GZ: 2021-0.293.288 vom 11. Juni 2021 (Verfahrenszahl: DSB-D124.3128)
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Philipp A*** (Beschwerdeführer) vom 21.10.2020 gegen die D*** Inkasso GmbH (Beschwerdegegnerin) wegen Verletzung in den Rechten auf 1) Geheimhaltung und 2) Löschung wie folgt:
1. Der Beschwerde wird stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem sie seine personenbezogenen Daten zum Zwecke der Eintreibung einer von einer italienischen Behörde verhängten Verkehrsstrafe unrechtmäßig verarbeitet hat.
2. Der Beschwerde wird stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzt hat, indem sie seinem Antrag auf Löschung nicht entsprochen hat.
3. Der Beschwerdegegnerin wird aufgetragen , innerhalb einer Frist von zwei Wochen bei sonstiger Exekution, die im Zusammenhang mit diesem Inkassovorgang verarbeiteten personenbezogenen Daten des Beschwerdeführers zu löschen.
Rechtsgrundlagen : Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 12, 17 und 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 1 bis 11 des EU-Verwaltungsstrafvollstreckungsgesetz – EU-VStVG (EU-VStVG), BGBl. I Nr. 3/2008 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit Eingabe vom 21.10.2020 brachte der Beschwerdeführer zusammengefasst vor, dass ihn die Beschwerdegegnerin wegen unrechtmäßiger Verarbeitung seiner personenbezogenen Daten und Ablehnung seines Löschungsantrages im Recht auf Löschung und im Recht auf Geheimhaltung verletzt habe.
Der Beschwerdeführer habe nach einer Verkehrsübertretung in Italien im Spätsommer 2018 im Herbst 2019 ein Schreiben einer italienischen Behörde erhalten, in dem er zur Zahlung einer Strafe iHv EUR 370,- aufgefordert worden sei. Dieses Schreiben habe der Beschwerdeführer nicht weiter beachtet. Der Beschwerdeführer berufe sich dabei gegenüber der Datenschutzbehörde nicht darauf, dass die ihm vorgeworfene Verwaltungsübertretung nicht vorgefallen sei, sondern lediglich darauf, dass die Verwaltungsstrafe in Österreich nicht vollstreckbar sei.
Mit Schreiben von 16.9.2020 habe der Beschwerdeführer eine Zahlungsaufforderung iHv EUR 817,23 von der Beschwerdegegnerin, einem Inkassobüro, erhalten. Der Beschwerdeführer habe die Beschwerdegegnerin daraufhin mit Schreiben vom 21.9.2020, mit der Begründung, dass die Verarbeitung rechtswidrig sei, zur Löschung seiner personenbezogenen Daten aufgefordert. Dieses Begehren habe die Beschwerdegegnerin mit Schreiben vom 14.10.2020 jedoch abgelehnt.
2. Mit Schreiben vom 9.11.2020 forderte die Datenschutzbehörde die Beschwerdegegnerin zur Stellungnahme auf. Diese brachte am 11.12.2020 zusammengefasst vor, dass sie einen Bußgeldbescheid der Gemeinde Pisa vom 6.12.2018 gegen den Beschwerdeführer im Wege einer Untervollmacht durch die J*** Deutschland GmbH Co. KG, einem deutschen Inkassounternehmen, gegen den Beschwerdeführer geltend mache.
Die Löschung habe nicht durchgeführt werden können, weil der Beschwerdeführer die gegen ihn gerichtete Forderung noch nicht beglichen habe. Die Beschwerdegegnerin sei weiters ausschließlich im Wege der Funktionsübertragung und nicht als Auftragsverarbeiterin tätig. Der Rahmenbeschluss 2005/214/JI des Rates der EU sehe eine Vollstreckbarkeit von Verkehrsstrafen ab EUR 70,- vor. Voraussetzung für eine Vollstreckbarkeit sei, dass beide betreffenden Staaten ein nationales Gesetz zur grenzüberschreitenden Vollstreckung erlassen haben. Österreich und Italien haben den Rahmenbeschluss jeweils bereits in nationales Recht umgesetzt. Art. 17 Abs. 3 lit. e DSGVO sei einschlägig und deshalb eine Löschung der Daten nicht erforderlich.
3. Mit Eingabe vom 29.12.2020 brachte der Beschwerdeführer im Rahmen des Parteiengehörs zusammengefasst vor, dass die Beschwerdegegnerin ein privates Unternehmen sei, die von der Beschwerdegegnerin angegebene Rechtsgrundlage, der Rahmenbeschluss 2005/214/JI des Rates der EU, sich jedoch ausschließlich auf Vollstreckungsbehörden beziehe und daher nicht anwendbar sei. Weiters liege zwischen Italien und Österreich keine Gegenseitigkeit, wie in Art. 20 Abs. 2 des Rahmenbeschluss 2005/214/JI des Rates vorgesehen, vor, weshalb eine grenzüberschreitende Vollstreckung zwischen den beiden Staaten nicht erfolge.
4. Mit Schreiben vom 3.2.2021 forderte die Datenschutzbehörde die Beschwerdegegnerin zur ergänzenden Stellungnahme auf. Diese brachte am 23.2.2021 zusammengefasst vor, dass sie sich bezüglich der Verarbeitung personenbezogener Daten des Beschwerdeführers im Rahmen einer Untervollmacht durch die J*** Deutschland GmbH Co. KG als gemeinsame Verantwortliche nach Art. 26 DSGVO sehe. Eine Einwilligung des betroffenen Schuldners für die Datenweitergabe sei nicht erforderlich, da diese auf die gesetzlichen Tatbestände der Art. 6 Abs. 1 lit. b und f DSGVO – Datenverarbeitung zur Vertragserfüllung sowie aufgrund berechtigter Interessen – gestützt werde.
5. Mit Eingabe vom 14.3.2021 brachte der Beschwerdeführer im Rahmen des Parteiengehörs zusammengefasst vor, dass die Forderungen in Österreich rechtlich nicht durchsetzbar seien und ihn daher die Datenverarbeitung der Beschwerdegegnerin in seinem Recht auf Geheimhaltung verletze. Die Beschwerdegegnerin sei als Auftragsverarbeiterin zu definieren.
6. Mit Schreiben vom 8.4.2021 übermittelte die Datenschutzbehörde dem Amt der Kärntner Landesregierung ein Amtshilfeersuchen zur Frage, ob dort ein Verfahren zur Vollstreckung der Verwaltungsstrafe der Provinz Pisa gegen Philipp A*** geführt worden war. Dieses brachte am 19.4.2021 und per Telefonat am 28.4.2021 zusammengefasst vor, dass es kein Verfahren zur Vollstreckung der Verwaltungsstrafe der Provinz Pisa gegen Philipp A*** geführt habe. Ebenso wenig seien die Beschwerdegegnerin oder die J*** Deutschland GmbH Co. KG durch das Amt der Kärntner Landesregierung zur Betreibung einer Forderung gegen den Beschwerdeführer beauftragt worden.
Das Protokoll der Polizia Provinciale Provincia di Pisa (Nr: 41*734A/2018 5*1*4/2018) sei nach Posteingang am 27.12.2018 gemäß dem Vertrag zwischen der Republik Österreich und der Italienischen Republik über die wechselseitige Amtshilfe in Kraftfahrangelegenheiten BGBl. Nr. 406/1990 am 09.01.2021 per regulärem Brief an die im Protokoll angegebene Adresse des Beschwerdeführers versendet worden. Die Polizia Provinciale Provincia di Pisa sei mittels Zustellprotokoll über den Versand informiert worden.
B. Beschwerdegegenstand
Beschwerdegegenständlich stellt sich die Frage, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem sie seine personenbezogenen Daten unrechtmäßig verarbeitet hat.
Weiters ist Beschwerdegegenstand die Frage, ob der Beschwerdeführer in seinem Recht auf Löschung verletzt wurde, indem dessen personenbezogene Daten von der Beschwerdegegnerin trotz diesbezüglichen Antrags nicht gelöscht wurden.
C. Sachverhaltsfeststellungen
Am 15.9.2018 hat die Polizei der Provinz Pisa (Polizia Provinciale Provincia di Pisa), Italien, eine mit dem auf den Beschwerdeführer zugelassenen Kraftfahrzeug mit dem österreichischen Kennzeichen HE-*3* *T begangene Geschwindigkeitsübertretung festgestellt.
In weiterer Folge übermittelte die Polizei der Provinz Pisa am 27.12.2018 an das Amt der Kärntner Landesregierung folgendes Schreiben:
[Anmerkung Bearbeiter: Das im Original als grafische Datei wiedergegebene Schreiben kann mit vertretbarem Aufwand nicht pseudonymisiert werden; es enthält ein formularmäßiges Ersuchen in deutscher Sprache, dem eindeutig nach Name, Adresse und Kfz-Kennzeichen bezeichneten Beschwerdeführer das „Verwaltungsprotokoll“ Nr: 41*734A/2018 5*1*4/2018 zuzustellen, die entsprechende behördliche Erledigung in deutscher Sprache ( „Feststellung einer Übertretung der Straßenverkehrsordnung“ , enthaltend Ort, Zeit und Sachverhalt der vorgeworfenen Übertretung [Überschreitung der örtlich zulässigen Höchstgeschwindigkeit], den zu zahlenden Strafbetrag und eine Rechtsmittelbelehrung), sowie einen vorbereiteten Zustellnachweis.]
Das Amt der Kärntner Landesregierung versandte dieses Schreiben am 9.1.2019 an den Beschwerdeführer und übermittelte an die Polizei der Provinz Pisa ein Zustellprotokoll.
Der Beschwerdeführer reagierte nicht auf dieses Schreiben und zahlte insbesondere den in dem Schreiben angeführten Betrag nicht.
In weiterer Folge wurde die [Anmerkung Bearbeiter: Name/Firma fehlt im Text des Bescheids an dieser Stelle, gemeint ist die weiter unten angeführte R*** S.r.l. Italy] beauftragt, Strafen italienischer Gemeinden zu betreiben. Dieses Unternehmen beauftragte wiederum das Inkassobüro J*** Deutschland GmbH Co. KG mit Sitz in Köln.
Die J*** Deutschland GmbH Co. KG beauftragte am 3.8.2020 die Beschwerdegegnerin mit der Betreibung bestimmter Forderungen und stattete diese mit der Vollmacht aus, unter anderem in Übereinstimmung mit dem Rahmenbeschluss 2005/214/JI des Rates vom 24. Februar 2005 über die Anwendung des Grundsatzes der gegenseitigen Anerkennung von Geldstrafen und Geldbußen, die zuständigen Behörden mit der Vollstreckung der Forderungen zu betrauen.
Mit Schreiben von 16.9.2020 erhielt der Beschwerdeführer eine Zahlungsaufforderung iHv EUR 817,23 von der Beschwerdegegnerin.
Der Beschwerdeführer forderte die Beschwerdegegnerin daraufhin mit Schreiben vom 21.9.2020, mit der Begründung, dass die Verarbeitung seiner personenbezogenen Daten durch die Beschwerdegegnerin rechtswidrig sei, zur Löschung seiner personenbezogenen Daten auf. Dieses Begehren lehnte die Beschwerdegegnerin mit Schreiben vom 14.10.2020 unter Verweis auf die aushaftende Forderung jedoch ab.
Der Beschwerdeführer hat die Forderung bis zum heutigen Tag nicht beglichen.
Das Amt der Kärntner Landesregierung wurde zu keinem Zeitpunkt von italienischen Behörden kontaktiert, um nach dem EU-Verwaltungsstrafvollstreckungsgesetz tätig zu werden. Auch sonst wurde von Seiten der italienischen Behörden kein Verfahren nach dem EU-Verwaltungsstrafvollstreckungsgesetz angestrengt.
Beweiswürdigung : Die Feststellungen gründen sich auf die Parteivorbringen sowie auf die Stellungnahme der Kärntner Landesregierung vom 19.4.2021 anlässlich eines Amtshilfeersuchens der Datenschutzbehörde.
D. In rechtlicher Hinsicht folgt daraus:
Zu Spruchpunkt 1:
1. Die Beschwerdegegnerin als Inkassobüro ist nach ständiger Rechtsprechung der Datenschutzbehörde – sofern keine gegenteiligen Anhaltspunkte vorliegen – als Verantwortliche nach Art. 4 Z 7 DSGVO zu qualifizieren, da auch ein Inkassobüro über die Mittel der Datenverarbeitung entscheidet (vgl. dazu bereits den Bescheid der Datenschutzkommission vom 29. Februar 2008, GZ: K121.330/0004 DSK/2008). Der Rechtsansicht des Beschwerdeführers, dass die Beschwerdegegnerin lediglich Auftragsverarbeiterin sei, kann daher nicht gefolgt werden.
Da die Beschwerdegegnerin daher als Verantwortliche anzusehen ist, hat sie die Rechtmäßigkeit der durch sie durchgeführten Datenverarbeitungen darzulegen (Art. 5 Abs. 2 iVm Abs. 1 lit. a DSGVO). Der Umstand, sie sei lediglich Empfängerin der Daten, ändert daran nichts.
2. Das in § 1 DSG verankerte Grundrecht auf Geheimhaltung, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz des Betroffenen vor der Ermittlung seiner Daten und der Weitergabe der über ihn ermittelten Daten. Das Grundrecht auf Geheimhaltung gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden.
Beschränkungen des Anspruchs auf Geheimhaltung sind gemäß § 1 Abs. 2 DSG dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet werden, der Betroffene seine Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines anderen gerechtfertigt ist.
Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Grundrechts auf Geheimhaltung nach § 1 DSG zu berücksichtigen (vgl. den Bescheid vom 31. Oktober 2018, GZ: DSB-D123.076/0003-DSB/2018).
3. Im vorliegenden Fall wird dem Beschwerdeführer eine Verkehrsübertretung durch eine italienische Behörde zur Last gelegt, weshalb über ihn eine Geldstrafe in Höhe von 147,18 EUR (bei Frühzahlung) verhängt wurde.
Es gibt keine Anhaltspunkte dafür, dass es sich dabei nicht um eine Geldstrafe nach § 2 Abs. 2 lit. a EU-VStVG handelt, durch welches der Rahmenbeschluss 2005/214/JI umgesetzt wurde. Auch die Beschwerdegegnerin bringt in diesem Zusammenhang vor, dass der Rahmenbeschluss einschlägig ist.
4. Die Beschwerdegegnerin beruft sich auf den Erlaubnistatbestand der Erfüllung eines Vertrages nach Art. 6 Abs. 1 lit. b DSGVO, auf eine Geltendmachung von Rechtsansprüchen nach Art. 17 Abs. 3 lit. e DSGVO sowie auf berechtigte Interessen des Verantwortlichen oder eines Dritten nach Art. 6 Abs. 1 lit. f DSGVO.
Diesem Vorbringen ist nicht zu folgen:
5. Da vorliegend der Rahmenbeschluss 2005/214/JI und damit das EU-VStVG Anwendung finden, kommt eine Vollstreckung von Geldstrafen durch private Inkassounternehmen nicht in Betracht .
Die Vollstreckung von Entscheidungen anderer Mitgliedstaaten in Österreich richtet sich vielmehr nach dem 2. Abschnitt des EU-VStVG.
Wie den Feststellungen zu entnehmen ist, wurde zu keinem Zeitpunkt ein Verfahren auf Basis des EU VStVG angestrengt. Daran kann auch die von der Kärntner Landesregierung tatsächlich erfolgte Übermittlung des Schreibens der italienischen Polizei an den Beschwerdeführer nichts ändern, zumal dieses auf Basis völkerrechtlicher Bestimmungen übermittelt wurde.
Aufgrund des Umstandes, dass der (Unions-) Gesetzgeber eine bestimmte Vorgehensweise zur Eintreibung ausländischer Verwaltungsstrafen, und zwar im Wege der nationalen Vollstreckungsbehörden , normiert hat, kann die Datenverarbeitung durch die Beschwerdegegnerin als Inkassounternehmen auch durch sonstige Erlaubnistatbestände des Art. 6 DSGVO nicht gerechtfertigt werden, insbesondere kann es deshalb auch nicht zu einem Überwiegen von Interessen der Beschwerdegegnerin bzw. Dritter iSd Art. 6 Abs. 1 lit. f DSGVO kommen. Mangels Vorliegen eines Vertrages, dessen Vertragspartei der Beschwerdeführer ist (vgl. Art. 6 Abs. 1 lit. b DSGVO) kann sich die Beschwerdegegnerin auch nicht auf diesen Rechtfertigungsgrund stützen.
Da keine der Bedingungen des Art. 6 DSGVO vorliegt, erfolgte die Verarbeitung der Daten des Beschwerdeführers durch die Beschwerdegegnerin unrechtmäßig und wurde der Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung gemäß § 1 DSG verletzt.
6. Dabei wird nicht übersehen, dass die Beschwerdegegnerin letztlich von einem anderen Unternehmen mit der Eintreibung beauftragt wurde. Da sich die Beschwerdegegnerin aber offenkundig bewusst war, dass der Rahmenbeschluss 2005/214/JI einschlägig ist, hätte sie daraus den Schluss ziehen müssen, dass bereits die Betrauung eines italienischen Unternehmens (R*** S.r.l. Italy, Via C*** 25, 0*3*6 U***) mit der Vollstreckung rechtswidrig war, sodass schon dieses Unternehmen die Daten des Beschwerdeführers rechtswidrig erlangte. Diese Rechtswidrigkeit der Ermittlung zieht nach der gefestigten Rechtsprechung des Verwaltungsgerichtshofes aber die Rechtswidrigkeit einer daran anschließenden Übermittlung durch denselben Verantwortlichen nach sich (siehe zuletzt das Erkenntnis vom 23. Februar 2021, Ra 2019/04/0054 mwN). Diese rechtswidrige Übermittlungskette setzt sich bis zur Beschwerdegegnerin fort, sodass die letztendlich erfolgte Übermittlung an den Beschwerdeführer als Empfänger (siehe dazu Art. 4 Z 9 und 10 DSGVO) – und damit die Verarbeitung der personenbezogenen Daten – rechtswidrig war.
7. Da die Beschwerdegegnerin die personenbezogenen Daten des Beschwerdeführers unrechtmäßig verarbeitet hat, hätte sie gemäß Art. 17 Abs. 1 lit. d DSGVO dem Antrag des Beschwerdeführers auf Löschung seiner personenbezogenen Daten daher entsprechen müssen. Dadurch, dass sie die Löschung verweigert hat, hat sie den Beschwerdeführer auch in seinem Recht auf Löschung verletzt.
Zu Spruchpunkt 2:
Für die Wiederherstellung des datenschutzkonformen Zustandes war die Datenschutzbehörde daher gemäß Art. 58 Abs. 2 lit. d DSGVO iVm § 24 Abs. 5 DSG berechtigt, die Beschwerdegegnerin binnen angemessener Frist spruchgemäß anzuweisen, den rechtskonformen Zustand herzustellen.
Es war somit spruchgemäß zu entscheiden.
Rückverweise
