K121.014/0008-DSK/2005 – Dsk Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. DUSCHANEK, Dr. HEISSENBERGER, Mag. HUTTERER, Dr. KOTSCHY und Mag. PREISS sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 21. Juni 2005 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde des Bertram R*** in T*** (Beschwerdeführer), vertreten durch Dr. Harald K***, Rechtsanwalt in T***, S*** 84, gegen das Bundesministerium für Finanzen in 1015 Wien, Himmelpfortgasse 4-8 (Beschwerdegegner), vom 21. Dezember 2004 wegen Verletzung im Recht auf Geheimhaltung personenbezogener Daten durch Auswertung der Protokolldateien (Logfiles) über Abfragen im Abgabeninformationssystem (AIS), wird gemäß § 1 Abs. 1, § 14 Abs. 2 Z. 7 und § 31 Abs. 2 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr 165/1999 idF BGBl I Nr 13/2005, wie folgt entschieden:

Die Beschwerde wird als unbegründet abgewiesen.

Begründung

I. Verfahrensgang und Vorbringen der Parteien:

a. Der Beschwerdeführer wandte sich, rechtsanwaltlich vertreten, mit Schriftsatz vom 21. Dezember 2004 an die Datenschutzkommission und brachte vor, er sei Beamter beim Finanzamt T*** und hätte sich anlässlich der Reorganisation der Finanzverwaltung um die Position eines Teamleiters in der Betriebsveranlagung beworben. Aufgrund dieser Bewerbung habe es im Rahmen einer „Logfile-Auswertung“ ein Screening des Abfrageverhaltens des Beschwerdeführers gegeben, dessen vermeintliche Rechtsgrundlage ein seit 19. März 2004 in Kraft gesetzter Erlass des Beschwerdegegners betreffend Abfragen interner Datenbanken bzw. Installation eines Antikorruptionsbeauftragten sei. Eine Einbindung des Zentralausschusses im Sinne des § 9 Abs. 2 lit. f PVG vor dessen Inkraftsetzung habe es nicht gegeben, zudem seien auch Zeiträume gescreent worden, die vor dem 19. März 2004 gelegen seien.

Dieses Screening habe hier dazu geführt, dass der Beschwerdeführer die Position des Teamleiters in der Betriebsveranlagung nicht erreicht habe, obwohl er in einem Hearing am 24. Mai 2004 als bester von acht Kandidaten an erste Stelle gereiht worden sei. Noch vor dem Hearing hätte der Beschwerdeführer am 19. Mai 2004 vom Antikorruptionsbeauftragten eine Mail erhalten, zu Zugriffen auf die Datenbestände der Finanzverwaltung bzw. zu deren dienstlicher Veranlassung Stellung zu nehmen. Ebenso habe am 2. Juni 2004 ein Gespräch stattgefunden, dessen Niederschrift in der Beilage übermittelt wurde. Bei den abgefragten Steuernummern habe es sich um enge persönliche Freunde des Beschwerdeführers oder seiner Familie gehandelt. Er sei diesen bei der Erstellung der Einnahmen-Ausgabenrechnung bzw. Steuererklärung behilflich gewesen und hätte jeweils die Zustimmung zur Abfrage gehabt. Es handle sich um Bagatellfälle, der Beschwerdeführer habe weder Geld- noch Vorteile anderer Art bezogen, es sei zu keiner missbräuchlichen Verwendung der abgefragten Daten gekommen, er habe den Personen aus Freundschaft den Steuergesetzen entsprechend geholfen. Die Abfragen seien nicht weisungswidrig und schon gar nicht gesetzwidrig gewesen.

Das „Reformteam“ habe im weisungswidrigen Abfragen (Erlass vom 20. Juni 2001) einen so großen Vertrauensbruch erblickt, dass der Beschwerdeführer nicht zum Teamleiter bestellt, aber auch nicht als Gruppenleiter abberufen oder suspendiert worden sei. Allerdings sei die dienstliche Verwendung mit 1. Oktober 2004 geändert worden.

Da der Beschwerdeführer keine weisungswidrigen Abfragen im Sinn des Erlasses vom 20. Juni 2001 durchgeführt habe, es auch keine Zustimmung der Personalvertretung zu dem Screening gegeben habe, handle es sich bei dem Screening um einen rechtswidrigen Eingriff in seinen Datenbereich, weshalb er sich in seinem Recht auf Geheimhaltung verletzt erachte und die Feststellung dieser Rechtsverletzung beantrage.

b. Der Beschwerdegegner nahm mit Schreiben vom 18. März 2005 Stellung und brachte vor, der Beschwerdegegner sei im Jahr 2000 im „Kreuzfeuer der Medienkritik“ gestanden, als bekannt geworden sei, dass Finanzbedienstete unzuständigerweise in Steuerdaten von bekannten Persönlichkeiten (insbesondere Politiker) Einblick genommen hätten. Dies sei zum Anlass für eine Reihe von Maßnahmen (Erlässe vom 30. Oktober 2000, vom 13. Juni 2001 und vom 20. Juni 2001, Rundschreiben vom 20. Juni 2001 und vom 24. Oktober 2001, alle beigelegt) genommen worden, welche dazu dienen sollten, die Bediensteten an den verantwortungsbewussten Umgang mit dienstlichen Daten zu erinnern und ähnliche Fälle in Zukunft möglichst hintan zu halten.

Mit Zustimmung des Zentralausschusses seien bereits seit dem Jahr 2001 (siehe Erlass vom 13. Juni 2001 und Rundschreiben vom 24. Oktober 2001) stichprobenweise Auswertungen aus den Logfiles gezogen und von den Dienstvorgesetzten auf die Zulässigkeit der Verwendung von Daten geprüft worden. Mit den Erlässen vom 19. März 2004 und vom 16. November 2004 seien weitere Maßnahmen zur Überwachung von Zugriffen und zur Korruptionsbekämpfung gesetzt worden.

Rechtsgrundlage des gegenständlichen „Screenings“ sei nicht der vom Beschwerdeführer genannte Erlass vom 19. März 2004, sondern § 14 Abs. 2 Z. 7 DSG 2000. Es sei keine eigene oder zusätzliche Rechtsgrundlage erforderlich, da der Beschwerdegegner die Auswertungen genau und ausschließlich zu dem in Z. 7 genannten Zweck, nämlich zur Kontrolle der Zulässigkeit der Verwendung des protokollierten Datenbestandes, erstelle. Dies lasse sich aus den Erlässen vom 19. März 2004 und vom 16. November 2004 ableiten, mit denen die Rechtsgrundlage dafür geschaffen worden sei, dass das Büro für interne Angelegenheiten diese Auswertungen für das gesamte Finanzressort veranlassen könne. Die Auswertung der Logfiles sei datenschutzrechtlich zulässig gewesen. Dabei sei festgestellt worden, dass der Beschwerdeführer weisungswidrig Abfragen getätigt habe und eine Zulässigkeit der Verwendung gemäß § 14 Abs. 2 Z. 7 DSG 2000 dienstlich nicht gegeben gewesen sei. Für den Arbeitgeber müsse es legitim sein, an eine dienstrechtliche Verfehlung dienstrechtliche Folgen wie die Nichtberücksichtigung bei Bewerbungen zu knüpfen.

c. Der Beschwerdeführer monierte in dem dazu gewährten Parteiengehör mit Schreiben vom 2. Mai 2005, gegenüber ihm sei hinsichtlich der Logfile-Auswertung ausschließlich auf den Erlass vom 30. Oktober 2000 verwiesen worden. Auch der Hinweis auf § 14 Abs. 2 Z. 7 DSG 2000 sei unverständlich, da die dort angeführte Datensicherheitsmaßnahme nur dann erforderlich sein könne, wenn sie zu einem der in Absatz 1 angeführten Zwecke erfolge und dafür erforderlich sei. Für die Auswertung, gegen welche sich der Beschwerdeführer ausschließlich wende, genüge keinesfalls ein genereller Verdacht, ein konkreter Verdacht dem Beschwerdeführer gegenüber sei aber weder vorgelegen noch festgestellt worden. Auch das gegen ihn anhängig gewesene Disziplinarverfahren habe mittlerweile mit Freispruch geendet.

II. Von der Datenschutzkommission verwendete Beweismittel:

Die Datenschutzkommission hat ein Ermittlungsverfahren durchgeführt und Beweis aufgenommen durch Einsichtnahme in die von den Parteien vorgelegten Urkunden(kopien) und sonstigen Dokumente. Den Parteien wurde zu den Ergebnissen des Ermittlungsverfahrens Parteiengehör eingeräumt.

III. Festgestellter Sachverhalt und Beweiswürdigung

Der Beschwerdeführer ist Beamter beim Finanzamt T*** und bewarb sich im Jahr 2004 um die Position eines Teamleiters in der Betriebsveranlagung. In diesem Zeitraum wurden die Abfragen des Beschwerdeführers im Abgabeninformationssystem (AIS) der Finanzverwaltung durch Auswertung der Protokolldateien (Logfiles) „gescreent“. Dieses Screening ergab, dass der Beschwerdeführer Abfragen hinsichtlich eines Bekannten, eines alten Gymnasialkollegen und eines engen Freundes seiner Frau im AIS vorgenommen hat.

In einem Hearing am 24. Mai 2005 wurde der Beschwerdeführer von der Besetzungskommission in Bezug auf die angestrebte Position als bester von acht Kandidaten eingestuft. Am 2. Juni 2004 hat der Beschwerdeführer in einem Gespräch mit dem Amtsvorstand des Finanzamtes T***, des Vorstandstellvertreters und einer dritten Person zu den Zugriffen auf die Datenbestände der Finanzverwaltung, die sich als Ergebnis der Auswertung der Protokolldateien ergeben haben, sowie zu deren dienstlicher Veranlassung Stellung genommen. Am 14. Juni 2004 wurde dem Beschwerdeführer mitgeteilt, dass das „Reformteam“ im weisungswidrigen Abfragen einen so großen Vertrauensbruch erblickt hat, dass er für die Position des Teamleiters nicht berücksichtigt werden kann.

Beweiswürdigung : Diese Feststellungen, welche von der Beschwerdegegnerin in ihrer Stellungnahme nicht bestritten wurden, ergeben sich aus der Beschwerde bzw. mit dieser vorgelegten Unterlagen. Die Feststellung, hinsichtlich welcher Personen Abfragen im AIS vorgenommen wurden, ergibt sich aus der mit der Beschwerde vorgelegten Niederschrift eines Gesprächs des Beschwerdeführers am 2. Juni 2004. Die Feststellung, dass die Abfragen des Beschwerdeführers aus dem Abgabeninformationssystem (AIS) erfolgt sind, wird zwar in den Vorbringen der Parteien nie explizit erwähnt, ergibt sich aber aus den Erlässen, auf die sich sowohl der Beschwerdeführer als auch der Beschwerdegegner beziehen (insbesondere jene vom 20. Juni 2001 und 16. November 2004), sowie dem Rundschreiben vom 20. Juni 2001.

VI. Rechtliche Schlussfolgerungen

1. Anzuwendende Rechtsvorschriften

Gemäß der Verfassungsbestimmung des § 1 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr 165/1999 idF BGBl I Nr 13/2005, hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.

Gemäß § 1 Abs. 2 DSG 2000 sind, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Gemäß § 8 Abs. 3 Z 6 DSG 2000 liegt eine Verletzung schutzwürdiger Geheimhaltungsinteressen dann nicht vor, wenn die Verwendung von Daten ausschließlich die Ausübung einer öffentlichen Funktion durch den Betroffenen zum Gegenstand hat.

Gemäß § 14 Abs. 1 DSG 2000 sind für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit sicherzustellen, dass die Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, dass ihre Verwendung ordnungsgemäß erfolgt und dass die Daten Unbefugten nicht zugänglich sind.

Gemäß § 14 Abs. 2 Z. 7 DSG 2000 ist insbesondere, soweit dies im Hinblick auf Abs. 1 letzter Satz erforderlich ist, Protokoll zu führen, damit tatsächlich durchgeführte Verwendungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können.

Gemäß § 14 Abs. 4 DSG 2000 dürfen „Protokoll- und Dokumentationsdaten nicht für die Zwecke verwendet werden, die mir ihrem Ermittlungszweck - das ist die Kontrolle der Zulässigkeit der Verwendung des protokollierten oder dokumentierten Datenbestandes – unvereinbar sind.“

2. Anwendung auf den Beschwerdefall

Der Beschwerdeführer hat Abfragen hinsichtlich eines Bekannten, eines alten Gymnasialkollegen und eines engen Freundes seiner Frau im Abgabeninformationssystem (AIS) vorgenommen, wobei das AIS die Basisdaten der Steuerpflichtigen enthält, mit Hilfe deren der Zugang zu den einzelnen Steuerdatenbanken gefunden wird. Diese Abfragen des Beschwerdeführers wurden wie alle Abfragen in Protokolldateien (Logfiles) festgehalten. Unbestrittenermaßen handelte es sich dabei um Abfragen, die nicht dienstlich veranlasst und daher in privater Nutzung der Datenbanken der Finanzverwaltung vorgenommen wurden. Als Rechtfertigung hat der Beschwerdeführer nach Feststellung dieser Abfragen durch die Dienstbehörde angegeben, aus Hilfe und mit Zustimmung der Betroffenen gehandelt zu haben.

Jeder Auftraggeber hat gemäß § 14 DSG 2000 die Pflicht, durch geeignete Maßnahmen vorzukehren, dass auf die von ihm verarbeiteten Daten nicht unzulässigerweise zugegriffen wird. Der Zugriff auf Steuerdaten von Bürgern durch Bedienstete der Finanzverwaltung zu außerdienstlichen Zwecken ist eine unzulässige Datenverwendung. Die Protokollierung der Zugriffe und auswertende Kontrolle der Protokolle zum Zweck der Feststellung und künftigen Unterbindung unzulässiger Zugriffe ist ein nach dem Stand der Technik allgemein anerkanntes Mittel zur Verwirklichung von Datensicherheit in Form der Generalprävention gegen unzulässige Zugriffe. Aus § 14 DSG 2000 ist nicht nur die Verpflichtung erkennbar, Abfragedaten zu protokollieren, sondern auch die Verpflichtung, Protokolldaten für die Überprüfung der Zulässigkeit der Verwendung des Datensatzes heranzuziehen.

Im übrigen konnten angesichts des § 8 Abs. 3 Z 6 DSG 2000 schutzwürdige Geheimhaltungsinteressen des Betroffenen im vorliegenden Fall nicht verletzt worden sein, da die Protokolldaten und ihre Überprüfung ausschließlich die Ausübung der öffentlichen Funktion betrafen, die der Beschwerdeführer als Finanzbeamter innehat und in der er zu besonderer Gesetzestreue verpflichtet ist. Es ist daher auch belanglos, welcher Erlass als „Rechtsgrundlage“ der Kontrolle der Protokolldaten zitiert wird. Die Pflicht zur Einhaltung der Bestimmungen des DSG 2000 und die Vermeidung von gesetzwidrigen Datenzugriffen ergibt sich unmittelbar aus dem DSG 2000. Diese Pflicht bedarf keiner Wiederholung in anderen Rechtsformen, um für den Beschwerdeführer verbindlich zu sein.

Der Rechtsvorschrift des § 14 Abs. 2 Z. 7 DSG 2000 lässt sich auch nicht, wie der Beschwerdeführer vermeint, entnehmen, dass für die gegenständliche Auswertung ein genereller Verdacht nicht ausreichend und ein konkreter Verdacht dem Beschwerdeführer gegenüber notwendig sei. Die generelle, laufende Kontrolle der Protokolldaten ist eine gesetzliche Verpflichtung des Auftraggebers, die gänzlich unabhängig von tatsächlichen Vorfällen besteht. Es hat daher auch der Ausgang des Disziplinarverfahrens auf die Rechtmäßigkeit der gegenständlichen Auswertung der Logfiles und damit auf das Verfahren vor der Datenschutzkommission keinen Einfluss.

Da somit eine Verletzung des Grundrechts auf Geheimhaltung personenbezogener Daten durch das durch § 14 Abs. 2 Z. 7 DSG 2000 gerechtfertigte Screening gegenüber dem Beschwerdeführer, insbesondere auch im Hinblick auf § 8 Abs. 3 Z 6 DSG 2000, nicht vorliegt, war spruchgemäß zu entscheiden.