K120.913/0003-DSK/2005 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. MAIER und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. ROSENMAYR-KLEMENZ, Dr. SOUHRADA-KIRCHMAYER, Dr. STAUDIGL und Mag. ZIMMER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 7. Juni 2005 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde des Martin I*** in Köln, A*** Straße *5 (Beschwerdeführer), gegen die B*** Finanzsanierungs GmbH in M***, G***straße 23 (Beschwerdegegnerin), vom 27. November 2003 wegen Verletzung im Recht auf Auskunft personenbezogener Daten, wird gemäß § 1 Abs. 3 Z. 1, § 25 Abs. 2, § 26 Abs. 1 und § 31 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr 165/1999 idF BGBl I Nr 13/2005, wie folgt entschieden:

Die Beschwerde wird als unbegründet abgewiesen.

Begründung

I. Verfahrensgang und Vorbringen der Parteien:

Der Beschwerdeführer brachte in seiner Beschwerde vom 27. November 2003 vor, er habe im Hinblick auf ein an ihn im Oktober 2003 unter dem falschen Namen „Martina I***“ gerichtetes Schreiben der Beschwerdegegnerin diese um Auskunft über Herkunft und Empfänger von zu seiner Person verarbeiteten Daten ersucht. Die Beschwerdegegnerin sei diesem Begehren jedoch nur unvollständig nachgekommen, weil das Antwortschreiben nur auf „externe (deutsche) Dienstleister“ als Herkunftsquelle verwies, diese aber nicht konkret genannt habe. Auf das zweite diesbezügliche Schreiben, die mit der Verarbeitung beauftragten Dienstleister zu nennen, habe die Beschwerdegegnerin nicht reagiert, weshalb sich der Beschwerdeführer in seinem Recht auf Auskunft als verletzt erachte.

In ihrer, erst nach Urgenz der Datenschutzkommission abgegebenen Stellungnahme vom 19. März 2004 (offensichtlich falsches Datum, da erst am 20. September 2004 bei der Datenschutzkommission eingelangt), gab die Beschwerdegegnerin im Wesentlichen bekannt, weder von „Herrn Martin I***“ noch einer „Frau Martina I***“ Daten gespeichert zu haben und sich daher nicht erklären zu können, woher die Adresse des Beschwerdeführers stamme, „zumal keine Unterlagen oder sonstige Daten (Computer) mehr bei uns existieren“. In der Folge zitiert die Beschwerdegegnerin die bereits am 27. Oktober 2003 dem Beschwerdeführer erteilte Auskunft:

„Wir sind ein Unternehmen, dass seine Kunden ausschließlich durch Direktmarketing gewinnt.

Dabei werden die Adressen von Adressbrokern angemietet oder aufgekauft und von deutschen Dienstleistern aufgearbeitet (auf postalische Richtigkeit und ähnliches geprüft) und dann durch externe deutsche Dienstleister als Mailing verarbeitet und an die Kunden versandt.

Wir als österreichisches Unternehmen kommen mit den Kunden erst in Kontakt, wenn der Kunde auf das Werbeschreiben antwortet.

...

Diese Listen stammen von Versandhäusern und anderen

Dienstleistern oder z.B. Internetportalen, in denen sich

Kunden eintragen.

...

Aus der Art und dem Umfang unserer Tätigkeit wird schnell ersichtlich, dass wir weder über die genaue Herkunft eines einzelnen Datensatzes noch über den einzelnen Datensatz an sich Kenntnis haben, da der Kunde uns erst bekannt wird, wenn er sich auf Grund der Werbung an uns wendet.

Wir sehen uns auch nicht in der Lage zu verifizieren, woher dieser Datensatz stammt, da permanent Datensätze von verschiedenen Listen verwendet werden.

...“

Auf die zum Parteiengehör vorgelegte Stellungnahme der Beschwerdegegnerin reagierte der Beschwerdeführer nicht.

II. Von der Datenschutzkommission verwendete Beweismittel:

Im Rahmen des von ihr durchgeführten Ermittlungsverfahrens hat die Datenschutzkommission in die von den Parteien vorgelegten Schreiben Einsicht genommen und dem Beschwerdeführer zu den Ergebnissen des Ermittlungsverfahrens Parteiengehör eingeräumt.

III. Festgestellter Sachverhalt und Beweiswürdigung

Der Beschwerdeführer erhielt Mitte Oktober 2003 ein Werbeschreiben der Beschwerdegegnerin, das an „Frau Martina I***, A*** Str. *5, *** Köln“ adressiert war. Name und Anschrift des Beschwerdeführers lauten tatsächlich aber „Herr Martin I***, A*** Str. *5, *** Köln“.

Unter Hinweis auf dieses Werbeschreiben richtete der Beschwerdeführer am 20. Oktober 2003 ein Schreiben an die Beschwerdegegnerin, in dem er auf den falschen Vornamen hinwies, die Löschung des Datensatzes „Martina I***“ begehrte, sowie um Auskunft darüber bat, „woher Sie meinen Namen (mit falschem Vornamen) und meine Adresse erhalten haben, welche weiteren Daten Sie über mich speichern und an welche Firmen oder Personen Sie meine Daten übermittelt haben“. Der Beschwerdeführer wies ferner darauf hin, dass die Beschwerdegegnerin gemäß § 26 Datenschutzgesetz 2000 zur Erteilung dieser Auskunft verpflichtet sei.

In ihrem Antwortschreiben vom 27. Oktober 2003 replizierte die Beschwerdegegnerin im Wesentlichen wie folgt:

„Wir sind ein Unternehmen, dass seine Kunden ausschließlich durch Direktmarketing gewinnt.

Dabei werden die Adressen von Adressbrokern angemietet oder aufgekauft und von deutschen Dienstleistern aufgearbeitet (auf postalische Richtigkeit und ähnliches geprüft) und dann durch externe deutsche Dienstleister als Mailing verarbeitet und an die Kunden versandt.

Wir als österreichisches Unternehmen kommen mit den Kunden erst in Kontakt, wenn der Kunde auf das Werbeschreiben antwortet.

...

Diese Listen stammen von Versandhäusern und anderen

Dienstleistern oder z.B. Internetportalen, in denen sich

Kunden eintragen.

...

Aus der Art und dem Umfang unserer Tätigkeit wird schnell ersichtlich, dass wir weder über die genaue Herkunft eines einzelnen Datensatzes noch über den einzelnen Datensatz an sich Kenntnis haben, da der Kunde uns erst bekannt wird, wenn er sich auf Grund der Werbung an uns wendet.

Wir sehen uns auch nicht in der Lage zu verifizieren, woher dieser Datensatz stammt, da permanent Datensätze von verschiedenen Listen verwendet werden.

...“

Der Beschwerdeführer forderte die Beschwerdegegnerin in einem zweiten Schreiben mit dem Betreff „Auskunft zu Datenherkunft“ vom 3. November 2003 auf, ihm gemäß § 26 Abs. 1 DSG 2000 bis spätestens zum 12. November 2003 mitzuteilen, woher sie seinen Namen und seine Adresse erhalten und welche Dienstleister sie mit der Verarbeitung der Daten beauftragt hat.

Auf dieses Schreiben reagierte die Beschwerdegegnerin nicht, weshalb der Beschwerdeführer mit Schreiben vom 27. November 2003 Beschwerde an die Datenschutzkommission erhob, um Auskunft über Herkunft und Empfänger der Daten zu erhalten.

Beweiswürdigung : Diese Feststellungen beruhen auf den Beschwerdebehauptungen und dem mit der Beschwerde vorgelegten Schriftverkehr. Die sachliche Richtigkeit dieser Behauptungen wird von der Beschwerdegegnerin nicht in Frage gestellt.

In einem Schreiben vom 19. März 2004 (offensichtlich falsches Datum, da erst am 20. September 2004 bei der Datenschutzkommission eingelangt) teilte die Beschwerdegegnerin mit, weder von Herrn Martin I*** noch einer Frau Martina I*** Daten gespeichert zu haben.

Beweiswürdigung : Diese Feststellung beruht auf dem Inhalt der von der Beschwerdegegnerin vorgelegten Stellungnahme, auf dessen Vorlage der Beschwerdeführer nicht mehr reagierte.

IV. Rechtliche Schlussfolgerungen

a. anzuwendende Rechtsvorschriften

Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.

Gemäß § 26 Abs. 1 DSG 2000 als einfachgesetzlicher Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Name und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

§ 25 Abs. 2 DSG 2000 lautet:

„Werden Daten aus einer Datenanwendung für Zwecke einer vom Auftraggeber verschiedenen Person verwendet, ohne daß diese ihrerseits ein Verfügungsrecht über die verwendeten Daten und damit die Eigenschaft eines Auftraggebers in Bezug auf die Daten erlangt, dann ist bei Mitteilungen an den Betroffenen neben der Identität der Person, für deren Zwecke die Daten verwendet werden, auch die Identität des Auftraggebers anzugeben, aus dessen Datenanwendung die Daten stammen. Handelt es sich hiebei um eine meldepflichtige Datenanwendung, ist die Registernummer des Auftraggebers beizufügen. Diese Pflicht trifft sowohl den Auftraggeber als auch denjenigen, in dessen Namen die Mitteilung an den Betroffenen erfolgt.“

b. Anwendung auf den Beschwerdefall

Die Beschwerdegegnerin hat in ihrer Stellungnahme sowohl gegenüber dem Beschwerdeführer vom 27. Oktober 2003 als auch gegenüber der Datenschutzkommission vom 19. März 2004 angegeben, sie hat keine Daten des Beschwerdeführers gespeichert. Der Beschwerdeführer hat sich in dem dazu gewährten Parteiengehör nicht geäußert.

Die Datenschutzkommission geht daher davon aus, dass die Beschwerdegegnerin niemals ein Verfügungsrecht über derartige Daten erlangt hat, sondern nur Adressdaten deutscher Unternehmen für Zwecke des Versands von Werbung der Beschwerdegegnerin im Sinn des § 25 Abs. 2 DSG 2000 verwendet wurden. Diese Argumentation der Beschwerdegegnerin hat zwar zur Konsequenz, dass ihre § 25 Abs. 2 DSG 2000 entspringende Verpflichtung, den Auftraggeber anzugeben, verletzt worden ist, dies kann jedoch nicht Gegenstand eines Beschwerdeverfahrens nach § 31 Abs. 1 DSG 2000 wegen Verletzung im Recht auf Auskunft, sondern höchstens des „Ombudsmannverfahrens“ nach § 30 DSG 2000 sein. Ein solches hat der Beschwerdeführer aber nicht angestrengt. Seine verfahrensauslösende Eingabe vom 27. November 2003 trägt den Betreff „Beschwerde“ und beinhaltet das Hauptanliegen, die Beschwerdegegnerin „zu verpflichten, mir Auskunft über Herkunft und Empfänger des Datensatzes „Martina I***“ zu erteilen“. Ein solches Anliegen setzt typischerweise nur ein Beschwerdeverfahren nach § 31 DSG 2000, und nur in Ausnahmefällen auch ein Verfahren nach § 30 DSG 2000 in Gang. Die Beschwerde war daher spruchgemäß abzuweisen.