[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
B E S C H E I D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. SOUHRADA-KIRCHMAYER, Dr. ROSENMAYR-KLEMENZ, Mag. HUTTERER, Mag. ZIMMER und Dr. GUNDACKER sowie der Schriftführerin Mag. HAJICEK in ihrer Sitzung vom 15. April 2011 folgenden Beschluss gefasst:
S p r u c h
Über die Beschwerde des Egon R*** in Wien (Beschwerdeführer) vom 20. Oktober 2010, gegen die X*** AG in Wien (Beschwerdegegnerin), wegen Verletzung im Recht auf Auskunft (inhaltliche Mangelhaftigkeit der Auskunft) wird entschieden:
Rechtsgrundlagen: § 1 Abs. 3 Z 1, § 26 und § 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF.
B e g r ü n d u n g:
A. Verfahrensgang und Vorbringen der Parteien
1. Der Beschwerdeführer erhob am 20. Oktober 2010 gegen die X*** AG (Beschwerdegegnerin) Beschwerde an die Datenschutzkommission und behauptete darin eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin in Programmen namens „AAA“ und „BBB“ Notizen über Kundenkontakte speichere, auf ein Auskunftsersuchen in der Auskunft aber nur eine Übersicht seiner Anrufe (einige seien als „Drohanrufe“ bezeichnet) übermittelt habe.
2. Nach entsprechenden Verbesserungsauftrag ergänzte der Beschwerdeführer sein Vorbringen mit Schreiben vom 25. Oktober 2010 dahingehend, dass er sowohl sein Auskunftsbegehren an die Beschwerdegegnerin vom 5. August 2010 (samt Identitätsnachweis in Form einer Lichtbildausweiskopie sowie des Faxsendeberichts) als auch deren Auskunft vom 28. September 2010 samt Beilagen (Aufschlüsselung der Kontakte) übermittelte.
3. Mit den Vorwürfen konfrontiert, gab die Beschwerdegegnerin in ihrer Stellungnahme vom 12. November 2010 an, dass dem Beschwerdeführer sämtliche Kontakte zwischen dem Kunden und den für den jeweiligen Kundenkontakt zuständigen MitarbeiterInnen, nach Datum, Kommunikationsmittel und stichwortartiger Themendarstellung aus den Systemen „AAA“ und „BBB“, übermittelt worden seien. Darüber hinaus allenfalls noch bestehende Gedächtnisnotizen, Arbeitsanweisungen etc. würden nur der internen Arbeitsentwicklung und -erleichterung dienen und nur Daten der MitarbeiterInnen bzw. der Beschwerdegegnerin darstellen. Darüber hinaus würde die vollständige Darstellung zwangsläufig einen unverhältnismäßigen Arbeitsaufwand der Beschwerdegegnerin bedingen, weshalb die Pflicht zur Auskunftserteilung iS einer Interessenabwägung des § 26 Abs. 2 DSG 2000 eingeschränkt sei.
4. Mit Schreiben vom 12. November 2010 teilte die Beschwerdegegnerin dies auch dem Beschwerdeführer mit.
5. Mit E-Mail vom 24. Dezember 2010 lud die Beschwerdegegnerin den Beschwerdeführer zur Mitwirkung am Auskunftsverfahren ein, um den mit seinem Auskunftsbegehren vom 5. August 2010 „zwangsläufig verbundenen beträchtlichen Aufwand in einem gerechtfertigten und verhältnismäßigen Ausmaß zu halten“, und ersuchte ihn, bekannt zu geben, an welchen Auskünften konkret (Vorgang, Datum, Uhrzeit etc.) er interessiert sei.
6. Der Beschwerdeführer schränkte auf keine genauen Vorgänge ein, bot aber an, entweder eine komplette Liste der Einträge oder die Einsicht in „AAA“ und „BBB“ (mit Ausdruck der für ihn wichtigen Einträge) zu erhalten (Mail vom 10. Jänner 2011).
7. Mit Mail vom 12. Jänner 2011 ersuchte die Beschwerdegegnerin den Beschwerdeführer erneut, sein Auskunftsbegehren einzugrenzen/zu konkretisieren, etwa durch Kundennummer, Datum und Thema. Darüber hinaus wies die Beschwerdegegnerin erstmals mit Bezug auf § 26 Abs. 6 DSG 2000 darauf hin, dass aufgrund des enormen Arbeitsaufwandes ein im vorhinein an sie zu überweisender höherer Kostenersatz (Arbeitsstunden, Arbeitsmaterial, Briefporto) in Rechnung zu stellen wäre.
8. Der Beschwerdeführer entgegnete mit Mail vom selben Tag, ihm vor Ort Einsicht zu gewähren, stelle für die Beschwerdegegnerin bestimmt keinen hohen Aufwand dar. Wenn er wissen würde, wann welche Informationen über ihn gespeichert worden seien, hätte er die Auskunft „selbstverständlich konkretisiert“. Bezahlen werde er für die Auskunft jedenfalls nichts.
9. Mit Mail vom 9. Februar 2011 an den Beschwerdeführer ergänzte die Beschwerdegegnerin ihr Mail vom 12. Jänner 2011 derart, dass sie zum höheren Kostenersatz auf den Begriff der „aktuellen Datenbestände“ und dabei auf die Belastung des Auftraggebers bei deren Auffindbarkeit bzw. die erläuternden Bemerkungen zur Regierungsvorlage zum DSG 2000 über das Auskunftsrecht hinwies, gleichzeitig aber angab, dem Beschwerdeführer bzgl. des höheren Kostenersatzes „sehr gerne entgegen kommen“ zu wollen. Erneut möge der Beschwerdeführer sein Auskunftsbegehren durch Nennung von Kundennummer, Zeitraum, Thema (gg. unter Zuhilfenahme der der Auskunft vom 28. September 2010 angeschlossenen Beilagen) konkretisieren bzw. eingrenzen.
10. Mit Mail vom 14. Februar 2011 teilte die Beschwerdegegnerin der Datenschutzkommission mit, dass sie den Beschwerdeführer überzeugen habe können, am Auskunftsverfahren mitzuwirken. Für die vom Kunden genannten Kundennummern und Zeiträume würden „so rasch wie möglich“, ohne Forderungen eines höheren Kostenersatzes, die gewünschten Daten zur Verfügung gestellt werden.
11. Nachdem eine solcherart angekündigte Auskunft nicht erteilt wurde, hat die Datenschutzkommission in einem Telefonat mit der Beschwerdegegnerin am 4. März 2011 eine interne Frist zur Erteilung der Auskunft bis 20. März 2011 (in Kopie auch an die Datenschutzkommission) gesetzt.
12. Mit Stellungnahme vom 25. März 2011 teilte die Beschwerdegegnerin mit, die Auskunft aus folgenden Gründen nicht zu erteilen: bei den Einträgen (in die gegenständlichen Datenanwendungen) sei bei einigen Anrufen die Bemerkung „Drohanruf“ angegeben, weitere Einträge wiesen auf nicht konfliktfreie Konversationen betreffend die Geschäftsbeziehung der Parteien hin. Hier sei daher das in § 26 Abs. 3 DSG 2000 normierte Schikaneverbot als Grenze des Auskunftsrechts erreicht.
Mit der Auskunftserteilung würde die Beschwerdegegnerin nämlich Geheimhaltungsinteressen ihrer betroffenen Mitarbeiter verletzen. Aus den Datenanwendungen sei ersichtlich, welche Mitarbeiter die jeweiligen Beschwerden des Beschwerdeführers behandelt hätten. Deren Geheimhaltungsinteresse würde das Interesse des Beschwerdeführers deutlich überwiegen. Es bliebe daher kein Anwendungsbereich für die Erteilung weiterer Auskünfte nach dem DSG.
Die Suche nach Daten des Beschwerdeführers in den vorhandenen Datenanwendungen hätte überdies durch nicht automationsunterstütztes Lesen der jeweiligen Protokolle zu erfolgen und stelle – auch weil ein untrennbarer Zusammenhang mit auf Mitarbeiter der Beschwerdegegnerin hinweisenden Datensätzen bestehe – einen unverhältnismäßigen Aufwand iSd § 26 Abs. 2 DSG 2000 (gemeint wohl: Abs. 3) dar. Bereits die bisher erfolgte Auskunftserteilung habe an Personalaufwand 17 Tage und an Sachaufwand Kopierpapier und Toner verursacht, was „zweifelsohne“ als unverhältnismäßig zu qualifizieren sei. Schließlich würden durch die weitere Auskunftserteilung auch Geschäfts- und Betriebsgeheimnisse der Beschwerdegegnerin verletzt, insbesondere deshalb, weil es auch einen „regen Informationsaustausch“ über die Geschäftsgebarung der Beschwerdegegnerin über Facebook, veranlasst durch den Beschwerdeführer, gäbe (dazu wurde ein Posting von der Website www.facebook.com beigelegt).
Weitere Auskünfte würden daher nicht erteilt.
13. Eine weitere Mitteilung an den Beschwerdeführer erfolgte seitens der Beschwerdegegnerin nicht mehr.
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin auf das Begehren des Beschwerdeführers vom 5. August 2010 vollständig und richtig iSd DSG 2000 Auskunft erteilt hat (in Bezug auf jene „Notizen über Kunden“, die in den Datenanwendungen „AAA“ und „BBB“ zum Beschwerdeführer gespeichert sind).
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende
Sachverhalt festgestellt:
Der Beschwerdeführer stellte am 5. August 2010 folgendes
Auskunftsbegehren an die Beschwerdegegnerin:
„Auskunft laut Datenschutzgesetz
Sehr geehrte Damen und Herren,
hiermit ersuche ich um Auskunft über all meine Person betreffenden Daten.
Diese hat folgendes zu Umfassen:
alle verarbeiteten Daten,
die dazu verfügbaren Herkunftsinformationen,
allfällige Übermittlungsempfänger(kreise),
den Datenverwendungszweck,
die Rechtsgrundlagen der Datenverwendung
Ich ersuche um Zusendung innerhalb der gesetzlichen Frist.“
Die Beschwerdegegnerin erteilte mit Schreiben vom 28. September 2010 zunächst folgende Auskunft:
„…in Beantwortung Ihres Schreiben vom 5. Aug. 2010 dürfen wir Sie informieren, dass X*** AG an die gesetzlichen Bestimmungen des Datenschutzgesetzes (DSG) 2010 sowie des Telekommunikationsgesetzes (TKG) 2003 gebunden ist.
Nachfolgend erlauben wir uns Sie über – Art der Daten und deren Behandlung – zu informieren:
Gemäß § 96 TKG 2003 dürfen Stammdaten, Verkehrsdaten, Standortdaten und Inhaltsdaten nur für Zwecke der Besorgung eines Kommunikationsdienstes ermittelt oder verarbeitet werden.
Stammdaten – personenbezogene Daten – dürfen gemäß § 92 TKG 2003 iVm den Allgemeinen Geschäftsbedingungen (AGB) nur für die Begründung, die Abwicklung, Änderung oder Beendigung der Rechtsbeziehungen zwischen dem Benutzer und dem Anbieter von Telekommunikationsdienstleistungen oder zur Erstellung und Herausgabe von Teilnehmerverzeichnissen erforderlich, gespeichert werden.
Stammdaten sind Familien- und Vorname, Geburtsdatum, akademischer Grad, Adresse, Teilnehmernummer, Bankverbindung, Kontaktinformationen, Informationen über Art und Inhalt des Vertragsverhältnisses und Bonität.
Gemäß § 97 TKG 2003 dürfen Stammdaten nur für den Zweck des Abschlusses, der Durchführung, Änderung oder Beendigung der Rechtsbeziehung (Vertrages) mit dem Teilnehmer, der Verrechnung der Entgelte, der Erstellung von Teilnehmerverzeichnissen und für die Erteilung von Auskünften an Notrufträger ermittelt und verarbeitet werden.
Stammdaten sind nach Beendigung der Rechtsbeziehung mit dem Teilnehmer zu löschen. Ausnahmen sind zulässig, wenn diese Daten noch benötigt werden, um Entgelte zu verrechnen oder einzubringen, Beschwerden zu bearbeiten oder sonstige gesetzliche Verpflichtungen zu erfüllen.
Verkehrsdaten sind gemäß § 92 TKG 2003 iVm den AGB, Daten, die zum Zwecke der Weiterleitung einer Nachricht an ein Kommunikationsnetz oder zum Zwecke der Fakturierung dieses Vorganges verarbeitet werden; diese sind aktive und passive Teilnehmernummern, Anschrift des Teilnehmers, Art des Endgerätes, Zeitpunkt und Dauer der Verbindungen, übermittelte Datenmenge, andere Zahlungsinformationen, wie die Bankverbindung, Ratenzahlung, Sperre, Kündigung, Portierung des Anschlusses sowie allfällige Mahnung.
Gemäß § 99 TKG 2003 dürfen Verkehrsdaten grundsätzlich nicht gespeichert werden und sind vom Betreiber unverzüglich zu löschen oder zu anonymisieren. Der Betreiber hat jedoch das Recht, sofern dies für Zwecke der Verrechnung von Entgelten, einschließlich der Entgelte für Zusammenschaltungen, erforderlich ist, die Verkehrsdaten bis zum Ablauf jener Frist zu speichern, innerhalb derer die Rechnung rechtlich angefochten werden oder der Anspruch auf Zahlung geltend gemacht werden kann. Wird ein Verfahren über die Höhe der Entgelte eingeleitet, dürfen die Daten bis zur endgültigen Entscheidung nicht gelöscht werden.
Verkehrsdaten dürfen gemäß § 96 TKG 2003 iVm den AGB mit Zustimmung des Teilnehmers zur Vermarktung für Zwecke der eigenen Telekommunikationsdienste verwendet werden.
In diesem Zusammenhang erteilt der Kunde gemäß unseren AGB seine jederzeit widerrufbare Zustimmung zur Verwendung der Stamm- und Verkehrsdaten zur bedarfsgerechten Angebotslegung, Servicierung und zur Bereitstellung von Diensten mit Zusatznutzen sowie zur Unterbreitung persönlicher Handy- sowie Produkt- und Serviceangebote durch X*** AG auch mittels SMS/MMS, E-Mail und Telefon sowie eine Übermittlung an die Konzernunternehmen und zum Zwecke der Einmeldung von Bonitätsdaten.
Standortdaten, sind gemäß § 92 TKG 2003, Daten, die in einem Kommunikationsnetz verarbeitet werden und die den geografischen Standort der Telekommunikationseinrichtung eines Nutzers eines öffentlichen Kommunikationsdienstes angeben.
Gemäß § 102 TKG 2003 dürfen andere Standortdaten als Verkehrsdaten nur verarbeitet werden wenn sie anonymisiert werden oder die Benutzer oder Teilnehmer eine jederzeit widerrufbare Einwilligung gegeben haben.
Inhaltsdaten sind gemäß § 92 TKG 2003, Inhalte übertragener Nachrichten und dürfen gemäß § 101 TKG 2003 nur für die Leistungserfüllung notwendige Dauer gespeichert werden.
Die Löschung der gespeicherten Inhaltsdaten erfolgt, sofern der Kunde die Möglichkeit hat, grundsätzlich vorher von diesem selbst bzw. nach Leistungserfüllung durch X*** AG automatisch.
Folgende Daten sind gespeichert:
[Es folgt eine Aufstellung der Datenarten und Daten]
Herkunft der Daten
Die Daten haben wir durch Bekanntgabe bei Vertragsabschluss und für das Erbringen unserer Dienste erhalten.
Zweck der Datenverwendung
Die ermittelten Daten werden von X*** AG zum Zweck der Erbringung von Telekommunikationsdienstleistungen verarbeitet.
Rechtsgrundlagen
Die Rechtsgrundlagen für die Verarbeitung Ihrer Daten durch uns sind Gewerbeberechtigungen für:
Content Providing, Dienstleistungen in der automatischen Datenverarbeitung und IT, Handelsgewerbe und Handelsagenten und den Betrieb eines Call-Centers.
DVR-Nummer
Unsere DVR-Nummer lautet: *******
Überlassung von Daten (Dienstleister)
Insoweit X*** AG Dienstleister in Anspruch nimmt, werden nur für das Erbringen der Dienstleistung erforderliche Daten dem jeweiligen Dienstleister überlassen, die dieser nach Erbringung des Werks unverzüglich zu löschen hat.
Löschung von Daten
Gemäß DSG 2010, TKG 2003 iVm den AGB werden Stammdaten im Sinne der gesetzlichen Bestimmungen spätestens sieben Jahre nach Abwicklung aller aus dem Vertragsverhältnis stammenden Ansprüche gelöscht.
In diesem Zusammenhang dürfen wir auch auf die gesetzlichen Vorschriften des § 132 Bundesabgabenordnung und § 212 Unternehmensgesetzbuch verweisen.
Verkehrsdaten werden im Sinne der gesetzlichen Bestimmungen binnen sechs Monaten nach Bezahlung der entsprechenden Entgelte gelöscht.
Im Falle von Einwendungen gegen in Rechnung gestellte Entgeltforderungen werden die Daten binnen sechs Monaten nach Vorliegen einer rechtskräftigen Entscheidung gelöst.“
Dieser Auskunft war als Beilagen jeweils eine Aufschlüsselung der Kontakte mit der Bezeichnung „Kontaktarten“ zu den folgenden Kundennummern aus den Systemen „AAA“ und „BBB“ angeschlossen:
Beweiswürdigung: Diese Feststellungen ergeben sich aus den Beilagen zur Beschwerde (Auskunftsbegehren; Auskunftsschreiben) selbst. Dass die Auflistung in der Beilage zum Auskunftsschreiben aus den Systemen „AAA“ und „BBB“ stammt, ergibt sich aus der Stellungnahme der Beschwerdegegnerin vom 12. November 2010.
Mit Schreiben vom 12. November 2010 ergänzte die Beschwerdegegnerin – im laufenden Verfahren vor der Datenschutzkommission – ihre Auskunft wie folgt:
„Bezug nehmend auf Ihre an die Datenschutzkommission gerichtete Beschwerde erlauben wir uns Sie zu informieren, dass wir Ihnen entgegen Ihrer Behauptung sehr wohl sämtliche Kontakte zwischen unserem Unternehmen und Ihnen, aus den Systemen AAA und BBB, ausgelistet nach Datum, Kommunikationsmittel und stichwortartiger Themendarstellung, übermittelt haben.
Allenfalls noch bestehende Gedächtnisnotizen, Arbeitsanweisungen etc. dienen bloß der internen Arbeitsabwicklung und -erleichterung und stellen somit Daten der MitarbeiterInnen bzw. des Unternehmens dar.“
Beweiswürdigung: Diese Feststellungen ergeben sich aus der Beilage zur Stellungnahme der Beschwerdegegnerin vom 18. November 2011.
Mit E-Mail vom 24. Dezember 2010 lud die Beschwerdegegnerin den Beschwerdeführer zur Mitwirkung am Auskunftsverfahren ein, um den mit seinem Auskunftsbegehren vom 5. August 2010 „zwangsläufig verbundenen beträchtlichen Aufwand in einem gerechtfertigten und verhältnismäßigen Ausmaß zu halten“, und ersuchte ihn, bekannt zu geben, an welchen Auskünften konkret (Vorgang, Datum, Uhrzeit etc.) er interessiert sei.
Mit Mail vom 10. Jänner 2011 schränkte der Beschwerdeführer auf keine genauen Vorgänge ein, bot aber an, entweder eine komplette Liste der Einträge oder die Einsicht in „AAA“ und „BBB“ (mit Ausdruck der für ihn wichtigen Einträge) zu erhalten.
Mit Mail vom 12. Jänner 2011 ersuchte die Beschwerdegegnerin den Beschwerdeführer erneut, sein Auskunftsbegehren einzugrenzen/zu konkretisieren, etwa durch Kundennummer, Datum und Thema. Darüber hinaus wies die Beschwerdegegnerin erstmals mit Bezug auf § 26 Abs. 6 DSG 2000 darauf hin, dass aufgrund des enormen Arbeitsaufwandes ein im vorhinein an sie zu überweisender höherer Kostenersatz (Arbeitsstunden, Arbeitsmaterial, Briefporto) in Rechnung zu stellen wäre.
Der Beschwerdeführer entgegnete mit Mail vom selben Tag, ihm vor Ort Einsicht zu gewähren, stelle für die Beschwerdegegnerin bestimmt keinen hohen Aufwand dar. Wenn er wissen würde, wann welche Informationen über ihn gespeichert worden seien, hätte er die Auskunft „selbstverständlich konkretisiert“. Bezahlen werde er für die Auskunft jedenfalls nichts.
Mit Mail vom 9. Februar 2011 an den Beschwerdeführer ergänzte die Beschwerdegegnerin ihr Mail vom 12. Jänner 2011 derart, dass sie zum höheren Kostenersatz auf den Begriff der „aktuellen Datenbestände“ und dabei auf die Belastung des Auftraggebers bei deren Auffindbarkeit bzw. die erläuternden Bemerkungen zur Regierungsvorlage zum DSG 2000 über das Auskunftsrecht hinwies, gleichzeitig aber angab, dem Beschwerdeführer bzgl. des höheren Kostenersatzes „sehr gerne entgegen kommen“ zu wollen. Erneut möge der Beschwerdeführer sein Auskunftsbegehren durch Nennung von Kundennummer, Zeitraum, Thema (gg. unter Zuhilfenahme der der Auskunft vom 28. September 2010 angeschlossenen Beilagen) konkretisieren bzw. eingrenzen.
Mit Mail vom 14. Februar 2011 teilte die Beschwerdegegnerin der Datenschutzkommission mit, dass sie den Beschwerdeführer überzeugen habe können, am Auskunftsverfahren mitzuwirken. Für die vom Kunden genannten Kundennummern und Zeiträume (der Datenschutzkommission nicht bekannt) würden „so rasch wie möglich“, ohne Forderungen eines höheren Kostenersatzes, die gewünschten Daten zur Verfügung gestellt werden.
Beweiswürdigung: Diese Feststellungen ergeben sich aus den jeweiligen Mails, die der Datenschutzkommission vorliegen, selbst.
Mit Stellungnahme vom 25. März 2011 teilte die Beschwerdegegnerin – ausschließlich der Datenschutzkommission, entgegen vorheriger Aussagen – mit, die vom Beschwerdeführer gewünschte Auskunft aus folgenden Gründen endgültig nicht zu erteilen: bei den Einträgen (in die gegenständlichen Datenanwendungen) sei bei einigen Anrufen die Bemerkung „Drohanruf“ angegeben, weitere Einträge wiesen auf nicht konfliktfreie Konversationen betreffen die Geschäftsbeziehung der Parteien hin. Hier sei daher das in § 26 Abs. 3 DSG 2000 normierte Schikaneverbot als Grenze des Auskunftsrechts erreicht.
Mit der Auskunftserteilung würde die Beschwerdegegnerin nämlich Geheimhaltungsinteressen ihrer betroffenen Mitarbeiter verletzen. Aus den Datenanwendungen sei ersichtlich, welche Mitarbeiter die jeweiligen Beschwerden des Beschwerdeführers behandelt hätten. Deren Geheimhaltungsinteresse würde das Interesse des Beschwerdeführers deutlich überwiegen. Es bliebe daher kein Anwendungsbereich für die Erteilung weiterer Auskünfte nach dem DSG.
Die Suche nach Daten des Beschwerdeführers in den vorhandenen Datenanwendungen hätte überdies durch nicht automationsunterstütztes Lesen der jeweiligen Protokolle zu erfolgen und stelle – auch weil ein untrennbarer Zusammenhang mit auf Mitarbeiter der Beschwerdegegnerin hinweisenden Datensätzen bestehe – einen unverhältnismäßigen Aufwand iSd § 26 Abs. 2 DSG 2000 (gemeint wohl: Abs. 3) dar. Bereits die bisher erfolgte Auskunftserteilung habe an Personalaufwand 17 Tage und an Sachaufwand Kopierpapier und Toner verursacht, was „zweifelsohne“ als unverhältnismäßig zu qualifizieren sei.
Schließlich würden durch die weitere Auskunftserteilung auch Geschäfts- und Betriebsgeheimnisse der Beschwerdegegnerin verletzt, insbesondere deshalb, weil es auch einen „regen Informationsaustausch“ über die Geschäftsgebarung der Beschwerdegegnerin über Facebook, veranlasst durch den Beschwerdeführer, gäbe (dazu wurde ein Posting von der Website www.facebook.com beigelegt).
Beweiswürdigung: Diese Feststellungen ergeben sich aus der Stellungnahme der Beschwerdegegnerin gegenüber der Datenschutzkommission selbst.
Die Datenanwendungen „AAA“ und „BBB“ enthalten (ua.) ein Freitextfeld, in welchem im Falle eines Kundenkontaktes der damit betraute Mitarbeiter der Beschwerdegegnerin Eintragungen zum Inhalt des Kundenkontaktes tätigen kann.
Beweiswürdigung: Diese Feststellungen ergeben sich aus den Stellungnahmen der Beschwerdegegnerin sowie einem von ihr vorgelegten Ausdruck aus „AAA“ mit sämtlichen Datenfeldern.
D. In rechtlicher Hinsicht folgt daraus:
1. anzuwendende Rechtsvorschriften
Die Verfassungsbestimmung des § 1 DSG 2000 lautet auszugsweise:
„Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;
2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.
…“
§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Er lautet im Wesentlichen wie folgt:
„Auskunftsrecht
§ 26. (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.
(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Auskunftswerbers aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.
Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit
1. des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich oder
2. der Sicherung der Einsatzbereitschaft des Bundesheeres oder
3. der Sicherung der Interessen der umfassenden Landesverteidigung oder
4. des Schutzes wichtiger außenpolitischer, wirtschaftlicher oder finanzieller Interessen der Republik Österreich oder der Europäischen Union oder
5. der Vorbeugung, Verhinderung oder Verfolgung von Straftaten
ergeben. Die Zulässigkeit der Auskunftsverweigerung aus den Gründen der Z 1 bis 5 unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission gemäß § 31 Abs. 4.
(3) Der Auskunftswerber hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.
(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.
…“
2. Rechtliche Schlussfolgerungen:
Der Beschwerdeführer begehrt in seiner Beschwerde ausschließlich die Ergänzung der Auskunft der Beschwerdegegnerin dahingehend, dass ihm die „Notizen über Kunden“, die in den Datenanwendungen „AAA“ und „BBB“ zu seiner Person gespeichert sind, bekannt gegeben werden.
Diese Notizen sind zwar, wie die Beschwerdegegnerin auch zurecht vorbringt, auch Daten zu ihrer Rechtsperson bzw. zu ihren jeweils zuständig gewesenen Mitarbeitern, sie sind aber auch Daten zur Person des Beschwerdeführers und unterliegen daher grundsätzlich dem Recht auf Auskunft gemäß § 26 DSG 2000 und konkret auch dem Begehren des Betroffenen im gegenständlichen Fall (das allgemein formuliert war). Die Beschwerdegegnerin ist daher dem Grunde nach auch betreffend diese Daten zur Auskunftserteilung verpflichtet.
Wenn die Beschwerdegegnerin daher von der Auskunftserteilung abzusehen beabsichtigt, dann nur unter Berufung auf gesetzlich in § 26 DSG 2000 genannte Gründen.
Hiezu macht sie zunächst (E-Mail vom 24. Dezember 2010) von der Mitwirkungsobliegenheit des Beschwerdeführers Gebrauch, bezieht sich also auf § 26 Abs. 3 DSG 2000. Danach hat ein Auskunftswerber am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden. Unter anderem wird also gesetzlich gefordert, dass beim Auftraggeber ein unverhältnismäßiger Aufwand vorliegt.
Ungeachtet der Tatsache, dass der Beschwerdeführer offenbar zu einer Mitwirkung bereit gewesen wäre (Eingrenzung nach Kundennummer und Zeiträume), wie die Beschwerdegegnerin der Datenschutzkommission mit Mail vom 14. Februar 2011 mitteilte, ist die Datenschutzkommission der Auffassung, dass die Voraussetzungen für eine Mitwirkungsobliegenheit des Auskunftswerbers im gegenständlichen Fall nicht erfüllt sind. Dies lässt sich am deutlichsten dadurch zeigen, dass die Beschwerdegegnerin in der der Auskunft vom 28. September 2010 beigelegten Aufstellung von Kundenkontakten (sortiert nach Kundennummer, Zeitpunkt und Kontaktart) keinen unverhältnismäßigen Aufwand gesehen hat.
Wenn sie darüber hinaus nunmehr der Ansicht ist, die Bearbeitung der entsprechenden Textfelder in den gegenständlichen Datenanwendungen „AAA“ und „BBB“ dergestalt, etwaig vorhandene Mitarbeiterdaten zu entfernen, wäre ein unverhältnismäßiger Aufwand, so ist dem entgegen zu halten, dass sie einen solchen Bearbeitungsschritt bereits gesetzt hat, indem sie diese Textfelder für die Aufstellung in der Beilage zur Auskunft manuell zu „Thema Anfrage/Auskunft“ reduziert hat. Inwieweit nun die Anonymisierung von Mitarbeiterdaten, die wohl ebenso manuell erfolgen müsste, einen höheren Aufwand begründe, als die Reduktion von Textfeldern zu mehr oder weniger standardisierten Themen, (was wohl auch manuell erfolgt ist), ist für die Datenschutzkommission nicht ersichtlich.
In weiterer Folge und endgültig (Stellungnahme vom 25. März 2011) wendet die Beschwerdegegnerin ein, eine weitere Auskunft würde Geheimhaltungsinteressen ihrer Mitarbeiter sowie Geschäfts- und Betriebsgeheimnisse der Beschwerdegegnerin selbst verletzen. Sie nimmt dabei zwar Bezug auf § 26 Abs. 3 DSG 2000, macht aber inhaltlich iSd § 26 Abs. 2 DSG 2000 überwiegende berechtigte Interessen des Auftraggebers oder von Dritten geltend, die der Auskunftserteilung entgegenstehen würden.
Auch das vermag nicht zu überzeugen, weil diese Mitarbeiterdaten von der Beschwerdegegnerin in einer Auskunft an Betroffene auch zu anonymisieren wären, zumal sie nicht Gegenstand es Auskunftsanspruches des Beschwerdeführers sind. Berechtigte Interessen der Mitarbeiter respektive des Auftraggebers wären auf diese Weise gewahrt, die Erfüllung des Auskunftsanspruches folglich durchaus möglich gewesen.
Die Betriebs- und Geschäftsgeheimnisse der Beschwerdegegnerin können zwar grundsätzlich überwiegende berechtigte Interessen des Auftraggebers, die einer Auskunftserteilung entgegen stünden, begründen, doch hat die Beschwerdegegnerin im gegenständlichen Fall nicht näher begründet, worin diese Betriebs- und Geschäftsgeheimnisse liegen, die durch Auskunft an den Beschwerdeführer offenbart würden. Im Übrigen müsste dies im Grunde genommen für jeden Kundenkontakt getrennt begründet werden, da § 26 Abs. 2 DSG 2000 den Auftraggeber nicht unbedingt berechtigt, zur Gänze von der Auskunftserteilung abzusehen, sondern nur „soweit“ überwiegende berechtigte Interessen entgegenstehen. Ein pauschaler Hinweis auf die Verletzung von Betriebs- und Geschäftsgeheimnissen vermag die Beschwerdegegnerin nicht generell von der Pflicht zur Auskunftserteilung zu entbinden. Die Beschwerdegegnerin legt in diesem Zusammenhang lediglich einen Facebook-Eintrag sowie diverse Beiträge des Beschwerdeführers im Online-Kundenforum der Beschwerdegegnerin vor, aus welchen sich aber lediglich ergibt, dass dem Beschwerdeführer „das Gewährleistungsrecht“ verweigert worden wäre (Facebook) bzw. gewisse Leistungen der Beschwerdegegnerin vom Beschwerdeführer (negativ) kommentiert wurden.
Da keiner der gesetzlich in § 26 DSG 2000 geregelten Gründe vorliegt, die die Beschwerdegegnerin berechtigen würde, von der Auskunftserteilung abzusehen, war die Beschwerde berechtigt und ihr daher spruchgemäß stattzugeben. Dabei ist der Umfang der Auskunft auf jene Kundenkontakte beschränkt, wie sie bereits in der Beilage zur Auskunft der Beschwerdegegnerin vom 28. September 2010 genannt wurden, da sich aus dem Vorbringen der Parteien keine weiteren Kundenkontakte, die dort nicht ersichtlich gewesen wären, ergeben haben.
Da der Beschwerdeführer deutlich zum Ausdruck gebracht hat, eine unentgeltliche Auskunft erhalten zu wollen, erstreckt sich die Auskunftspflicht auf den aktuellen Datenbestand.
Codara Summary
Sachverhalt, Spruch und rechtliche Beurteilung – kompakt zusammengefasst.
Rückverweise
Keine Ergebnisse gefunden
RIS