K120.862/0011-DSK/2005 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. Maier und in Anwesenheit der Mitglieder Dr. Blaha, Dr. Duschanek, Dr. Kotschy, Dr. Staudigl und Mag. Zimmer, sowie des Schriftführers Mag. Suda in ihrer Sitzung vom 20. Mai 2005 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde des Michael K*** (Beschwerdeführer) aus F*** vom 23. Mai 2003, zuletzt geändert (erweitert) durch Schreiben vom 21. März 2005, gegen die ***data Gesellschaft m. b.H. (Beschwerdegegnerin) aus F***, vertreten durch P*** S***, Rechtsanwälte und Verteidiger in Strafsachen, **70 F***, ***gasse **, wegen Verletzung im Recht auf Auskunft über eigene Daten durch Erteilung keiner Auskunft im Schreiben vom 11. März 2003, wird gemäß §§ 1 Abs 3 Z1, 4 Z 4 2. Satz, 26 Abs 1 und 10 und 31 Abs 1 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr 165/1999 idF BGBl I Nr 136/2001, wie folgt entschieden:

1. Der Beschwerde wird stattgegeben und festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch, dass sie auf sein Auskunftsbegehren vom 10 März 2003 keine inhaltliche Auskunft erteilte, im Recht auf Auskunft nach § 26 Abs 1 DSG 2000 verletzt hat.

2. Der Beschwerdegegnerin wird daher aufgetragen, dem Beschwerdeführer binnen drei Wochen nach § 26 Abs. 1 DSG 2000 inhaltlich Auskunft über die zu seiner Person verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger (oder Empfängerkreise) von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form schriftlich zu erteilen, insbesondere hinsichtlich der Daten betreffend Arbeitszeitaufzeichnungen, sowie Name und Anschrift eines eventuell herangezogenen Dienstleisters anzugeben.

A) Verfahrensgang und Vorbringen der Parteien

In der am 23. Mai 2003 (neuerlich, nach Zurückziehung des ursprünglichen Schreibens) eingebrachten Beschwerde brachte der Beschwerdeführer unter Vorlage einer entsprechenden Urkundenkopie (Schreiben der Beschwerdegegnerin vom 11. März 2003) vor, von der Beschwerdegegnerin keine vollständige und richtige Auskunft über die zu seiner Person verarbeiteten Daten erhalten zu haben. Die Beschwerdegegnerin verarbeite Daten betreffend Zeiteinteilung und Abwesenheiten ihrer Mitarbeiter (Krankenstand, Urlaub, Zeitausgleich u.dgl.). Angaben zu den diesbezüglich über ihn verarbeiteten Daten fehlten im Auskunftsschreiben der Beschwerdegegnerin.

Die anwaltlich vertretene Beschwerdegegnerin brachte dazu vor, es gäbe bei ihr kein EDV-System zu dem vom Beschwerdeführer umschriebenen Zweck (Zeiterfassung). Ein EDV-System mit dem vom Beschwerdeführer genannten Betriebssystem 'Linux' sei zwar vorhanden gewesen, wäre aber in der Zwischenzeit 'mangels Kompatibilität' wieder deinstalliert worden. Die Mitarbeiter seien allerdings angehalten, Aufzeichnungen über ihre Termine und Abwesenheiten zu führen. Derartige Daten würden 'ausschließlich beim Steuerberater, welcher auch die Personalverrechnung über hat, geführt.'

Mit Schreiben vom 21. März 2005 brachte der Beschwerdeführer nach Parteiengehör zu den vorliegenden Ergebnissen des Ermittlungsverfahrens vor, die Beschwerdegegnerin verarbeite sehr wohl selbst Daten der Arbeitnehmer. Die Beschwerdegegnerin hat zu den Ergebnissen des Ermittlungsverfahrens keine Stellungnahme abgegeben.

B) Ermittlungsverfahren, verwendete Beweismittel

Die Datenschutzkommission hat ein Ermittlungsverfahren durchgeführt und Beweis aufgenommen durch Einsichtnahme in die vom Beschwerdeführer und von der Beschwerdegegnerin eingebrachten Schriftsätze samt Beilagen (Urkundenkopien). Weiters durch Einholung einer Stellungnahme von Dr. Anna C***, Steuerberaterin, und der O*** Steuerberatungs Ges.m.b.H..

C) Sachverhaltsfeststellung samt Beweiswürdigung

Die Mitarbeiter der ***data Gesellschaft m.b.H. führen schriftliche Zeitaufzeichnungen über ihre Termine und Abwesenheiten vom Arbeitsplatz. Die durch diese Aufzeichnungen ermittelten Daten werden von Dr. Anna C***, Steuerberaterin, und der O*** Steuerberatungs Ges.m.b.H. im Rahmen eines Auftrags der Beschwerdegegnerin zur Abwicklung der Lohn- und Gehaltsverrechnung der Beschwerdegegnerin verarbeitet.

Beweiswürdigung : Diese Feststellungen stützen sich auf das glaubwürdige Vorbringen der Beschwerdegegnerin selbst und die Stellungnahme von Dr. Anna C***, Steuerberaterin, und der O*** Steuerberatungs Ges.m.b.H. vom 29. April 2005.

Der Beschwerdeführer richtete am 10. März 2003 ein Auskunftsersuchen an die Beschwerdegegnerin betreffend über ihn gespeicherte Personendaten. Mit Schreiben vom 11. März 2003 wurde ihm die Auskunft erteilt, dass 'eine solche Speicherung routinemäßig nicht erfolgt und auch von niemandem veranlasst wurde'.

Mit Eingaben vom 23. Mai 2003 wandte sich der Beschwerdeführer gemäß § 31 Abs 1 DSG 2000 an die Datenschutzkommission. Mit Kopie des Schreibens an die Datenschutzkommission vom 29. Juli 2003 wurde dem Beschwerdeführer der Name des mit der Personalverrechnung betrauten Auftragnehmers bekannt gegeben mit: 'Steuerberatungs GesmbH Dr. Anna C*** (vormals C*** L*** Steuerberatungs OEG)'; unter einem wurde auch dessen Adresse mitgeteilt.

Beweiswürdigung : Diese Feststellungen stützen sich auf den Inhalt der in Kopie vorliegenden, zitierten Schreiben, sowie auf die Mitteilung von Dr. Anna C***, Steuerberaterin, und der O*** Steuerberatungs Ges.m.b.H. vom 29. April 2005.

D) rechtliche Beurteilung

1. anzuwendende Rechtsvorschriften :

§ 4 Z 4 DSG 2000 lautet unter Überschrift 'Definitionen':

'"Auftraggeber": natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten für einen bestimmten Zweck zu verarbeiten (Z 9), und zwar unabhängig davon, ob sie die Verarbeitung selbst durchführen oder hiezu einen anderen heranziehen. Als Auftraggeber gelten die genannten Personen, Personengemeinschaften und Einrichtungen auch dann, wenn sie einem anderen Daten zur Herstellung eines von ihnen aufgetragenen Werkes überlassen und der Auftragnehmer die Entscheidung trifft, diese Daten zu verarbeiten. Wurde jedoch dem Auftragnehmer anläßlich der Auftragserteilung die Verarbeitung der überlassenen Daten ausdrücklich untersagt oder hat der Auftragnehmer die Entscheidung über die Art und Weise der Verwendung, insbesondere die Vornahme einer Verarbeitung der überlassenen Daten, auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß § 6 Abs. 4 eigenverantwortlich zu treffen, so gilt der mit der Herstellung des Werkes Betraute als datenschutzrechtlicher Auftraggeber;'

§ 6 Abs 4 DSG 2000 lautet unter der Überschrift 'Grundsätze':

'(4) Zur näheren Festlegung dessen, was in einzelnen Bereichen als Verwendung von Daten nach Treu und Glauben anzusehen ist, können für den privaten Bereich die gesetzlichen Interessenvertretungen, sonstige Berufsverbände und vergleichbare Einrichtungen Verhaltensregeln ausarbeiten. Solche Verhaltensregeln dürfen nur veröffentlicht werden, nachdem sie dem Bundeskanzler zur Begutachtung vorgelegt wurden und dieser ihre Übereinstimmung mit den Bestimmungen dieses Bundesgesetzes begutachtet und als gegeben erachtet hat.'

§ 26 Abs 1 und 10 DSG 2000 lauten unter der Überschrift 'Auskunftsrecht':

'(1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

[..]

(10) Im Falle der auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß § 6 Abs. 4 eigenverantwortlichen Entscheidung über die Durchführung einer Datenanwendung durch einen Auftragnehmer gemäß § 4 Z 4, dritter Satz, kann der Betroffene sein Auskunftsbegehren zunächst auch an denjenigen richten, der die Herstellung des Werkes aufgetragen hat. Dieser hat dem Betroffenen, soweit dies nicht ohnehin bekannt ist, binnen zwei Wochen unentgeltlich Namen und Adresse des eigenverantwortlichen Auftragnehmers mitzuteilen, damit der Betroffene sein Auskunftsrecht gemäß Abs. 1 gegen diesen geltend machen kann.'

2. Anwendung auf den Beschwerdefall :

Dem mit der Vornahme der Personalverrechnung beauftragten Steuerberater könnte grundsätzlich Auftraggebereigenschaft im Sinne des § 4 Z 4 dritter Satz DSG 2000 zukommen, wenn er gem. § 26 Abs. 10 DSG eigenverantwortlich, das heißt ohne genaue Anleitung durch oder Vereinbarung mit seinem Mandanten, die Personalverrechnung mit Hilfe von EDV durchführt. Das Recht zu einer solchen eigenverantwortlichen Datenverarbeitung für einen Auftraggeber muss dem Auftragnehmer jedoch durch zumindest eine der in § 4 Z 4 dritter Satz DSG 2000 aufgezählten Rechtsquellen eingeräumt sein.

Die Datenschutzkommission hat die Rechtslage betreffend Steuerberater näher geprüft und kommt zu dem Schluss, dass es keine nachweisbare Rechtsquelle gibt, die dem Steuerberater der Beschwerdegegnerin eine solche Entscheidung für den Sachverhalt dieses Beschwerdefalls (Durchführung der Lohn- und Gehaltsverrechnung) einräumen würde. Das Berufsrecht der Steuerberater (Wirtschaftstreuhandberufsgesetz (WTBG), BGBl I Nr 58/1999 idF BGBl I Nr 135/2001) lässt diese Frage offen, ebenso die allgemein bekannten und veröffentlichten Standesregeln (Wirtschaftstreuhandberufs-Ausübungsrichtlinie WT-ARL 2001, Amtsblatt der Kammer der Wirtschaftstreuhänder, Sondernummer I/2002). Verhaltensregeln gemäß § 6 Abs 4 DSG 2000, die der Begutachtung durch den Bundeskanzler vor Veröffentlichung unterliegen, bestehen ebenfalls nicht. Andere Verhaltensregeln (wie Rundschreiben einer Kammer, Rechtsgutachten, Richtlinien einer privaten Vereinigung u.ä.), die nicht gemäß § 6 Abs 4 DSG 2000 begutachtet und veröffentlicht worden sind, können nicht zur Begründung eigenverantwortlicher Datenverarbeitung durch einen Auftragnehmer (hier: Steuerberater) herangezogen werden, da das Gesetz nach seinem logisch-systematischen Zusammenhang nur gesetzmäßig veröffentlichten Verhaltensregeln entsprechende präjudizielle Wirkungen zumisst.

Es ist der Beschwerdegegnerin daher nicht gelungen nachzuweisen, dass sie zum Vorgehen nach § 26 Abs 10 DSG 2000 berechtigt war. Daher trifft sie trotz Auslagerung der Personalverrechnung die Pflicht zur inhaltlichen Auskunft an Betroffene gemäß § 26 Abs 1 DSG 2000, wobei sie sich die Daten gegebenenfalls vom Steuerberater, der datenschutzrechtlich als Dienstleister der Beschwerdegegnerin zu qualifizieren ist, zu beschaffen hätte.

Was das Vorbringen des Beschwerdeführers betrifft, die Beschwerdegegnerin verarbeite entgegen ihrem Vorbringen selbst personenbezogene Daten des Beschwerdeführers, so konnte eine Beweisaufnahme zu dieser Behauptung unterbleiben, da der Anspruch des Beschwerdeführers auf Auskunft schon aus den oben dargelegten rechtlichen Erwägungen feststeht.