K121.255/0005-DSK/2007 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER und Dr. STAUDIGL sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 21. März 2007 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Herwig T*** (Beschwerdeführer) aus H***, vertreten durch die Datenschutzvereinigung B***, in **** H***, A***straße **, vom 14. September 2006 (ergänzt mit Schreiben vom 1. Dezember 2006) gegen die S*** Gesellschaft m. b.H. (Beschwerdegegnerin) in H*** wegen Verletzung im Recht auf Auskunft infolge einer inhaltlich mangelhaften Auskunfterteilung (Auskunftsbegehren vom 4. August 2006), wird gemäß den §§ 1 Abs. 5, 26 Abs 1 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:

B e g r ü n d u n g:

A. Vorbringen der Parteien

1. Der Beschwerdeführer behauptet in seiner Beschwerde vom 14. September 2006, dass er im Recht auf Auskunft dadurch verletzt worden sei, dass die Beschwerdegegnerin sein Auskunftsbegehren am 9. August 2006 unvollständig und damit inhaltlich mangelhaft beantwortet habe: Er habe inzwischen die Information erhalten, dass die Beschwerdegegnerin entgegen ihrer Behauptung, Daten nicht an Dritte weitergegeben zu haben, Daten des Beschwerdeführers an die N*** Gesellschaft m. b.H. in H*** übermittelt habe. Zum Beweis dieser Tatsache regte der Beschwerdeführer die Einvernahme eines Mitarbeiters der N*** an.

Ein anderer Teil des Beschwerdeanbringens vom 14. September 2006 enthielt die Anregung, „eine Systemprüfung nach § 30 DSG“ bei der Beschwerdegegnerin durchzuführen.

2. Zur Stellungnahme zum Beschwerdeanbringen aufgefordert, brachte die Beschwerdegegnerin am 17. Oktober 2006 vor, das Beschwerdevorbringen sei insoweit richtig, als man in der Auskunft vom 9. August 2006 unrichtigerweise mitgeteilt habe, dass die Daten nicht an Dritte weitergegeben würden. Tatsächlich wären „die Daten“ an die N*** GmbH übermittelt worden. Mit dieser Auskunft sei nunmehr das Auskunftsbegehren erfüllt und damit das Rechtsschutzinteresse des Beschwerdeführers erloschen.

Es folgte ein mehrfacher Schriftwechsel zwischen der Datenschutzkommission und den Parteien zur Frage, ob eine Auskunftsergänzung an den Beschwerdeführer zu Handen des ihn vertretenden Vereins tatsächlich übermittelt worden ist. Der Datenschutzkommission ging schließlich die Kopie eines solchen Ergänzungsschreibens vom 28. November 2006 an den Beschwerdeführer z.H. seines Vertreters zu.

3. Der Beschwerdeführer brachte in der Folge mit Schreiben vom 1. Dezember 2006 vor, auch die ergänzte Auskunft sei noch immer inhaltlich mangelhaft. Es gehe aus dem Schreiben nicht hervor, an welche Stellen – über die N*** hinaus – die Daten weitergegeben würden. Es liege nahe, dass die Beschwerdegegnerin nur jenen Übermittlungsempfänger angegeben habe, den man ihr nachweisen hätte können. Auch der Zweck der Datenverwendung bei der Beschwerdegegnerin und der Zweck der Datenweitergabe an N*** sei aus dem Auskunftsschreiben nicht erkennbar, da der den Beschwerdeführer betreffende Inkassofall laut Auskunft abgeschlossen sei, und daher der Zweck „Eintreibung offener Forderungen“ nicht mehr zutreffe. Die Speicherung solcher Daten über den Inkassofall hinaus widerspreche § 27 Abs 1 DSG 2000. Der Beschwerdeführer brachte weiters vor, die Beschwerdegegnerin beschäftige sich „gewerbsmäßig mit dem Sammeln, Weiterverwerten, und Handeln von Inkasso- und Bonitätsdaten“. Zur Klärung, wozu die Inkassodaten auch nach Abschluss eines Inkassofalls gespeichert bleiben und an welche Stellen sie zu welchen Zwecken tatsächlich weitergegeben werden, wird wiederum eine Systemprüfung nach § 30 Abs 2 DSG angeregt.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die erteilte datenschutzrechtliche Auskunft (in der ergänzten Fassung vom 28. November 2007) das vom Beschwerdeführer gestellte Auskunftsbegehren gesetzmäßig erfüllt. Darüber hinaus liege laut dem Vorbringen des Beschwerdeführers inhaltliche Mangelhaftigkeit wegen Unvollständigkeit der Angaben über den Zweck der Datenverwendung und die Empfänger von Übermittlungen vor.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Der Beschwerdeführer, vertreten durch die Datenschutzvereinigung B***, richtete am 4. August 2006 ein Auskunftsbegehren an die „X*** Risikomanagement Inkasso Austria GmbH“. Dieses hat folgenden Wortlaut:

„Gemäß DSG 2000 wird vom Antragsteller Auskunft über alle über ihn gespeicherten personenbezogenen Daten begehrt. Insbesondere betrifft dies alle im Rahmen der Kreditauskunftei gesammelten Daten im Sinne Ihres Schreibens vom 2.5.06.

Weiters umfasst das Auskunftsbegehren, ohne Abschließende Nennung der Dateien, alle sonstigen Wirtschafts-, Bonitäts-, Konsumenten-, Warenevidenz- und Warenkreditdateien.

Soweit Sie Daten in automatisierter Form ermitteln (berechnen), die rechtliche Folgen haben können oder die Ihre Entscheidung zur Erbringung oder Nicht-Erbringung von Leistungen gegen den Antragsteller beeinflussen können, wird gemäß § 49 Abs 3 DSG 2000 beantragt, das Zustandekommen der automatisierten Ermittlung (Berechnungsmethode) und des logischen Ablaufs der automatisierten Entscheidungsfindung zu beauskunften. Dies bezieht sich insbesondere auf Bewertungen, Einschätzungen und Ratings, die geeignet sind, die berufliche Leistungsfähigkeit, die Kreditwürdigkeit, die Zuverlässigkeit oder das Verhalten des Antragstellers zu bewerten.

Als gesetzlich vorgeschriebenen Beitrag zur Mitarbeit verweise ich auf Ihr Schreiben vom 2.5.06.

Gemäß DSG besteht binnen 8 Wochen eine Verpflichtung zur Auskunft. Die Auskunft ist vollständig, allgemein verständlich und kostenlos zu erteilen. Weiters weisen wir ausdrücklich auf die Verpflichtung hin, die Herkunft der Daten, die Empfänger der Daten und allfällig herangezogene Dienstleister bekannt zu geben.

Dies betrifft insbesondere auch die Aufschlüsselung, Erklärung und Begründung verwendeter Codes, Ratingzahlen oder ähnlichem.

Wir weisen darauf hin, dass allfällige Schreiben direkt an uns zu richten sind.“

Gefertigt war das Schreiben vom Obmann des Vereins (eine schriftliche Vollmacht des Beschwerdeführers war angeschlossen), es folgte folgende Nachschrift:

„PS: Das Auskunftsverfahren ist ausschließlich mit der Datenschutzvereinigung B*** als Vertretung abzuwickeln und stehe in keinem Zusammenhang mit allfällig anderen Verfahren“

Am 9. August 2006 erteilte die Beschwerdegegnerin dem Beschwerdeführer zu Handen seiner Vertretung schriftlich Auskunft. Darin wurde zunächst auf die Tatsache verwiesen, dass die X*** Risikomanagement Inkasso Ges.m.b.H. in Folge gesellschaftsrechtlicher Verschmelzung in der Beschwerdegegnerin als Gesamtrechtsnachfolgerin aufgegangen ist.

Es folgt folgende Auskunft:

„Wir haben von Ihnen folgende personenbezogene Daten gespeichert:

Unser Aktenzeichen: 2005019***

Gläubiger: D*** Pay-TV GmbH

Schuldner: Herwig T***

Übergabedatum: 03.06.2005

Übergebene Hauptforderung: EUR 23,00

Offene Zinsen: EUR 0,04

Offene Kosten: EUR 0,00

Geleistete Zahlungen: EUR 70,39

Offener Gesamtsaldo: EUR 0,04

Status: Akte geschlossen“

Beweiswürdigung : Diese Feststellungen beruhen auf dem unbestrittenen und widerspruchsfreien Vorbringen des Beschwerdeführers und den von ihm vorgelegten Urkundenkopien (Beilagen zur Beschwerde und aufgetragene Urkundenvorlage vom 21. Februar 2007). Der gesellschaftsrechtliche Status der Beschwerdegegnerin wurde an Hand des Firmenbuchs überprüft (Auszug einliegend zu GZ K211.748/0002-DSK/2007) und das Vorbringen zum Untergang der X*** durch Verschmelzung bestätigt.

Am 14. September 2006 wandte sich der Beschwerdeführer wegen behaupteter unvollständiger und damit inhaltlich mangelhafter Auskunftserteilung mit Beschwerde an die Datenschutzkommission.

Ein Schreiben der Beschwerdegegnerin, in dem sie die erteilte Auskunft dahingehend berichtigt, dass Daten an die N*** GmbH in **** H*** übermittelt worden seien, wurde am 14. November 2006 mit dem Adressaten „Datenschutzvereinigung B***“ an die Faxnummer der DSK zugesandt. Dass dieses Schreiben jemals dem Beschwerdeführer zugekommen ist, konnte im Verfahren nicht erwiesen werden.

Am 28. November 2006 richtete die Beschwerdegegnerin jedoch ein anders lautendes, als „Auskunftsergänzung Herwig T***“ bezeichnetes Schreiben an den Beschwerdeführer (zu Handen der Datenschutzvereinigung B***):

Nach einem Einleitungssatz, demzufolge das Schreiben als „Auskunftsergänzung zum Schreiben vom 09.08.2006“ deklariert wird, folgt nachstehende Auskunft:

„Wir haben von Herrn Herwig T*** personenbezogene Daten gespeichert:

Unser Aktenzeichen: 2005019***

Gläubiger: D*** Pay-TV GmbH, R***gasse **,

**** H***, FN 12****n

Die Daten zur

Forderungsbetreibung

wurden direkt an die

S*** Gesellschaft m.b.H.

übergeben

Schuldner: Herwig T***, J***straße **/**,

**** H***, geb **.**.19**

Übergabedatum: 03.06.2005

Übergebene Hauptforderung: EUR 35,00

Mahngebühren Gläubiger: EUR 10,00

Inkassokosten: EUR 25,29

Zinsen: EUR 0,04

Gesamtforderung: EUR 70,43

Geleistete Zahlungen, Schuldner: EUR 70,39

Offener Gesamtsaldo: EUR 0,04

(resultiert aus

Zinsendifferenz)

Status: Betreibung wurde aufgrund

der Vollzahlung des

Schuldners eingestellt

- Akte ist abgeschlossen“

Beweiswürdigung : Diese Feststellungen beruhen auf der vorliegenden Kopie des ergänzten Auskunftsschreibens. Der Beschwerdeführer hat (Schreiben seiner Vertretung vom 1. Dezember 2006) nicht bestritten, dieses Schreiben erhalten zu haben.

Hinsichtlich dieses Auskunftsschreibens hält der Beschwerdeführer im Schreiben vom 1. Dezember 2006 seine Behauptung der Unvollständigkeit der Auskunft mit folgender Begründung aufrecht:

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften:

§ 26 DSG 2000 lautet unter der Überschrift „Auskunftsrecht“:

„ § 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

[...]

(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“

2. rechtliche Schlussfolgerungen

Die Beschwerdegegnerin hat die ursprüngliche, eingestandenermaßen mangelhafte Auskunft in mehreren Punkten ergänzt (zur Zulässigkeit dieser Vorgehensweise auch während des anhängigen datenschutzrechtlichen Beschwerdeverfahrens siehe die ständige Spruchpraxis der Datenschutzkommission seit dem Bescheid vom 26. Februar 2002, GZ: K120.760/004-DSK/2002, enthalten in der RIS-Entscheidungsdokumentation der Datenschutzkommission, http://www.ris.bka.gv.at/dsk/). Dennoch hält der Beschwerdeführer im Schreiben vom 1. Dezember 2006 seine Behauptung der Unvollständigkeit der Auskunft aufrecht, weil die ihm zugegangenen Ergänzungsschreiben, keine Angaben darüber enthalten, an welche Stellen die Daten weitergegeben werden, und weil der Zweck der Datenverwendung und der Datenweitergaben aus der Auskunft nicht erkennbar sei. Er rügt in dieser Schlussäußerung weiters, dass die Speicherung der Daten nach Beendigung des Inkassofalls § 27 Abs. 1 DSG 2000 widerspreche und dass sie offenbar dem gewerbsmäßigen Sammeln, Weiterverwenden und Handeln mit Bonitätsdaten diene. Unter einem wird (neuerlich) die Durchführung einer „Systemprüfung“ gemäß § 30 Abs. 2 DSG 2000 verlangt.

a) Über das mehrfach gestellte Verlangen auf „Systemprüfung gemäß § 30 DSG 2000“ ist in einem Verfahren gemäß § 31 DSG 2000 nicht abzusprechen.

b) Für die Behandlung des Vorbringens des Beschwerdeführers betreffend Verletzung des Löschungsrechts (wegen Speicherung der Daten nach Abschluss des Inkassovorgangs) und des Geheimhaltungsrechts (unzulässige Datenübermittlung) ist die Datenschutzkommission im förmlichen Beschwerdeverfahren nach § 31 DSG 2000 nicht zuständig: Die Beschwerdegegnerin ist als Gesellschaft mit beschränkter Haftung gemäß § 5 Abs. 3 DSG 2000 ein Auftraggeber des privaten Bereichs, woraus gemäß § 1 Abs 5 DSG 2000 folgt, dass die ordentlichen Gerichte zur Entscheidung über Löschungsbegehren oder behauptete Verletzungen des Rechts auf Geheimhaltung anzurufen sind.

c) Im Hinblick auf den Zweck der Datenverwendung und die Übermittlungsempfänger ist die dem Beschwerdeführer zugekommene Auskunft tatsächlich mangelhaft:

Hinsichtlich der Übermittlungsempfänger gibt es zwar ein Schreiben der Beschwerdegegnerin an die Datenschutzkommission vom 13. November 2006, dieses ist jedoch dem Beschwerdeführer bzw. seinem Vertreter nie zugekommen, was aber nach der ständigen Spruchpraxis der Datenschutzkommission für die Erfüllung der Auskunftspflicht notwendig wäre.

Auch hinsichtlich des Zwecks bzw. der Zwecke der Datenverwendung wurden von der Beschwerdegegnerin keine Aussagen gemacht. Für die Erfüllung des Auskunftsrechts genügt es aber nicht, dass der Zweck der Datenverwendung aus einer Gesamtbetrachtung der erteilten Auskünfte und des Schriftwechsels im Verlauf des Auskunfts- und Beschwerdeverfahrens für die Beteiligten allenfalls schlüssig hervorgeht. Der datenschutzrechtlich Betroffene ist als Auskunftswerber auch nicht verpflichtet, sich selbst Informationen (etwa aus dem Firmenbuch oder dem zentralen Gewerberegister) über mögliche rechtmäßige Datenverwendungszwecke zu verschaffen. Gemäß § 26 Abs. 1 DSG 2000 gehört vielmehr die klare Angabe des Zwecks der Datenverwendung (Verarbeitung wie Übermittlung) und ihrer Rechtsgrundlage zum Inhalt einer vollständigen datenschutzrechtlichen Auskunft.

Der Beschwerde war daher teilweise stattzugeben und der Beschwerdegegnerin die spruchgemäßen Auskunftsergänzungen aufzutragen.