K121.280/0007-DSK/2007 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KOTSCHY, Dr. BLAHA, Dr. ROSENMAYR-KLEMENZ, Mag. HEILEGGER und Dr. HEISSENBERGER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 04. Mai 2007 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde der T in Ö (Beschwerdeführerin), vertreten durch den Verein E in H, vom 15. Februar 2007 gegen die M GmbH in D (Beschwerdegegnerin), vertreten durch Dr. R, Rechtsanwalt in D, wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 1 Abs. 5 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, iVm § 59 Abs. 2 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), BGBl Nr. 51/1991 idF BGBl I Nr. 10/2004, entschieden:

1. Der Beschwerde wird Folge gegeben und festgestellt, dass die Beschwerdegegnerin die Beschwerdeführerin im Recht auf Auskunft dadurch verletzt hat, dass sie in der am 7. Februar 2007 erteilten Auskunft keine Angaben zu Übermittlungsempfängern gemacht hat.

2. Der Beschwerdegegnerin wird bei sonstiger Exekution aufgetragen, diese Angaben innerhalb einer Frist von zwei Wochen des Vereins E als Vertreterin der Beschwerdeführerin mitzuteilen.

B e g r ü n d u n g:

A. Vorbringen der Parteien und Verfahrensgang

Die Beschwerdeführerin behauptete in ihrer ursprünglichen Beschwerde vom 20. Jänner 2007 eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin auf ihr Auskunftsbegehren vom 14. September 2006 nicht reagiert habe. Das Vorbringen der Beschwerdeführerin in ihrer Stellungnahme vom 15. Februar 2007, die Beschwerdegegnerin habe zwar nunmehr am 7. Februar 2007 Auskunft erteilt, diese sei jedoch im Hinblick auf Übermittlungsempfänger unvollständig, außerdem habe die Beschwerdegegnerin kein rechtliches Interesse an der Verarbeitung der Daten der Beschwerdeführerin, hat die Datenschutzkommission im Hinblick auf die dadurch eingetretene wesentliche Änderung des Verfahrensgegenstandes als Zurückziehung der Beschwerde vom 20. Jänner 2007 unter gleichzeitiger Einbringung einerseits einer neuen Beschwerde wegen Verletzung im Recht auf Auskunft, andererseits einer Eingabe nach § 30 Abs. 1 DSG 2000 wegen Verletzung im Recht auf Geheimhaltung (protokolliert zur Zahl K211.787), gedeutet. Darüber wurde die Beschwerdeführerin mit Verfügung der Datenschutzkommission vom 7. März 2007 informiert und gleichzeitig das ursprüngliche Beschwerdeverfahren K120.272 eingestellt.

Die Beschwerdegegnerin erstattete in ihrer Stellungnahme vom 15. März 2007 hauptsächlich Vorbringen zum Vorwurf der unrechtmäßigen Verarbeitung der Daten der Beschwerdeführerin, also zu dem nach § 30 DSG 2000 geführten Verfahren. „Nur der Ordnung halber“ trage sie nach, dass die Tatsache, dass auf Grund einer Anfrage der B GmbH am 11. Oktober 2006 dieser mitgeteilt worden sei, dass zum Datensatz der Beschwerdeführerin keine bonitätsrelevanten Daten vorliegen würden. Darüber hinaus habe eine weitere Verwendung in der vom Gesetz in § 14 Abs. 5 DSG 2000 genannten dreijährigen Protokollierungsfrist nicht stattgefunden.

B. Beschwerdegegenstand

Auf Grund des Vorbringens der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Vollständigkeit der der Beschwerdeführerin von der Beschwerdegegnerin am 7. Februar 2007 erteilten Auskunft im Hinblick auf die Benennung von Übermittlungsempfängern ist.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Die Beschwerdeführerin richtete am 14. September 2006 (schon damals vertreten durch den Verein E) ein Auskunftsbegehren an die Beschwerdegegnerin. Sie erhielt schließlich am 9. Februar 2007 ein Auskunftsschreiben vom 7. Februar 2007. Darin fand sich die Aussage, die Daten würden zum Zweck der Ausübung des Auskunfteigewerbes nach § 152 GewO zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert, jedoch keinerlei Aussage über die konkreten Empfänger allfälliger Datenübermittlungen. Lediglich in der Stellungnahme der Beschwerdegegnerin im nunmehrigen Verfahren vom 15. März 2007 erklärte die Beschwerdegegnerin, sie habe am 11. Oktober 2006 Daten der Beschwerdeführerin an die B GmbH weitergegeben, ansonsten sei es innerhalb der letzten drei Jahre zu keinen Übermittlungen gekommen.

Beweiswürdigung: Diese Feststellungen beruhen auf dem unbestrittenen Beschwerdevorbringen sowie der Stellungnahme der Beschwerdegegnerin vom 15. März 2007.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.

§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Gemäß § 26 Abs. 1. DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

2. rechtliche Schlussfolgerungen

Der Auskunftsanspruch nach § 26 Abs. 1 DSG 2000 umfasst nach der Rechtsprechung der Datenschutzkommission (siehe den Bescheid vom 15. Februar 2005, GZ K120.981/0002-DSK/2005) und des Verwaltungsgerichtshofes (siehe das zum soeben zitierten Bescheid ergangene Erkenntnis vom 19. Dezember 2006, Zl. 2005/06/0111) grundsätzlich auch die Bekanntgabe konkreter Empfänger. Gründe, die nach § 1 Abs. 4 iVm Abs. 2 bzw. § 26 Abs. 2 DSG 2000 (Durchführung einer Interessenabwägung) die Bekanntgabe von Empfängerkreisen genügen lassen könnten, hat der Beschwerdegegner nicht ins Treffen geführt. Im Übrigen ist nach der vorzitierten Rechtsprechung gerade im Fall der Datenverwendung für Zwecke der Bonitätsauskunft wegen der weit reichenden Konsequenzen ein besonderes Interesse des Auskunftswerbers an der Bekanntgabe konkreter Empfänger gegeben.

Nach ständiger Rechtsprechung der Datenschutzkommission (vgl. den Bescheid vom 21. Juni 2005, GZ. K120.839/0005-DSK/2005) muss eine Auskunft direkt gegenüber dem Betroffenen erteilt werden. Diese Pflicht kann nicht durch Abgabe einer Stellungnahme gegenüber der Datenschutzkommission im Beschwerdeverfahren ersetzt werden. Durch die Benennung eines Übermittlungsempfängers in der Stellungnahme vom 15. März 2007 ist die Beschwerdegegnerin im vorliegenden Fall somit ihrer Verpflichtung zur Bekanntgabe der konkreten Übermittlungsempfänger gegenüber der Beschwerdeführerin nicht nachgekommen. Die dadurch eingetretene Verletzung im Recht auf Auskunft war spruchgemäß festzustellen und die Auskunftserteilung (im Wege der Vertreterin Verein E) aufzutragen, wofür in Anbetracht dessen, dass die Beschwerdegegnerin die offenbar einzige Übermittlung bereits ausgeforscht hat, eine Frist von zwei Wochen nach § 59 Abs. 2 AVG angemessen erscheint.