K121.494/0013-DSK/2009 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER und Dr. STAUDIGL sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 19. Juni 2009 folgenden Beschluss gefasst:

S p r u c h

1. Über die Beschwerde der Natalie B*** (Beschwerdeführerin) aus M***, vertreten durch den Verein C***- Datenschutzvereinigung (kurz: C***) in **** M***, vom 8. Jänner 2009 gegen 1. die U*** Gesellschaft m.b.H. in M*** (Erstbeschwerdegegnerin) und 2. die G***-Bank Aktiengesellschaft in M*** (Zweitbeschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird wie folgt entschieden:

Die Beschwerde wird abgewiesen.

Rechtsgrundlagen : §§ 1 Abs. 3 Z 1, 26 Abs. 1 und 4 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999.

2. Der Antrag der U*** Gesellschaft m.b.H., den Verein C***- Datenschutzvereinigung nicht als Vertreter der Beschwerdeführerin zuzulassen, wird zurückgewiesen.

Rechtsgrundlagen : § 10 Abs. 3 AVG, Art. III Abs. 1 Z 1

EGVG.

B e g r ü n d u n g:

A. Vorbringen der Parteien

Die Beschwerdeführerin behauptet in ihrer von dem sie vertretenden Verein unter Nachweis einer schriftlichen Spezialvollmacht eingebrachten Beschwerde vom 8. Jänner 2009 eine Verletzung im Recht auf Auskunft. Sie habe am 24. Juni bzw. 14. August 2008 Auskunftsbegehren an die Zweitbeschwerdegegnerin gestellt. Das Antwortschreiben habe unter „Pkt. 4 Bonitätsbewertung“ eine Reihe von verwendeten Daten angegeben und darüber hinaus den Hinweis enthalten, dass für Bonitätsinformationen „der Service von U*** in Anspruch genommen werde und Auskünfte über gespeicherte Daten direkt bei U*** einzuholen seien“. Aufgrund eines Auskunftsbegehrens an U*** (Erstbeschwerdegegnerin) habe diese mitgeteilt, es würden keine „Zahlungserfahrungsdaten“ betreffend die Beschwerdeführerin gespeichert.

Die Beschwerdeführerin beantragte zunächst, den Beschwerdegegnerinnen aufzutragen, „diese Unstimmigkeiten aufzuklären und jedenfalls bekannt zu geben, woher die in der beigelegten anonymisierten Auskunft (Anmerkung: es handelt sich um das Auskunftsschreiben der Zweitbeschwerdegegnerin vom 26. Oktober 2008) unter „Punkt 4. Bonitätsbewertung“ mitgeteilten Daten stammen.“

Mit Mangelbehebungsauftrag der Datenschutzkommission vom 22. Jänner 2009 wurde der Beschwerdeführerin aufgetragen, klarzustellen, gegen welche der „Antragsgegnerinnen“ sich die Beschwerde richte, da nicht im Wege eines Erkundungsbeweises erforscht werden könnte, welche der erteilten Auskünfte eventuell inhaltlich mangelhaft (unvollständig, unrichtig) sei.

Die Beschwerdeführerin stellte darauf mit Schreiben vom 28. Jänner 2009 klar, dass sich die Beschwerde gegen beide Beschwerdegegnerinnen richte und beantragt werde, beiden die vollständige Auskunftserteilung über die Daten der Beschwerdeführerin aufzutragen.

Die Erstbeschwerdegegnerin bestritt zunächst in ihrer Stellungnahme vom 16. Februar 2009 das Vorliegen einer gültigen Beschwerde, da die Rechtmäßigkeit der Zulassung des Vereins „C***“ als Parteienvertreter nicht gegeben sei.

In der Sache brachte die Erstbeschwerdegegnerin vor, dass die Auskunft, es seien nur Adressdaten aber keine Zahlungserfahrungsdaten der Beschwerdeführerin gespeichert, den Tatsachen entspreche und keineswegs im Widerspruch zur Auskunft der Zweitbeschwerdegegnerin stehe: Die Zweitbeschwerdegegnerin habe weder im Jahr 2009 noch im Vorjahr die Dienste der Erstbeschwerdegegnerin bei Bonitätsbeurteilung der Beschwerdeführerin in Anspruch genommen. Die Erstbeschwerdegegnerin verstehe den Verweis auf sie im Auskunftsschreiben der Zweitbeschwerdegegnerin als „eine allgemeine Information darüber, welche Auskunftei als Quelle bonitätsrelevanter Daten in Frage kommt“ - daraus könne aber nicht geschlossen werden, dass im Einzelfall konkret von dieser Möglichkeit Gebrauch gemacht worden wäre.

Die Zweitbeschwerdegegnerin brachte mit Stellungnahme vom 16. Februar 2009 vor, dass sie das Service der U*** „standardmäßig“ in Anspruch nimmt. Tatsächlich habe sie am 30. Mai 2006 die Dienste der Erstbeschwerdegegnerin für eine Bonitätsprüfung der Beschwerdeführerin herangezogen; dabei habe sich „keine Beanstandung ergeben“.

Die aktuell bei der Zweitbeschwerdegegnerin gespeicherte interne Bonitätsbewertung mit „Note 5“ beziehe sich auf einen Privatkonkurs der Beschwerdeführerin, bei dem bis einschließlich 2006 Quotenzahlungen geleistet wurden. Diese Daten würden bis 7 Jahre nach Beendigung der Geschäftsbeziehung gespeichert bleiben, eine Löschung sei demnach erst 2013 vorgesehen. Diese intern verarbeiteten Bonitätsdaten würden nicht übermittelt.

Die Beschwerdeführerin hat sich im Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens mit Schreiben vom 4. März 2009 nur dahingehend geäußert, dass die Ausführungen der Beschwerdegegnerinnen zur Kenntnis genommen, jedoch als „nicht schlüssig“ erscheinen würden, weshalb die Beschwerde weiterhin aufrecht erhalten werde.

B. Beschwerdegegenstand

Auf Grund des Vorbringens der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Behauptung ist, dass die Auskunftsbegehren der Beschwerdeführerin von den Beschwerdegegnerinnen nicht richtig beantwortet worden seien, da die gegebenen Antworten „nicht schlüssig“ seien: „Die Auskünfte von U*** und der G***-Bank stehen in direktem Widerspruch zueinander. Dadurch besteht der Verdacht beide Antragsgegner würden falsche Auskünfte erteilen.“

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

1. Die Beschwerdeführerin richtete am 24. Juni 2008 bzw. 14. August 2008 (Urgenz) ein Auskunftsbegehren an die Zweitbeschwerdegegnerin, das – neben dem Begehren, über „alle“ gespeicherten Daten Auskunft zu erhalten – den näher präzisierten Wunsch enthält, über alle „sog. bankinternen Informationslisten“ und ähnliche „schwarze Listen“ sowie – soweit dies zutreffen sollte – über die Berechnungsmethode bei automatisierten Entscheidungsfindungen nach § 49 Abs. 3 DSG 2000 („Bewertungen, Einschätzungen und Ratings“) betreffend die Bonität der Beschwerdeführerin Auskunft zu erhalten.

Am 26. Oktober 2008 beantwortete die Zweitbeschwerdegegnerin dieses Auskunftsbegehren im hier gegenständlichen Umfang dahingehend, dass unter der Bezeichnung „Bonitätsbewertung“ Daten zur „Ratingklasse“, zur „Risikogruppe“, zur „Risiko-Besicherungssituation“ sowie zum „Risiko wirtschaftliche Situation“ der Beschwerdeführerin verarbeitet werden. Für Bonitätsinformationen würden die Dienste der Erstbeschwerdegegnerin in Anspruch genommen, die auch Auskünfte über die dort gespeicherten Daten erteilen könnte.

Als Bonitätsbewertung ist bei der Zweitbeschwerdegegnerin der Wert „5“ gespeichert. Dieser stammt aus einer internen Einschätzung/Bewertung der Bonität der Beschwerdeführerin durch die Zweitbeschwerdegegnerin unter Berücksichtigung eines im Jahr 2006 abgeschlossenen Privatkonkurses der Beschwerdeführerin.

Weiters steht fest, dass die Zweitbeschwerdegegnerin im Jahr 2006 (am 30. Mai 2006) eine Überprüfung der Bonität der Beschwerdeführerin unter Heranziehung der Erstbeschwerdegegnerin vorgenommen hat.

Beweiswürdigung : Diese Feststellungen beruhen auf dem Inhalt der vorliegenden Urkundenkopien Auskunftsbegehren der Beschwerdeführerin an die Zweitbeschwerdegegnerin vom 24. Juni 2008, Antwortschreiben (datenschutzrechtliche Auskunft) der Zweitbeschwerdegegnerin vom 26. Oktober 2008 (Beilage zur Beschwerde vom 8. Jänner 2009, Inhalt großteils von der Beschwerdeführerin unleserlich gemacht) und Stellungnahme der Zweitbeschwerdegegnerin vom 16. Februar 2009.

Die Zweitbeschwerdegegnerin ist als Auftraggeberin zu DVR:

00**395 Teilnehmerin an zwei relevanten

Informationsverbundsystemen: der „Warnliste der österreichischen Kreditinstitute zum Zweck des Gläubigerschutzes und der Risikominimierung durch Hinweis auf vertragswidriges Kundenverhalten“ (kurz: Warnliste) und der „Klein-Kreditevidenz (Konsumentenkreditevidenz) zum Zweck des Gläubigerschutzes und der Risikominimierung“ (kurz: KKE).

Beweiswürdigung : Diese Feststellungen beruhen auf dem öffentlichen Datenverarbeitungsregister.

2. Aufgrund der Auskunft der Zweitbeschwerdegegnerin richtete die Beschwerdeführerin am 9. Dezember 2008, nunmehr vertreten durch die C***, unter Vorlage einer Vollmacht und eines Identitätsnachweises ein Auskunftsbegehren an die Erstbeschwerdegegnerin. Dieses enthält eine Vielzahl von standardisierten Fragen, u.a. auch jene nach der Berechnungsmethode automatisierter Entscheidungsfindungen gemäß § 49 Abs. 3 DSG 2000.

Am 10. Dezember 2008 beantwortete die Erstbeschwerdegegnerin dieses Auskunftsbegehren dahingehend, dass, aus allgemein verfügbaren, öffentlichen Quellen ermittelt, Name, Wohnadresse und Geburtsdatum der Beschwerdeführerin verarbeitet würden (unter Anführung des genauen Dateninhalts); weiters dass „zum gegenwärtigen Zeitpunkt keine Zahlungserfahrungsdaten zu ihrer Person gespeichert“ seien. Zweck dieser Datenanwendung sei die Ausübung des Gewerbes nach § 152 der Gewerbeordnung (Auskunfteigewerbe) zur „Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft“.

Beweiswürdigung : Diese Feststellungen beruhen auf dem Inhalt der vorliegenden Urkundenkopien Auskunftsbegehren der Beschwerdeführerin an die Erstbeschwerdegegnerin vom 9. Dezember 2008, Antwortschreiben (datenschutzrechtliche Auskunft) der Erstbeschwerdegegnerin vom 10. Dezember 2008 (Beilage zur Beschwerde vom 8. Jänner 2009).

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmung des § 1 Abs.1 bis 4 DSG 2000 lautet unter der Überschrift „Grundrecht auf Datenschutz“:

„ § 1 . (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.“

§ 26 Abs.1 und 4 Datenschutzgesetz 2000, BGBl I Nr. 165/1999 idF BGBl I Nr. 2/2008 (DSG 2000) lautet unter der Überschrift „Auskunftsrecht“:

„ § 26 . (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) [...]

(3) [...]

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“

§ 49 DSG 2000 lautet unter der Überschrift „Automatisierte Einzelentscheidungen“

„ § 49 . (1) Niemand darf einer für ihn rechtliche Folgen nach sich ziehenden oder einer ihn erheblich beeinträchtigenden Entscheidung unterworfen werden, die ausschließlich auf Grund einer automationsunterstützten Verarbeitung von Daten zum Zweck der Bewertung einzelner Aspekte seiner Person ergeht, wie beispielsweise seiner beruflichen Leistungsfähigkeit, seiner Kreditwürdigkeit, seiner Zuverlässigkeit oder seines Verhaltens.

(2) Abweichend von Abs. 1 darf eine Person einer ausschließlich automationsunterstützt erzeugten Entscheidung unterworfen werden, wenn

(3) Dem Betroffenen ist bei automatisierten Einzelentscheidungen auf Antrag der logische Ablauf der automatisierten Entscheidungsfindung in allgemein verständlicher Form darzulegen.“

2. rechtliche Schlussfolgerungen:

a) Zum Vorliegen einer ordnungsgemäß eingebrachten Beschwerde:

Die Erstbeschwerdegegnerin hat die ordnungsgemäße Vertretung der Beschwerdeführerin im Verfahren vor der Datenschutzkommission bestritten und beantragt, die C*** gemäß § 10 Abs. 3 AVG als Vertreterin nicht zuzulassen, da sie die Vertretung anderer unbefugt zu Erwerbszwecken betreibe.

Hiezu ist auszuführen, dass keiner Partei eines Verwaltungsverfahrens das subjektive Recht zukommt, bestimmte gegnerische Parteienvertreter aus den in § 10 Abs. 3 AVG genannten Gründen aus dem Verfahren ausschließen zu lassen. Der vorliegende Antrag ist daher im Verfahren vor der Datenschutzkommission unzulässig.

§ 10 Abs. 3 AVG ist von Amts wegen wahrzunehmen. Im Hinblick auf die Vertretung der Beschwerdeführerin im vorliegenden Verfahren ist bei der Datenschutzkommission kein dringender Verdacht auf Vorliegen der „Winkelschreiberei“ (vgl. Art. III Abs. 1 Z 1 EGVG) entstanden.

b) Zur Unrichtigkeit der beschwerdegegenständlichen Auskünfte:

Die Beschwerdeführerin hält die Auskunft der Erstbeschwerdegegnerin für falsch, wenn diese leugnet, bonitätsrelevante Daten über die Beschwerdeführerin gespeichert zu haben – dies widerspreche der Auskunft der Zweitbeschwerdegegnerin, die die Erstbeschwerdegegnerin als Quelle von Bonitätsinformationen angibt.

Im Zuge des Ermittlungsverfahrens haben die Beschwerdegegnerinnen glaubhaft dargetan, dass die Namhaftmachung der Erstbeschwerdegegnerin als Quelle von Bonitätsinformationen durch die Zweitbeschwerdegegnerin nur als generelle, „standardmäßige“ Information zu verstehen war, die nicht auch in jedem Einzelfall zutrifft.

Auch wurde erklärt, dass tatsächlich eine Befassung der Erstbeschwerdegegnerin im Jahre 2006 mit dem Ergebnis, stattgefunden habe „dass keine Beanstandung“ festgestellt wurde. Vor diesem Hintergrund ist es durchaus glaublich, dass die Erstbeschwerdegegnerin keine Bonitätsdaten, sondern nur Adressdaten über die Beschwerdeführerin besitzt. Dass die Erstbeschwerdegegnerin ein Geschäftsmodell verfolgt, wonach auch bloße Adressdaten gespeichert werden, weil sie für die Bonität einer Person relevant seien, indem sie deren Auffindbarkeit und stetigen Aufenthalt belegen können, ist der Datenschutzkommission aus einschlägigen Registrierungs- und Beschwerdeverfahren amtsbekannt.

Der von der Beschwerdeführerin behauptete Widerspruch zwischen den von den beiden Beschwerdeführerinnen erteilten Auskünften kann daher nicht nachvollzogen werden, weshalb auch die behauptete Unrichtigkeit der erteilten Auskünfte als nicht erwiesen angesehen wurde. Da sich die behauptete Unrichtigkeit der Auskünfte allein auf die Behauptung des widersprechenden Inhalts dieser Auskünfte stützte, war die Beschwerde spruchgemäß abzuweisen.