K121.314/0012-DSK/2007 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. KOTSCHY, Mag. HUTTERER, Mag. HEILEGGER, Dr. HEISSENBERGER und Dr. ROSENMAYR-KLEMENZ sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 12. Dezember 2007 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde der Alexandra C*** in H*** (Beschwerdeführerin), vertreten durch den Z-Verein, vom 26. Juni 2007, gegen L***-Verband in Wien (Beschwerdegegner) wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 1 Abs. 3 Z 1, 26 Abs. 1 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:

1. Der Beschwerde wird teilweise stattgegeben und dem Beschwerdegegner aufgetragen, der Beschwerdeführerin binnen einer Frist von zwei Wochen bei sonstiger Exekution Auskunft über Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür und ob und gegebenenfalls welche Dienstleister (Name und Adresse) herangezogen werden, zu erteilen.

2. Im Übrigen wird die Beschwerde abgewiesen.

B e g r ü n d u n g:

A. Vorbringen der Parteien

a. Die Beschwerdeführerin behauptet eine Verletzung im Recht auf Auskunft dadurch, dass ihrem Auskunftsbegehren nur unvollständig nachgekommen worden sei. Es würden Auskünfte über Datenübermittlungen sowie Adressangaben der unter „Kreditgeber“ bezeichneten Einrichtungen fehlen. Es werde daher beantragt, „dass die Datenschutzkommission das Auskunftsrecht durchsetzt und eine vollständige Auskunft erteilt wird (insbesondere im Sinne der VwGH-Entscheidung 2005/06/0111)“.

b. Der damit konfrontierte Beschwerdegegner brachte in seiner Stellungnahme vom 6. Juli 2007 vor, die Beschwerdeführerin lasse nicht erkennen, welche Datenübermittlungen fehlen würden. Die [Datenanwendung 1] enthalte Datenübermittlungen aus den der Abfrage vorangegangenen 6 Monaten, welche wie hier immer angezeigt würden. Die [Datenanwendung 2] und die [Datenanwendung 3] würden gar keine Einträge der Beschwerdeführerin enthalten. Da es sich bei den Empfängern der Daten ausnahmslos um aktuelle oder potentielle Kreditgeber der Betroffenen handeln würde, sei davon auszugehen, dass die Betroffene mit diesen bereits persönlich in Kontakt gewesen sei und daher ausreichend Kenntnis über Adressen und Kontaktdaten der Übermittlungsempfänger habe. Das Begehren sei daher überschießend und eine Adressangabe vielfach sogar irreführend für den Betroffenen, da Kundenkontakte vielfach in Filialen und nicht am Hauptsitz einer kreditgebenden Institution stattfinden würden. Die Bekanntgabe von Adressdaten wäre ein unzumutbarer Aufwand für den Beschwerdegegner, besondere Umstände, die im Einzelfall diese Information erforderlich machen, habe die Beschwerdeführerin nicht vorgetragen, sie werde aber dazu eingeladen.

c. Im dazu gewährten Parteiengehör brachte die Beschwerdeführerin vor, die volle Bestimmung der in der Auskunft angegebenen Banken sei zur Wahrnehmung der Betroffenenrechte erforderlich. Eine WKO-Abfrage ergebe 8 bzw. 9 Treffer.

Es sei unzumutbar und durch das DSG 2000 nicht gedeckt, dass ein Betroffener auf Grund mangelhafter Auskünfte jeweils bei 8 oder 9 potentiellen Stellen nachfragen müsse, ob die Daten vom Beschwerdegegner stammen. Es werde außerdem bezweifelt, dass diese Datenrecherche einen unverhältnismäßigen Aufwand bedeute, da der Beschwerdegegner zu exakten Aufzeichnungen verpflichtet sei (u.a. § 14 DSG 2000). Aus der Auskunft der [Datenanwendung 1] sei nicht erkennbar, welche Einrichtungen die Daten tatsächlich abgerufen hätten (übermittelt erhalten hätten).

d. Erneut zur Stellungnahme aufgefordert, brachte der Beschwerdegegner mit Schreiben vom 8. Oktober 2007 vor, die Adressen der Teilnehmer der [Datenanwendung 1] seien nicht bei den Kreditdaten der Betroffenen, sondern in einem zentralen Adressverzeichnis gespeichert. Mit Auskunftsschreiben an die Beschwerdeführerin vom selben Tag ergänzte der Beschwerdegegner seine Auskunft dergestalt, dass er die Adresse der H*** Bank GmbH bekannt gab.

e. Im dazu gewährten Parteiengehör werde diese Auskunft zur Kenntnis genommen. Nunmehr erstmalig bemängelte die Beschwerdeführerin, dass die Auskunft insbesondere folgende Punkte auch nicht beantworte: Zweck der Datenanwendungen, Vertrags- bzw. Rechtsgrundlage der Datenverwendung, etwaiges Informationsverbundsystem (Bescheidzahlen), Datenverarbeitung im internationalen Datenverkehr (Bescheidzahlen). Grundlage für diese Fragen sei § 26 Abs. 1 zweiter Satz DSG 2000, wonach Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form zu beauskunften seien. Auch Dienstleister seien nicht genannt worden.

Im Anhang zu diesem Schreiben legte die Beschwerdeführerin erstmalig eine Kopie ihres Auskunftsbegehrens vom 14. Mai 2007 vor.

B. Beschwerdegegenstand

Auf Grund des Vorbringens der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner der Pflicht zur vollständigen und richtigen Auskunftserteilung gemäß § 1 Abs. 3 Z 1 iVm § 26 DSG 2000 nachgekommen ist.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Die Beschwerdeführerin richtete durch den mit Vollmacht ausgestatteten Z-Verein am 14. Mai 2007 an die Beschwerdegegnerin ein Auskunftsbegehren folgenden wesentlichen Inhalts:

„Wir ersuchen Sie unter Hinweis auf § 1 DSG 2000, § 26 DSG 2000 und alle weiteren anwendbaren Bestimmungen des DSG 2000 um Beantwortung der folgenden Fragen:

In ihrem Auskunftsschreiben vom 20. Juni 2007 erteilte der Beschwerdegegner folgende Auskunft:

„Sehr geehrte Damen und Herren,

gerne informieren wir Sie über die gespeicherten Daten Ihres Mandanten Frau Alexandra C***, geb. am ***, ***.

Die Auskunft beinhaltet Informationen aus folgenden Datenbanken:

In der [Datenanwendung 2] und der [Datenanwendung 3] waren keine Daten der Beschwerdeführerin gespeichert, die [Datenanwendung 1] enthielt folgende Daten:

„[Datenanwendung 1]

Daten der Abfrage ***

Personenabfrage

***-Nummer ***

Familienname C***

Vorname Alexandra

Geboren ***

Adresse ***

***

Frühere Adresse ***

***

Kreditdaten

Rückzahlung Kredit vom ***

Kreditart/Kredithöhe Abstattungskredit EUR ***

Kreditgeber ***

Kreditkontonummer ***

Lfd. Kreditnummer 1

Laufzeit 240 Monate

Rate monatlich ab ***

Zahlungsanstände Klage eingereicht ***

Klage eingereicht ***

Obligoanfrage vom 06.04.2007

Kreditgeber ***

Obligoanfrage vom 06.04.2007

Kreditgeber ***

Obligoanfrage vom 10.04.2007

Kreditgeber ***

Obligoanfrage vom 26.04.2007

Kreditgeber ***

Gewährung Kredit vom ***

Kreditart/Kredithöhe Abstattungskredit EUR ***

Kreditgeber ***

Kreditkontonummer ***

Lfd. Kreditnummer 1

Laufzeit 83 Monate

Rate monatlich ab ***

Obligoanfrage vom 08.05.2007

Kreditgeber ***

Bürge bei Kredit vom 26.3.2000

Kreditart/Kredithöhe Rahmenkredit EUR ***

Kreditgeber ***

Kreditkontonummer ***

Lfd. Kreditnummer 1

Rate endfällig

Kreditende ***

Kreditnehmer ***,

Haftungsbetrag: ***“

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Vorbringen des Beschwerdeführers in seiner Beschwerde und den Beilagen dazu. Der genaue Wortlaut (und damit der Umfang) des Auskunftsbegehrens ergibt sich aus diesem Begehren selbst, welches allerdings erst mit Schreiben vom 2. November 2007 vorgelegt wurde.

Im Verfahren vor der Datenschutzkommission ergänzte der Beschwerdegegner mit Schreiben vom 8. Oktober 2007 seine Auskunft an die Beschwerdeführerin dergestalt, als die Adresse der H*** Bank GmbH mit *** angegeben wird.

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem auch der Datenschutzkommission übermittelten Schreiben des Beschwerdegegners an die Beschwerdeführerin vom 8. Oktober 2007 selbst. Dies wurde im Parteiengehör von der Beschwerdeführerin zur Kenntnis genommen.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.

§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Gemäß § 26 Abs. 1. DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

Gemäß Abs. 4 leg. cit. ist die Auskunft innerhalb von acht Wochen nach Einlangen des Begehrens zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird.

2. rechtliche Schlussfolgerungen

Soweit sich die Beschwerdeführerin in ihrem Recht auf Auskunft betreffend Adressangaben der „Kreditgeber“ verletzt erachtet, so ist ihr zu entgegnen, dass diese nur insoweit dem Auskunftsrecht unterliegen, als diese einerseits gespeichert sind und andererseits mit dem Beschwerdeführer in Verbindung stehen. Da die Auskunft betreffend der diese Voraussetzungen erfüllenden Adressangaben mit Schreiben vom 8. Oktober 2007 dementsprechend ergänzt wurde und die Beschwerdeführerin diese Auskunft auch „zur Kenntnis“ genommen hat, dagegen also keine weiteren Einwände vorgebracht hat, war die Beschwerde diesbezüglich abzuweisen. Nach ständiger Rechtsprechung der Datenschutzkommission wird der Auskunftsanspruch eines Betroffenen nämlich auch dann erfüllt, wenn die Auskunft nach Ablauf der achtwöchigen Frist des § 26 Abs. 4 DSG 2000 erteilt wird. Die Nichteinhaltung der achtwöchigen Frist stellt zwar eine Verletzung im Recht auf Auskunft dar, die aber durch Nachholung der Auskunftserteilung bis zum Ende des Verfahrens vor der Datenschutzkommission sanierbar ist (zB Bescheid vom 7. Juni 2005, GZ K120.912/0008-DSK/2005; zur äquivalenten Frist beim Recht auf Löschung nach § 27 Abs. 4 DSG 2000 hat dies auch der Verwaltungsgerichtshof in seinem Erkenntnis vom 28. März 2006, Zl. 2004/06/0125, Rechtsinformationssystem des Bundes – RIS unter http://www.ris.bka.gv.at/vwgh/, allerdings unter dem falschen Datum 27. März 2006 bereits bestätigt).

Wenn die Beschwerdeführerin weiters bemängelt, es würden Auskünfte über Datenübermittlungen fehlen bzw. aus der Auskunft aus der [Datenanwendung 1] sei nicht erkennbar, welche Einrichtungen die Daten tatsächlich abgerufen hätten, so übersieht sie, dass jener Teil der Auskunft des Beschwerdegegners, der sich auf die [Datenanwendung 1] bezieht, die jeweiligen Abfrager (= Übermittlungsempfänger) der Daten aus der [Datenanwendung 1] enthält. Inwieweit diese Angaben unvollständig sein sollen, hat die Beschwerdeführerin nicht angegeben. Die Beschwerde war daher auch hinsichtlich der Behauptung der fehlenden Übermittlungsempfänger abzuweisen.

Wenn die Beschwerdeführerin weiters unter Vorlage des Auskunftsersuchens erstmalig im Parteiengehör am 2. November 2007 die Bekanntgabe von etwaigen Geschäftszahlen von Bescheiden der Datenschutzkommission zu Informationsverbundsystemen, an denen der Beschwerdegegner beteiligt sei, sowie von Bescheiden zu Genehmigungen von internationalem Datenverkehr verlangt, so übersieht sie, dass das DSG 2000 einen solchen Anspruch nicht vorsieht.

Im Übrigen sieht § 24 Abs. 2 DSG 2000 zwar eine Informationspflicht betreffend Auftraggeber und Zweck einer Datenanwendung vor, allerdings nur insofern diese Informationen dem Betroffenen nach den Umständen des Falles nicht bereits vorliegen . Da Auftraggeber der beauskunfteten Datenanwendungen der Beschwerdegegner ist (sonst wäre er ja nicht auskunftspflichtig) und sich deren Zweck aus dem Inhalt der Website des Beschwerdegegners (http://***) ergibt, sind diese Voraussetzungen erfüllt und die Beschwerdeführerin in Rechten des DSG 2000 nicht verletzt.

Schließlich behauptet die Beschwerdeführerin, die Auskunft würde nicht enthalten, zu welchem Zweck die Datenanwendung betrieben werde, aufgrund welcher Vertrags- und Rechtsgrundlage die Daten verwendet werden und welche Dienstleister herangezogen würden. Mit diesem Vorbringen ist sie im Recht, weshalb insoweit spruchgemäß die Auskunft aufzutragen war. Der Beschwerdegegner hat im Verfahren vor der Datenschutzkommission die Auskunft auch nicht in entsprechender Weise ergänzt. Angesichts der Aktualität der nachzuholenden Auskunft war eine Frist von zwei Wochen angemessen.

Es war somit spruchgemäß zu entscheiden.