K121.484/0010-DSK/2009 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. STAUDIGL, Mag. ZIMMER, Dr. BLAHA, Dr. KOTSCHY und Dr. ROSENMAYR-KLEMENZ sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 08. Mai 2009 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Reinhard Y*** (Beschwerdeführer) vom 17. Dezember 2008 gegen die C*** GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird wie folgt entschieden:

Rechtsgrundlagen: §§ 1 Abs. 3 Z 1, 26 Abs. 1 und Abs. 4 sowie 31 Abs. 1 des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idgF (DSG 2000).

B e g r ü n d u n g

A. Vorbringen der Parteien und Verfahrensgang

Der Beschwerdeführer behauptet in seiner Beschwerde vom 17. Dezember 2008 eine Verletzung in seinem Recht auf Auskunft. Er habe die Beschwerdegegnerin mit Schreiben vom 5. September 2008 um Auskunft ersucht. Die Beschwerdegegnerin sei diesem Auskunftsbegehren bisher nicht nachgekommen.

Mit Stellungnahme vom 23. März 2009 legte die Beschwerdegegnerin der Datenschutzkommission ein an den Beschwerdeführer gerichtetes Auskunftsschreiben vom 23. März 2009 vor.

Dazu wurde dem Beschwerdeführer Parteiengehör gewährt.

B. Beschwerdegegenstand

Aufgrund des Beschwerdevorbringens ergibt sich, dass Gegenstand der Beschwerde die Frage ist, ob die Beschwerdegegnerin dem Beschwerdeführer auf sein Auskunftsbegehren vom 5. September 2008 eine dem Gesetz entsprechende Auskunft erteilt hat.

C. Sachverhalt

Aufgrund des Vorbringens der Parteien ist von folgendem Sachverhalt auszugehen.

Der Beschwerdeführer begehrte mit Schreiben vom 5. September 2008 von der Beschwerdegegnerin Auskunft über die zu seiner Person verarbeiteten Daten, über die Herkunft und die Empfänger dieser Daten sowie über den Zweck und die Rechtsgrundlage ihrer Verarbeitung. Weiters begehrte er – „wenn die Daten nach § 10 DSG verarbeitet“ werden – Auskunft über den Namen und die Anschrift von Dienstleistern und sofern Daten im internationalen Datenverkehr verarbeitet werden, die Angabe der Geschäftszahl der Genehmigung durch die Datenschutzkommission.

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem vom Beschwerdeführer vorgelegten Auskunftsbegehren.

Mit Schreiben vom 23. März 2009 erteilte die Beschwerdegegnerin dem Beschwerdeführer eine näher konkretisierte Auskunft über die zu seiner Person verarbeiteten Daten, über die Herkunft dieser Daten sowie über den Zweck und die Rechtsgrundlage ihrer Verwendung.

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem von der Beschwerdegegnerin vorgelegten Auskunftsschreiben. Der Beschwerdeführer hat sich dazu – trotz Gewährung von Parteiengehör – nicht geäußert.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die hier wesentlichen Bestimmungen des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idgF (DSG 2000), lauten auszugsweise:

㤠1.

…..

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

…..

§ 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.

Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit

(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

….

(8) Soweit Datenanwendungen von Gesetzes wegen öffentlich einsehbar sind, hat der Betroffene ein Recht auf Auskunft in dem Umfang, in dem ein Einsichtsrecht besteht. Für das Verfahren der Einsichtnahme gelten die näheren Regelungen der das öffentliche Buch oder Register einrichtenden Gesetze.“

2. rechtliche Schlussfolgerungen

Der Beschwerdeführer hat mit Schreiben vom 5. September 2008 von der Beschwerdegegnerin Auskunft u.a. über die zu seiner Person verarbeiteten Daten, über die Herkunft und die Empfänger dieser Daten sowie über den Zweck und die Rechtsgrundlage ihrer Verwendung begehrt. Weiters begehrte er – „wenn die Daten nach § 10 DSG verarbeitet“ werden – Auskunft über den Namen und die Anschrift von Dienstleistern und sofern Daten im internationalen Datenverkehr verarbeitet werden, die Angabe der Geschäftszahl der Genehmigung durch die Datenschutzkommission.

In der vorliegenden Beschwerdesache hat die Beschwerdegegnerin dem Beschwerdeführer nach Beschwerdeerhebung, aber noch vor Bescheiderlassung Auskunft über die zur Person des Beschwerdeführers verarbeiteten Daten, über die Herkunft dieser Daten sowie über den Zweck und die Rechtsgrundlage ihrer Verwendung erteilt. Dass ein datenschutzrechtlicher Auftraggeber eine ursprünglich nicht vollständig erbrachte Auskunft durch spätere Auskunft „sanieren“ kann, ist von der Datenschutzkommission in ständiger Spruchpraxis anerkannt:

„Die Nichteinhaltung der achtwöchigen Frist stellt nach ständiger Rechtsprechung der Datenschutzkommission zwar eine Verletzung im Recht auf Auskunft dar, die aber durch Nachholung der Auskunftserteilung bis zum Ende des Verfahrens vor der Datenschutzkommission sanierbar ist“ (vgl. u.a. den Bescheid der Datenschutzkommission vom 11. Oktober 2006, GZ: K121.214/0006-DSK/2006). Gründe, die die Vollständigkeit und Richtigkeit dieser Auskunft in Zweifel ziehen könnten, sind im Verfahren vor der Datenschutzkommission nicht hervorgekommen und wurden vom Beschwerdeführer im Übrigen auch nicht behauptet.

In Bezug auf die ebenfalls vom Beschwerdeführer begehrte Auskunft über Name und Anschrift von Dienstleistern und eine Verarbeitung im internationalen Datenverkehr hat die Beschwerdegegnerin in ihrer Auskunft vom 23. März 2009 zwar keine Aussage getroffen. Hier wurde die Anfrage nach Dienstleistern nur für den Fall, dass eine Verarbeitung ohne diese erfolgt, gestellt. Anzeichen für eine Verarbeitung der Daten des Beschwerdeführers durch Dienstleister sind im Verfahren vor der Datenschutzkommission aber keine hervorgekommen und wurden vom Beschwerdeführer auch nicht behauptet. Ein Recht auf Angabe der Geschäftszahl des Bescheids der Datenschutzkommission über die Genehmigung eines internationalen Datenverkehrs ist aus § 26 Abs. 1 DSG 2000 überhaupt nicht ableitbar. Die Nichterteilung einer Auskunft in Bezug auf allfällige Dienstleister oder eine Verarbeitung im internationalen Datenverkehr konnte den Beschwerdeführer daher keinesfalls in seinem Recht auf Auskunft verletzen. Die Beschwerde erweist sich daher in diesen Punkten insgesamt als nicht berechtigt.

Allerdings hat der Beschwerdeführer die Beschwerdegegnerin auch um Auskunft darüber ersucht, wer die Empfänger seiner Daten sind. Dazu enthält die Auskunft der Beschwerdegegnerin jedoch keine Angaben.

Dadurch, dass die Beschwerdegegnerin dem Beschwerdeführer somit keine Auskunft über die Empfänger seiner Daten erteilt hat bzw. ihm gegenüber auch nicht begründet, weshalb sie diese Auskunft nicht oder nicht vollständig erteilt hat, hat sie den Beschwerdeführer in seinem Recht auf Auskunft verletzt. Der Beschwerde war daher in diesem Punkt stattzugeben, weshalb spruchgemäß ein vollstreckbarer Leistungsauftrag unter Setzung einer angemessenen Frist (§ 59 Abs. 2 AVG) zu erlassen war. Als Leistungsfrist schienen in Anbetracht des nach dem Vorbringen der Beschwerdegegnerin eher als gering einzustufenden Datenvolumens und dem Umstand, dass die Empfänger der Daten leicht feststellbar sind, drei Wochen im Sinn des § 59 Abs. 2 AVG als angemessen.