K121.514/0008-DSK/2009 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER und Dr. HEISSENBERGER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 18. September 2009 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Arthur K*** in Wien (Beschwerdeführer) vom 24. März 2009 (ha. eingelangt am 25. März 2009) gegen die M*** in Wien (Beschwerdegegner) wegen Verletzung im Recht auf Auskunft wird entschieden:

1. Der Beschwerde wird i n s o w e i t

s t a t t g e g e b e n, als festgestellt wird, dass der Beschwerdegegner den Beschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, als er dem Beschwerdeführer die Auskunft vom 23. März 2009 nicht kostenfrei zur Verfügung gestellt hat.

2. Im Übrigen wird die B e s c h w e r d e

a b g e w i e s e n.

Rechtsgrundlagen: § 1 Abs. 3 Z 1, § 4 Z 3, §§ 26 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF.

B e g r ü n d u n g:

A. Vorbringen der Parteien

1. Der Beschwerdeführer behauptet eine Verletzung im Recht auf Auskunft nach § 1 Abs. 3 Z 1 iVm § 26 DSG 2000 dadurch, dass der Beschwerdegegner seinem Auskunftsbegehren vom 19. Februar 2009 nicht bzw. nur unrichtig nachgekommen sei. Am 23. März 2009 hätte er vom Beschwerdegegner eine unfrankierte Sendung erhalten, die aus seinem Anschreiben bestanden hätte, auf dem lediglich vermerkt gewesen sei: „Keine Daten vorhanden 23.03.09“. Dadurch sei das Erfordernis einer kostenfreien Auskunft des § 26 Abs. 6 DSG 2000 nicht erfüllt, überdies sei die Auskunft nicht firmenmäßig gefertigt, wodurch keine Verantwortung des Unterfertigers ableitbar sei. Schließlich gibt der Auftraggeber keine Auskunft darüber, welche personenbezogenen Daten aus welcher Quelle grundsätzlich bei ihm gespeichert werden. Die Datenschutzkommission möge daher bescheidmäßig feststellen, ob die durch den Auftraggeber gewählte Vorgangsweise einer ordnungsgemäßen kostenfreien Auskunft gemäß DSG 2000 entspricht.

2. Der damit konfrontierte Beschwerdegegner brachte mit Schreiben vom 2. April 2009 vor, dass die Auskunft korrekt gewesen und kostenlos erteilt worden sei. Letzteres bedeute nicht, dass keine Spesen anfallen dürfen, sonst hätte der Auskunftswerber auch das Recht auf Ersatz seiner Portokosten.

3. Im dazu gewährten Parteiengehör verwies der Beschwerdeführer erneut auf das Fehlen der firmenmäßigen Zeichnung, welche eine unleserliche Paraphe nicht zu erfüllen vermöge. § 26 DSG 2000 sehe eine schriftliche Auskunft vor, was eine firmenmäßige Zeichnung erfordere. Auch hält der Beschwerdeführer fest, dass der gesetzlichen Verpflichtung zur kostenfreien Auskunftserteilung nicht nachgekommen worden sei.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner rechtmäßig auf das Auskunftsbegehren vom 19. Februar 2009 reagiert hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende

Sachverhalt festgestellt:

Der Beschwerdeführer stellte am 19. Februar 2009 folgendes

Auskunftsbegehren an den Beschwerdegegner:

„…

Gemäß DSG 2000 begehre ich Auskunft hinsichtlich aller allfälliger über mich gespeicherten personenbezogenen Daten.

Insbesondere betrifft dies alle sog. bankinternen Informationslisten, die als „Liste der unerwünschten Kontoverbindungen“, als „Kleinkreditevidenz“, als „Warn- und Mahnlisten“, als „schwarze Listen“ oder in anderer Form bezeichnet werden.

Das Auskunftsbegehren umfasst weiters auch, ohne abschließende Nennung der Dateien, alle sonstigen Wirtschafts-, Bonitäts-, Konsumenten- Warenevidenz- und Warenkreditdateien.

Soweit Sie Daten in automatisierter Form ermitteln (berechnen), die rechtliche Folgen haben können, oder die Ihre Entscheidung zur Erbringung oder Nicht- Erbringung von Leistungen gegen meine Person beeinflussen können, wird gemäß § 49 Abs 3 DSG 2000 beantragt das Zustandekommen der automatisierten Ermittlung (Berechnungsmethode) und des logischen Ablaufs der automatisierten Entscheidungsfindung zu beauskunften.

Dies bezieht sich insbesondere auf Bewertungen, Einschätzungen und Ratings, die geeignet sind meine berufliche Leistungsfähigkeit, meine Kreditwürdigkeit, meine Zuverlässigkeit oder mein Verhalten zu bewerten.

Im Sinne einer weitestgehenden Mitarbeit gebe ich Ihnen folgende zusätzliche Identifikationsdaten bekannt:

Geburtsdatum: 00 00 19**.

Zwecks Nachweis der Identität habe ich eine Kopie meines Personalausweises beigefügt.

Gemäß DSG besteht binnen 8 Wochen eine Verpflichtung zur Auskunft. Die Auskunft ist vollständig, allgemein verständlich und kostenlos zu erteilen.

…“

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Auskunftsbegehren selbst.

Der Beschwerdegegner beantwortete das Auskunftsbegehren, indem er auf dem Auskunftsbegehren handschriftlich vermerkte: „Keine Daten vorhanden. 23.3.09 [Paraphe]“. Auf dem Kuvert war rückseitig als Absender „M***, J*** 00, **** Wien“ angegeben und auf der Vorderseite „Porto zahlt Empfänger“ aufgestempelt. Der Beschwerdeführer hatte ein Nachentgelt von 1,05 Euro für die Postzustellung zu bezahlen.

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Schreiben selbst, welches Beilage der Beschwerde war.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmung des § 1 DSG 2000 lautet:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

…“

§ 4 Z 3 DSG 2000 lautet unter der Überschrift „Definitionen“ wie folgt:

㤠4. Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:

…

3. „Betroffener'': jede vom Auftraggeber (Z 4) verschiedene natürliche oder juristische Person oder Personengemeinschaft, deren Daten verwendet (Z 8) werden; …“

§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Er lautet hier wesentlich wie folgt:

„Auskunftsrecht

§ 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.

Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit

1. des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich oder

2. der Sicherung der Einsatzbereitschaft des Bundesheeres oder

3. der Sicherung der Interessen der umfassenden Landesverteidigung oder

4. des Schutzes wichtiger außenpolitischer, wirtschaftlicher oder finanzieller Interessen der Republik Österreich oder der Europäischen Union oder

5. der Vorbeugung, Verhinderung oder Verfolgung von Straftaten

ergeben. Die Zulässigkeit der Auskunftsverweigerung aus den Gründen der Z 1 bis 5 unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission gemäß § 31 Abs. 4.

(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

(5) In jenen Bereichen der Vollziehung, die mit der Wahrnehmung der in Abs. 2 Z 1 bis 5 bezeichneten Aufgaben betraut sind, ist, soweit dies zum Schutz jener öffentlichen Interessen notwendig ist, die eine Auskunftsverweigerung erfordert, folgendermaßen vorzugehen: Es ist in allen Fällen, in welchen keine Auskunft erteilt wird - also auch weil tatsächlich keine Daten verwendet werden -, anstelle einer inhaltlichen Begründung der Hinweis zu geben, daß keine der Auskunftspflicht unterliegenden Daten über den Betroffenen verwendet werden. Die Zulässigkeit dieser Vorgangsweise unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission nach § 31 Abs. 4.

(6) Die Auskunft ist unentgeltlich zu erteilen, wenn sie den aktuellen Datenbestand einer Datenanwendung betrifft und wenn der Betroffene im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber zum selben Aufgabengebiet gestellt hat. In allen anderen Fällen kann ein pauschalierter Kostenersatz von 18,89 Euro verlangt werden, von dem wegen tatsächlich erwachsender höherer Kosten abgewichen werden darf. Ein etwa geleisteter Kostenersatz ist ungeachtet allfälliger Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

(7) Ab dem Zeitpunkt der Kenntnis von einem Auskunftsverlangen darf der Auftraggeber Daten über den Betroffenen innerhalb eines Zeitraums von vier Monaten und im Falle der Erhebung einer Beschwerde gemäß § 31 an die Datenschutzkommission bis zum rechtskräftigen Abschluß des Verfahrens nicht vernichten. …“

2. Rechtliche Schlussfolgerungen:

Der Beschwerdeführer macht geltend,

a. der Auftraggeber gebe keine Auskunft darüber, welche personenbezogenen Daten aus welcher Quelle grundsätzlich bei ihm gespeichert werden;

b. die Auskunft lasse eine von Gesetzes wegen erforderliche firmenmäßige Zeichnung vermissen;

c. die Auskunft sei unrechtmäßig nicht unentgeltlich erteilt worden, da er Nachporto zu zahlen gehabt hätte.

Ad a. allgemeine Auskunft

§ 26 Abs. 1 DSG 2000 sieht vor, dass dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten und die verfügbaren Informationen über ihre Herkunft zu geben ist. Ein Anspruch auf Auskunft darüber, welche Daten „grundsätzlich“ beim Auftraggeber verarbeitet werden, ergibt sich aus § 26 DSG 2000 – der ein Betroffenenrecht darstellt – damit nicht, weshalb die Beschwerde insoweit abzuweisen war.

Ad b. firmenmäßige Zeichnung

§ 26 Abs. 1 DSG 2000 sieht vor, dass der Auftraggeber dem Betroffenen eine Auskunft erteilt. Die Form der Auskunft lässt das Gesetz offen, eine mündliche Auskunftserteilung ist mit Zustimmung des Betroffenen möglich. Die Auskunft ist daher prinzipiell schriftlich zu erteilen – dies kann per Post, Fax, aber auch per E-Mail geschehen. Voraussetzung ist dabei, dass erkennbar ist, dass die Auskunft auch tatsächlich vom Auftraggeber stammt, weil nur damit sichergestellt ist, dass er selbst und nicht etwa ein Dritter auf das Auskunftsbegehren reagiert hat. Der Auftraggeber könnte die Auskunftserteilung zB auch einem Dienstleister überlassen, dies aber nur dann, wenn erkennbar ist, für wen der Dienstleister handelt. Im gegenständlichen Fall war zwar aus dem Text der – rudimentären – Auskunft nicht erkennbar, wer diese erteilt hat (unverständliche Paraphe), aber durch die Absenderkennung auf dem Kuvert dem Beschwerdegegner zuzurechnen. Dies war für den Beschwerdeführer auch erkennbar. Eine firmenmäßige Zeichnung, wie sie der Beschwerdeführer verlangt, ist nicht Voraussetzung einer ordnungsgemäßen Auskunft nach § 26 DSG 2000. Auch insoweit war die Beschwerde daher abzuweisen.

Ad c. unentgeltliche Auskunft

Gemäß § 26 Abs. 6 DSG 2000 ist die Auskunft unentgeltlich zu erteilen, wenn sie den aktuellen Datenbestand einer Datenanwendung betrifft und wenn der Betroffene im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber zum selben Aufgabengebiet gestellt hat. Fraglich ist nun, ob die unentgeltliche Auskunfts erteilung auch bedeutet, dass der Betroffene die Auskunft unentgeltlich erhält (sprich: ob die Auskunftserteilung eine Bringschuld des Auftraggebers darstellt).

Aus der Regierungsvorlage zum DSG 2000, GP XX RV 1613 AB 2028, ergibt sich zum § 26 Abs. 6 Folgendes:

„… die Auskunft dann unentgeltlich zu erteilen ist, wenn die Auffindung der zu beauskunftenden Daten für den Auftraggeber keine besondere Belastung darstellt („wenn sie den aktuellen Datenbestand einer Datenanwendung betrifft“). In allen anderen Fällen ist die Auskunft kostenpflichtig, wobei ein niedriger Grundtarif im Gesetz festgelegt ist, von dem bei tatsächlich erwachsenden höheren Kosten abgewichen werden darf. Auch Portokosten sind zu den tatsächlich erwachsenden Kosten zu zählen.“

Wenn Portokosten nach Auffassung des Gesetzgebers zu den tatsächlich erwachsenden Kosten bei einer kostenpflichtigen Auskunft zu zählen sind (vgl. dazu auch Dohr/Pollirer/Weiss/Knyrim, Datenschutzrecht (2. Aufl.), Anm. 30 zu § 26), kann im Umkehrschluss daraus gefolgt werden, dass bei Vorliegen der Voraussetzungen einer kostenlosen Auskunft auch die Portokosten vom Auftraggeber zu übernehmen sind, sodass sich die Auskunftserteilung als seine Bringschuld darstellt.

Im gegenständlichen Fall ist unstrittig, dass die Voraussetzungen für eine kostenfreie Auskunft (erstmaliges Auskunftsbegehren im laufenden Jahr, aktueller Datenbestand) gegeben sind, sodass der Beschwerdegegner den Beschwerdeführer dadurch im Recht auf Auskunft verletzt hat, dass er dem Beschwerdeführer die Auskunft vom 23. März 2009 nicht kostenfrei zur Verfügung gestellt hat. Der Beschwerde war daher spruchgemäß in diesem Punkt stattzugeben.