K121.364/0008-DSK/2008 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. SOUHRADA-KIRCHMAYER, Dr. BLAHA, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER und Dr. STAUDIGL sowie der Schriftführerin Mag. FRITZ in ihrer Sitzung vom 25. April 2008 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Hermann T*** (Beschwerdeführer) in Linz, vertreten durch den Verein IG** Datenschutz – österreichische Datenschutzorganisation in B***, vom 29. Oktober 2007 (Erweiterung des Vorbringens in der Beschwerdesache Zl. K121.326 der Datenschutzkommission) gegen den 1.*** Gläubigerschutzverband (Beschwerdegegner) in B*** wegen Verletzung im Recht auf Auskunft in Folge mangelhafter Auskunftserteilung über Dienstleister in Beantwortung des Auskunftsbegehrens vom 24. Mai 2007 wird gemäß den §§ 26 Abs. 1 und 4, 30 Abs. 1 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF entschieden:

B e g r ü n d u n g:

A. Vorbringen der Parteien

In seiner Beschwerde vom 13. August 2007 brachte der Beschwerdeführer vor, er fühle sich in seinem Recht auf vollständige Auskunft gemäß § 26 DSG 2000 dadurch verletzt, dass er auf sein Auskunftsbegehren bloß eine „beiliegende unzureichende Auskunft“ erhalten habe. Es würden Angaben, etwa Scoringwerte, sonstige Bewertungen oder ergänzende Angaben (Insolvenzdaten) fehlen, aus denen erkennbar sei, dass ein Konkurs über Euro 0 für die Empfänger der Daten eine Aussage zur Kreditwürdigkeit darstelle. Weiters würden Auskünfte über Datenübermittlungen fehlen. Der Beschwerde war eine Auskunft des Beschwerdegegners vom 26. Juni 2007 über Daten des Beschwerdeführers – darunter auch Angaben über ein ihn betreffendes Konkursverfahren mit einem ausgewiesenen Betrag von Euro 0 aus der Lieferungs- und Leistungs-Kreditevidenz (LLKE) – angeschlossen.

Diese Beschwerde wurde zunächst unter der Zl. K121.326 durch die Datenschutzkommission bearbeitet.

In der mündlichen Verhandlung vom 26. September 2007 führte der Beschwerdegegner ergänzend aus, das System der Datenanwendung LLKE sei so programmiert, dass bei einer erstellten Auskunft automatisch die Datenempfänger der letzten drei Jahre ausgedruckt werden. Da im vorliegenden Fall keine Datenanwendungen aufscheinen, bedeute dies, dass in den letzten drei Jahren keine Übermittlungen der Beschwerdeführerdaten vorgenommen worden seien. Bei der LLKE handle es sich um eine aktuelle moderne Datenbank auf Basis der Firma Q***-EDV. Sie enthalte Inhaltsdaten und registriere auch sämtliche Anfragedaten (folglich: wer, wann über wen Daten abgefragt habe und ob Inhaltsdaten übermittelt worden seien; Treffer Ja/Nein). Nach drei Jahren würden die Daten überschrieben bzw. seien diese nicht mehr verfügbar. Im Übrigen vertrete die Beschwerdegegnerin die Ansicht, die gegenständliche Beschwerde beziehe sich ausschließlich auf die LLKE. EDV-technisch seien die Anlagen für Zwecke der LLKE „outgesourct“.

Der Beschwerdeführer brachte anlässlich der mündlichen Verhandlung vor, die gegenständliche Beschwerde beschränke sich – so wie das eigentliche Auskunftsbegehren nicht auf die LLKE. Er habe – damals noch unvertreten – ein allgemein gehaltenes Auskunftsbegehren an den Beschwerdegegner gestellt. Es handle sich dabei um ein Muster seiner nunmehrigen Vertreterin. Das konkrete Auskunftsbegehren könne von ihm aber nicht mehr vorgelegt werden.

In dem – der Datenschutzkommission vorgelegten – Schreiben vom 18. Oktober 2007 erteilte der Beschwerdegegner dem Beschwerdeführer Auskunft darüber, dass er keine Dienstleister beauftragt habe, Daten des Beschwerdeführers aus der LLKE zu verarbeiten. „Um jedoch dieses Verfahren abzukürzen“, erteilte der Beschwerdegegner dem Beschwerdeführer Auskunft über die (im Schreiben konkret angeführten) Namen aller Unternehmen, die mit Dienstleistungsaufgaben für alle Datenbanken des Beschwerdegegners betraut seien.

In seiner Stellungnahme vom 29. Oktober 2007 bestätigte der Beschwerdeführer den Umfang des Auskunftsschreibens des Beschwerdegegners vom 26. Juni 2007 auch in Bezug auf die 1.*** GSV Wirtschaftsevidenz. Gleichzeitig gab er bekannt, dass er seine Beschwerde in Bezug auf die Insolvenzdaten nicht weiter aufrecht erhalte. Die Beschwerde wegen „unvollständiger Auskunft“ werde jedoch weiter aufrecht erhalten, da insbesondere die Auskunft über die Empfänger der Daten unklar und unzureichend sei. Aus dem Schreiben des Beschwerdegegners gehe nur hervor, dass Daten aus der LLKE in den letzten drei Jahren nicht weitergegeben worden seien, daraus sei aber nicht ersichtlich, ob Daten „zu früheren Weitergaben verfügbar“ seien und dementsprechend zu beauskunften wären. Weiters sei auch nicht erkennbar, ob Daten aus den anderen Evidenzen des Beschwerdegegners (V-KE und Wirtschaftsevidenz) weitergegeben worden seien. Schließlich seien auch die Auskünfte zu den Dienstleistern nicht nachvollziehbar. Er brachte dazu vor, auch Leistungen wie „die Bereitstellung von Datensätzen oder Websites mit Namen des Betroffenen“, die Übertragung dieser Daten, die Archivierung und Aufbereitung solcher Daten fielen unter den Dienstleisterbegriff des DSG 2000, der ein umfassender sei. Er verwies dazu auf fünf firmenmäßig bezeichnete Unternehmen, die er als „Einrichtungen des Antragsgegners“ (gemeint ist der Beschwerdegegner) bezeichnete und brachte vor, diese könnten unter den Dienstleisterbegriff fallen. Er stellte den Antrag, dem Beschwerdegegner aufzutragen, zu allen seinen Einrichtungen und Teilorganisationen bekannt zu geben, „ob sie Dienstleister bezüglich der Daten des Antragstellers sind oder ihnen Daten des Antragstellers übermittelt wurden und zu welchem Zweck diese Übermittlung stattfand.“

Das Vorbringen des Beschwerdeführers im Hinblick auf die Dienstleister, eine Frage, die in der ursprünglichen Beschwerde noch nicht angeschnitten und in der mündlichen Verhandlung am 26. September 2007 erstmals kurz erörtert worden ist – dies auf ein Vorbringen des Beschwerdegegners hin -, wurde als neue Verwaltungssache mit neuer Zl. K121.364 protokolliert und wird nunmehr getrennt von der ursprünglichen Beschwerde erledigt.

Der Beschwerdegegner bestritt auch das erweiterte Beschwerdebegehren, brachte mit Stellungnahme vom 5. Februar 2008 vor, der Dienstleisterbegriff des DSG 2000 sei restriktiv auszulegen und auf jene Dienstleister beschränkt, die mit der Herstellung eines Werkes befasst seien. Er beantragte, die Beschwerde als unbegründet abzuweisen, in eventu einen Feststellungsbescheid zu erlassen, in dem über die geforderten Qualifikationen eines Dienstleisters abgesprochen wird, sowie weitere Eventualanträge zu weiteren Ermittlungsschritten.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner dem Beschwerdeführer mit dem Auskunftsschreiben vom 26. Juni 2007 sowie der ergänzenden Auskunft vom 18. Oktober 2007 gesetzmäßig Auskunft über Namen und Adressen von Dienstleistern, die mit dem Verarbeiten von Daten beauftragt sind, erteilt hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Der Beschwerdeführer richtete am 24. Mai 2007 ein Auskunftsbegehren an den Beschwerdegegner, worin er gestützt auf § 26 „und alle anwendbaren Bestimmungen des DSG 2000“ u.a. Auskunft zu den zur Person des Beschwerdeführers verarbeiten Daten verlangte, insbesondere welche Daten über ihn gespeichert werden und an wen diese Daten übermittelt wurden. Weiters wurde auch Auskunft über allfällige Dienstleister verlangt.

Der Beschwerdegegner beantwortete dieses Auskunftsbegehren mit Schreiben vom 26. Juni 2007. Darin wurde dem Beschwerdeführer Auskunft über die zu seiner Person verarbeiteten Daten in der V-KE, in der WL (welche keine Eintragungen in Bezug auf den Beschwerdeführer enthalte), in der LLKE und in der 1.*** GSV Wirtschaftsevidenz erteilt. Angaben dazu, ob die Daten des Beschwerdeführers an Dritte übermittelt wurden oder nicht, finden sich darin nicht. Auch wird darin keine Auskunft über allfällige Dienstleister bei Verarbeitung dieser Daten erteilt.

Mit Schreiben vom 18. Oktober 2007 im Verlauf des zu Zl. K121.326 geführten Beschwerdeverfahrens der Datenschutzkommission, in der am 26. September 2007 eine mündliche Verhandlung in Anwesenheit beider Parteien durchgeführt wurde, in der die Beschwerdegegner vorgebracht hatte, die für die LLKE verwendeten EDV-Anlagen seien „outgesourct“, erteilte der Beschwerdegegner dem Beschwerdeführer Auskunft darüber, dass zwar nach seiner Rechtsauffassung keine Dienstleister beauftragt seien, Daten des Beschwerdeführers aus der LLKE zu verarbeiten;

gleichzeitig wurden dem Beschwerdeführer aber auch folgende Unternehmen, die „mit Outsourcingaufgaben im weitesten Sinne für alle Datenbanken“ des Beschwerdegegners betraut seien, bekannt gegeben:

Es konnte nicht festgestellt werden, dass der Beschwerdegegner außer den drei genannten und beauskunfteten Unternehmen weitere Dienstleister bei der Datenverarbeitung beschäftigt.

Beweiswürdigung : Diese Feststellungen beruhen im Wesentlichen auf dem Vorbringen der Parteien, insbesondere den zitierten Urkunden (Auskunftsschreiben) und den in der mündlichen Verhandlung vom 26. September 2007 getätigten Aussagen des Beschwerdeführervertreters sowie der Prozessbevollmächtigten des Beschwerdegegners, Dr. Peter Hans E*** und Rudolf H***, sämtliche enthalten in den Akten der Datenschutzkommission zu Zl. K121.326 und K121.364.

In Bezug auf die Heranziehung von Dienstleistern hat die Datenschutzkommission die fünf im Schreiben vom 29. Oktober 2007 vom Beschwerdeführer bezeichneten Unternehmen an Hand des Firmenbuchs und des Zentralen Gewerberegisters gesucht und sechs Firmen näher überprüft. Bei keinem dieser Unternehmen konnte ein aktuelles Naheverhältnis zum Beschwerdegegner (etwa eine direkte Beteiligung) festgestellt werden, die die vom Beschwerdeführer aufgestellte Behauptung, es handle sich um „Einrichtungen des Antragsgegners“, bestätigen würde. Das Unternehmen einer der Firmen, der ****KREDIT Datenverarbeitungs Ges.m.b.H. war im Zuge einer Umwandlung auf den Beschwerdegegner direkt übertragen, die Firma (zeitweilig „1.*** GSV Datenverarbeitung Ges.m.b.H.“) gelöscht worden. Eine der genannten Firmen konnte überhaupt nicht identifiziert werden, zwei waren bereits gelöscht (vgl. die Erledigung beidseitiges Parteiengehör der DSK vom 18. Februar 2008, GZ: K121.364/0004-DSK/2008 und die dort einliegenden Firmenbuchauszüge).

D. In rechtlicher Hinsicht folgt daraus :

1. anzuwendende Rechtsvorschriften

§ 26 Abs.1 bis 4 DSG 2000 lautet unter der Überschrift „Auskunftsrecht“:

„ § 26 . (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen. Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit

(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“

2. rechtliche Schlussfolgerungen

Der Beschwerdeführer macht in seiner Beschwerde geltend, der Beschwerdegegner habe ihm keine Dienstleister bei der Verarbeitung seiner personenbezogenen Daten genannt.

Die Frage der Übermittlung personenbezogener Daten durch den Beschwerdegegner gehörte bereits zum Gegenstand des mit Bescheid vom 18. Jänner 2008, GZ: K121.326/0002-DSK/2008, von der Datenschutzkommission erledigten Anbringens.

Das Ermittlungsverfahren hat nichts ergeben, was darauf hindeutet, dass die ergänzte Auskunft des Beschwerdegegners vom 18. Oktober 2007 hinsichtlich der Dienstleister unvollständig ist. Der Beschwerdegegner hat drei Unternehmen samt deren Adressen genannt. Das weitere Ermittlungsverfahren zum Vorbringen des Beschwerdeführers hat nichts ergeben, was seine Behauptungen bestätigt hätte, ganz abgesehen davon, dass auch eine Beteiligung des Beschwerdegegners an einem der bezeichneten Unternehmen keinen Beweis dafür erbracht hätte, dass in Bezug auf die Daten des Beschwerdeführers gleichsam automatisch und zwingend ein Auftraggeber-Dienstleister-Verhältnis vorliegt.

Die Beschwerde nach § 31 DSG 2000 setzt voraus, dass die Partei einen Beschwerdesachverhalt eingrenzen und entsprechende Behauptungen aufstellen kann, welche von der Datenschutzkommission anschließend auf ihren sachlichen Wahrheitsgehalt und ihre rechtliche Stichhaltigkeit zu überprüfen sind (Bescheid der Datenschutzkommission vom 26. Februar 2002, GZ: K120.783/004-DSK/2002, RIS). Jene Behauptungen, die der Beschwerdeführer gemacht hat, wurden überprüft und konnten sachlich nicht bestätigt werden.

Die Beschwerde war jedoch insoweit bis zum 18. Oktober 2007 berechtigt, als der Beschwerdegegner auf Grund einer unrichtigen Auslegung des Gesetzes anscheinend jedenfalls vor der mündlichen Verhandlung davon ausgegangen ist, dass der Dienstleisterbegriff des § 4 Z 5 DSG 2000 auf Vertragspartner in Werkvertragsbeziehungen im engeren Sinne des bürgerlichen Rechts beschränkt ist. Dem ist aber nicht so, und es fallen auch typische EDV-Dienstleistungen wie das Hosting von Websites (vgl. dazu die ausführlichen Erwägungen im Bescheid der Datenschutzkommission vom 14. November 2003, GZ: K120.819/006-DSK/2003, RIS) und auch von Datenbanken unter den Dienstleistungsbegriff des DSG 2000, der den gleichen Umfang wie jener der Tätigkeiten des „Auftragsverarbeiters“ gemäß Art 2 lit e der Richtlinie 95/46/EG hat.

Nach ständiger Rechtsprechung der Datenschutzkommission wird der Auskunftsanspruch eines Betroffenen auch dann erfüllt, wenn die Auskunft nach Ablauf der achtwöchigen Frist des § 26 Abs. 4 DSG 2000 erteilt wird.

Die Nichteinhaltung der achtwöchigen Frist stellt zwar eine Verletzung im Recht auf Auskunft dar, die aber durch Nachholung der Auskunftserteilung bis zum Ende des Verfahrens vor der Datenschutzkommission sanierbar ist (z.B. Bescheid vom 7. Juni 2005, GZ: K120.912/0008- DSK/2005, RIS; zur äquivalenten Frist beim Recht auf Löschung nach § 27 Abs. 4 DSG 2000 hat dies auch der Verwaltungsgerichtshof in seinem Erkenntnis vom 27. März (recte: 28. März) 2006, Zl. 2004/06/0125, RIS, bereits bestätigt).

Die Beschwerde war daher insoweit als unbegründet abzuweisen.

Der vom Beschwerdeführer am 29. Oktober 2007 gestellte (Beweis )Antrag erweist sich hingegen als unzulässig. Zum einen würde eine Erfüllung dieses Anbringens auf einen Erkundungsbeweis, nämlich Ermittlungsschritte, die Gründe für die Annahme eines zuvor nicht substantiierten Fehlverhaltens des Beschwerdegegners aufdecken sollen, hinauslaufen. Ein solcher Beweis ist, wie die Datenschutzkommission bereits in ihrer Spruchpraxis unter Hinweis auf VwGH-Judikatur festgehalten hat, unzulässig (Bescheid vom 23. November 2001, GZ: K120.726/015-DSK/2001, RIS). Zum anderen gibt es weder ein subjektives Recht einer Partei des datenschutzrechtlichen Beschwerdeverfahrens auf bestimmte Ermittlungsschritte, noch eine gesetzlich festgelegte Pflicht der belangten Partei eines Beschwerdeverfahrens, ihre eigenen Behauptungen während des Verfahrens, deren Wahrheitsgehalt gerade Gegenstand des Verfahrens ist, auf Grund eines förmlichen „Beweisauftrags“ der Datenschutzkommission zu bestätigen oder zu widerlegen. Auch aus der allgemeinen Kooperationspflicht des datenschutzrechtlichen Auftraggebers gemäß § 30 Abs. 1 zweiter Satz DSG 2000, die sich auf die Ermöglichung von (Sach-) Beweisaufnahmen bezieht, kann eine solche Pflicht nicht abgeleitet werden.

Im Übrigen ist der Antrag auch durch die Rechtskraft des Bescheids der Datenschutzkommission vom 18. Jänner 2008, GZ: K121.326/0002-DSK/2008, in der Frage der Übermittlungen bereits erledigt bzw. würde ein neuerlicher Abspruch in dieser Frage in die Rechtskraft jenes Bescheids eingreifen.

Der Antrag war daher als unzulässig zurückzuweisen.