K121.223/0008-DSK/2006 – Dsk Entscheidung

 Text

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER, Dr. HEISSENBERGER und Dr. SOUHRADA-KIRCHMAYER sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 29. November 2006 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde der Xandi T*** in Wien (Beschwerdeführerin), vertreten durch den Z***-Verein in Wien vom 2. Juni 2006 gegen die A***-Gesellschaft in Wien (Beschwerdegegnerin), wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 1 Abs. 3 Z 1, 26 Abs. 1 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:

Der Beschwerde wird Folge gegeben und der Beschwerdegegnerin bei sonstiger Exekution aufgetragen, innerhalb einer Frist von zwei Wochen ab Zustellung dieser Entscheidung der Beschwerdeführerin schriftlich Auskunft über die konkreten Übermittlungsempfänger ihrer personenbezogenen Daten sowie die Zwecke der Datenverwendungen zu geben.

B e g r ü n d u n g:

A. Vorbringen der Parteien

Die Beschwerdeführerin behauptet eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin ihr (umfassendes) Auskunftsbegehren vom 15. März 2006 nicht vollständig beantwortet habe. Mit Mail vom 16. März 2006 habe die Beschwerdegegnerin nur angegeben, dass die Daten (Vor-, Zuname, Wohnanschrift) von der Beschwerdeführerin selbst stammen würden und im Rahmen der Organisation und Durchführung der Konferenz „***“ an die Sicherheitsorgane dieser Konferenz weiter gegeben worden seien. Einer weiteren Aufforderung vom 20. März 2006, die Sicherheitsorgane konkret zu benennen, sei die Beschwerdegegnerin nicht nachgekommen. Weiters sei noch einmal darauf hingewiesen worden, dass die Auskunft in schriftlicher Form zu erteilen sei. Die Beschwerdeführerin fühlt sich im Recht auf Auskunft dadurch verletzt, dass ihr nicht bekannt gegeben worden sei, zu welchem Zweck ihre Personaldaten (Name und Anschrift) von der Beschwerdegegnerin verwendet sowie an welchen konkreten Sicherheitsdienst ihre personenbezogenen Daten weitergegeben worden seien.

Die Beschwerdegegnerin gab, zur Stellungnahme aufgefordert, mit Mail vom 9. Juni 2006 (ausschließlich an die Datenschutzkommission) an, die Daten der Beschwerdeführerin wären an die Abteilung *** im Bundesministerium *** (Frau ***) übergeben worden. In einem Telefongespräch mit dem zuständigen Sachbearbeiter ergänzte der Generalsekretär der Beschwerdegegnerin, dass diese Übermittlung wie auch deren Zweck (kurz angegeben: Gewährleistung der Sicherheit) der Beschwerdeführerin telefonisch mitgeteilt worden wären. Dies habe sie zur Kenntnis genommen und sei auch damit einverstanden gewesen.

Im dazu gewährten Parteiengehör wurde angegeben, ein telefonischer Kontakt sei nicht mehr feststellbar, die Mitarbeiter der Vertretung der Beschwerdeführerin seien aber angewiesen, auf einer schriftlichen Auskunft zu bestehen. Die Datenweitergabe an das Bundesministerium *** sei erstmals behauptet worden. Unwahrscheinlich sei auch, dass nur Name und Adresse der Beschwerdeführerin gespeichert seien und nicht zumindest auch die Eigenschaft der Person (zB Mitglied, Förderer, Interessent) bzw deren Interessen zum Zwecke der Zusendung.

B. Beschwerdegegenstand

Aufgrund des Vorbringens der Beschwerdeführerin, insbesondere aus ihrem Antrag in der Beschwerde, ergibt sich, dass Beschwerdegegenstand die Vollständigkeit der von der Beschwerdegegnerin am 16. März 2006 erteilten Auskunft im Hinblick auf Übermittlungsempfänger und -zwecke ist.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird folgender Sachverhalt festgestellt:

Die Beschwerdeführerin richtete am 15. März 2006 ein Ersuchen an die Beschwerdegegnerin, ihr Auskunft darüber zu erteilen, welche Daten gespeichert sind, woher diese stammen, an wen sie weitergeleitet wurden, zu welchem Zweck die Datenanwendung betrieben wird und auf welcher Rechts- bzw. Vertragsgrundlage die Datenverwendung erfolgt.

Mit 16. März 2006 antwortete die Beschwerdegegnerin per Email, die Daten (Vor- und Zuname sowie Wohnanschrift) stammten von der Beschwerdeführerin selbst und seien im Rahmen der Organisation und Durchführung der Konferenz „***“ an die Sicherheitsorgane der Konferenz weitergegeben worden.

Beweiswürdigung: Diese Feststellungen beruhen auf dem Beschwerdevorbringen, welches zwar nicht durch Urkundenkopien bescheinigt, von der Beschwerdegegnerin aber insoweit auch nicht bestritten wurde.

Die Zustimmung zur mündlichen Auskunftserteilung hat die Beschwerdeführerin nicht erteilt. Eine mündliche Auskunftserteilung wurde auch nicht protokolliert.

Beweiswürdigung: In der Beschwerde behauptet die Beschwerdeführerin, in ihrer Urgenz vom 20. März 2006 „noch einmal“ darauf hingewiesen zu haben, dass die Auskunft in schriftlicher Form zu erteilen ist. Daraus ist zu schließen, dass sie dies auch in ihrem ursprünglichen Auskunftsbegehren vom 15. März 2006 verlangt hat (obwohl dies nicht explizit angegeben ist), zumal die Beschwerdegegnerin in ihrer Stellungnahme nichts Gegenteiliges vorgebracht hat. Lediglich ihr Generalsekretär hat in einem späteren Telefongespräch mit dem zuständigen Sachbearbeiter der Datenschutzkommission behauptet, Übermittlungsempfänger und Zweck seien der Beschwerdeführerin in einem Telefongespräch mündlich mitgeteilt worden. Ob dies tatsächlich zutrifft – diesbezüglich konnte ein Nachweis nicht erbracht werden – kann aber dahingestellt bleiben, da nach der Aktenlage die Beschwerdegegnerin nicht davon ausgehen konnte, dass die Beschwerdeführerin die Zustimmung zu einer mündlichen Auskunftserteilung iSd § 26 Abs. 1 DSG 2000 erteilt habe.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.

§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Gemäß § 26 Abs. 1. DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

Gemäß Abs. 4 leg. cit. ist die Auskunft innerhalb von acht Wochen nach Einlangen des Begehrens zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird.

2. rechtliche Schlussfolgerungen

Die Auskunft vom 16. März 2006 enthält keine konkreten Übermittlungsempfänger. Der Urgenz der Beschwerdeführerin vom 20. März 2006, die Auskunft entsprechend schriftlich zu vervollständigen, wurde nach dem festgestellten Sachverhalt jedenfalls in schriftlicher Form nicht nachgekommen, obwohl § 26 Abs. 1 DSG 2000 einen Anspruch auf eine schriftliche Auskunft einräumt.

Die Beschwerdegegnerin bestreitet nicht, dass sie ohne überdurchschnittlichen Aufwand in der Lage ist, die konkreten Empfänger zu benennen, hat die Beschwerdeführerin darauf (und nicht bloß auf die Bekanntgabe von Empfängerkreisen, vgl. dazu die ausführliche Darlegung im Bescheid der Datenschutzkommission vom 15. Februar 2005, GZ K120.981/0002- DSK/2005, im RIS abrufbar) Anspruch. Die im Verfahren von der Beschwerdegegnerin gegenüber der Datenschutzkommission (und nur dieser) bekannt gegebene Übermittlung erfüllt den Auskunftsanspruch schon deshalb nicht, weil die Erteilung von Auskunft direkt gegenüber dem Betroffenen zu erfolgen hat, und es nicht ausreichend ist, wenn dieser im Wege des Parteiengehörs von Übermittlungen Kenntnis erlangt (zB Bescheid der Datenschutzkommission vom 21. Juni 2005, GZ K120.839/0005-DSK/2005, mwH).

Der Beschwerdegegnerin war somit spruchgemäß Auskunftserteilung aufzutragen. Eine Frist von zwei Wochen dafür erscheint, da keine besonderen mit der Auskunftserteilung verbundenen Schwierigkeiten erkennbar sind, im Sinne des § 59 Abs. 2 AVG angemessen.