K121.367/0009-DSK/2008 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. SOUHRADA-KIRCHMAYER, Dr. BLAHA, Mag. MAITZ-STRASSNIG, Mag. HEILEGGER und Dr. HEISSENBERGER sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 11. Juli 2008 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des P*** D*** (Beschwerdeführer) vom 25. Jänner 2008 gegen den K*** (Beschwerdegegner), wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 1 Abs. 3 Z 1, 26 Abs 1, Abs. 4 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, wie folgt entschieden:

B e g r ü n d u n g:

A. Vorbringen der Parteien und Verfahrensgang

In seiner Beschwerde vom 25. Jänner 2008 behauptet der Beschwerdeführer eine Verletzung in seinem Recht auf Auskunft durch den Beschwerdegegner. Er habe den Beschwerdegegner mit Schreiben vom 4. September 2007 um Auskunft ersucht. Nach Urgenz habe ihm der Beschwerdegegner mit Schreiben vom 8. Oktober 2007 nur eine unvollständige Auskunft erteilt. Obwohl ausdrücklich begehrt, enthalte diese Auskunft nämlich keine Angaben zur Herkunft der Daten und keine Angaben über Dienstleister. Der Beschwerdeführer legte seiner Beschwerde das Auskunftsbegehren vom 4. September 2007, zwei Schreiben vom 5. Oktober 2007 und vom 19. Oktober 2007 und das Auskunftsschreiben des Beschwerdegegners vom 8. Oktober 2007 bei.

Über Aufforderung der Datenschutzkommission erteilte der Beschwerdegegner dem Beschwerdeführer mit Schreiben vom 8. Februar 2008 eine ergänzende Auskunft.

Dazu wurde dem Beschwerdeführer Parteiengehör gewährt.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner dem Beschwerdeführer auf sein Begehren vom 4. September 2007 in Bezug auf die Herkunft seiner Daten und in Bezug auf die mit der Verarbeitung seiner Daten betrauten Dienstleister gesetzmäßig Auskunft erteilt hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Der anwaltlich vertretene Beschwerdeführer richtete am 4. September 2007 folgendes auszugsweise wiedergegebenes Auskunftsbegehren an den Beschwerdegegner:

„....

Im Rahmen einer Auskunftserteilung der E*** GmbH wurde meinem Mandanten bekannt, dass Sie über ihn beiliegende „Zahlungserfahrungsdaten“ speichern.

Diese Daten sind unrichtig; es liegt kein Exekutionstitel gegen meinen Mandanten vor. Auch liegt keine Verbindlichkeit meines Mandanten gegenüber „W***“ vor.

Ich fordere Sie daher auf, unverzüglich diese unrichtigen Daten zu löschen und deren Herkunft anzugeben.

Weiters lade ich Sie ein, gemäß § 26 DSG Auskunft über sämtliche zur Person meines Mandanten verarbeiteten Daten zu geben, dies insbesondere auch einschließlich Namen und Adressen von Dienstleistern, welche allenfalls mit der Verarbeitung der Daten meines Mandanten beauftragt sind. …“

Mit Schreiben vom 5. Oktober 2007 urgierte der anwaltlich vertretene Beschwerdeführer sein Auskunftsbegehren beim Beschwerdegegner.

Daraufhin erteilte der Beschwerdegegner dem Beschwerdeführer mit Schreiben vom 8. Oktober 2007 folgende auszugsweise wiedergegebene Auskunft:

„...

Betrifft: Auskunft ...[Beschwerdeführer]

....

Sie beziehen sich auf ein Auskunftsansuchen vom 4.09.2007.

Dieses Schreiben habe ich nie erhalten.

Weiters schreiben sie, dass gegen ihren Mandanten kein Exekutionstitel vorliegt. Diese Angabe ist falsch. Tatsächlich liegt zumindest ein Exekutionstitel vor.

BG S***

*E ***/0*D

12.01.1907

Bertr. Partei: W***

....“

Mit Schreiben vom 19. Oktober 2007 teilte der anwaltlich vertretene Beschwerdeführer dem Beschwerdegegner mit, dass „die Herkunftsangabe sowie die Auskunft gemäß § 26 DSG bisher ausstehen“ würden.

Über Aufforderung der Datenschutzkommission erteilte der Beschwerdegegner mit Schreiben vom 8. Februar 2008 dem Beschwerdeführer ergänzend mit, dass „Quelle“ der Daten W*** sei.

Beweiswürdigung: : Diese Feststellungen beruhen auf den vom Beschwerdeführer vorgelegten Schreiben vom 4. September 2007 (Auskunftsbegehren des Beschwerdeführers), vom 5. Oktober 2007 (Urgenzschreiben), vom 8. Oktober 2007 (Auskunftsschreiben des Beschwerdegegners), vom 19. Oktober 2007 sowie auf dem vom Beschwerdegegner vorgelegten Schreiben vom 8. Februar 2008. Der Beschwerdeführer hat sich zum Schreiben des Beschwerdeführers vom 8. Februar 2008 nicht geäußert.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die hier wesentlichen Bestimmungen des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999 idF BGBl. I Nr. 13/2005 (DSG 2000) lauten auszugsweise:

„ § 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

...

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

…

§ 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen. Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit

(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

...

(6) Die Auskunft ist unentgeltlich zu erteilen, wenn sie den aktuellen Datenbestand einer Datenanwendung betrifft und wenn der Betroffene im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber zum selben Aufgabengebiet gestellt hat. In allen anderen Fällen kann ein pauschalierter Kostenersatz von 18,89 Euro verlangt werden, von dem wegen tatsächlich erwachsender höherer Kosten abgewichen werden darf. Ein etwa geleisteter Kostenersatz ist ungeachtet allfälliger Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

(7) Ab dem Zeitpunkt der Kenntnis von einem Auskunftsverlangen darf der Auftraggeber Daten über den Betroffenen innerhalb eines Zeitraums von vier Monaten und im Falle der Erhebung einer Beschwerde gemäß § 31 an die Datenschutzkommission bis zum rechtskräftigen Abschluß des Verfahrens nicht vernichten.

...“

2. rechtliche Schlussfolgerungen:

Der Beschwerdeführer bringt in seiner Beschwerde vor, der Beschwerdegegner habe seinem Auskunftsbegehren vom 4. September 2007 mit Schreiben vom 8. Oktober 2007 nicht vollständig entsprochen, weil sowohl Angaben über die Herkunft der zu seiner Person verarbeiteten Daten als auch über Name und Adresse von Dienstleistern, welche allenfalls mit der Verarbeitung der Daten beauftragt sind, fehlen würden.

Der Beschwerdegegner hat dem Beschwerdeführer daraufhin, folglich nach Beschwerdeerhebung, mit Schreiben vom 8. Februar 2008 eine ergänzende Auskunft erteilt. Dass ein datenschutzrechtlicher Auftraggeber eine ursprünglich nicht (vollständig) erbrachte Auskunft durch spätere Auskunft „sanieren“ kann, ist von der Datenschutzkommission in ständiger Spruchpraxis anerkannt: „Die Nichteinhaltung der achtwöchigen Frist stellt nach ständiger Rechtsprechung der Datenschutzkommission zwar eine Verletzung im Recht auf Auskunft dar, die aber durch Nachholung der Auskunftserteilung bis zum Ende des Verfahrens vor der Datenschutzkommission sanierbar ist“ (vgl. u. a. den Bescheid der Datenschutzkommission vom 11. Oktober 2006, GZ: K121.214/0006- DSK/2006). Entscheidend ist also, ob dem Betroffenen, Auskunftswerber und Beschwerdeführer noch vor einer bescheidmäßigen Erledigung seines Anbringens durch die Datenschutzkommission gesetzmäßig auf sein Auskunftsbegehren geantwortet worden ist.

Dazu ist auszuführen, dass der Beschwerdegegner dem Beschwerdeführer mit Schreiben vom 8. Februar 2008 als Herkunft („Quelle“) seiner Daten W*** genannt hat. Gründe, die die Richtigkeit und Vollständigkeit dieser Auskunft in Zweifel ziehen könnten, sind für die Datenschutzkommission weder erkennbar, noch wurden solche vom Beschwerdeführer behauptet. Die Beschwerde erweist sich damit im relevanten Zeitpunkt in diesem Punkt als nicht mehr berechtigt.

In Bezug auf die behauptete Unvollständigkeit der Auskunft hinsichtlich der Bekanntgabe von mit der Verarbeitung seiner Daten betrauten Dienstleistern kommt der Beschwerde hingegen Berechtigung zu, weil der Beschwerdegegner dazu weder im Auskunftsschreiben vom 8. Oktober 2007, noch in jenem vom 8. Februar 2008 Angaben gemacht hat. Der Beschwerdeführer hat eine solche Auskunft aber ausdrücklich begehrt. Dadurch, dass der Beschwerdegegner dem Beschwerdeführer somit in Bezug auf die Bekanntgabe von mit der Verarbeitung seiner Daten allfällig betrauten Dienstleistern keine Auskunft erteilt hat bzw. schriftlich nicht begründet hat, warum sie nicht oder nicht vollständig erteilt wird, hat er den Beschwerdeführer in seinem Recht auf Auskunft verletzt.

Es war daher spruchgemäß ein vollstreckbarer Leistungsauftrag unter Setzung einer angemessenen Frist (§ 59 Abs. 2 AVG) zu erlassen.