K120.743/004-DSK/2003 – Datenschutzkommission Entscheidung

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. DUSCHANEK, Mag. HUTTERER, Dr. KLEISER, Mag. PREISS und Dr. SOUHRADA-KIRCHMAYER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 2. September 2003 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde des K (Beschwerdeführer) gegen die B Versicherung VvaG (Beschwerdegegnerin) vom 22. Februar 2001 wegen Verletzung im Recht auf Auskunft wird gemäß § 31 Abs. 1 des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 (DSG 2000), entschieden:

Die Beschwerdegegnerin hat den Beschwerdeführer dadurch, dass sie ihm trotz ausdrücklichen Ersuchens vom 24. Oktober 2000 über Empfänger bzw. Empfängerkreise von Übermittlungen seiner automationsunterstützt verarbeiteten personenbezogenen Daten aus ihren Datenanwendungen sowie deren Zweck und Rechtsgrundlagen und allfälliger herangezogener Dienstleister keine Auskunft erteilt hat, im Recht auf Auskunft gemäß § 26 DSG 2000 verletzt.

Die begehrte Auskunft ist dem Beschwerdeführer von der Beschwerdegegnerin innerhalb von vier Wochen nach Rechtskraft dieser Entscheidung bei sonstiger Exekution zu erteilen.

Soweit die Beschwerde darüber hinaus die Nichtbeauskunftung der zu seiner Person durch die Beschwerdegegner verarbeiteten Daten rügt, wird sie als unbegründet abgewiesen.

Begründung:

Mit Eingabe vom 22. Februar 2001 erhob der Beschwerdeführer Beschwerde an die Datenschutzkommission, in welcher er mit Hinweis auf ein beigeschlossenes Auskunftsersuchen an das belangte Organ vom 24. Oktober 2000 eine Verletzung im Recht auf Auskunft durch die Beschwerdegegnerin behauptete.

Folgender entscheidungsrelevanter Sachverhalt wird festgestellt:

Der Beschwerdeführer, der in der Zeit vom 4. Jänner 1999 bis zum 3. Juli 1999 bei der Beschwerdegegnerin angestellt war, wandte sich mit seinem Schreiben vom 24. Oktober 2000 an die Beschwerdegegnerin und begehrte Auskunft über die bei ihr zu seiner Person vorliegenden personenbezogenen Daten, woher diese stammten, an wen die Daten übermittelt worden seien, und die Namen und Adressen von Dienstleistern.

Die Beschwergegnerin hat dieses Auskunftsbegehren zunächst nicht ausdrücklich beantwortet, es wurde nur im Rahmen eines im zeitlichen Zusammenhang mit dem Auskunftsbegehren (24. Oktober 2000) stehende arbeitsrechtliches Verfahren vor dem Arbeits- und Sozialgericht Wien, Zl xx, dem Beschwerdeführer durch die Beschwerdegegnerin mit Schreiben vom 7. November 2000 jedoch angeboten, in seinen Personalakt Einsicht zu nehmen und sich zu vergewissern, dass das diesem Verfahren zu Grunde liegende Schreiben aus dem Personalakt entfernt worden sei.

Erst als Reaktion auf die vorliegende Beschwerde wurde dem Beschwerdeführer am 1. März 2001 ein vollständiger Auszug mit den von der Beschwerdegegnerin zu seiner Person elektronisch gespeicherten Daten übermittelt.

Mit Schreiben vom 6. Juni 2003 teilte die Beschwerdegegnerin dem Beschwerdeführer ergänzend mit, dass seine bei ihr gespeicherten personenbezogenen Daten 'nur im Rahmen der gesetzlichen Verpflichtungen' an Dritte übermittelt worden seien.

Beweiswürdigung: Diese Feststellungen beruhen zunächst auf dem jeweils unwidersprochen gebliebenen Vorbringen der Parteien und den vom belangten Organ vorgelegten Urkunden.

Seine in der Stellungnahme vom 10. Dezember 2001 enthaltene pauschale Behauptung, es seien während des Dienstverhältnisses wesentlich mehr Daten zu seiner Person angefallen als in der Auskunft vom 1. März 2001 enthalten waren, konnte vom Beschwerdeführer nicht näher belegt werden. Darüber hinaus ist aus dem Vorbringen nicht zwingend zu schließen, dass die 'angefallenen' Daten auch verarbeitet wurden. Eine Verarbeitung weiterer Daten war daher nicht als erwiesen anzunehmen.

In rechtlicher Hinsicht folgt daraus:

Gemäß der Verfassungsbestimmung des § 1 Abs. 3 Z. 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.

In Ausführung dieser Verfassungsbestimmung bestimmt § 26 Abs. 1 DSG 2000, dass der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben hat, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

Soweit manuell, dh. ohne Automationsunterstützung geführte Dateien für Zwecke solcher Angelegenheiten bestehen, in denen die Zuständigkeit zur Gesetzgebung Bundessache ist, gelten sie nach § 58 DSG 2000 als Datenanwendungen im Sinne des § 4 Z. 7. Nach Art. 10 Abs. 1 Z. 11 B-VG ist Arbeitsrecht (soweit es nicht unter Art. 12 fällt, was im vorliegenden Fall auszuschließen ist) in der Gesetzgebung und Vollziehung Bundessache. Somit unterliegen im Beschwerdefall auch solche personenbezogenen Daten dem Auskunftsrecht, welche infolge des Arbeitsverhältnisses zwischen Beschwerdeführer und Beschwerdegegnerin in einer manuellen Datei verarbeitet sind.

Nach der Rechtsprechung der Datenschutzkommission (vgl. den Bescheid vom 23. November 2001, GZ. K120.748/022-DSK/2001), enthält der Anspruch auf Auskunft das Recht, Auskunft über die verarbeiteten Daten in allgemein verständlicher Form zu erhalten. Dies bedeutet, dass der Betroffene nicht nur über die Art (Kategorien) der über ihn verarbeiteten Daten aufzuklären ist, sondern dass ihm der Inhalt dieser Daten bekannt zugeben ist. Weiters sind bezüglich aller in Frage kommenden Datenarten die Herkunft dieser Daten und allfällige Übermittlungen zu beauskunften und zwar in hinlänglich konkreter Form, damit der Betroffene seine Berichtigungs- und Löschungsrechte sowohl gegenüber der Quelle der Daten als auch gegenüber Übermittlungsempfängern durchsetzen kann. Darüber hinaus sind der Zweck und die Rechtsgrundlagen der Datenverwendung zu beauskunften.

Die mit Schreiben vom 1. März 2001 erteilte Auskunft enthält sämtliche von der Beschwerdegegnerin zur Person des Beschwerdeführers verarbeiteten Daten. Aus dem Vorbringen des Beschwerdeführers ist auch evident, dass ihm die Grundlage dieser Datenverarbeitung, nämlich sein seinerzeitiges Arbeitsverhältnis zur Beschwerdegegnerin, bekannt ist.

Wie bereits in der Beweiswürdigung dargelegt, konnte vom Beschwerdeführer das Vorhandensein weiterer automationsunterstützt oder manuell verarbeiteter Daten nicht erwiesen werden.

In diesem Umfang war das Beschwerdebegehren daher abzuweisen.

Das Schreiben vom 1. März 2001 enthält jedoch keinerlei Aussagen betreffend allfällige Übermittlungen oder Überlassungen der laut Auskunft verarbeiteten Daten. Eine diesbezügliche ausreichende Auskunft kann auch im Schreiben vom 6. Juni 2003 keineswegs erblickt werden, da eine Information, dass Daten 'nur im Rahmen der gesetzlichen Verpflichtungen' übermittelt wurden, den Konkretheitsanforderungen des § 26 Abs. 1 DSG 2000 nicht genügt. Es sind dem Beschwerdeführer zumindest die Empfängerkreise von Übermittlungen bekannt zu geben, und zwar so, dass jedem verarbeiteten Datum ein allfälliger Empfänger bzw. Empfängerkreis eindeutig zugeordnet werden kann. Darüber hinaus enthält auch das Schreiben vom 6. Juni 2003 keinerlei Aussagen hinsichtlich Überlassungen der Daten des Beschwerdeführers an Dienstleister. Auch wenn solche Überlassungen nicht stattgefunden haben, wäre dies dem Beschwerdeführer ausdrücklich mitzuteilen.

Insoweit ergibt sich eine Verletzung des Beschwerdeführers im Recht auf Auskunft sowie ein entsprechender Leistungsanspruch.