K211.634/0004-DSK/2006 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Anlagen konnten aus technischen Gründen der RIS-Fassung nicht angefügt werden.]

EMPFEHLUNG

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. HEISSENBERGER, Dr. ROSENMAYR-KLEMENZ, Dr. SOUHRADA-KIRCHMAYER und Mag. ZIMMER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 14. Februar 2006 folgenden Beschluss gefasst:

Auf Grund der Eingabe des N in Ä (Einschreiter) vom 14. August 2005, gerichtet gegen die L Versicherungs Aktiengesellschaft in Wien wegen Verletzung im Recht auf Geheimhaltung ergeht gemäß § 30 Abs. 6 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, die folgende Empfehlung:

Das Formular „Antrag auf L-Reiseschutz für Senioren“ möge von der L AG innerhalb einer Frist von einem Monat nur mehr mit den folgenden Änderungen im Geschäftsverkehr verwendet werden:

I. Text unter der Überschrift „Vorvertragliche Anzeigepflicht“:

1. Der zweite Absatz („Der Antragsteller und die zu versichernde Person stimmen ausdrücklich zu ...“) möge gestrichen und eine allfällige neue derartige Erklärung nicht wie in der derzeitigen Fassung unter eine irreführende Überschrift gesetzt werden. Außerdem möge eine solche dem § 11a Abs. 2 Z 3 oder 4 des Versicherungsvertragsgesetzes 1958 (VersVG), BGBl Nr. 2/1959 idF BGBl I Nr. 33/2003, angepasst werden.

2. Die datenschutzrechtliche Zustimmungserklärung im dritten Absatz (ab „und erklären sich damit einverstanden, dass ihre Daten automationsunterstützt verarbeitet werden.“) möge ebenfalls gestrichen und eine allfällige neue derartige Erklärung nicht wie in der derzeitigen Fassung unter eine irreführende Überschrift gesetzt werden. Außerdem wäre konkret zu bezeichnen, welche Daten zu welchem Zweck verarbeitet werden.

II. Rubrik „Vom Hausarzt (auf Kosten des Antragstellers) auszufüllen:“:

Es möge klargestellt werden, welchem Zweck das ärztliche Kurzattest dienen soll und dass dieses gemäß § 11a Abs. 2 Z 2 VersVG vom Versicherten beizubringen ist.

Begründung:

Der Einschreiter befürchtet durch die im Formular „Antrag auf L-Reiseschutz für Senioren“ zu machenden Angaben bzw. die darin abzugebenden Erklärungen (unter anderem) eine Verletzung im Recht auf Geheimhaltung.

Die damit konfrontierte L AG hält das Formular für datenschutzrechtlich unbedenklich, weist allerdings darauf hin, dass dieses mittlerweile neu gefasst wurde.

Der folgende Sachverhalt wird als Grundlage der Empfehlung angenommen:

Die L AG bietet für Personen über 72 Jahren seit dem Jahr 2005 das besondere Reiseschutzversicherungsprodukt „SENIOR LINE“ an. Ein Antrag auf Erstellung eines Angebots für einen entsprechenden Versicherungsvertrag kann an die L AG durch Ausfüllen des Formulars „Antrag auf L-Reiseschutz für Senioren“ gerichtet werden.

Der 82-jährige Einschreiter hatte bereits eine Reiseschutzversicherung bei der L AG abgeschlossen. Diese war auf ein Jahr befristet und sollte am 31. Mai 2005 auslaufen. Mit Schreiben vom 19. April 2005 übermittelte ihm die L AG das Formular „Antrag auf L-Reiseschutz für Senioren“ in der Fassung der Beilage 1.

Die L AG hat das Formular mittlerweile überarbeitet, es hat nunmehr die Fassung wie in der Beilage 2.

Beweiswürdigung : Diese Feststellungen beruhen auf dem Vorbringen des Einschreiters sowie der L AG, die einander in sachverhaltsmäßiger Hinsicht nicht widersprechen.

In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Gemäß der Verfassungsbestimmung des § 1 Abs. 1 DSG 2000, hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind nach Abs. 2 leg. cit. Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Gemäß § 4 Z 14 DSG 2000 bedeutet Zustimmung im Sinn des DSG 2000 die gültige, insbesondere ohne Zwang abgegebene Willenserklärung des Betroffenen, dass er in Kenntnis der Sachlage für den konkreten Fall in die Verwendung seiner Daten einwilligt.

Gemäß § 30 Abs. 1 DSG 2000 kann sich jedermann wegen einer behaupteten Verletzung seiner Rechte oder ihn betreffender Pflichten eines Auftraggebers oder Dienstleisters nach diesem Bundesgesetz mit einer Eingabe an die Datenschutzkommission wenden.

Gemäß § 30 Abs. 6 DSG 2000 kann die Datenschutzkommission zur Herstellung des rechtmäßigen Zustandes Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere

1. ein Verfahren zur Überprüfung der Registrierung gemäß § 22 Abs. 4 einleiten, oder

§ 11a Abs. 1 und 2 VersVG lautet:

„ § 11a. (1) Der Versicherer darf im Zusammenhang mit Versicherungsverhältnissen, bei welchen der Gesundheitszustand des Versicherten oder eines Geschädigten erheblich ist, personenbezogene Gesundheitsdaten verwenden, soweit dies

1. zur Beurteilung, ob und zu welchen Bedingungen ein Versicherungsvertrag abgeschlossen oder geändert wird, oder

(2) Versicherer dürfen personenbezogene Gesundheitsdaten für die in Abs. 1 genannten Zwecke nur auf folgende Art ermitteln:

1. durch Befragung der Person, die versichert werden soll oder bereits versichert ist, beziehungsweise durch Befragung des Geschädigten oder

2. anhand der vom Versicherungsnehmer oder vom Geschädigten beigebrachten Unterlagen oder

3. durch Auskünfte von Dritten bei Vorliegen einer für den Einzelfall erteilten ausdrücklichen Zustimmung des Betroffenen oder

4. zur Beurteilung und Erfüllung von Ansprüchen aus einem konkreten Versicherungsfall durch Auskünfte von untersuchenden oder behandelnden Ärzten, Krankenanstalten oder sonstigen Einrichtungen der Krankenversorgung oder Gesundheitsvorsorge über Diagnose sowie Art und Dauer der Behandlung, sofern der Betroffene dem ausdrücklich schriftlich zugestimmt und dies im Einzelfall nicht untersagt hat, oder

5. durch Heranziehung sonstiger, dem Versicherer rechtmäßigerweise bekanntgewordener Daten; diese sind dem Betroffenen mitzuteilen; es steht ihm das Widerspruchsrecht gemäß § 28 Datenschutzgesetz 2000 zu.

[...]“

Gemäß § 864a ABGB werden Bestimmungen ungewöhnlichen Inhaltes in Allgemeinen Geschäftsbedingungen oder Vertragsformblättern, die ein Vertragsteil verwendet hat, nicht Vertragsbestandteil, wenn sie dem anderen Teil nachteilig sind und er mit ihnen auch nach den Umständen, vor allem nach dem äußeren Erscheinungsbild der Urkunde, nicht zu rechnen brauchte; es sei denn, der eine Vertragsteil hat den anderen besonders darauf hingewiesen.

Gemäß § 6 Abs. 3 des Konsumentenschutzgesetzes (KSchG), BGBl Nr. 140/1979 idF BGBl Nr. 6/1997, ist eine in Allgemeinen Geschäftsbedingungen oder Vertragsformblättern enthaltene Vertragsbestimmung unwirksam, wenn sie unklar oder unverständlich abgefasst ist.

2. Anwendung auf das Formular „Antrag auf L-Reiseschutz für Senioren“

Zunächst ist festzuhalten, dass auf Grund der im dritten Absatz unter „Vorvertragliche Anzeigepflicht“ enthaltenen Zustimmungserklärung zur automationsunterstützten Verarbeitung der Daten aus dem Antragsformular von der Verarbeitung der Daten in einer Datenanwendung (§ 4 Z 7 DSG 2000) und damit von der Anwendbarkeit der einfachgesetzlichen Bestimmungen des DSG 2000 auf diese Daten auszugehen ist.

In § 4 Z 14 DSG 2000 ist die Zustimmung als Willenserklärung zur Verwendung von Daten definiert. In diesem Sinne ist auch die Zustimmung in § 11a VersVG zu verstehen, der ebenfalls die Verwendung von Daten, eben für den besonderen Zweck von Versicherungsverhältnissen, bei denen der Gesundheitszustand des Versicherten oder eines Geschädigten erheblich ist, regelt. Der Begriff „Willenserklärung“ lässt erkennen, dass für datenschutzrechtliche Zustimmungen grundsätzlich auf die Bestimmungen des bürgerlichen Rechts, also insbesondere des ABGB und des KSchG – soweit dieses nach seinem § 1 Abs. 1 anwendbar ist – verwiesen wird.

Daher ist § 864a ABGB jedenfalls sinngemäß auch zur Überprüfung der Gültigkeit einer datenschutzrechtlichen Zustimmung, welche sich in einem Vertragsformblatt befindet, anzuwenden.

Im vorliegenden Fall findet sich unter der Überschrift „Vorvertragliche Anzeigepflicht“ im zweiten und im dritten Absatz jeweils eine Willenserklärung, die ihrem Inhalt nach eine Zustimmung im Sinn von § 4 Z 14 DSG 2000 intendiert. Im ersten Fall ist offenbar eine Zustimmung zur Ermittlung, im zweiten zur (weiteren) Verarbeitung von Daten beabsichtigt. Bei beiden Zustimmungsformulierungen ist ein Zusammenhang mit der in der Überschrift bezogenen vorvertraglichen Anzeigepflicht nach § 16 VersVG, auf die sich in Wahrheit nur der erste Absatz inhaltlich bezieht, nicht zu erkennen. Die Anzeigepflicht besteht völlig unabhängig davon, welche Daten vom Versicherer ermittelt bzw. verarbeitet werden dürfen. Die Zustimmungserklärungen sind auch nicht auf die Datenermittlung für Zwecke der Überprüfung der Anzeigepflicht eingeschränkt ganz abgesehen davon, ob dies nach § 11a Abs. 2 VersVG überhaupt zulässig wäre.

Somit liegen schon wegen der irreführenden Titulierung keine wirksamen Zustimmungen vor und ist daher unter I.1. und I.2. jeweils die Empfehlung auszusprechen, die Erklärungen zu streichen und neue Erklärungen mit ähnlichem Inhalt, aber unter einer korrekten Überschrift in das Formular einzufügen.

Darüber hinaus widerspricht die Erklärung zur Datenermittlung, also der zweite Absatz, klar dem § 11a Abs. 2 VersVG: Nur in dessen Z 3 und 4 sind überhaupt Zustimmungen als Rechtsgrundlage einer Datenermittlung vorgesehen. Da § 11a Abs. 2 VersVG seinem Wortlaut nach (arg. „nur“) die Datenermittlung für die Zwecke des § 11a Abs. 1 leg. cit. abschließend regelt, sind darüber hinaus gehende Zustimmungen gesetzwidrig und daher unwirksam.

Die vorliegende Erklärung im zweiten Absatz beschränkt die Zustimmung nun nicht auf einen Einzelfall (zB eine einmalige Einholung einer Auskunft bei einem bestimmten Arzt; Z 3) oder auf den Zweck der Beurteilung und Erfüllung von Ansprüchen aus einem konkreten Versicherungsfall (Z 4), sondern ist vielmehr pauschal, lediglich eingeschränkt auf bestimmte Stellen, formuliert. Damit geht sie über den nach § 11a Abs. 2 Z 3 oder 4 VersVG zulässigen Inhalt hinaus, sodass der L AG die Streichung dieser Klausel und für den Fall ihrer Neuformulierung eine Anpassung an die vorgenannten Bestimmungen zu empfehlen ist.

Die Erklärung über die (weitere) Verarbeitung von Daten (vgl. § 4 Z 9 DSG 2000) im dritten Absatz ist hingegen nicht hinreichend präzise. Weder werden die zur Verarbeitung beabsichtigten Datenarten bezeichnet noch der Zweck ihrer Verarbeitung, welcher innerhalb der Grenzen des § 11a Abs. 1 DSG 2000 zu liegen hat. Dies führt nach Ansicht der Datenschutzkommission dazu, dass die Erklärung im Sinn des § 4 Z 14 DSG 2000 und im Übrigen auch des § 6 Abs. 3 KSchG unklar und somit unwirksam ist. Eine entsprechende Präzisierung ist daher zu empfehlen.

Schließlich geht auch beim Feld „Vom Hausarzt (auf Kosten des Antragstellers) auszufüllen:“ nicht hervor, welchem Zweck des § 11a Abs. 1 VersVG ein derartiges Attest dienen soll. Nach den Vorstellungen der L AG ist das Attest vom Versicherungswerber beizubringen und damit § 11a Abs. 2 Z 2 VersVG zuzuordnen. Dies ist jedoch für einen objektiven Betrachter nicht erkennbar. Auch diesbezüglich ist daher eine Klarstellung zu empfehlen.