[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]
BESCHEID
Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Dr. KOTSCHY, Mag. PREISS und Dr. ROSENMAYR-KLEMENZ sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 11. Oktober 2005 folgenden Beschluss gefasst:
Spruch
Über den Antrag der X**** GmbH vom 23. Feber 2004 auf Genehmigung der Übermittlung von Namen und Adressen von Kunden an Unternehmen in allen Staaten der Welt, die selbst oder für andere schriftliche Werbung betreiben, wird entschieden:
Der Antrag wird gemäß § 13 Abs. 1 und 2 iVm. § 12 Abs. 5 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, abgewiesen.
Begründung
Festgestellter Sachverhalt :
Die Antragstellerin ist ein Unternehmen mit Sitz in der H-Strasse in Wien. Sie verfügt über die Berechtigungen für die Gewerbe "Handelsgewerbe" und "Direktwerbe- und Adressenunternehmer".
Die Antragstellerin begehrt mit Antrag vom 23. Feber 2004 die Genehmigung zur Übermittlung von Kundendaten, und zwar Name und Adresse (aus der Tätigkeit der Antragstellerin als Handelsunternehmen) an Unternehmen in allen Staaten der Welt, insbesondere in den USA, Kanada und Australien, "die selbst oder für andere schriftliche Werbung betreiben". Die Datenschutzkommission hat mit Verbesserungsauftrag vom 7. März 2005 um nähere Begründung des Antrages im Lichte der §§ 12 und 13 DSG 2000 ersucht. Mit Schreiben vom 13. April 2005 wurde bekannt gegeben, dass von den Kunden eine schriftliche Zustimmung zur Datenübermittlung vorliegt. Mit Schreiben vom 6. Mai 2005 wurde ersucht, genauere Angaben zu machen und die Zustimmungserklärung vorzulegen.
Die Antragstellerin hat mit Schreiben vom 31. Mai 2005 erklärt, dass Kunden vor einer Bestellung den Punkt "Ich stimme den AGB's und den Datenschutzbestimmungen zu" auf der Website www.X***.com anklicken müssen; sie hat die Datenschutzkommission aufgefordert, die genannte Website selbst zu besuchen und die allgemeinen Geschäftsbedingungen einzusehen.
Auf der Website www.X***.com sind die allgemeinen Geschäftsbedingungen über den Menüpunkt "AGB" von der Hauptseite aus zugänglich. Sie sind mit "ALLGEMEINE GESCHÄFTS- (AGB) UND DATENSCHUTZBESTIMMUNGEN, Stand 2004" überschrieben.
Der Abschnitt zum Datenschutz lautet:
"Datenschutz
Datenschutz garantiert: I X**** GmbH hält sich bei der Speicherung und Verarbeitung Ihrer Daten streng an das geltende Datenschutzgesetz (DSG 2000). Der Käufer erklärt sich ausdrücklich damit einverstanden, dass seine, für das Rechtsgeschäft notwendigen Daten, EDV-mäßig erfasst und verarbeitet werden.
Kontrolle übermittelter personenbezogener Daten
Sie behalten immer die Möglichkeit der Kontrolle über die uns übermittelten personenbezogenen Daten, d. h. Sie können jederzeit:
Weiter unten befindet sich der folgende Absatz:
"Personenbezogene Daten, die uns bekannt gegeben werden, wird die X**** GmbH im Einklang mit dem geltenden Datenschutzgesetz (DSG 2000) verarbeiten. Näheres ist dem Abschnitt Datenschutz zu entnehmen."
"Wir sind berechtigt, den Inhalt aller Mitteilungen, die an diese Internet-Site oder sonstiger E-Mail an X**** GmbH gesandt werden, auch alle darin enthaltenen Ideen, Erfindungen, Konzepte, Methoden oder enthaltenes Know-how, für jeden Zweck zu verwenden, beispielsweise für die Entwicklung, Herstellung und/oder Vermarktung von Produkten oder Dienstleistungen."
Entgegen der Behauptung des Antragstellers findet sich in diesen Klauseln weder eine Zustimmung zur Weiterverwendung der Daten aus dem Handelsgeschäft für Marketingzwecke Dritter noch eine Zustimmung zur Übermittlung der Marketingdaten ins Ausland. Darüber hinaus fehlt auch ein Hinweis auf das durch § 151 Abs. 5 GewO 1994 eingeräumte Widerspruchsrecht gegen die Weiterverwendung der Kundendaten für Marketingzwecke Dritter oder auf das Faktum der beabsichtigten Übermittlung der Daten ins Ausland für Marketingzwecke Dritter.
In rechtlicher Hinsicht folgt daraus :
Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden (§ 13 Abs. 1 DSG 2000).
Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,
§ 12 Abs. 5 DSG 2000 nennt als unabdingbare Voraussetzung für die Zulässigkeit jeder Übermittlung oder Überlassung in das Ausland die Rechtmäßigkeit der Datenanwendung im Inland gemäß § 7 leg. cit. Nach der zuletzt genannten Bestimmung dürfen Daten nur verarbeitet - und somit auch ermittelt (§ 4 Z 9 DSG 2000) - werden, soweit Zweck und Inhalt der Datenanwendung von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des jeweiligen Auftraggebers gedeckt sind und die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nicht verletzen.
Die Antragstellerin übt neben dem Gewerbe eines Handelsunternehmens auch das Gewerbe "Direktwerbe- und Adressenunternehmen" (§ 151 GewO 1994) aus und ist daher grundsätzlich rechtlich befugt, Daten für Marketingzwecke Dritter zu verarbeiten. Im vorliegenden Fall ist daher zunächst die Frage der Datenermittlung für Zwecke des Adressverlages zu prüfen. Unter "Ermitteln von Daten" versteht § 4 Z 10 DSG 2000 das Erheben von Daten in der Absicht, sie in einer Datenanwendung zu verwenden. Nur wenn dieses Ermitteln von Daten rechtmäßig erfolgt, kann vom Vorliegen einer rechtmäßigen Datenanwendung im Inland als einer der Grundvoraussetzungen für eine Datenübermittlung in das Ausland gesprochen werden.
Gemäß § 151 Abs. 5 GewO 1994 darf ein Handelsunternehmen Kundendaten für Marketingzwecke an einen Adressverlag übermitteln, wenn die Kunden "in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen". Eine solche Information ist den vorstehend im Wortlaut zitierten "AGB und Datenschutzbestimmungen" nicht zu entnehmen: Das Angebot, Daten auf Wunsch des Betroffenen zu löschen (- "Daten aus den Unterlagen zu entfernen" -), ist dem gesetzlichen Auftrag, dem Betroffenen vor der Übermittlung von Daten an Adressverlage Gelegenheit zum Widerspruch zu geben, nicht gleich zu halten. Schon die Weiterverwendung der Kundendaten aus den Handelsgeschäften der Antragstellerin für Marketingzwecke Dritter in Österreich ist daher nicht zulässig.
Da somit die Daten, deren Übermittlung in das Ausland beabsichtigt ist - wie sich aus den eigenen Angaben der Antragstellerin ergibt - aus keiner rechtmäßigen Datenanwendung im Inland stammen können und die in § 13 Abs. 1 letzter Satz DSG 2000 vorgesehene Möglichkeit der Bindung der Genehmigung an Bedingungen oder Auflagen nicht dazu dient, einen bereits von der Rechtsordnung zwingend vorgesehenen Zustand herbeizuführen, war der Antrag abzuweisen.
Rückverweise
Keine Ergebnisse gefunden
RIS