K120.996/0006-DSK/2005 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. DUSCHANEK, Dr. HEISSENBERGER, Mag. HUTTERER, Dr. KOTSCHY und Mag. PREISS sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 21. Juni 2005 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde des Ing. Konrad S*** in 6*** K***, C***straße 9a (Beschwerdeführer), gegen die Österreichische Forschungsförderungsgesellschaft mbH in 1015 Wien, Kärntner Straße 21-23 (Beschwerdegegnerin), vom 28. September 2004 wegen Verletzung im Recht auf Auskunft personenbezogener Daten und im Recht auf Widerspruch, wird gemäß § 1 Abs. 3 Z. 1, § 26 Abs. 1, § 28 Abs. 1 und § 31 Abs. 1 und 2 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr 165/1999 idF BGBl I Nr 13/2005, wie folgt entschieden:

1. Die Beschwerde wird hinsichtlich der behaupteten Verletzung im Recht auf Auskunft personenbezogener Daten als unbegründet abgewiesen.

2. Die Beschwerde wird hinsichtlich der behaupteten Verletzung im Recht auf Widerspruch zurückgewiesen.

Begründung

I. Verfahrensgang und Vorbringen der Parteien:

a. Der Beschwerdeführer wandte sich mit Schreiben vom 28. September 2004 namens seiner Firma an die Datenschutzkommission und brachte vor, er hätte mit 24. Mai 2004 zwei Förderungsansuchen an den Forschungsförderungsfonds (im Folgenden: FFF) mit sehr umfangreichen Informationen und Daten (darunter eine Patentanmeldung, viele wirtschaftliche, personenbezogene oder auch sensible Daten) gestellt. Einer bestimmungsgemäßen Anwendung dieser Daten durch den FFF und einer Weitergabe an bestimmte Empfänger gemäß den Antragsbedingungen sei zugestimmt worden, zweckentsprechend allerdings nur auf die Dauer des Bearbeitungsverfahrens, wobei ein jederzeitiger Widerruf möglich gewesen sei.

Mit zwei Schreiben vom 16. September 2004 seien die Förderungsansuchen verfahrensabschließend abgelehnt worden (Beilage), weswegen der Beschwerdeführer am 22. September 2004 an die nunmehrige Beschwerdegegnerin ein Schreiben (Beilage) gerichtet habe, womit er

a) die mit der Antragstellung gewährte Verwendung obiger Daten gemäß § 28 DSG widerrufen habe und

b) Auskunft gemäß § 26 DSG angefordert habe, an welche Empfänger (ausdrückliche Nennung aller Personen, Stellen und Dienstleister) welche Daten weitergegeben worden seien.

Letzteres erfolge, da es Hinweise gegeben hätte, Daten seien an das Land Niederösterreich weitergegeben worden, womit auch die Weitergabe an andere Stellen oder in Konkurrenz stehende andere Förderungswerber nicht ausgeschlossen werden könne.

Das Antwortschreiben der Beschwerdegegnerin vom 27. September 2004 habe keine Aufstellung der Übermittlungsempfänger, sondern nur eine pauschale „Zusicherung“ unter pauschaler Zitierung eines unter dieser Bezeichnung nicht existierenden Gesetzes enthalten. Mit der Formulierung „durch Ihre Antragstellung haben Sie sich mit den Antragskonditionen einverstanden erklärt“ schließe die Beschwerdegegnerin offenbar für alle Ewigkeit eine Widerrufsmöglichkeit auch nach § 28 DSG aus.

Daher werde gemäß § 31 DSG die (Wieder )Herstellung und Umsetzung des Auskunfts- und Widerrufsrecht des DSG sowie die Vermeidung eines eventuellen Datenmissbrauchs bei der Beschwerdegegnerin beantragt.

b. Die Beschwerdegegnerin brachte der Datenschutzkommission mit Schreiben vom 15. November 2004 folgende „Auskunft nach § 26 DSG 2000“ vom selben Tag an den Beschwerdeführer zur Kenntnis:

Die Daten der beiden Anträge seien von ihr auszugsweise an alle Mitglieder des Beirates der Beschwerdegegnerin laut beiliegender Liste versandt worden. Der versandte Auszug habe ausschließlich die Seiten 1 bis 4 des Antrages betroffen. Der FFF, bei dem die Anträge gestellt worden seien, sei mit dem Forschungsförderungs-Strukturreformgesetz vom 14. Juli 2004 in die Beschwerdegegnerin übergeführt worden.

c. Der Beschwerdeführer monierte in dem dazu gewährten Parteiengehör, das Schreiben der Beschwerdegegnerin enthalte zwar Auskunft über die Datenempfänger, aber nichts über die bisherige und weitere Datenverwendung durch diese Datenempfänger oder die Beschwerdegegnerin selbst. Dies sei aufgrund des Widerrufes der Zustimmung zur Datenverwendung, welcher nach § 28 Abs. 2 der „Allgemeinen Rahmenrichtlinie für die Gewährung von Förderungen aus Bundesmitteln“ jederzeit zulässig sei, von der Beschwerdegegnerin aber bestritten worden sei, von besonderer Bedeutung. In dieser Stellungnahme sei nicht erkennbar, ob die Verwendung der Daten bei der Beschwerdegegnerin oder den Datenempfängern aufgrund des Widerrufes eingestellt worden sei oder ob alle Datenempfänger von diesem Widerruf überhaupt Kenntnis erlangt hätten. Auch dies sei Inhalt des Auskunftsrechts nach § 26 DSG 2000.

II. Von der Datenschutzkommission verwendete Beweismittel:

Die Datenschutzkommission hat ein Ermittlungsverfahren durchgeführt und Beweis aufgenommen durch Einsichtnahme in die von den Parteien vorgelegten Urkunden(kopien) und sonstigen Dokumente. Den Parteien wurde zu den Ergebnissen des Ermittlungsverfahrens Parteiengehör eingeräumt.

III. Festgestellter Sachverhalt und Beweiswürdigung

Der Beschwerdeführer stellte mit Schreiben vom 24. Mai 2004 zwei Förderansuchen an die Beschwerdegegnerin, welche diese am 16. September 2004 mit im Wesentlichen folgendem Wortlaut ablehnte:

„Sehr geehrte …

Der Beirat hat sich in seiner Sitzung am 15.09.2004 mit Ihrem oben angeführten Förderungsansuchen befasst. Die eingehende Diskussion hat folgendes Ergebnis gebracht:

Für die Förderungen eines Projektes durch den FFF muss eine Reihe von definierten Kriterien überdurchschnittlich gut erfüllt werden. Neben den technischen Projektkriterien wird auch geprüft, inwieweit eine erfolgreiche wirtschaftliche Verwertung möglich ist. Wesentlich ist dabei auch eine fundierte Restfinanzierung, die die wirtschaftliche Leistungsfähigkeit Ihrer antragstellenden Firma garantiert. Das Zustandekommen einer möglichen Restfinanzierung konnte bei Ihrem Projekt nur unterdurchschnittlich bewertet werden. Ebenfalls konnten die Marktchancen und wirtschaftlichen Verwertungsmöglichkeiten nur unterdurchschnittlich bewertet werden. Eine Förderung war somit nicht möglich.

Mit freundlichen Grüßen“

Das zweite Schreiben hat den gleichen Aufbau unter Nennung

anderer Kriterien.

Der Beschwerdeführer stellte mit Schreiben vom 22. September 2004 an die Beschwerdegegnerin im Wesentlichen folgendes Begehren:

„Wir widerrufen hiermit jegliche Zustimmung zur Verwendung und Weitergabe von Daten und Informationen aus unseren beiden Förderansuchen und allen Beilagen und Schriftverkehr zu diesen mit sofortiger Wirkung gemäß dem österreichischen Datenschutzgesetz.

Zur sicheren Vermeidung einer missbräuchlichen Verwendung ersuchen wir Sie, alle Unterlagen zu beiden Förderansuchen an uns zu retournieren oder nachweislich zu vernichten und uns über die Vernichtung zu verständigen.

Ebenso fordern wir Sie auf, uns alle Stellen und Personen, an denen Daten oder Informationen aus unseren Förderansuchen, auch auszugsweise, weitergegeben wurden, uns vollständig binnen 14 Tagen bekannt zu geben.“

Die Beschwerdegegnerin erklärt dazu in einem Schreiben vom 27. September 2004, eine Retournierung von Antragsunterlagen ist nicht möglich, da sich der Beschwerdeführer mit den Antragskonditionen einverstanden erklärt hat. Die vertrauliche Behandlung der Daten wurde zugesichert, die Unterlagen würden nur zur internen Dokumentation und für Kontrollen durch die Aufsichtsbehörde bzw. den Rechnungshof dienen.

Der Beschwerdeführer fühlt sich durch dieses Schreiben in seinen Rechten nach § 26 und § 28 Datenschutzgesetz 2000 verletzt, weswegen er mit Eingabe vom 28. September 2004 Beschwerde „gemäß § 31 Datenschutzgesetz 2000“ an die Datenschutzkommission erhob.

Beweiswürdigung: Diese Feststellungen, welche von der Beschwerdegegnerin in ihrer Stellungnahme nicht bestritten wurden, ergeben sich aus der Beschwerde bzw. mit dieser vorgelegten Unterlagen.

Die Beschwerdegegnerin teilte dem Beschwerdeführer mit Schreiben vom 15. November 2004 (der Datenschutzkommission zur Kenntnis gebracht mit Schreiben vom selben Tag) im Wesentlichen folgendes mit:

„Auskunft nach § 26 DSG 2000

…

Die Daten der beiden Anträge wurden von uns auszugsweise an alle Mitglieder des FFG-Beirates laut beiliegender Liste versandt. Der versandte Auszug betraf ausschließlich die Seiten 1-4 Ihres Antrages.

Der FFF, bei dem Sie den Antrag gestellt haben, wurde mit dem Forschungsförderungs-Strukturreformgesetz vom 14.7.2004 in die FFG übergeführt.“

Beweiswürdigung: Diese Feststellungen beruhen auf dem mit der Stellungnahme der Beschwerdegegnerin vom 15. November 2004 vorgelegten Auskunftsschreiben an den Beschwerdeführer vom selben Tag.

VI. Rechtliche Schlussfolgerungen

A. Auskunftsbegehren gemäß § 26 DSG 2000

1. Anzuwendende Rechtsvorschriften

Gemäß der Verfassungsbestimmung des § 1 Abs. 3 Z 1 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr 165/1999 idF BGBl I Nr 13/2005, hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.

Gemäß § 26 Abs. 1 DSG 2000, der einfachgesetzlichen Ausformulierung dieser Verfassungsbestimmung, hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

2. Anwendung auf den Beschwerdefall

Der Beschwerdeführer ersuchte die Beschwerdegegnerin mit Schreiben vom 22. September 2004, ihm „alle Stellen und Personen, an denen Daten oder Informationen aus unseren Förderansuchen, auch auszugsweise, weitergegeben wurden“, zu beauskunften. Diesem Begehren kam die Beschwerdegegnerin im Laufe des Verfahrens vor der Datenschutzkommission mit Auskunftsschreiben vom 15. November 2004 nach. Darin gab sie an, „die Daten der beiden Anträge wurden von uns auszugsweise an alle Mitglieder des FFG-Beirates laut beiliegender Liste versandt. Der versandte Auszug betraf ausschließlich die Seiten 1-4 Ihres Antrages.“ Mit diesem Schreiben ist die vom Beschwerdeführer gewünschte Auskunft erteilt worden und hat er auch gegen die Vollständigkeit derselben in dem ihm zu dieser Auskunft gewährten Parteiengehör nichts weiter vorgebracht. Wenn er an dieser Stelle nunmehr moniert, die Beantwortung der Beschwerdegegnerin enthalte zwar Auskunft über die Datenempfänger, aber nicht über die bisherige und weitere Datenverwendung durch die Datenempfänger und die Beschwerdegegnerin selbst, so übersieht er erstens, dass dies nicht Inhalt seines ursprünglichen Auskunftsbegehrens gewesen ist und eine Verletzung des Auskunftsrechts des § 26 DSG 2000 durch den Auftraggeber erst möglich ist, wenn vor Herantreten an die Datenschutzkommission an den Auftraggeber ein entsprechendes Begehren gestellt wurde, und zweitens, dass die Datenanwendung durch die Datenempfänger nicht Gegenstand eines Auskunftsbegehrens an den Auftraggeber sein kann. Da dem ursprünglichen Auskunftsbegehren vom 22. September 2004 durch Auskunft vom 15. November 2004 vollinhaltlich entsprochen wurde, war die Beschwerde, soweit sie sich auf die behauptete Verletzung des Auskunftsrechts bezieht, abzuweisen.

B. Widerruf nach § 28 DSG 2000

1. Anzuwendende Rechtsvorschriften

Gemäß § 5 Abs. 1 DSG 2000 sind Datenanwendungen dem öffentlichen Bereich im Sinne dieses Bundesgesetzes zuzurechnen, wenn sie für Zwecke eines Auftraggebers des öffentlichen Bereichs (Abs. 2) durchgeführt werden. Gemäß Abs. 2 sind Auftraggeber des öffentlichen Bereichs alle Auftraggeber, 1. die in Formen des öffentlichen Rechts eingerichtet sind, insbesondere auch als Organ einer Gebietskörperschaft, oder 2. soweit sie trotz ihrer Einrichtung in Formen des Privatrechts in Vollziehung der Gesetze tätig sind. Gemäß Abs. 3 gelten die dem Abs. 2 nicht unterliegenden Auftraggeber als Auftraggeber des privaten Bereichs im Sinne dieses Bundesgesetzes.

Gemäß § 28 Abs. 1 DSG 2000 hat, sofern die Verwendung von Daten nicht gesetzlich vorgesehen ist, jeder Betroffene das Recht, gegen die Verwendung seiner Daten wegen Verletzung überwiegender schutzwürdiger Geheimhaltungsinteressen, die sich aus seiner besonderen Situation ergeben, beim Auftraggeber der Datenanwendung Widerspruch zu erheben. Der Auftraggeber hat bei Vorliegen dieser Voraussetzungen die Daten des Betroffenen binnen acht Wochen aus seiner Datenanwendung zu löschen und allfällige Übermittlungen zu unterlassen.

Gemäß § 31 Abs. 2 DSG 2000 ist zur Entscheidung über behauptete Verletzungen der Rechte eines Betroffenen auf Geheimhaltung, auf Richtigstellung oder auf Löschung nach diesem Bundesgesetz die Datenschutzkommission dann zuständig, wenn der Betroffene seine Beschwerde gegen einen Auftraggeber des öffentlichen Bereichs richtet, der nicht als Organ der Gesetzgebung oder der Gerichtsbarkeit tätig ist.

Zur Durchführung von Maßnahmen, die der Forschung, Technologieentwicklung und Innovation in Österreich dienen, wurde mit [Bundesgesetz zur Errichtung der Österreichischen Forschungsförderungsgesellschaft mit beschränkter Haftung (Österreichische Forschungsförderungsgesellschaft mbH – Errichtungsgesetz – FFG-G)] BGBl. I Nr 73/2004, die Österreichische Forschungsförderungsgesellschaft mbH (in weiterer Folge „Gesellschaft“) errichtet. Diesem Gesetz zufolge entstand die Gesellschaft mit 1. September 2004. § 2 Abs. 1 des Gesetzes über Gesellschaften mit beschränkter Haftung (GmbH-Gesetz – GmbHG), RGBl. Nr. 58/1906; ist nach § 1 Abs. 1 FFG nicht anzuwenden, doch bestimmt dessen Abs. 5, dass die Gesellschaft unter Beifügung der Errichtungserklärung und der gemäß GmbH-Gesetz – GmbHG geforderten Angaben beim Handelsgericht Wien rückwirkend zum Stichtag ihres Entstehens zum Firmenbuch anzumelden ist. Soweit das FFG-G keine oder keine abweichenden Bestimmungen enthält, ist gemäß § 1 Abs. 6 leg.cit. auf die Gesellschaft das GmbH-Gesetz-GmbHG anzuwenden.

§ 2 Abs. 1 FFG-G bestimmt, dass das Vermögen des mit dem Bundesgesetz zur Förderung der Forschung und Technologieentwicklung (Forschungs- und Technologieförderungsgesetz – FTFG), BGBl. Nr. 434/1982 (WV) idF BGBl. I Nr. 71/2003 eingerichteten Forschungsförderungsfonds für die gewerbliche Wirtschaft (FFF) unter Zugrundelegung der Bilanz zum 31. Dezember 2003, welche gleichzeitig die Schlussbilanz ist, mit Ablauf des 31. Dezember 2003, mit allen Rechten und Pflichten, insbesondere der offenen Förderungszusagen und Ansprüchen aus den gewährten Darlehen, im Wege der Gesamtrechtsnachfolge auf die Gesellschaft übertragen wird. Mit der Errichtung der Gesellschaft wurde der Fonds (FFF) ex lege aufgelöst.

Schließlich bestimmt § 4 Abs. 1 FFG-G, dass die Förderungen nach den Grundsätzen der Transparenz, Unabhängigkeit und Fairness vergeben werden. Abs. 2 ergänzt, dass für die Durchführung und Abwicklung von Förderungsmaßnahmen von den zuständigen Bundesministern für ihren Wirkungsbereich im Einvernehmen mit dem Bundesminister für Finanzen Richtlinien zu erlassen sind, die auf die spezifischen Anforderungen von FTE-Vorhaben Bedacht nehmen. Die Förderungsrichtlinien haben jedenfalls Bestimmungen zu erhalten über den Gegenstand der Förderung, die förderbaren Kosten, persönliche und sachliche Voraussetzungen für das Erlangen der Förderung, Art und Ausmaß der Förderung, die Höhe eines allfälligen Entgelts (insbesondere Haftungs- oder Bearbeitungsentgelt), das Verfahren sowie den Gerichtsstand. Dabei sind die wettbewerbsrechtlichen Regeln der Europäischen Union zu beachten.

Gemäß § 16 a Abs. 1 Forschungs- und Technologieförderungsgesetz (FTFG), BGBl Nr 434/1982 idF BGBl I Nr. 73/2004, stellt zur Förderung von Forschung, Entwicklung und Umstellungen, insbesondere im Rahmen von strategischen Technologieprogrammen, der Bund zusätzliche Mittel nach Maßgabe des jährlichen Bundesfinanzgesetzes für nachstehend genannte Vorhaben bereit:

1. industriell-gewerbliche Forschungs- und Entwicklungstätigkeiten;

2. Umsetzung von Forschungs- und Entwicklungsergebnissen in neue und verbesserte Produkte, Leistungen und Verfahren;

3. immaterielle Investitionen, insbesondere in Hinblick auf Innovations- und Qualitätsmanagement;

4. Technologietransfer- und Umsetzungstätigkeiten und damit verbundene infrastrukturelle Maßnahmen;

5. Investitionen zur Anwendung internationaler Spitzentechnologie in Österreich;

6. Beteiligungen an oder Gründungen von Unternehmen, die förderbare Vorhaben gemäß Z 1 bis 5 durchführen sowie

7. Durchführung von F E-Programmen.

Gemäß § 16 b Abs. 1 FTFG sind zur Abwicklung der Förderungen gemäß § 16a von den zuständigen Bundesministerinnen oder Bundesministern die Österreichische Forschungsförderungsgesellschaft mbH, die Austria Wirtschafts Service GmbH oder andere geeignete Institutionen heranzuziehen.

2. Anwendung auf den Beschwerdefall

Die Datenschutzkommission ist zur Entscheidung über eine behauptete Verletzung der Rechte u.a. auf Löschung gemäß § 31 Abs. 2 DSG 2000 dann zuständig, wenn der Betroffene seine Beschwerde gegen einen Auftraggeber des öffentlichen Rechts richtet. Das betrifft den Richtigstellungs- und Löschungsanspruch nach § 27, aber auch einen Löschungsanspruch in Ausübung des Widerspruchsrechts nach § 28 DSG 2000 (siehe Dohr/Pollirer/Weiss, Datenschutzrecht, Anm. 4 zu § 31 DSG 2000).

Ein Auftraggeber - wie hier die Beschwerdegegnerin - ist dem die Zuständigkeit der Datenschutzkommission begründenden öffentlichen Bereich gemäß § 5 Abs. 2 DSG 2000 dann zuzurechnen, wenn sie 1. in Formen des öffentlichen Rechts eingerichtet sind, insbesondere auch als Organ einer Gebietskörperschaft, oder 2. soweit sie trotz ihrer Einrichtung in Formen des Privatrechts in Vollziehung der Gesetze tätig sind. Alle nicht in diese Kategorien fallenden Auftraggeber sind solche des privaten Bereichs (Abs. 3).

Die Beschwerdegegnerin ist als Gesellschaft mit beschränkter Haftung unzweifelhaft in einer Form des Privatrechts eingerichtet, sodass sie gemäß § 5 Abs. 2 Z. 2 DSG 2000 nur dann dem öffentlichen Bereich zugerechnet werden kann, wenn sie in Vollziehung der Gesetze tätig ist.

Dies kann hier aber nicht angenommen werden: Wie sich schon aus den unter B.1. zitierten Rechtsnamen unzweifelhaft ergibt, ist die in Rede stehende Gesellschaft (Auftraggeber) in einer Form des Privatrechts eingerichtet und handelt auch nicht in Vollziehung der Gesetze. Auch die Ablehnung der Förderansuchen des Beschwerdeführers durch die Beschwerdegegnerin ist deshalb nicht in Bescheidform, sondern durch formloses Schreiben erfolgt („Eine Förderung war somit nicht möglich“). Ein Rechtsmittel dagegen wird in diesen Schreiben nicht erwähnt und ist gesetzlich auch nicht vorgesehen. Im Übrigen ist selbst im Förderungsansuchen (abrufbar unter http://www.fff.co.at/files/FFGAntragsformular2005.pdf) von einem abzuschließenden Förderungsvertrag die Rede – dabei kann es sich nicht um ein Tätigsein in Vollziehung der Gesetze gemäß § 5 Abs. 2 Z. 2 DSG 2000 handeln.

Aus all dem ist ersichtlich, dass es sich bei gegenständlichem Handeln der Beschwerdegegnerin wohl um Förderungen, wenn auch aus öffentlichen Mitteln, so doch in Formen des Privatrechts handelt. Da die Beschwerdegegnerin in diesen Fällen einen Auftraggeber des privaten Bereichs darstellt, war die Beschwerde, soweit sie sich auf die behauptete Verletzung des Widerspruchsrechts bezieht, gemäß § 31 Abs. 2 DSG 2000 wegen Unzuständigkeit der Datenschutzkommission zurückzuweisen.