K121.596/0007-DSK/2010 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. ROSENMAYR-KLEMENZ, Dr. SOUHRADA-KIRCHMAYER, Mag. ZIMMER, Mag. HUTTERER, und Dr. HEISSENBERGER sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 12. Mai 2010 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde der Brigitte S*** in Wien (Beschwerdeführerin), vertreten durch Dr. Horst R***, Rechtsanwalt in Wien, vom 9. Februar 2010, gegen die Y*** Ges.m.b.H. in Wien (Beschwerdegegnerin), vertreten durch Mag. Dr. Jara M***, Rechtsanwältin in ***, wegen Verletzung im Recht auf Auskunft wird entschieden:

Rechtsgrundlagen: § 1 Abs. 3 Z 1, §§ 26 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF.

B e g r ü n d u n g

A. Verfahrensgang und Vorbringen der Parteien

1. Der Beschwerdeführerin behauptet, rechtsanwaltlich vertreten, eine Verletzung im Recht auf Auskunft nach § 1 Abs. 3 Z 1 iVm § 26 DSG 2000 dadurch, dass ihrem eingeschriebenen Auskunftsbegehren (samt Identitätsnachweis) vom 25. November 2009 binnen der gesetzlichen Frist nicht nachgekommen worden sei.

2. Die mit den Vorwürfen konfrontierte Beschwerdegegnerin brachte der Datenschutzkommission ein Auskunftsschreiben vom 1. März 2010 direkt an die Beschwerdeführerin zur Kenntnis.

3. Im dazu gewährten Parteiengehör äußerte sich die Beschwerdeführerin nicht.

B. Beschwerdegegenstand

Auf Grund des Vorbringens der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin auf das Begehren der Beschwerdeführerin vom 25. November 2009 rechtmäßig iSd DSG 2000 reagiert hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Am 25. November 2009 richtete die Beschwerdeführerin, bereits rechtsanwaltlich vertreten, ein Auskunftsbegehren unter Beilage eines Schreibens der Beschwerdegegnerin sowie einer Kopie ihres Reisepasses an die Beschwerdegegnerin mit folgendem wesentlichen Inhalt:

„… Sie haben meiner Mandantin das angeschlossene Schreiben unaufgefordert und unberechtigterweise übermittelt. Dazu halte ich … fest, dass sie Ihrem Unternehmen bislang keine persönlichen Daten … zur Verfügung gestellt und auch Dritte, die über die Daten meiner Mandantin verfügen, nicht zu deren Weiterleitung an Sie berechtigt hat. …

Vor dem dargestellten Hintergrund und unter Berufung auf § 26 DSG fordert Sie meine Mandantin einmalig dazu auf, Folgendes unverzüglich bekannt zu geben:

…“

Die Beschwerdegegnerin reagierte zunächst nicht auf das Begehren der Beschwerdeführerin, beantwortete es schließlich mit Schreiben vom 1. März 2010 im Wesentlichen wie folgt:

„Sehr geehrter Herr Kollege!

Im Hinblick auf die Beschwerde wegen Verletzung des Auskunftsrechtes gemäß § 26 DSG 2000 halte ich wie mündlich bereits besprochen auch schriftlich fest, dass meine Mandantschaft [Beschwerdegegnerin] … mit der Werbung und dem Marketing für das Unternehmen [Beschwerdegegnerin] die Firma K*** – beauftragt hatte.

Frau K*** teilte mit, dass ein lang erarbeiteter Kundenstock bestehen würde und man bereits lange Erfahrung auf dem Gebiete der Werbung und des Marketings hätte.

Das inkriminierte Schreiben an Frau Brigitte S*** wurde von Frau K*** als beauftragte Werkunternehmerin erstellt und in weiterer Folge auch von ihr verschickt.

Aufgrund Ihrer Intervention stellte sich heraus, dass offenbar Kundendaten der Firma C*** GmbH von Frau K*** auf welche Weise immer rechtsmissbräuchlich verwendet wurden und die Daten der Kunden aus einer Datei stammen.

Meiner Mandantschaft war dies nicht bekannt, die Schreiben wurden von Frau K*** ausgesendet, die GF … hat keine firmenmäßige Fertigung auf diesen Schreiben angebracht, auch waren die Briefe nicht auf Firmenbriefpapier gedruckt. Dieser Umstand wird sich von Ihnen sicherlich leicht verifizieren lassen, zumal Ihnen das Original vorliegt.

Soferne weitere Informationen gewünscht werden darf ich um sofortige Rückäußerung ersuchen …“

Beweiswürdigung: Diese Feststellungen ergeben sich aus den jeweiligen Schreiben selbst. Die Beschwerdeparteien haben insbesondere den jeweiligen Zugang der Schreiben nicht bestritten.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmung des § 1 DSG 2000 lautet auszugsweise:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten. …“

§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Er lautet im Wesentlichen wie folgt:

„Auskunftsrecht

§ 26. (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Auskunftswerbers aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.

Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit

1. des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich oder

2. der Sicherung der Einsatzbereitschaft des Bundesheeres oder

3. der Sicherung der Interessen der umfassenden Landesverteidigung oder

4. des Schutzes wichtiger außenpolitischer, wirtschaftlicher oder finanzieller Interessen der Republik Österreich oder der Europäischen Union oder

5. der Vorbeugung, Verhinderung oder Verfolgung von Straftaten

ergeben. Die Zulässigkeit der Auskunftsverweigerung aus den Gründen der Z 1 bis 5 unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission gemäß § 31 Abs. 4.

(3) Der Auskunftswerber hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

…“

§ 31 Abs. 8 DSG 2000 lautet:

„(8) Ein Beschwerdegegner, gegen den wegen Verletzung in Rechten nach den §§ 26 bis 28 Beschwerde erhoben wurde, kann bis zum Abschluss des Verfahrens vor der Datenschutzkommission durch Reaktionen gegenüber dem Beschwerdeführer gemäß § 26 Abs. 4 oder § 27 Abs. 4 die behauptete Rechtsverletzung nachträglich beseitigen. Erscheint der Datenschutzkommission durch derartige Reaktionen des Beschwerdegegners die Beschwerde als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzkommission das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.“

2. Rechtliche Schlussfolgerungen:

Die Beschwerdeführerin bezog sich in ihrem Auskunftsbegehren vom 25. November 2009 auf § 26 DSG 2000 und stellte dazu die Fragen nach der Herkunft, der Rechtsgrundlage und dem Zweck der Verwendung, den Übermittlungsempfängern der Daten sowie nach allenfalls beauftragten Dienstleistern. Sie machte gegenüber der Datenschutzkommission in ihrer Beschwerde vom 9. Februar 2010 eine Verletzung in ihrem Recht auf Auskunft geltend, weil die Beschwerdegegnerin auf ihr Auskunftsbegehren nicht reagiert habe.

Nunmehr hat die Beschwerdegegnerin zwar nach Beschwerdeerhebung, aber noch vor Bescheiderlassung eine Auskunft erteilt. Dass eine nach Beschwerdeerhebung, aber noch vor Bescheiderlassung erteilte Auskunft eine ursprünglich nicht erbrachte Auskunft „sanieren“ kann, ist sowohl von der Datenschutzkommission in ständiger Spruchpraxis anerkannt (vgl. für viele zB den Bescheid vom 18. September 2009, GZ K121.537/0013-DSK/2009, mwH) als auch nunmehr vom Gesetzgeber so vorgesehen (vgl. § 31 Abs. 8 erster Satz DSG 2000 idF der DSG-Novelle 2010).

Die Beschwerdeführerin hat im Parteiengehör auch nicht bestritten, dass ihr diese nachträgliche Auskunft vom 1. März 2010 zugekommen sei. Auch zum Inhalt der Auskunft gab sie keine Stellungnahme ab. Eine Unrichtigkeit oder Unvollständigkeit der Auskunft ist auch für die Datenschutzkommission nicht erkennbar, zumal die Auskunft das gesamte Geschehen umschreibt. Demzufolge wurde ein Dienstleister, der genannt wird, mit einer Aussendung zu Marketingzwecken beauftragt. Auch wird die Herkunft der Daten beim Dienstleister sowie der Umstand genannt, dass die Daten ua. der Beschwerdeführerin physisch nie an die Beschwerdegegnerin gelangt sind und demzufolge keine Übermittlungsempfänger der Daten der Beschwerdeführerin gegeben sein können. Die Rechtmäßigkeit der Herkunft der Daten ist nicht Gegenstand eines Verfahrens wegen behaupteter Verletzung im Recht auf Auskunft.

Da die Beschwerdegegnerin mit dieser Auskunft vor dem Abschluss dieses Verfahrens durch Reaktionen gegenüber der Beschwerdeführerin [Anmerkung Bearbeiter: im Original in Folge offenkundigen Redaktionsversehens: "Beschwerdegegnerin"] gemäß § 26 Abs. 4 DSG 2000 die behauptete Rechtsverletzung nachträglich beseitigte, war die Beschwerde spruchgemäß abzuweisen.