs. 3 lit. a und b DSGVO).
Art. 14 Abs. 1 bis 4 DSGVO finden jedoch keine Anwendung , wenn und soweit die betroffene Person bereits über die Informationen verfügt (Abs. 5 leg. cit.).
Gemäß § 24 Abs. 6 DSG kann ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht.
D.2. In der Sache
Die Datenschutzbehörde hat sich bereits mit der Frage, ob die „ Informationspflichten “ gemäß Art. 13 und Art. 14 DSGVO umgekehrt auch als subjektive Betroffenenrechte geltend gemacht werden können, auseinandergesetzt und geht nach stRsp davon aus, dass sich eine betroffene Person antragsunabhängig auf Art. 13 und Art. 14 DSGVO stützen kann (vgl. den Bescheid der Datenschutzbehörde vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).
Voraussetzung für die Anwendung des Art. 14 DSGVO ist dabei, dass der Verantwortliche die personenbezogenen Daten nicht bei der betroffenen Person erhoben hat (keine „Direkterhebung“). Wie den Feststellungen zu entnehmen ist, wurden zweifelsohne personenbezogene Daten der Beschwerdeführerin (zumindest Name und Wohnadresse) durch die Beschwerdegegnerin zum Zwecke der Kontaktaufnahme bei einem Dritten angefragt und somit im Sinne der zitierten Bestimmung „erhoben“.
Die genannten Informationen wären dabei spätestens zum Zeitpunkt der ersten Mitteilung – sohin anlässlich des Schreibens vom 8. Jänner 2020 – zu erteilen gewesen (vgl. Art. 14 Abs. 3 lit. b leg. cit.). Ein Recht auf Feststellung, dass gewisse Informationen womöglich nicht im Zeitpunkt der in Art. 14 Abs. 3 DSGVO normierten Fälle erteilt wurden, besteht nach ständiger Spruchpraxis der Datenschutzbehörde allerdings nicht (vgl. zur analogen Anwendung von § 24 Abs. 6 DSG in Bezug auf die Informationspflichten der Art. 13 f DSGVO den Bescheid der DSB vom 22. August 2020, GZ: DSB-D130.206/0006-DSB/2019).
Vor diesem Hintergrund war folglich auf die nachträgliche Entsprechung im Sinne des § 24 Abs. 6 DSG näher einzugehen:
Die Datenschutzbehörde übersieht dabei nicht, dass gegenständlich eine Verletzung im Recht auf Information gemäß Art. 14 - und nicht wie von der Beschwerdegegnerin vermeint im Recht auf Auskunft gemäß Art. 15 DSGVO - behauptet wurde. Allerdings finden Art. 14 Abs. 1 bis 4 DSGVO dann keine Anwendung, wenn die Beschwerdeführerin über die entsprechenden Informationen bereits verfügt. Überdies ist darauf hinzuweisen, dass der Erfolg einer Beschwerde nach Art. 77 Abs. 1 iVm § 24 Abs. 1 DSG jedenfalls an die Voraussetzung geknüpft ist, dass auch eine konkrete Beschwer vorliegt (vgl. zum Mangel einer subjektiven Rechtsverletzung etwa VwSlg. 11.568 A/1984 mwN).
Dies bedeutet im Ergebnis, dass die Informationspflichten auch durch eine Auskunftserteilung im Sinne des Art. 15 DSGVO erfüllt werden könnten.
Wie den Feststellungen zu entnehmen ist, erteilte die Beschwerdegegnerin im laufenden Verfahren vor der Datenschutzbehörde Informationen über die Verarbeitungszwecke, die verarbeiteten Datenkategorien sowie die Speicherdauer. Auch ist klar, wer gegenständlich Verantwortlicher der Datenverarbeitung ist und wurde ausreichend über die Betroffenenrechte sowie das Beschwerderecht bei einer Aufsichtsbehörde informiert. Bezüglich dieser Punkte liegt somit eine nachträgliche Entsprechung im Sinne des § 24 Abs. 6 DSG vor und war die Beschwerde diesbezüglich mangels Beschwer abzuweisen.
Art. 14 Abs. 1 lit. c DSGVO sieht jedoch ausdrücklich vor, dass die Informationspflichten neben den Verarbeitungszwecken auch die Rechtsgrundlage der Verarbeitung umfassen. Der Beschwerde war daher in diesem Punkt stattzugeben und ein entsprechender Leistungsauftrag zu erteilen.
Im Rahmen des abschließenden Parteiengehörs brachte die Beschwerdeführerin vor, die ihr erteilten Informationen seien nicht in ihre Landessprache (Polnisch) übersetzt worden.
Der Beschwerdeführerin ist zwar insoweit zuzustimmen, als dass Informationen im Sinne des Transparenzgebotes in verständlicher und einfacher Sprache zu erteilen sind. Eine ausdrückliche Regelung, in welcher Landessprache dies zu erfolgen hat, kann dieser Bestimmung jedoch nicht entnommen werden und ist folglich auf den jeweiligen Einzelfall abzustellen. Aufgrund des der DSGVO immanenten Marktortprinzips ist davon auszugehen, dass Informationen und Mitteilungen grundsätzlich in die Sprachen jener Länder zu übersetzen sind, in denen der Unternehmer die betreffenden Leistungen anbietet, wobei die Staatsangehörigkeit bzw. der Wohnsitz der betroffenen Person zu berücksichtigen ist (vgl. Paal in Paal/Pauly, Datenschutz-Grundverordnung (2017), Rz. 35). Angesichts der relativ allgemein gehaltenen Formulierung des Art. 12 leg. cit. sowie der Tatsache, dass es sich bei Art. 14 leg. cit. um eine aktive Verpflichtung handelt, ist jedoch auch von einem gewissen Entscheidungsspielraum des jeweiligen Verantwortliche auszugehen (vgl. Bäcker in Kühling/Buchner, Datenschutz-Grundverordnung (2017), Rz. 16).
Dazu ist festzuhalten, dass die Beschwerdeführerin die gegenständliche Beschwerde unmittelbar bei der Österreichischen Datenschutzbehörde - trotz des Hinweises auf das One-Stop-Shop Verfahren und der damit verbundenen Möglichkeit Beschwerde bei der polnischen Aufsichtsbehörde zu erheben - erhob und das darauffolgende Verfahren in deutscher Sprache geführt wurde. Auch behauptete die Beschwerdeführerin zu keinem Zeitpunkt, dass sie die ihr erteilten Informationen (sprachlich) nicht erfassen konnte. Schließlich ist noch anzumerken, dass lediglich eine in deutscher Sprache verfasste Eingabe der Beschwerdegegnerin eine Überprüfung der Datenschutzbehörde im Sinne des § 24 Abs. 6 DSG ermöglichte (vgl. Art. 8 B-VG, wonach die deutsche Sprache bei österreichischen Behörden zwingend zu verwenden ist).
Aus Sicht der Beschwerdegegnerin war daher von einer ausreichend verständlichen Information im Sinne des Art. 12 Abs. 1 iVm. Art. 14 DSGVO auszugehen und war die Beschwerde auch diesbezüglich abzuweisen.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
RIS