K121.238/0006-DSK/2007 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER und Dr. KOTSCHY sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 02. Februar 2007 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Dr. Fred M*** (Beschwerdeführer) aus F*** vom 1. August 2006, eingeschränkt mit Schreiben vom 30. Oktober 2006, gegen die Inkasso G*** OEG in R*** (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 26 Abs.1, und 31 Abs.1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:

B e g r ü n d u n g:

A. Vorbringen der Parteien

Der Beschwerdeführer behauptet eine Verletzung im Recht auf Auskunft über eigene Daten dadurch, dass die Beschwerdegegnerin sein Auskunftsbegehren vom 1. Mai 2006 am 8. Mai 2006 nur unvollständig beantwortet habe. Die Antwort stelle lediglich ein „erneutes Mahnschreiben“ dar, das nur die Kategorien der gespeicherten Daten angebe und auf die detaillierte Fragestellung im Auskunftsersuchen nicht oder nur unzureichend eingehe.

Die Beschwerdegegnerin reagierte mit einem E-Mail an die Datenschutzkommission vom 8. August 2006, in dem einige Ergänzungen zur erteilten Auskunft vorgebracht wurden.

Nach beiderseitigem Parteiengehör zum Stand des Ermittlungsverfahrens, in dem u.a. ausdrücklich darauf hingewiesen wurde, dass Auskünfte jedenfalls auch an den Betroffenen ergehen müssten, versandte die Beschwerdegegnerin am 19. September 2006 ein weiteres E-Mail an die Datenschutzkommission, in dem sie weitere Daten zur Auskunft ergänzte.

Der Beschwerdeführer brachte in seiner Stellungnahme vom 30. Oktober 2006 vor, er habe am 22. September 2006 eine Auskunftsergänzung von der Beschwerdegegnerin erhalten (eine Kopie der entsprechenden E-Mail war der Stellungnahme angeschlossen). Die Vollständigkeit bzw. Richtigkeit der zu seiner Person beauskunfteten Daten bestritt er darin nicht mehr. Da allerdings die erste Auskunft keinesfalls als Teilauskunft zu verstehen gewesen sei, habe die Beschwerdegegnerin auch durch die in mehreren Teilen erfolgte Auskunft – die immer noch unvollständig sei – sein Auskunftsrecht verletzt. Die Unvollständigkeit ergebe sich zunächst daraus, dass hinsichtlich Datenweitergaben von der Beschwerdegegnerin lediglich ausgeführt worden sei, an „Kreditschutzorganisationen“ seien keine Daten weitergegeben worden. Es würden weiters Angaben zur Herkunft der Daten sowie zu „allenfalls beauftragten Dienstleistern“ fehlen. Er beantragte, die Datenschutzkommission möge feststellen, dass eine Verletzung im Recht auf Auskunft vorliege, da die Beschwerdegegnerin „trotz ausdrücklichem Ersuchen keine ordnungsgemäße und vollständige Auskunft hinsichtlich der verarbeiteten, mich betreffenden personenbezogenen Daten erteilte“, und der Beschwerdegegnerin auftragen, innerhalb einer zu setzenden Frist „im Umfang des § 26 Abs. 1 DSG 2000“ Auskunft zu erteilen.

Am 15. Jänner 2007 brachte der Beschwerdeführer ergänzend unter Vorlage der Kopie eines Ausdrucks der T*** Gesellschaft m. b.H. (einer Wirtschaftsauskunftei) vor, die Beschwerdegegnerin habe nachweislich am 10. und 26. Jänner 2006 Einsicht in ihn betreffende Daten (laut Auskunft der T***: „bonitätsrelevante Informationen“) aus der Datenanwendung „***“ [Anmerkung Bearbeiter: Produktbezeichnung gelöscht] der T*** genommen. Auch diese Tatsache sei in der Auskunft nicht enthalten gewesen.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin im Hinblick auf das Auskunftsbegehren vom 1. Mai 2006 dem Beschwerdeführer durch das E-mail vom 8. Mai 2006 sowie die darauf folgenden Ergänzungen gemäß § 26 Abs 1 DSG 2000 Auskunft hinsichtlich der Datenherkunft, der Empfänger von Übermittlungen sowie allenfalls herangezogene Dienstleister erteilt hat; weiters erachtet sich der Beschwerdeführer durch die Erteilung der Auskunft „in mehreren Tranchen“ im Recht auf Auskunft verletzt.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Der Beschwerdeführer versandte am 1. Mai 2006 per E-Mail ein Auskunftsbegehren an die Beschwerdegegnerin. Darin verlangte er (unter Anschluss eines Bildscans aus seinem Reisepass), gestützt auf § 26 DSG 2000 die Beantwortung der folgenden Fragen:

Weiters erstreckte sich das Auskunftsbegehren auf Daten in anderen Dateien, die durch Such- und Referenzbegriffe mit dem Beschwerdeführer verknüpft werden könnten, sowie auf die Berechnungsmethode bei automatisierten Einzelentscheidungen, insbesondere betreffend seine wirtschaftliche Leistungsfähigkeit und Kreditwürdigkeit. Gefragt wurde auch nach herangezogenen Dienstleistern.

Am 8. Mai 2006 erteilte die Beschwerdegegnerin dem Beschwerdeführer per E-Mail eine Auskunft mit folgendem Inhalt (offensichtliche Schreibfehler bei diesem und allen weiteren Zitaten korrigiert):

„Sehr geehrter Herr Dr. M***,

Die Aktenzahl 2000 9*** ist bei uns durch Zahlung erledigt. (Domain ****.at )

Die Aktenzahl 2000 4*** m***.at haftet nach wie vor unberichtigt aus.

Wie Ihnen sicher bekannt ist wurden wir von der Firma a***.at Internet Verwaltungs- und Betriebsges.m.b.H. beauftragt 2 Forderungen einzuziehen.

Von Ihnen sind bei uns die Personenstammdaten (alte Adr. ****gasse **,**** N***) die neue Adresse ****dorf ** **** F*** sowie ihre Geburtsdaten gespeichert

Wegen der Forderung m***.at wurden Sie ingesamt 7 mal

angeschrieben und haben bis heute nicht bezahlt.

Unsere DVR Nummer entnehmen Sie den Mahnungen.

An Kreditschutzorganisationen wurden Ihre Daten nicht

weitergegeben.

Demnächst wird aber unser Außendienst aktiviert um das Inkasso an Ort und Stelle vorzunehmen.“

Nach Aufforderung zur Stellungnahme durch die Datenschutzkommission sandte die Beschwerdegegnerin am 8. August 2006 an letztere eine Stellungnahme, in dem sie obige Auskunft wiederholte und wie folgt ergänzte:

„Ergänzend führe ich zur Anfrage des Dr. M*** vom 01.05.2006 an:

Datenanwendung: Klienten und Schuldnerdatei.

DVR Nr 123**** von der DSK per 06.01.2001 vergeben. Von Herrn Dr. M. [Anmerkung Bearbeiter: schon im zitierten Originaltext sinngemäß so abgekürzt] sind bei uns weiters seine Geb.Daten **.**.19** diverse (alte ??) Telefonnummern 0664/123**** + 43 ** 321**** eine FAX Nr 0***2/687** sowie eine e mail Adr. gespeichert m***@***xyz-provider.at Sollten meine Auskünfte nicht ausreichend sein stehe ich jederzeit gerne zur Verfügung.“

Am 19. September sandte die Beschwerdegegnerin eine weitere E-Mail mit folgendem Inhalt an die Datenschutzkommission:

„Sehr geehrter Herr Mag. A*** [Anmerkung: Name des Sachbearbeiters im Büro der DSK],

ich gebe nachstehend die Mahndaten bekannt:

Akt 2000 4***

Mahndaten: 19/4/04,

3/5/04,25/5/04,7/6/04,24/6/07,7/7/04,21/1/06

Akt 2000 6***

Mahndaten: 19/12/05, 9/1/06,24/1/06,3/2/06,27/2/06“

Hinsichtlich beider Ergänzungen liegt kein Nachweis vor, dass diese auch an den Beschwerdeführer versendet worden sind; dieser hat jedoch im Wege des Parteiengehörs am 19. bzw. 20. September 2006 davon Kenntnis erlangt.

Am 22. September 2006 sandte die Beschwerdegegnerin ein E-Mail an den Beschwerdeführer, das die oben wiedergegebenen E-Mails an die Datenschutzkommission vom 8. August und 19. September 2006 sowie die ursprüngliche Auskunft vom 8. Mail 2006 zusammengefasst doch inhaltsgleich wiedergab.

Beweiswürdigung : Diese Feststellungen beruhen auf dem Inhalt der zitierten schriftlichen Äußerungen (E-Mails), die von den Parteien vorgelegt worden sind.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

§ 1 Abs 3 Z 1 DSG 2000 lautet unter der Überschrift „Grundrecht auf Datenschutz“:

[...]

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

§ 26 Abs 1 und 4 DSG 2000 lauteten unter der Überschrift „Auskunftsrecht“:

„ § 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

[...]

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“

2. rechtliche Schlussfolgerungen

a. Auskunftserteilung über personenbezogene Daten „in mehreren Tranchen“:

Der Beschwerdeführer hat in seiner Stellungnahme vom 30. Oktober 2006 im Hinblick auf die zu seiner Person verarbeiteten Daten keine Unvollständigkeit der ihm erteilten Auskunft mehr behauptet. Er erachtet sich allerdings dadurch verletzt, dass er diese Auskunft erst „in mehreren Tranchen“ erhalten habe. Ein derartiges Begehren ist aber nach § 31 Abs. 1 DSG 2000 nicht zulässig.

Nach ständiger Rechtsprechung der Datenschutzkommission stellt nämlich die Nichteinhaltung der achtwöchigen Frist des § 26 Abs. 4 DSG 2000 zwar eine Verletzung im Recht auf Auskunft dar, die aber durch Nachholung der Auskunftserteilung bis zum Ende des Verfahrens von der Datenschutzkommission sanierbar ist (zB Bescheid vom 7. Juni 2005, GZ K120.912/0008-DSK/2005). Die „tranchenweise“ erteilte Auskunft ist nichts anderes als eine solche verspätete Auskunft. Somit fehlt der Beschwerde diesbezüglich seit der Stellungnahme des Beschwerdeführers vom 30. Oktober 2006 die Behauptung einer aktuellen Verletzung im Recht auf Auskunft und damit das Rechtsschutzinteresse (vgl. zum ähnlichen Fall der nachträglichen Durchführung einer Löschung das Erkenntnis des Verwaltungsgerichtshofes vom 28. März 2006, Zl. 2004/06/0125, veröffentlicht im Rechtsinformationssystem des Bundes – RIS unter www.ris.bka.gv.at/vwgh), weshalb sie insoweit zurückzuweisen war.

b. Unvollständigkeit der Auskunft im geltend gemachten Umfang

Im Übrigen (dh hinsichtlich der geltend gemachten Unvollständigkeit im Hinblick auf die Datenherkunft, die Empfänger von Übermittlungen sowie allfällige Dienstleister) ist die Beschwerde jedoch berechtigt: Nach den Ergebnissen des Ermittlungsverfahrens steht fest, dass die dem Beschwerdeführer bisher erteilten Auskünfte diesbezüglich überhaupt fehlen (Herkunft der Daten bzw. Dienstleister) bzw. unzureichend sind, wenn hinsichtlich der Übermittlungsempfänger nur ausgeführt wird, die Daten seien an „Kreditschutzorganisationen“ nicht übermittelt worden. Die Frage nach Übermittlung der Beschwerdeführerdaten hätte von der Beschwerdegegnerin präzise (also durch Benennung der Empfänger) beantwortet oder klar verneint werden müssen. Der Beschwerde war somit im spruchgemäßen Umfang stattzugeben und der Beschwerdegegnerin nachträglich Auskunftserteilung aufzutragen. Dafür scheint, da keine Anhaltspunkte für besondere mit der Auskunftserteilung im Zusammenhang stehende Schwierigkeiten ins treffen geführt wurden, eine Frist von zwei Wochen im Sinne des § 59 Abs. 2 AVG angemessen.