K120.928/0009-DSK/2004 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. DUSCHANEK, Dr. HEISSENBERGER, Dr. KOTSCHY und Mag. PREISS sowie der Schriftführer Mag. FLENDROVSKY und Mag. SUDA in ihrer Sitzung vom 7. Dezember 2004 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde des C in M (Beschwerdeführer), vertreten durch den Verein U in M, vom 28. Jänner 2004 gegen die N Zustelldienst GmbH in M (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 1 Abs. 5 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 136/2001, entschieden:

Der Beschwerde wird gemäß § 1 Abs. 3 Z 1 iVm § 26 Abs. 1 bis 4 DSG 2000 hinsichtlich der Verletzung im Recht auf Auskunft teilweise stattgegeben und festgestellt, dass der Beschwerdegegner den Beschwerdeführer dadurch im Recht auf Auskunft verletzt hat, dass er nicht innerhalb von acht Wochen nach Einlangen des Begehrens schriftlich begründet hat, warum die Auskunft nicht erteilt wird.

Das darüber hinaus gehende Begehren auf vollständige Auskunftserteilung wird abgewiesen.

Begründung:

Der Beschwerdeführer behauptet eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin innerhalb einer Frist von acht Wochen nicht auf sein Auskunftsbegehren vom 16. Oktober 2003 reagiert habe.

Die Beschwerdegegnerin hält dem entgegen, sie sei dem Auskunftsbegehren durch ein - von ihrer Muttergesellschaft N Logistik Zustellservice GmbH noch am 16. Oktober 2003 verfasstes Schreiben - bereits nachgekommen. Im Übrigen habe sich die dem Auskunftsersuchen beiliegende Vollmacht nicht auf die Vertretung gegenüber der Beschwerdegegnerin erstreckt.

Folgender Sachverhalt wird als erwiesen angenommen:

Der Beschwerdeführer, vertreten durch den Verein U, richtete am 16. Oktober 2003 ein auf § 26 DSG 2000 gestütztes Auskunftsbegehren an die Beschwerdegegnerin. Diesem war eine Vollmacht vom 28. August 2003 beigelegt, die sich auf die 'Vertretung in allen Datenschutzangelegenheiten gegenüber allen zuständigen Behörden und gegenüber […] P Direktmarketing GmbH [...] und R AG, [...]' bezog. Weiters war dem - auf Briefpapier des Vereins U abgefassten - Schreiben ein Identitätsnachweis des Beschwerdeführers nicht angeschlossen. Dieses enthielt lediglich den Hinweis, dass zum Nachweis der Identität auf die Bundespolizeidirektion Wien - Büro für Versammlungs- und Medienrechtsangelegenheiten, Zahl XV-xxx, verwiesen werde.

Beweiswürdigung: Diese Feststellungen beruhen auf dem unbestrittenen Beschwerdevorbringen sowie dem der Beschwerde in Kopie angeschlossenen Auskunftsbegehren vom 16. Oktober 2003 samt Beilagen.

Die N Logistik und Zustellservice GmbH, deren Anteile zu 100 % im Eigentum der Beschwerdegegnerin stehen, richtete noch am selben Tag ein Schreiben an den Verein , welches lediglich in allgemein gehaltener Form über die Art und Weise der Verwendung von Daten durch 'N' informierte. Konkrete Angaben über die Verwendung von personenbezogenen Daten des Beschwerdeführers waren nicht enthalten. Ebenso wenig ein Hinweis auf den fehlenden Identitätsnachweis oder den Umfang der Vollmacht vom 28. August 2003.

Am 31. März 2004 erging ein Schreiben mit identischem Inhalt an den Beschwerdeführer.

Beweiswürdigung: Diese Feststellungen beruhen auf der Stellungnahme der N Logistik und Zustellservice GmbH sowie den damit vorgelegten Unterlagen, deren Richtigkeit von der Beschwerdeführerin nicht bestritten wird.

Seiner Stellungnahme gegenüber der Datenschutzkommission vom 19. Mai 2004 im nunmehrigen Beschwerdeverfahren hat der Beschwerdeführer eine mit 13. April 2004 datierte Erweiterung der Vollmacht vom 28. August 2003 mit folgendem, auszugsweise wiedergegebenen Inhalt, beigelegt:

'Ich [...] bestätige, dass die ursprünglich am 28.8.2003 ausgestellte vollmacht zur Vertretung in Datenschutzangelegenheiten nicht nur gegenüber den angeführten Unternehmen und Behörden gilt, sondern auch gegenüber deren Rechtsnachfolger, allfälligen Tochter- und Mutterunternehmen sowie sonstig verbundenen Unternehmen. Weiters gilt die Vollmacht auch gegenüber allen Organisationen, deren verbundenen Organisationen und Personen, die als Dienstleister, 'Datenlieferanten' oder im Zusammenhang mit sonstiger Datenverwendung im Rahmen von Datenschutzverfahren der angeführten Unternehmen genannt werden. [...]'

Beweiswürdigung: Diese Feststellung beruht auf der in Kopie vorgelegten Ergänzung der Vollmacht.

In rechtlicher Hinsicht folgt daraus:

Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.

§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 ('nach Maßgabe gesetzlicher Bestimmungen') Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten.

Gemäß § 26 Abs. 1 DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

Gemäß § 26 Abs. 2 erster Satz leg. cit. ist die Auskunft nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.

Der Betroffene hat gemäß § 26 Abs. 3 leg. cit. am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

Gemäß § 26 Abs. 4 leg. cit. ist die Auskunft binnen acht Wochen zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt hat.

Wie die Datenschutzkommission bereits wiederholt ausgesprochen hat (Bescheid vom 2. November 2004, GZ. K120.980/010-DSK/2004, mwH) knüpft § 26 Abs. 1 DSG 2000 die Auskunftserteilung an die Bedingung, dass der Betroffene gegenüber dem Auftraggeber seine Identität nachweist. Der Identitätsnachweis ist conditio sine qua non für das Entstehen eines Anspruchs auf inhaltliche Auskunft. Diese Bestimmung hat den klar erkennbaren Zweck, jedem möglichen Missbrauch des Auskunftsrechts zur Informationsbeschaffung durch Dritte einen Riegel vorzuschieben. Ein Auftraggeber darf ohne Vorliegen eines Identitätsnachweises keine Daten an den Auskunftswerber– von dem er in diesem Moment nur annehmen kann, dass er tatsächlich der Betroffene ist – übermitteln, da er sonst das Datengeheimnis gemäß § 15 Abs. 1 DSG 2000 verletzen könnte. Bloßes Vertrauen auf die Identität des Auskunftswerbers kann den Identitätsnachweis nicht ersetzen, da mit einer derart großzügigen Auslegung der Wortfolge 'in geeigneter Form nachweist' dem Schutzzweck der Norm die Grundlage entzogen wäre.

Dasselbe muss im Ergebnis bei Zweifeln über das Bestehen bzw. den Umfang eines Vollmachtsverhältnisses gelten. Auch wenn das bürgerliche Recht (§§ 1002 ff ABGB), wie der Beschwerdeführer zutreffend ausführt, die Erteilung einer Vollmacht im Innenverhältnis ('Innenvollmacht') an keine besonderen Formerfordernisse knüpft, ist dies vom Nachweis dieses Vollmachtsverhältnisses gegenüber einem Dritten – hier der Beschwerdegegnerin – ('Außenvollmacht') zu unterscheiden (Koziol/Welser, Bürgerliches Recht I, 12. Aufl., 184). Ohne Vorliegen eines derartigen Nachweises handelt der Dritte auf eigenes Risiko, wenn er den Angaben des Vertreters vertraut. Dieses einzugehen kann jedoch schon im Hinblick auf das Datengeheimnis des Betroffenen vom Dritten nicht verlangt werden. Es liegt somit ein 'besonderer Grund' vor, der nach § 26 Abs. 2 erster Satz DSG 2000 dazu führt, dass die Auskunft nicht zu erteilen ist, weil dies zum Schutz des Betroffenen, konkret seines Anspruches auf Geheimhaltung, notwendig ist.

Dieses Hindernis für die Erteilung einer Auskunft ist selbst nach der Erweiterung der Vollmacht durch die Urkunde vom 13. April 2004 nicht beseitigt, weil einerseits die Erweiterung der Vollmacht nur der Datenschutzkommission und nicht der Beschwerdegegnerin vorgelegt wurde und andererseits im Ermittlungsverfahren kein Umstand hervorgekommen ist, wonach die Beschwerdegegnerin ihre Identität umfasst.

Allerdings enthebt das Nichtvorliegen eines Identitäts- bzw. Vollmachtsnachweises den datenschutzrechtlichen Auftraggeber nicht von der Pflicht, auf das Auskunftsbegehren zu reagieren. Denn nach § 26 Abs. 3 DSG 2000 hat der Betroffene auf Verlangen ('Befragen') des Auftraggebers am Auskunftsverfahren mitzuwirken (so genannte Mitwirkungsobliegenheit) – damit steht dem Auftraggeber ein Instrument zur Verfügung, das Nachholen des Identitätsnachweises zu erwirken –, und hat der datenschutzrechtliche Auftraggeber gemäß § 26 Abs. 4 leg. cit. zumindest gegenüber dem Auskunftswerber schriftlich zu begründen, warum die Auskunft nicht erteilt wird. Weist der Auskunftswerber also seine Identität bzw. ein Vollmachtsverhältnis nicht nach, so reduziert sich der Anspruch auf inhaltliche Auskunft darauf, eine entsprechende schriftliche Begründung für das Nichterteilen der Auskunft zu erhalten. Das Unterbleiben jeglicher Reaktion des datenschutzrechtlichen Auftraggebers auf ein Auskunftsbegehren verletzt den Betroffenen aber jedenfalls in seinem subjektiven Recht gemäß § 26 Abs. 1 und 4 DSG 2000 und damit implizit auch im Grundrecht auf Datenschutz (Auskunft) gemäß § 1 Abs. 3 Z 1 DSG 2000.

Dieser Anspruch wurde durch die Schreiben vom 16. Oktober 2003 und vom 31. März 2004 nicht erfüllt, weil diese weder auf das Fehlen eines Identitätsnachweises noch auf das Fehlen einer Vollmacht hinweisen. Ebenso wenig erfolgte dies – hinsichtlich der Vollmacht - durch entsprechendes Vorbringen der Beschwerdegegnerin im nunmehrigen Beschwerdeverfahren. Eine Auskunftserteilung nach § 26 Abs. 1 DSG 2000 oder Begründung nach § 26 Abs. 4 leg. cit. hat nämlich nach der Rechtsprechung der Datenschutzkommission (s. wiederum den vorzitierten Bescheid) direkt gegenüber dem Betroffenen zu ergehen.

Es war daher die Verletzung im Recht auf Auskunft im spruchgemäßen Umfang festzustellen. Das darüber hinaus gehende Mehrbegehren war abzuweisen, da der Beschwerdeführer mangels Vorlage eines Identitäts- bzw. Vollmachtsnachweises die Voraussetzung für das Entstehen eines inhaltlichen Auskunftsanspruches noch nicht geschaffen hat.