K120.905/0008-DSK/2004 – Datenschutzkommission Entscheidung

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. DUSCHANEK, Dr. KOTSCHY, Dr. PREISS und Dr. STAUDIGL sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 4. Mai 2004 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde der C in X (Beschwerdeführerin) vom 13. November 2003, vertreten durch D,

Rechtsanwalt in Y, gegen die E GmbH in Z (Beschwerdegegenerin), wegen Verletzung im Recht auf Auskunft wird gemäß § 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 136/2001, entschieden:

Der Beschwerde wird insoweit stattgegeben, als der Beschwerdegegnerin gemäß § 1 Abs. 3 Z 1 und § 26 Abs. 1, 3 und 4 DSG 2000 aufgetragen wird, binnen vier Wochen ab Zustellung dieses Bescheides bei sonstiger Exekution der Beschwerdeführerin nach Erbringung eines Identitätsnachweises und nach Mitwirkung der Beschwerdeführerin im zumutbaren Ausmaß schriftlich Auskunft über die zu ihrer Person verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung, Namen und Adressen von Dienstleistern sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form zu geben oder schriftlich zu begründen, warum die Auskunft nicht erteilt wird.

Begründung:

Die Beschwerdeführerin behauptete in ihrer Beschwerde eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin auf ein an sie gerichtetes Auskunftsbegehren vom 1. Juli 2003 nicht reagiert habe. Die Beschwerdegegnerin wandte ein, dem Auskunftsersuchen sei kein Identitätsnachweis beigelegt gewesen. Außerdem habe ihr die Beschwerdeführerin das zu ihrer Identifikation notwendige Geburtsdatum nicht mitgeteilt.

Folgender entscheidungsrelevanter Sachverhalt wird angenommen:

Die Beschwerdeführerin richtete am 1. Juli 2003, bereits vertreten durch ihren jetzigen Rechtsvertreter, ein auf die §§ 26 f DSG 2000 gestütztes Auskunfts- und Löschungsbegehren an die Beschwerdeführerin. Diesem war kein Identitätsnachweis beigefügt. Das Geburtsdatum der Beschwerdeführerin war nicht angegeben. Die Beschwerdegegnerin hat auf dieses Auskunfts- und Löschungsbegehren keinerlei Reaktion gezeigt.

Beweiswürdigung: Diese Feststellungen beruhen auf dem Beschwerdevorbringen, der Stellungnahme der Beschwerdegegnerin vom 4. Februar 2004 und der daraufhin ergangenen Äußerung der Beschwerdeführerin vom 1. April 2004, welche allesamt in sachverhaltsmäßiger Hinsicht miteinander nicht im Widerspruch stehen.

In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Gemäß § 26 Abs. 1. DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist (Unterstreichung durch die Datenschutzkommission). Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

Der Betroffene hat gemäß Abs. 3 leg. cit. am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

Gemäß Abs. 4 leg. cit. ist die Auskunft binnen acht Wochen zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird.

2. Umfang des Auskunftsrechts, Identitätsnachweis, Mitwirkungsobliegenheit

Die Datenschutzkommission hat bereits in ihrem Bescheid vom 12. Dezember 2003, GZ K120.881/010-DSK/2003 (abrufbar unter www.ris.bka.gv.at), ausgesprochen, dass § 26 Abs. 1 DSG 2000 die Auskunftserteilung an die Bedingung knüpft, dass der Betroffene gegenüber dem Auftraggeber seine Identität nachweist. Der Identitätsnachweis ist conditio sine qua non für das Entstehen eines Anspruchs auf inhaltliche Auskunft. Diese Bestimmung hat den klar erkennbaren Zweck, jedem möglichen Missbrauch des Auskunftsrechts zur Informationsbeschaffung durch Dritte einen Riegel vorzuschieben. Ein Auftraggeber darf ohne Vorliegen eines Identitätsnachweises keine Daten an den Auskunftswerber - von dem er in diesem Moment nur annehmen kann, dass er tatsächlich der Betroffene ist - übermitteln, da er sonst das Datengeheimnis gemäß § 15 Abs. 1 DSG 2000 verletzen könnte. Bloßes Vertrauen auf die Identität des Auskunftswerbers kann den Identitätsnachweis nicht ersetzen, da mit einer derart großzügigen Auslegung der Wortfolge 'in geeigneter Form nachweist' dem Schutzzweck der Norm die Grundlage entzogen wäre.

Allerdings enthebt das Nichtvorliegen eines Identitätsnachweises den datenschutzrechtlichen Auftraggeber nicht von der Pflicht, auf das Auskunftsbegehren zu reagieren. Denn gemäß § 26 Abs. 3 DSG 2000 hat die Betroffene auf Verlangen ('Befragen') des Auftraggebers am Auskunftsverfahren mitzuwirken (so genannte Mitwirkungsobliegenheit) - damit steht dem Auftraggeber ein Instrument zur Verfügung, das Nachholen des Identitätsnachweises zu erwirken -, und hat der datenschutzrechtliche Auftraggeber gemäß Abs. 4 leg. cit. zumindest gegenüber der Auskunftswerberin schriftlich zu begründen, warum die Auskunft nicht erteilt wird. Weist die Auskunftswerberin also ihre Identität nicht nach, so reduziert sich der Vollanspruch auf INHALTLICHE (Anm. im Original Druckbuchstaben, jedoch unterstrichen) Auskunft darauf, eine entsprechende schriftliche Begründung für das Nichterteilen der Auskunft zu erhalten. Das Unterbleiben jeglicher Reaktion des datenschutzrechtlichen Auftraggebers auf ein Auskunftsbegehren verletzt die Betroffene aber jedenfalls in ihrem subjektiven Recht gemäß § 26 Abs. 1 und 4 DSG 2000 und damit implizit auch im Grundrecht auf Datenschutz (Auskunft) gemäß § 1 Abs. 3 Z 1 DSG 2000.

Dasselbe gilt hinsichtlich anderer sich allenfalls aus § 26 Abs. 3 DSG 2000 ergebender Mitwirkungsverpflichtungen der Auskunftswerberin. Ist etwa, wie von der Beschwerdegegnerin behauptet, die Erteilung der Auskunft ohne Kenntnis des Geburtsdatums der Beschwerdeführerin nicht möglich, wäre ihr dies mitzuteilen und sie um Mitwirkung zu ersuchen, wobei die Mitteilung (Befragung) auch eine schlüssige Begründung für die Aktualisierung der Mitwirkungspflicht zu enthalten hätte. Daher war der Beschwerdegegnerin alternativ aufzutragen, entweder, nach Erbringung eines Identitätsnachweises und Erfüllung allfälliger weiterer Mitwirkungsbefugnisse durch die Beschwerdeführerin, Auskunft zu erteilen oder eine schriftliche Begründung zu liefern, warum sie einen Anspruch auf Auskunft nicht für gegeben hält. Da von der Beschwerdegegnerin keine Umstände ins Treffen geführt wurden, welche die Erteilung der aufgetragenen Auskunft bzw. Begründung besonders schwierig (zeitaufwändig) machen würden, scheint eine Leistungsfrist von vier Wochen im Sinn von § 59 Abs. 2 AVG angemessen.

Angemerkt sei hier noch, dass die Beschwerdegegnerin dem gleichzeitig mit dem Auskunftsbegehren erhobenen Löschungsbegehren, auch wenn dieses seinem Inhalt nach berechtigt sein sollte (eine Kompetenz zur förmlichen Entscheidung hierüber kommt der Datenschutzkommission nicht zu), auf Grund des in § 26 Abs. 7 DSG 2000 normierten Löschungsverbotes bisher nicht nachkommen durfte. Auch nach Rechtskraft dieses Bescheides ist auf Grund der damit individuell konkretisierten Auskunftsverpflichtung eine Löschung so lange unzulässig, bis diese Verpflichtung vollständig erfüllt ist.