K121.550/0017-DSK/2009 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER und Dr. HEISSENBERGER sowie der Schriftführerin Mag. KIMM in ihrer Sitzung vom 16. Dezember 2009 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerden des Heinrich R*** (Beschwerdeführer) gegen die X*** GmbH (Beschwerdegegnerin) 1. vom 13. August 2009 wegen einer behaupteten Verletzung im Recht auf Auskunft und 2. vom 24. September 2009 wegen einer behaupteten Verletzung im Recht auf Geheimhaltung wird wie folgt entschieden:

1. Die Beschwerde wegen einer behaupteten Verletzung im Recht auf Auskunft wird als unbegründet abgewiesen.

2. Die Beschwerde wegen einer behaupteten Verletzung im Recht auf Geheimhaltung wird infolge Unzuständigkeit zurückgewiesen.

R e c h t s g r u n d l a g e n: §§ 1 Abs.1, 1 Abs. 3 Z 1, 1 Abs. 5, 26, 31 Abs. 1 und 2 des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idgF (DSG 2000).

B e g r ü n d u n g

A. Vorbringen der Parteien und Verfahrensgang

Der Beschwerdeführer behauptet in seiner Beschwerde vom 13. August 2009 eine Verletzung in seinem Recht auf Auskunft. Die Beschwerdegegnerin sei seinem Auskunftsbegehren vom 1. März 2009 mit Schreiben vom 4. März 2009 nur unzureichend nachgekommen.

Mit ihrer Stellungnahme vom 21. August 2009 legte die Beschwerdegegnerin eine ergänzende Auskunft vom selben Tag vor.

In seiner Eingabe vom 24. September 2009 führte der Beschwerdeführer dazu aus, er habe diese – ihm von der Datenschutzkommission übermittelte – Auskunft vom 21. August 2009 der Beschwerdegegnerin nicht erhalten, weil sie an eine falsche E-Mail Adresse gerichtet gewesen sei. Es handle sich hierbei um keinen sorgfältigen Umgang mit seinen Daten und protestiere er gegen diese Vorgangsweise. Die Datenschutzkommission hat dieses Vorbringen als eine neue Beschwerde wegen einer behaupteten Verletzung im Recht auf Geheimhaltung gewertet. Weiters brachte der Beschwerdeführer in dieser Eingabe vor, im Übrigen entspreche das E-Mail vom 21. August 2009 auch nicht zur Gänze seinem Auskunftsbegehren, weil darin lediglich die Art der verarbeiteten Daten angeführt würden, nicht jedoch die Daten selbst. Auch sei diese Auskunft nicht von der Beschwerdegegnerin, sondern – wie aus der verwendeten Signatur ersichtlich sei – von der Y*** GmbH beantwortet worden. Weder sei im bisherigen Schreiben eine Datenübermittlung an die Y*** GmbH erwähnt, noch die Y*** GmbH als Dienstleister der X*** GmbH angeführt worden. Laut Auskunft sei die einzige Datenübermittlung an die Hausverwaltung O*** erfolgt. Sollten diese Angaben richtig sein, so müssten seine Daten zum Jahreswechsel 2007/2008 an die neue Hausverwaltung weitergegeben worden sein. Um das zu klären, bedürfte es einer Auskunftsanfrage an die Hausverwaltung O*** und könne erst dann eine Beurteilung über die Richtigkeit und Vollständigkeit der gegenständlichen Auskunft von seiner Seite erfolgen.

Mit Stellungnahme vom 14. Oktober 2009 legte die Beschwerdegegnerin ihre nunmehr an den Beschwerdeführer gerichtete ergänzende Auskunft vom selben Tag vor. Darin bringt diese u.a. vor, dass die Auskunft vom 21. August 2009 aufgrund eines Versehens eines Mitarbeiters, der auch für die Y*** GmbH tätig sei, mit der Signatur der Y*** GmbH versehen worden sei.

Dazu wurde dem Beschwerdeführer Parteiengehör gewährt. Der Beschwerdeführer hat sich dazu nicht geäußert.

B. Beschwerdegegenstand

Aufgrund des Beschwerdevorbringens ergibt sich, dass Gegenstand der Beschwerde die Frage ist, ob die Beschwerdegegnerin 1. dem Beschwerdeführer auf sein Auskunftsbegehren vom 1. März 2009 eine dem Gesetz entsprechende Auskunft erteilt hat und 2. den Beschwerdeführer durch die Übermittlung der ergänzenden Auskunft vom 21. August 2009 an eine dem Beschwerdeführer nicht zuordenbare E-Mail Adresse in seinem Recht auf Geheimhaltung verletzt hat.

C. Sachverhalt

Aufgrund des Vorbringens der Parteien ist von folgendem Sachverhalt auszugehen:

Der Beschwerdeführer begehrte mit Schreiben vom 1. März 2009 von der Beschwerdegegnerin u.a. Auskunft über die zu seiner Person verarbeiteten Daten, über die Herkunft und die Empfänger dieser Daten sowie über die Rechtsgrundlage und den Zweck der Datenverwendung.

Daraufhin teilte die Beschwerdegegnerin dem Beschwerdeführer mit Schreiben vom 4. März 2009 allgemein mit, dass sie seine Daten lediglich im Rahmen des Vertragsverhältnisses verwende. Die Verwendung seiner Daten erfolge zur Erfüllung der vertraglichen Verpflichtung zwischen der Beschwerdegegnerin und dem Beschwerdeführer und müsse aufgrund gesetzlicher Vorschriften aufbewahrt werden.

Beweiswürdigung: Diese Feststellungen ergeben sich aus den mit der Beschwerde vorgelegten Schreiben.

Mit E-Mail vom 21. August 2009 richtete die Beschwerdegegnerin zwar eine ergänzende Auskunft an den Beschwerdeführer, adressierte diese allerdings an eine dem Beschwerdeführer nicht zuordenbare E-Mail Adresse. Darüber hinaus wurde diese Auskunft aufgrund eines Versehens eines Mitarbeiters der Beschwerdegegnerin, der auch für die Y*** GmbH tätig ist, mit der Signatur der Y*** GmbH, anstelle jener der Beschwerdegegnerin, versehen.

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem vorgelegten E-Mail der Beschwerdegegnerin vom 21. August 2009, dem Vorbringen des Beschwerdeführers in seiner Eingabe vom 24. September 2009 sowie dem unbestrittenen Vorbringen der Beschwerdegegnerin in ihrer Stellungnahme vom 14. Oktober 2009.

Über Aufforderung der Datenschutzkommission teilte die Beschwerdegegnerin dem Beschwerdeführer mit Schreiben vom 14. Oktober 2009 ergänzend mit, dass sie den Namen des Beschwerdeführers, sein Geburtsdatum, seine Wohnadresse, seine Telefonnummer und seine E-Mail Adresse verarbeite. Diese Daten habe die Beschwerdegegnerin vom Beschwerdeführer aufgrund des von ihm unterfertigten, der Auskunft angeschlossenen Übergabeprotokolls vom 28. September 2007 in Bezug auf einen vom Beschwerdeführer angemieteten Stellplatz erhalten und seien diese Daten darin auch für den Beschwerdeführer konkret ersichtlich. Diese Auskunft enthält die Signatur der Beschwerdegegnerin. Dem Schreiben liegt eine Kopie des E-Mails vom 21. August 2009 bei. Darin wird ausgeführt, dass diese Daten an die zuständige Hausverwaltung, Gebäudeverwaltung O***, weitergeleitet worden seien.

Die Beschwerdegegnerin legte dieser Auskunft das vom Beschwerdeführer unterzeichnete Übergabeprotokoll vom 28. September 2007 in Bezug auf einen vom Beschwerdeführer angemieteten Stellplatz bei. Darin findet sich konkret der Name des Beschwerdeführers, dessen Geburtsdatum, dessen Wohnadresse, dessen Telefonnummer und dessen E-Mail Adresse.

Beweiswürdigung: Diese Feststellungen ergeben sich aus den von der Beschwerdegegnerin vorgelegten E-Mails bzw. Schreiben vom 21. August 2009 und vom 14. Oktober 2009 sowie dem darin vorgelegten Übergabeprotokoll vom 28. September 2007. Der Beschwerdeführer hat sich zu dieser Auskunft im Parteiengehör nicht geäußert.

Die Beschwerdegegnerin ist eine in Form des Privatrechts eingerichtete Gesellschaft mit beschränkter Haftung, die das Gewerbe der Immobilientreuhänder betreibt.

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Firmenbuch (Stichtag 28. September 2009).

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die hier wesentlichen Bestimmungen des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idgF (DSG 2000), lauten auszugsweise:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

…..

(5) Gegen Rechtsträger, die in Formen des Privatrechts eingerichtet sind, ist, soweit sie nicht in Vollziehung der Gesetze tätig werden, das Grundrecht auf Datenschutz mit Ausnahme des Rechtes auf Auskunft auf dem Zivilrechtsweg geltend zu machen. In allen übrigen Fällen ist die Datenschutzkommission zur Entscheidung zuständig, es sei denn, daß Akte der Gesetzgebung oder der Gerichtsbarkeit betroffen sind.

…

§ 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

…

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

….

§ 31. (1) Die Datenschutzkommission erkennt auf Antrag des Betroffenen über behauptete Verletzungen des Rechtes auf Auskunft gemäß § 26 durch den Auftraggeber einer Datenanwendung, soweit sich das Auskunftsbegehren nicht auf die Verwendung von Daten für Akte der Gesetzgebung oder der Gerichtsbarkeit bezieht.

(2) Zur Entscheidung über behauptete Verletzungen der Rechte eines Betroffenen auf Geheimhaltung, auf Richtigstellung oder auf Löschung nach diesem Bundesgesetz ist die Datenschutzkommission dann zuständig, wenn der Betroffene seine Beschwerde gegen einen Auftraggeber des öffentlichen Bereichs richtet, der nicht als Organ der Gesetzgebung oder der Gerichtsbarkeit tätig ist.“

2. rechtliche Schlussfolgerungen

Zu Spruchpunkt 1.

Der Beschwerdeführer behauptet eine Verletzung in seinem Recht auf Auskunft, weil die Beschwerdegegnerin auf sein Auskunftsbegehren vom 1. März 2009 mit Schreiben vom 4. März 2009 nur unzureichend geantwortet habe.

Die Beschwerdegegnerin hat dem Beschwerdeführer daraufhin nach Beschwerdeerhebung, aber noch vor Bescheiderlassung eine ergänzende Auskunft erteilt. Dass ein datenschutzrechtlicher Auftraggeber eine ursprünglich nicht vollständig erbrachte Auskunft durch spätere Auskunft „sanieren“ kann, ist von der Datenschutzkommission in ständiger Spruchpraxis anerkannt:

„Die Nichteinhaltung der achtwöchigen Frist stellt nach ständiger Rechtsprechung der Datenschutzkommission zwar eine Verletzung im Recht auf Auskunft dar, die aber durch Nachholung der Auskunftserteilung bis zum Ende des Verfahrens vor der Datenschutzkommission sanierbar ist“ (vgl. u.a. den Bescheid der Datenschutzkommission vom 22. Oktober 2008, GZ: K121.387/0020-DSK/2008).

Der Beschwerdeführer bestreitet die Vollständigkeit der erteilten Auskunft mit der Begründung, die Auskunft enthalte nach wie vor lediglich die Datenarten wie „Name, Geburtsdatum“ usw., nicht aber die Daten des Beschwerdeführers selbst.

Mit diesem Vorbringen übersieht der Beschwerdeführer aber, dass die Beschwerdegegnerin der zwar allgemein gehaltenen Auskunft vom 14. Oktober 2009 über die bei ihr verarbeiteten Datenarten den Zusatz angefügt hat, dass es sich dabei um die im – der Auskunft angeschlossenen – Übergabeprotokoll enthaltenen konkret aufgelisteten Daten des Beschwerdeführers handelt. Durch diesen Zusatz sowie den Umstand, dass das – die Daten des Beschwerdeführers auch tatsächlich enthaltende – Übergabeprotokoll der Auskunft auch angeschlossen war, wurde der Beschwerdeführer aber ohne weiteres in die Lage versetzt, zu erfahren, welche ihn betreffenden personenbezogenen Daten bei der Beschwerdegegnerin gespeichert sind. Es besteht daher von Seiten der Datenschutzkommission kein Anlass an der Verständlichkeit und Vollständigkeit dieser Auskunft in diesem Punkt zu zweifeln.

Dasselbe gilt für die erteilte Auskunft in Bezug auf die Empfänger seiner Daten. Dazu teilte die Beschwerdegegnerin dem Beschwerdeführer nämlich in der ergänzenden Auskunft glaubhaft mit, dass seine Daten an die Hausverwaltung O*** weitergeleitet worden seien. Inwiefern nun der vom Beschwerdeführer aufgeworfene Umstand, dass die Hausverwaltung O*** seine Daten allenfalls an die neue Hausverwaltung weitergeleitet haben soll, Indiz für die Unrichtigkeit und Unvollständigkeit der gegenständlichen Auskunft sein soll, ist für die Datenschutzkommission allerdings nicht ersichtlich. Letztendlich ist der Auftraggeber nach § 26 DSG 2000 lediglich verpflichtet, die Empfänger der Daten durch seine Übermittlungen, nicht aber die Empfänger von Daten der Übermittlungen anderer Auftraggeber zu beauskunften.

Eine Übermittlung an die Y*** GmbH hat nicht stattgefunden, deren Signatur wurde nur aufgrund eines Versehens eines Mitarbeiters der Beschwerdegegnerin, der auch für die Y*** GmbH tätig ist, verwendet.

Gründe, die ansonsten die Vollständigkeit und Richtigkeit der Auskunft in Zweifel ziehen könnten, sind für die Datenschutzkommission nicht ersichtlich und wurden solche vom Beschwerdeführer im Übrigen auch gar nicht (mehr) behauptet.

Da die Beschwerdegegnerin dem Auskunftsbegehren des Beschwerdeführers aber somit im hier relevanten Zeitpunkt entsprochen hat, war spruchgemäß zu entscheiden.

Zu Spruchpunkt 2.

Der Beschwerdeführer behauptet in seiner Beschwerde vom 24. September 2009 eine Verletzung in seinem Recht auf Geheimhaltung, weil die ergänzende Auskunft vom 21. August 2009 und damit seine Daten an eine ihm nicht zurechenbare E-Mail Adresse übermittelt wurde.

Wie aus den §§ 1 Abs. 5 iVm 31 Abs. 2 DSG 2000 hervorgeht, ist die Datenschutzkommission zur Entscheidung über behauptete Verletzungen im Recht auf Geheimhaltung durch Auftraggeber des privaten Bereichs unzuständig. Da es sich bei der Beschwerdegegnerin um eine in Form des Privatrechts eingerichtete Gesellschaft mit beschränkter Haftung handelt, die auch nicht in Vollziehung der Gesetze tätig ist, war die Beschwerde dementsprechend infolge Unzuständigkeit der Datenschutzkommission zurückzuweisen.