K121.460/0008-DSK/2009 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. STAUDIGL, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Mag. HUTTERER und Mag. ZIMMER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 29. Juni 2009 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Mag. Paul G*** (Beschwerdeführer) aus Wien vom 7. November 2008 gegen die K*** Bank Gesellschaft m. b.H. (Beschwerdegegnerin) in Wien wegen Verletzung im Recht auf Auskunft in Folge mangelhafter Beantwortung des Auskunftsbegehrens vom 5. September 2008 wird entschieden:

1. Der Beschwerde wird teilweise stattgegeben und der Beschwerdegegnerin aufgetragen, dem Beschwerdeführer schriftlich binnen zweier Wochen bei sonstiger Exekution Auskunft hinsichtlich der allfälligen Verwendung von Daten in anderen Zusammenhängen als der beschwerdeanlassgebenden Werbeaussendung zu erteilen.

2. Im Übrigen wird die Beschwerde abgewiesen.

Rechtsgrundlagen : §§ 1 Abs. 3 Z 1, 26 Abs. 1 und 4, 31 Abs. 1 und 49 Abs. 3 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, § 151 Abs. 7 GewO 1994.

B e g r ü n d u n g:

A. Vorbringen der Parteien

Der Beschwerdeführer behauptet in seiner am 12. November 2008 bei der Datenschutzkommission eingelangten Beschwerde eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin sein Auskunftsbegehren vom 5. September 2008 nicht beantwortet habe.

Dem Beschwerdevorbringen angeschlossen war ein Schreiben der K*** Bank GmbH vom 9. September 2008 an den Beschwerdeführer, das sich auf sein Auskunftsbegehren vom 5. September 2008 bezog. Diesbezüglich wird in der Beschwerdeschrift ausgeführt, dass die Beschwerdegegnerin hiemit um „Bekanntgabe der ‚Codierung’ am Kartenantrag ersucht“ habe. Nach Übersendung der ‚Codierung’ „erfolgte bis zum heutigen Tag keine Auskunftserteilung durch die K*** Bank GmbH“. Der Beschwerdeführer beantragte, der Beschwerdegegnerin die Auskunftserteilung im Umfang seines Auskunftsbegehrens vom 5. September 2008 durch Bescheid aufzutragen.

Seitens der Beschwerdegegnerin langte, obwohl von der Datenschutzkommission nachweislich (GZ: K121.460/0002-DSK/2008 vom 17. November 2008, der Beschwerdegegnerin am 19. November 2008 zugestellt, Rückschein im Akt) aufgefordert, zunächst keine Stellungnahme zum Beschwerdevorbringen ein, sondern ein Schreiben der O*** P*** Information Group Österreich Ges.m.b.H. vom 3. Dezember 2008, in dem diese die Kopie zweier datenschutzrechtlicher Auskunftsschreiben an den Beschwerdeführer vom 3. Oktober und 3. Dezember 2008 vorlegte und ausführte, das erste Schreiben sei anscheinend an eine falsche – frühere – Adresse des Beschwerdeführers ergangen. Im fortgesetzten Parteiengehör führte die Beschwerdegegnerin unter Vorlage einer Kopie eines e-mails vom 1. Dezember 2008 - dessen tatsächliches Einlangen in der mailbox der DSK allerdings nicht festgestellt werden konnte - sodann aus, dass am „09.09.2008 (ein) Antwortschreiben von K*** Bank an Herrn Mag. G*** gemäß seinem Auskunftsbegehren“ ergangen sei, und seit dem „12. 09. 2008 (die) Antwort (von) Mag. G*** mit den noch fehlenden Daten, die wir zur genauen Ermittlung der Datenherkunft benötigen“, vorliege. „Daraufhin wurde bei uns ausgehoben, dass die Daten über die O*** P*** Information Group angemietet worden sind. Info von uns an O*** P*** über die vorliegende Anfrage und Bitte um Bearbeitung“.

Der Beschwerdeführer brachte mit Stellungnahme vom 5. April 2009 vor, die fehlende Stellungnahme der Beschwerdegegnerin bescheinige die Begründetheit seiner Beschwerde, weshalb er seine Anträge aufrecht erhalte. Im Übrigen machte der Beschwerdeführer weitere Ausführung zur inhaltlichen Richtigkeit der Auskunft der O*** P*** Information Group Österreich Ges.m.b.H.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand ausschließlich die Frage ist, ob die Beschwerdegegnerin - und nicht etwa die O*** P*** Information Group - das Auskunftsbegehren des Beschwerdeführers vom 5. September 2008 gesetzmäßig beantwortet hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Der Beschwerdeführer hat am 5. September 2008 ein datenschutzrechtliches Auskunftsbegehren an die Beschwerdegegnerin gerichtet.

Darin ersuchte er, unter Bezugnahme auf eine bestimmte an ihn persönlich adressierte Werbezusendung der Beschwerdegegnerin um folgende Auskünfte (Unterstreichungen durch die Datenschutzkommission):

Weiters begehrte der Beschwerdeführer „auch solche Daten zu beauskunften, die sich in anderen Dateien befinden, jedoch über „Schlüssel-, Such- und Referenzbegriffe mit meinen personenbezogenen Daten direkt oder indirekt verknüpft werden können“, weiters Name und Anschrift von Dienstleistern , Geschäftszahlen von eventuellen Genehmigung für den internationalen Datenverkehr , Bekanntgabe der DVR-Nummer und einer Liste der Datenanwendungen sowie Auskunft über den logischen Ablauf automatisierter Einzelentscheidungen .

Die Beschwerdegegnerin gab daraufhin mit Schreiben vom 9. September 2008 dem Beschwerdeführer sinngemäß folgende Antwort:

Die Daten für die Adressierung der betreffenden Werbeaussendung seien von den Adressverlagen „O*** P*** Direct Media GmbH“ bzw. „T***-Direktmarketing GmbH“ zur „einmaligen Verwendung angemietet“ worden und würden von der Beschwerdegegnerin nicht verarbeitet. Der Beschwerdegegnerin seien nur die verwendeten Datenarten („Name“, „Anschrift“ und „Anrede“) bekannt, nicht jedoch der Dateninhalt. Nur an Hand der auf der Werbeaussendung aufgedruckten „Codierung“ könnten der Inhalt und die genaue Herkunft der Daten festgestellt werden. Seitens der Beschwerdegegnerin seien diese Daten weder gespeichert, verarbeitet, noch Dritten (im Inland wie im Ausland) zugänglich gemacht worden. Rechtsgrundlage der Datenverwendung sei (auf Seiten der Adressverlage) § 151 der Gewerbeordnung.

Mit Schreiben vom 12. September 2008 gab der Beschwerdeführer die Codierung „D81***SB01 **4 A**H 023**2“ bekannt.

Beweiswürdigung : Diese Feststellungen beruhen auf dem Vorbringen des Beschwerdeführers in der Beschwerde vom 7. November 2008 und den beigelegten Kopien der in der Beschwerde zitierten Schreiben. Die Beschwerdegegnerin ist diesem Sachverhaltsvorbringen in ihrer Stellungnahme vom 26. März 2009 nicht entgegengetreten.

In der Folge erhielt der Beschwerdeführer ein Schreiben der O*** P*** Information Group, in welchem Inhalt und nähere Umstände der Verwendung seiner Daten bei O*** P*** erläutert wurden.

Beweiswürdigung : Diese Feststellungen beruhen auf den vorgelegten Urkunden und werden vom Vorbringen des Beschwerdeführers bestätigt.

D. In rechtlicher Hinsicht folgt daraus :

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmung § 1 Abs. 3 Z 1 DSG 2000 lautet unter der Überschrift „Grundrecht auf Datenschutz“:

„ § 1 . (1) […]

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;“

§ 26 Abs. 1, 3 und 4 DSG 2000 lautet unter der Überschrift „Auskunftsrecht“:

„ § 26 . (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) […]

(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“

§ 49 Abs. 3 DSG 2000 lautet unter der Überschrift „Automatisierte Einzelentscheidungen“:

„ § 49 . (1) […]

(3) Dem Betroffenen ist bei automatisierten Einzelentscheidungen auf Antrag der logische Ablauf der automatisierten Entscheidungsfindung in allgemein verständlicher Form darzulegen.“

§ 151 Gewerbeordnung 1994 (GewO 1994), BGBl. Nr. 194/1994 idF BGBl. I Nr. 111/2002 lautet auszugsweise unter der Überschrift „Adressverlage und Direktmarketingunternehmen“:

„ § 151 . (1) Auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden sind die Bestimmungen des DSG 2000 anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

(2) Die Tätigkeit als Mittler zwischen Inhabern und Nutzern von Kunden- und Interessentendateien (Listbroking) ist den in Abs. 1 genannten Gewerbetreibenden vorbehalten.

(3) Die in Abs. 1 genannten Gewerbetreibenden sind berechtigt, für ihre Tätigkeiten gemäß Abs. 1 und 2 Daten aus öffentlich zugänglichen Informationen, durch Befragung der Betroffenen, aus Kunden- und Interessentendateien Dritter oder aus Marketingdateien anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für

(4) [betrifft die Verwendung sensibler und strafrechtsrelevanter Daten]

(5) [betrifft zulässige Datenverwendung ohne Zustimmung des Betroffenen]

(6) [betrifft Marketinganalysedaten und –klassifikationen]

(7) Gewerbetreibende nach Abs. 1 haben Aussendungen im Zuge von Marketingaktionen, die sie mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten Daten durchführen, so zu gestalten, dass durch entsprechende Kennzeichnung des ausgesendeten Werbematerials die Identität der Auftraggeber jener Dateien, mit deren Daten die Werbeaussendung adressiert wurde (Ursprungsdateien), nachvollziehbar ist; soweit Gewerbetreibende nach Abs. 1 an Werbeaussendungen nur durch Zurverfügungstellung oder Vermittlung von Daten mitwirken, haben sie durch entsprechenden Hinweis an die für die Werbeaussendung Verantwortlichen darauf hinzuwirken, dass die Identität der Auftraggeber der benutzten Ursprungsdateien nachvollziehbar ist. Für Gewerbetreibende nach Abs. 1 gilt, wenn sie die Aussendung mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten Daten selbst durchgeführt haben, - unbeschadet ihrer allfälligen Auskunftsverpflichtungen als Auftraggeber -, § 26 DSG 2000 mit der Maßgabe, dass sie auf Grund eines innerhalb von drei Monaten nach der Werbeaussendung gestellten Auskunftsbegehrens anhand der vom Betroffenen zur Verfügung gestellten Informationen über die Werbeaussendung zur Auskunftserteilung nur über die Auftraggeber der Ursprungsdateien verpflichtet sind; haben sie an der Aussendung nur durch Zurverfügungstellung oder Vermittlung von Daten mitgewirkt, so haben sie nach Möglichkeit zur Auffindung der Auftraggeber der Ursprungsdateien beizutragen Bei nicht ordnungsgemäßer Erfüllung der Kennzeichnungspflicht durch Gewerbetreibende nach Abs. 1 genügt die Stellung eines fristgerechten Auskunftsbegehrens an den Werbenden zur Wahrung des Auskunftsrechts gegenüber dem Gewerbetreibenden nach Abs. 1.

(8) Stellt der Betroffene an einen Gewerbetreibenden nach Abs. 1 ein Begehren auf Löschung von Daten, die dieser für Zwecke von Marketingaktionen über ihn gespeichert hat, so hat dieser dem Begehren in jedem Fall innerhalb von acht Wochen kostenlos zu entsprechen. Soweit der Betroffene - nach entsprechender Information über die möglichen Folgen einer physischen Löschung seiner Daten - auf der physischen Löschung seiner Daten nicht besteht, hat die Löschung in Form einer Sperrung der Verwendung dieser Daten für Marketingaussendungen zu erfolgen.

(9) [betrifft Sperrliste für Direktmarketing („Robinson-Liste“)]

(10) Inhaber von Kunden- und Interessentendateien dürfen Daten aus diesen Dateien an Gewerbetreibende nach Abs. 1 für Marketingzwecke Dritter nur übermitteln und insbesondere auch für Listbroking nur zur Verfügung stellen, wenn sie die Betroffenen in geeigneter Weise darüber informiert haben, dass sie die Verwendung dieser Daten für Marketingzwecke Dritter untersagen können, und wenn keine Untersagung erfolgt ist; sensible Daten und strafrechtlich relevante Daten dürfen unter den in Abs. 4 genannten Voraussetzungen an Gewerbetreibende nach Abs. 1 übermittelt und für Listbroking zur Verfügung gestellt werden. Auf die Möglichkeit der Untersagung ist ausdrücklich und schriftlich hinzuweisen, wenn Daten schriftlich vom Betroffenen ermittelt werden. Die Untersagung der Übermittlung hat auf ein Vertragsverhältnis zwischen dem Betroffenen und dem Inhaber der Kunden- und Interessentendatei keinen Einfluss.“

2. rechtliche Schlussfolgerungen:

a) Der vorliegende Fall betrifft zunächst die im § 151 Abs. 7 GewO 1994 geregelte besondere Konstellation, dass Daten, die von einem Adressverlag als Auftraggeber verarbeitet werden, für Marketingzwecke eines anderen – der Beschwerdegegnerin – einmalig verwendet werden. Hiebei erlangt das Unternehmen, für das Werbung betrieben wird, regelmäßig keine Kenntnis vom Inhalt der verwendeten Daten und auch keine Verfügungsrechte über diese Daten von der Art eines Auftraggebers. Derjenige, für den in der Werbebotschaft geworben wird, kann regelmäßig auch keine Auskunft im Umfang des § 26 DSG 2000 über die verwendeten Daten geben, da er sie bei sich nicht gespeichert hat (- gespeichert sind diese Daten nur beim Adressverlag).

Aus diesem Grund wird in § 151 Abs. 7 GewO 1994, der eine lex specialis für Auskunftserteilungen über Werbezusendungen darstellt, festgelegt, dass Werbeaussendungen so gekennzeichnet sein müssen, dass die Ursprungsdatei der Adressdaten – und damit jener Adressverlag, der Auftraggeber der Ursprungsdatei ist - aufgefunden werden kann.

Dementsprechend hat die Beschwerdegegnerin dem Beschwerdeführer dargelegt, dass sie die Daten des Beschwerdeführers nicht gespeichert habe, sondern nur zur einmaligen Verwendung in einer Werbeaussendung vom Adressverlag O*** P*** angemietet hatte, sodass über den „Inhalt“ der Daten ausschließlich der Auftraggeber der Ursprungsdatei (die O*** P*** Group) anhand der ‚Codierung’ auf der Werbeaussendung Auskunft geben könne. Der Inhalt des Schreibens der Beschwerdegegnerin vom 9. 9. 2008 ist – hinsichtlich der Datenverwendung in der Werbezusendung – als ausreichend im Lichte des § 26 Abs. 4 DSG 2000 anzusehen, da darin schlüssig begründet wird, wieso die Beschwerdegegnerin nicht selbst über den Inhalt der für Zwecke der Werbezusendung verwendeten Daten Auskunft geben kann. Auch ist der Beschwerdegegnerin keine Unterlassung im Sinne des § 151 GewO 1994 vorzuwerfen, da sie durch Erfragung des „Codes“ vom Betroffenen und entsprechende weitere Veranlassungen beim Adressverlag dafür gesorgt hat, dass der Auftraggeber der Ursprungsdatei, die O*** P*** Information Group, dem Betroffenen Auskunft zu den über ihn in der Ursprungsdatei enthaltenen Daten gegeben hat.

Hinsichtlich der für die Werbezusendung verwendeten Daten war daher die vorliegende, ausschließlich die K*** Bank Ges.m.b.H. betreffende Auskunftsbeschwerde als unbegründet abzuweisen.

b) Das auf § 26 DSG 2000 gestützte Auskunftsbegehren des Beschwerdeführers ist jedoch so formuliert, dass es über den Anlassfall der persönlich adressierten Werbeaussendung hinausgeht, da es auch auf „andere Dateien“ – als allfällige Marketingadressdateien – Bezug nimmt: Diesbezüglich schafft die von der Beschwerdegegnerin gegebene Antwort keine Klarheit darüber, ob etwa in anderen Zusammenhängen Daten des Beschwerdeführers von ihr verarbeitet werden. Diesbezüglich fehlt es im vorliegenden Fall daher an der Erfüllung der sich aus § 26 Abs. 4 ergebenden Pflicht des ersuchten Auftraggebers, entweder inhaltliche Auskunft zu geben oder darzulegen, warum keine Auskunft gegeben werden kann – z.B. weil keine Daten des Anfragenden verwendet werden (sog. „Negativauskunft“).

Das vorliegende Auskunftsersuchen bezieht sich ausdrücklich auch auf automatisierte Einzelentscheidungen. § 26 Abs. 1 DSG 2000 umfasst auch die Verpflichtung in allgemein verständlicher Form den Zweck der Datenverwendung darzulegen. Davon sind auch automatisierte Einzelentscheidungen nicht ausgenommen. Die Grenzen des § 26 Abs. 2 DSG 2000 sind anwendbar. Im Übrigen gilt auch hier das im vorstehenden Absatz zur Negativauskunft Gesagte.

c) Kein subjektives Recht auf Auskunft nach dem DSG 2000 besteht jedoch hinsichtlich allfällig durchgeführter Standardanwendungen sowie hinsichtlich einer DVR-Nummer der Beschwerdegegnerin und eventueller Genehmigungsbescheide für den internationalen Datenverkehr. Auch insoweit war die Beschwerde daher abzuweisen.