K121.519/0021-DSK/2009 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Dr. ROSENMAYR-KLEMENZ, Dr. BLAHA, Dr. KOTSCHY und Mag. ZIMMER sowie des Schriftführers MAG. SUDA in ihrer Sitzung vom 18. September 2009 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Mag. Sebastian F*** (Beschwerdeführer) vom 7. April 2009 gegen 1. die M*** Bank AG (Erstbeschwerdegegnerin) und 2. die H*** Österreich GmbH (Zweitbeschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird wie folgt entschieden:

R e c h t s g r u n d l a g e n: §§ 1 Abs. 3 Z 1, 26 Abs. 1 und 31 Abs. 1 des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idgF (DSG 2000).

B e g r ü n d u n g:

A. Vorbringen der Parteien und Verfahrensgang

Der Beschwerdeführer behauptet in seiner Beschwerde vom 7. April 2009 eine Verletzung in seinem Recht auf Auskunft. Nachdem er im November letzten Jahres eine an ihn persönlich adressierte Werbezusendung der Erstbeschwerdegegnerin an die Adresse seines Arbeitgebers erhalten habe, habe er diese um Auskunft darüber ersucht, woher ihr sein Name in Zusammenhang mit seiner Arbeitgeberadresse bekannt sei. Die Erstbeschwerdegegnerin habe dem Beschwerdeführer daraufhin die Zweitbeschwerdegegnerin als Herkunft genannt. Daraufhin habe der Beschwerdeführer auch ein Auskunftsersuchen an die Zweitbeschwerdegegnerin gerichtet. Mit Schreiben vom 26. Jänner 2009 habe ihm die Zweitbeschwerdegegnerin jedoch mitgeteilt, dass er nicht als Ansprechperson für seinen Arbeitgeber gespeichert sei. Auf die weiteren Fragen über die Herkunft sowie allfällige Übermittlungsempfänger sei ihm darin keine Auskunft erteilt worden. Auch sei dem Beschwerdeführer nicht mitgeteilt worden, woher ihr sein zweiter Vorname, welcher auf der Werbezusendung angeführt sei, bekannt sei. Aufgrund der widersprüchlichen Auskünfte werde es dem Beschwerdeführer unmöglich gemacht, seine datenschutzmäßigen Rechte wahrzunehmen. Es werde daher der Antrag gestellt, der Zweitbeschwerdegegnerin aufzutragen, sämtliche Daten des Beschwerdeführers sowie weiters Daten über deren Herkunft, insbesondere auch die Herkunft des zweiten Vornamens des Beschwerdeführers und allfällige Übermittlungsempfänger zu beauskunften. Weiters werde der Antrag gestellt, der Erstbeschwerdegegnerin aufzutragen, bekannt zu geben, woher dieser der Name des Beschwerdeführers als Ansprechperson seines Arbeitgebers bekannt sei.

In ihrer Stellungnahme vom 30. April 2009 führte die Erstbeschwerdegegnerin aus, dem Beschwerdeführer sei fälschlich mitgeteilt worden, dass sie seine Daten von der Zweitbeschwerdegegnerin bezogen habe. Tatsächlich sei die Zusendung an den Beschwerdeführer erfolgt, da die Daten seines Arbeitgebers im Kundensystem der Erstbeschwerdegegnerin gespeichert seien. Der Beschwerdeführer sei als einer der Zeichnungsberechtigten zum Arbeitgeberkonto erfasst. Unter einem legte die Erstbeschwerdegegnerin die an den Beschwerdeführer in diesem Sinne ergänzend erteilte Auskunft vom 29. April 2009 vor.

In ihrer Stellungnahme vom 24. April 2009 führte die Zweitbeschwerdegegnerin aus, sie habe dem Beschwerdeführer nochmals mit Schreiben vom selben Tag eine – in Kopie vorgelegte – Auskunft erteilt. Darin bekräftigte die Zweitbeschwerdegegnerin, dass sie den Namen des Beschwerdeführers in Verbindung mit der Adresse seines Arbeitgebers nicht gespeichert habe.

Im Rahmen des Parteiengehörs führte der Beschwerdeführer in seiner Eingabe vom 12. Mai 2009 aus, es sei ihm nach wie vor nicht bekannt, woher die Erstbeschwerdegegnerin seinen zweiten Vornamen habe. Auch sei die Auskunft insofern mangelhaft, weil dem Beschwerdeführer zwar seine Ratingklasse bekannt gegeben worden sei, nicht aber was darunter zu verstehen sei. Nach § 26 DSG 2000 sei die Auskunft aber in allgemein verständlicher Form zu erteilen.

In ihrer Stellungnahme vom 26. Mai 2009 führte die Erstbeschwerdegegnerin aus, sie habe dem Beschwerdeführer mit Schreiben vom selben Tag eine ergänzende Auskunft erteilt. Darin habe sie dem Beschwerdeführer die Bedeutung der Risikoklassen erörtert sowie ausgeführt, dass es ihr nicht mehr möglich sei, die Herkunft seines zweiten Vornamens zu eruieren.

Mit Stellungnahme vom 13. Juli 2009 legte die Zweitbeschwerdegegnerin eine ergänzende Auskunft an den Beschwerdeführer vom selben Tag vor.

In seiner daraufhin erstatteten Eingabe vom 12. August 2009 führte der Beschwerdeführer aus, die Angabe der Erstbeschwerdegegnerin, die Herkunft über den zweiten Vornamen des Beschwerdeführers sei nicht mehr feststellbar, sei unglaubwürdig. Er habe nämlich beide Beschwerdegegnerinnen darauf aufmerksam gemacht, dass seinem Arbeitgeber sein zweiter Vorname nicht bekannt sei. Da der Beschwerdeführer darüber hinaus auch ein Privatkonto bei der Erstbeschwerdegegnerin habe, liege der Verdacht nahe, dass bei dieser zwischen verschiedenen Kontodaten ein Abgleich durchgeführt werde. Es werde eine Systemprüfung beantragt, um festzustellen, ob ein Datenabgleich stattgefunden habe bzw. um dies eindeutig zu widerlegen.

Mit Stellungnahme vom 19. August 2009 legte die Erstbeschwerdegegnerin eine an den Beschwerdeführer gerichtete ergänzende Auskunft vom selben Tag vor.

Im dazu gewährten Parteiengehör äußerte sich der Beschwerdeführer nicht.

B. Beschwerdegegenstand

Aufgrund des Beschwerdevorbringens ergibt sich, dass Gegenstand der Beschwerde die Frage ist, ob die Beschwerdegegnerinnen dem Beschwerdeführer aufgrund seiner Auskunftsbegehren vom 10. Dezember 2008 und vom 26. Jänner 2009 jeweils eine dem Gesetz entsprechende Auskunft erteilt haben.

C. Sachverhalt

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Die Erstbeschwerdegegnerin adressierte im November 2008 ein Werbeschreiben an den Arbeitgeber des Beschwerdeführers zu seinen Handen unter Verwendung seines zweiten Vornamens.

Daraufhin richtete der Beschwerdeführer mit E-Mail vom 10. Dezember 2008 folgendes Auskunftsbegehren an die Erstbeschwerdegegnerin:

„…

Heute erreichte mich an der Adresse meines Arbeitgebers (!) ein persönlich adressiertes, nicht exakt datiertes Werbeschreiben der [Erstbeschwerdegegnerin] ……

Ich fordere Sie daher hiermit als Privatperson entsprechend den Vorschriften des Datenschutzgesetzes (…) auf, mir mitzuteilen, …. woher die [Erstbeschwerdegegnerin] meinen zweiten Vornamen kennt, welche weiteren Daten die [Erstbeschwerdegegnerin] über mich vorhält und wie diese ermittelt … wurden ….“

Die Erstbeschwerdegegnerin teilte dem Beschwerdeführer mit E-Mails vom 22. und vom 23. Jänner 2009 zunächst mit, dass sie seine Daten für eine kommerzielle Werbezusendung von der Zweitbeschwerdegegnerin erworben habe.

Mit E-Mail vom 26. Jänner 2009 begehrte der Beschwerdeführer daher folgende Auskunft von der Zweitbeschwerdegegnerin:

„…

Mit 10.12.2008 habe ich an der Adresse meines Arbeitgebers zu meinen Handen adressiert eine Werbeaussendung der [Erstbeschwerdegegnerin] erhalten. Interessanter Weise war das Schreiben unter Verwendung meines zweiten Vornamens …. adressiert.

…

Daher frage ich nunmehr gemäß § 26 DSG an wie folgt:

….“

Beweiswürdigung: Diese Feststellungen ergeben sich jeweils aus den vom Beschwerdeführer mit seiner Beschwerde vorgelegten Schreiben.

Mit Schreiben vom 18. Februar 2009, vom 24. April 2009 und vom 13. Juli 2009 teilte die Zweitbeschwerdegegnerin dem Beschwerdeführer mit, dass seine Daten, sowohl in Bezug auf seine Arbeitgeberadresse als auch in Bezug auf seine Privatadresse, in ihrer Datenbank nicht enthalten seien.

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem von der Zweitbeschwerdegegnerin vorgelegten Schreiben vom 18. Februar 2009, vom 24. April 2009 und vom 13. Juli 2009.

Mit Schreiben vom 30. April 2009 teilte die Erstbeschwerdegegnerin dem Beschwerdeführer mit, dass sie seine Daten für die in Rede stehende Werbezusendung aus ihrem eigenen zum Arbeitgeber gespeicherten Datenbestand bezogen habe. Der Beschwerdeführer sei bis 12. November 2008 für seinen Arbeitgeber zeichnungsberechtigt gewesen. Die ursprünglich falsche Auskunft, die Daten seien von der Zweitbeschwerdegegnerin, werde bedauert. Weiters erteilte die Erstbeschwerdegegnerin dem Beschwerdeführer Auskunft über seine zu seinem Privatkonto gespeicherten Daten wie beispielsweise die Höhe seiner Ratingklasse. Sein zweiter Vorname wurde darin nicht genannt.

Mit Schreiben vom 26. Mai 2009 und vom 19. August 2009 erklärte die Erstbeschwerdegegnerin dem Beschwerdeführer die Bedeutung seiner genannten Risikoklasse. Weiters erteilte sie ihm auch Auskunft über seine – angesichts seiner Zeichnungsberechtigung – zum Firmenkonto seines Arbeitgebers gespeicherten Daten. Darunter befindet sich auch sein zweiter Vorname. Auch führte sie darin aus, dass die Herkunft seines zweiten Vornamens leider nicht mehr feststellbar sei. Möglicherweise sei dieser vom Beschwerdeführer z.B. im Zuge seiner Identifizierung selbst bekannt gegeben worden.

Beweiswürdigung: Diese Feststellungen ergeben sich aus den von der Erstbeschwerdegegnerin vorgelegten Schreiben vom 30. April 2009, vom 26. Mai 2009 und vom 19. August 2009.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die hier wesentlichen Bestimmungen des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idgF (DSG 2000), lauten auszugsweise:

㤠1.

…..

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

…..

§ 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.

Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit

(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

….“

2. rechtliche Schlussfolgerungen

Zur Erstbeschwerdegegnerin

Der Beschwerdeführer behauptet zunächst eine Verletzung in seinem Recht auf Auskunft, weil die Erstbeschwerdegegnerin ihm nicht mitgeteilt habe, woher ihr der Name des Beschwerdeführers, insbesondere sein zweiter Vorname, als Ansprechperson seines Arbeitgebers bekannt sei. Im Laufe des Verfahrens vor der Datenschutzkommission behauptet der Beschwerdeführer weiters eine Verletzung in seinem Recht auf Auskunft, weil die Auskunft der Erstbeschwerdegegnerin in Bezug auf sein „Rating“ nicht verständlich sei.

Die Erstbeschwerdegegnerin hat dem Beschwerdeführer nach Beschwerdeerhebung, aber noch vor Bescheiderlassung – in Korrektur zu ihrer bisherigen Auskunft vom 22. und vom 23. Jänner 2009, sie habe seine Adressdaten von der Zweitbeschwerdegegnerin bezogen – mitgeteilt, dass sie seinen Namen in Zusammenhang mit seinem Arbeitgeber aus ihrem eigenen zu dieser Firma gespeicherten Datenbestand bezogen habe. Der Beschwerdeführer sei nämlich bis 12. November 2008 für diese Firma zeichnungsberechtigt gewesen. Die Herkunft des darin gespeicherten zweiten Vornamens des Beschwerdeführers sei für sie allerdings nicht mehr feststellbar, möglicherweise habe der Beschwerdeführer diesen selbst im Zuge einer Identifizierung bekanntgegeben. Auch erklärte die Erstbeschwerdegegnerin dem Beschwerdeführer die Bedeutung der Risiko- bzw. Ratingklassen. Dass ein datenschutzrechtlicher Auftraggeber eine ursprünglich nicht vollständig erbrachte Auskunft durch spätere Auskunft „sanieren“ kann, ist von der Datenschutzkommission in ständiger Spruchpraxis anerkannt:

„Die Nichteinhaltung der achtwöchigen Frist stellt nach ständiger Rechtsprechung der Datenschutzkommission zwar eine Verletzung im Recht auf Auskunft dar, die aber durch Nachholung der Auskunftserteilung bis zum Ende des Verfahrens vor der Datenschutzkommission sanierbar ist“ (vgl. u.a. den Bescheid der Datenschutzkommission vom 22. Oktober 2008, GZ: K121.387/0020-DSK/2008).

Der Beschwerdeführer bestreitet nun die Richtigkeit der Angabe der Erstbeschwerdegegnerin, es sei die Herkunft des zweiten Vornamens nicht mehr feststellbar, mit der Begründung, es sei der Erstbeschwerdegegnerin bekannt gewesen, dass sein Arbeitgeber den zweiten Vornamen nicht gekannt habe.

Mit diesem Vorbringen übersieht der Beschwerdeführer aber, dass die Erstbeschwerdegegnerin gar nicht behauptet hat, dass sein zweiter Vorname von seinem Arbeitgeber bekanntgegeben worden ist, sondern lediglich ausgeführt hat, dass sie diesen in Zusammenhang mit den zu seinem Arbeitgeber verarbeiteten Daten speichert. Inwiefern die Unkenntnis seines zweiten Vornamens durch seinen Arbeitgeber Indiz dafür sein soll, dass die Erstbeschwerdegegnerin – entgegen ihrer Auskunft – die Herkunft seines im Arbeitgeberdatenbestand gespeicherten zweiten Vornamens sehr wohl gespeichert haben soll, ist für die Datenschutzkommission jedenfalls nicht ersichtlich. Auch ist ein vom Beschwerdeführer in diesem Zusammenhang behaupteter Systemabgleich der beiden Datenbestände (Arbeitgeberkonto und Privatkonto) im Hinblick darauf, dass sein zweiter Vorname allein im Arbeitgeberdatenbestand – welcher Grundlage für die Werbezusendung war – gespeichert ist, nicht erkennbar. Die Durchführung einer Systemprüfung – wie vom Beschwerdeführer beantragt – war daher nach Ansicht der Datenschutzkommission schon allein aus diesem Grund nicht erforderlich.

Sonstige Gründe, die die Richtigkeit dieser bzw. der übrigen Auskunft in Zweifel ziehen könnten, sind nicht hervorgekommen und wurden vom Beschwerdeführer auch nicht behauptet. Es besteht daher auch kein Anlass an der Vollständigkeit der Auskunft, insbesondere an der Glaubwürdigkeit des Vorbringens der Erstbeschwerdegegnerin, die Herkunft des zweiten Vornamens des Beschwerdeführers sei nicht mehr feststellbar, zu zweifeln, da nach § 26 Abs. 1 DSG 2000 nur die verfügbaren Informationen über die Herkunft von Daten offenzulegen sind. Die Beschwerde gegen die Erstbeschwerdegegnerin erweist sich daher im hier relevanten Zeitpunkt als nicht berechtigt, weshalb spruchgemäß zu entscheiden war.

Zur Zweitbeschwerdegegnerin:

Im vorliegenden Fall behauptet der Beschwerdeführer eine Verletzung in seinem Recht auf Auskunft durch die Zweitbeschwerdegegnerin, weil diese ihm in Widerspruch zur Auskunft der Erstbeschwerdegegnerin vom 22. und vom 23. Jänner 2009 unrichtig mitgeteilt habe, dass sie seine Adressdaten nicht speichere. Weiters habe die Zweitbeschwerdegegnerin dem Beschwerdeführer auch keine Auskunft in Bezug auf die Herkunft der Daten und ihrer Übermittlungsempfänger erteilt.

Die Erstbeschwerdegegnerin hat – wie bereits oben ausgeführt – ihre bisherige Auskunft, sie habe die Adressdaten des Beschwerdeführers von der Zweitbeschwerdegegnerin erhalten, als unrichtig widerrufen und damit diese vom Beschwerdeführer behauptete Unschlüssigkeit der Auskunft der Zweitbeschwerdegegnerin widerlegt.

Sonstige Gründe, die die Richtigkeit der Auskunft der Zweitbeschwerdegegnerin in Zweifel ziehen könnten, sind für die Datenschutzkommission nicht ersichtlich und wurden vom Beschwerdeführer auch nicht behauptet. Es besteht daher kein Anlass, an der Richtigkeit der Auskunft der Zweitbeschwerdegegnerin, sie verarbeite zum Namen des Beschwerdeführers weder in Bezug auf seine Arbeitgeberadresse noch in Bezug auf seine Privatadresse Daten, zu zweifeln. Eine Auskunft über die Herkunft dieser nicht vorhandenen Daten und ihrer Übermittlungsempfänger erübrigt sich daher von selbst. Die Beschwerde gegen die Zweitbeschwerdegegnerin erweist sich daher ebenso als unbegründet, weshalb spruchgemäß zu entscheiden war.