K121.443/0003-DSK/2009 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Mag. HEILEGGER, Mag. HUTTERER, Dr. KOTSCHY, Mag. MAITZ-STRASSNIG und Dr. HEISSENBERGER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 25. Februar 2009 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde der CX*** GmbH (Beschwerdeführerin) vom 5. Oktober 2008 gegen die BZ GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird wie folgt entschieden:

Rechtsgrundlagen: §§ 1 Abs. 3 Z 1, 26 Abs. 1 und 31 Abs. 1 des Datenschutzgesetzes 2000 – DSG 2000

B e g r ü n d u n g:

A. Vorbringen der Parteien

Mit Schreiben vom 5. Oktober 2008 erhob die vom Geschäftsführer Anton K*** vertretene Beschwerdeführerin folgende auszugsweise wiedergegebene Beschwerde an die Datenschutzkommission wegen einer behaupteten Verletzung in ihrem Recht auf Auskunft:

„CX*** GmbH.

Bedarfsunternehmen Helicopterflugschule

…..

Am 12. Juli 2008 stellte ich als GF der CX*** GmbH an die BZ*** GmbH ein auf § 1 Abs 3 und § 26 DSG 2000 gestütztes Auskunftsersuchen, über alle von der BZ*** GmbH ermittelten, verarbeiteten und weitergeleiteten personenbezogenen Daten zur CX*** GmbH.

…. Es ergeht der

Antrag

die Datenschutzkommission möge der BZ*** GmbH bei sonstiger Exekution bescheidmäßig auftragen, sie möge die begehrte Datenschutzauskunft im vollen Umfang gewähren.

…

Anton K***“

Mit ihrem ihrer Stellungnahme vom 27. Oktober 2008 in Kopie beigelegten Schreiben vom 27. Oktober 2008 erteilte die Beschwerdegegnerin der Beschwerdeführerin eine näher konkretisierte Auskunft.

Mit – im Briefkopf die Firma „CX*** – Anton K***“ ausweisender – Stellungnahme vom 20. November 2008 bemängelte der Geschäftsführer der Beschwerdeführerin die Vollständigkeit der erteilten Auskunft, weil sie näher dargestellte Daten der „CX*** – Anton K***“ nicht enthalte. Unter einem legte er Unterlagen, die diese Unvollständigkeit aufzeigen sollen, vor.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin der Beschwerdeführerin auf ihr Begehren vom 12. Juli 2008 eine dem Gesetz entsprechende Auskunft über ihre personenbezogenen Daten erteilt hat.

C. Sachverhaltsfeststellungen

Folgender Sachverhalt wird festgestellt:

Die Beschwerdeführerin ist laut Firmenbuchauszug vom 10. Dezember 2008 zur Firmenbuchnummer ***000*** im Firmenbuch eingetragen. Selbständig vertretungsbefugter Geschäftsführer ist Anton K***.

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem von der Datenschutzkommission eingeholten Firmenbuchauszug vom 10. Dezember 2008.

Mit Schreiben vom 12. Juli 2008 begehrte Anton K*** für die Beschwerdeführerin von der Beschwerdegegnerin folgende auszugsweise wiedergegebene Auskunft:

„CX*** GmbH.

Bedarfsflugunternehmen Helicopterflugschule

….

Es ergeht daher der Antrag auf Auskunft über alle von der BZ*** GmbH und der ihr nachgeordneten Dienststellen und Abteilungen ermittelten, verarbeiteten und weitergeleiteten personenbezogenen Daten zur CX*** GmbH.

Die Auskunft hat insbesondere zu enthalten:

Anton K***“

Beweiswürdigung: Diese Feststellungen beruhen auf dem vom Beschwerdeführer vorgelegten Schreiben vom 12. Juli 2008.

Mit Schreiben vom 27. Oktober 2008 erteilte die Beschwerdegegnerin der Beschwerdeführerin eine näher konkretisierte Auskunft über die zu ihrer Person verarbeiteten Daten, über deren Herkunft, über deren Empfänger sowie über den Zweck und die Rechtsgrundlage der Verarbeitung.

Beweiswürdigung: Diese Feststellung beruht auf dem von der Beschwerdegegnerin in Kopie vorgelegten Auskunftsschreiben vom 27. Oktober 2008.

C. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die hier wesentlichen Bestimmungen des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idgF (DSG 2000), lauten auszugsweise:

„§ 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

……

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

…..“

2. rechtliche Schlussfolgerungen

Die Beschwerdeführerin hat mit Schreiben vom 12. Juli 2008 von der Beschwerdegegnerin gemäß § 26 DSG 2000 Auskunft über die zu ihrer Person verarbeiteten Daten, über deren Herkunft, über deren Empfänger sowie über den Zweck und die Rechtsgrundlage der Verarbeitung begehrt.

In der vorliegenden Beschwerdesache hat die Beschwerdegegnerin der Beschwerdeführerin nach Beschwerdeerhebung, aber noch vor Bescheiderlassung Auskunft über die zu ihrer Person verarbeiteten Daten, über deren Herkunft, über deren Empfänger sowie über den Zweck und die Rechtsgrundlage der Verarbeitung erteilt. Dass ein datenschutzrechtlicher Auftraggeber eine ursprünglich nicht erbrachte Auskunft durch spätere Auskunft „sanieren“ kann, ist von der Datenschutzkommission in ständiger Spruchpraxis anerkannt: „Die Nichteinhaltung der achtwöchigen Frist stellt nach ständiger Rechtsprechung der Datenschutzkommission zwar eine Verletzung im Recht auf Auskunft dar, die aber durch Nachholung der Auskunftserteilung bis zum Ende des Verfahrens vor der Datenschutzkommission sanierbar ist“ (vgl. u.a. den Bescheid der Datenschutzkommission vom 11. Oktober 2006, GZ: K121.214/0006- DSK/2006). Entscheidend ist also, ob dem Beschwerdeführer als Betroffenem und Auskunftswerber noch vor einer bescheidmäßigen Erledigung seines Anbringens durch die Datenschutzkommission vollständig und richtig auf sein Auskunftsbegehren geantwortet wurde.

Der vertretungsbefugte Geschäftsführer der Beschwerdeführerin, Anton K***, behauptet nun in seiner Eingabe vom 20. November 2008, die Auskunft sei unvollständig, weil näher dargestellte Daten der „CX*** - Anton K***“ darin nicht genannt werden.

Mit diesem Vorbringen übersieht er aber, dass Gegenstand dieses Verfahrens ausschließlich eine behauptete Verletzung im Recht auf Auskunft der „CX*** GmbH“ ist. Jedenfalls kann der Beschwerde angesichts ihrer äußeren Form (Nennung der Beschwerdeführerin im Kopf) und ihrem Inhalt („… stellte ich als GF der … [Beschwerdeführerin] an die … [Beschwerdegegnerin] ein … Auskunftsersuchen über … Daten zur .. [Beschwerdeführerin]. .. Es ergeht der Antrag die Datenschutzkommission möge .. die begehrte Datenschutzauskunft .. gewähren.“) nicht entnommen werden, dass Anton K*** auch eine Verletzung im Recht auf Auskunft für die „CX***-Anton K***“ geltend gemacht hat. Dass diese Firma Rechtsvorgängerin der Beschwerdeführerin wäre bzw. die Beschwerdeführerin auch unter dem Namen „CX***-Anton K***“ firmiere und damit deren Daten auch der Beschwerdeführerin zuzuordnen wären, ist im Verfahren nicht hervorgekommen und wurde von der Beschwerdeführerin im Übrigen auch nicht behauptet.

Die Beschwerdeführerin kann zwar – da es sich beim Recht auf Auskunft um ein höchstpersönliches Recht handelt – Auskunft über die zu ihrer Person verarbeiteten Daten verlangen. Das Auskunftsrecht des § 26 DSG 2000 gewährt allerdings kein subjektives Recht auf Auskunft über personenbezogene Daten Dritter (siehe den Bescheid der Datenschutzkommission vom 16. Mai 2008, K121.323/0007-DSK/2008 u.v.m.). Ein subjektives Recht der Beschwerdeführerin auf Auskunft über personenbezogene Daten der „CX***-Anton K***“ ist daher jedenfalls auszuschließen, zumal die Beschwerdeführerin eine solche Auskunft auch gar nicht begehrt hat.

Schließlich kann auch nicht davon ausgegangen werden, dass Anton K*** irrtümlich die „CX***-Anton K***“ an Stelle der Beschwerdeführerin in der Eingabe vom 20. November 2008 genannt hat, weil auch seine vorgelegten – seiner Ansicht nach die Unvollständigkeit der Auskunft aufzeigenden – Unterlagen ausschließlich die Firma „CX***-Anton K***“ betreffen. Gründe, die eine Vollständigkeit und Richtigkeit der erteilten Auskunft an die Beschwerdeführerin in Zweifel ziehen würden, wurden von der Beschwerdeführerin nicht behauptet.

Die Beschwerde erweist sich daher im hier relevanten Zeitpunkt als nicht (mehr) berechtigt, weshalb spruchgemäß zu entscheiden war.