K121.830/0008-DSK/2012 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. SOUHRADA-KIRCHMAYER, Mag. MAITZ-STRASSNIG, Mag. ZIMMER und Dr. HEISSENBERGER sowie des Schriftführers Mag. HILD in ihrer Sitzung vom 14. September 2012 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Egon B*** (Beschwerdeführer) aus Y***, vertreten durch den Verein **** – Vereinigung für Datenschutz, vom 20. März 2012 gegen die Ä*** Gesellschaft

m. b.H.(Beschwerdegegnerin) in Wien, vertreten durch Mag. Adalbert K***, Rechtsanwalt in **** Wien, wegen Verletzung im Recht auf Auskunft infolge Nichtbeantwortung des Auskunftsbegehrens vom 21. Dezember 2011 wird entschieden:

Rechtsgrundlagen: §§ 1 Abs. 3 Z 1, 26 Abs. 1 und 4 und 31 Abs. 1 und 7 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF.

B e g r ü n d u n g

A. Vorbringen der Parteien

Der Beschwerdeführer behauptet in seiner mit 20. März 2012 datierten und am selben Tag per Telefax bei der Datenschutzkommission eingelangten Beschwerde eine Verletzung im Recht auf Auskunft über eigene Daten dadurch, dass die Beschwerdegegnerin sein Auskunftsbegehren vom 21. Dezember 2011 nicht beantwortet habe.

Die Beschwerdegegnerin brachte, anwaltlich vertreten, mit Stellungnahme vom 16. April 2012 vor, die Daten des Beschwerdeführers bereits vor dem 21. Dezember 2011 gelöscht und dies dem Beschwerdeführer mit Löschungsmitteilung vom 28. November 2011 auch mitgeteilt zu haben. Der Antrag des Beschwerdeführers sei daher unverständlich.

Der Beschwerdeführer replizierte darauf mit Stellungnahme vom 8. Mai 2012, er habe den legitimen Anspruch, sich durch weitere Auskunftsbegehren von der tatsächlichen Löschung seiner Daten zu überzeugen. Die Beschwerdegegnerin sei in jedem Fall gesetzlich verpflichtet, ein solches Auskunftsbegehren zu beantworten.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin trotz einer wenige Wochen zuvor abgegebenen Löschungsmitteilung verpflichtet war, das Auskunftsbegehren vom 21. Dezember 2011 zu beantworten.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Die Beschwerdegegnerin teilte dem Beschwerdeführer nach einem entsprechenden Löschungsbegehren bzw. Widerspruch mit Schreiben vom 28. November 2011 durch ihren Rechtsanwalt mit, „dass sämtliche ihrer Daten von den Computerdateien...gelöscht worden sind, sodass keine Daten mehr vorhanden sind.“

Am 21. Dezember 2011 richtete der Beschwerdeführer per Telefax ein Auskunftsbegehren betreffend „alle über mich gespeicherten personenbezogenen Daten“ an die Beschwerdegegnerin (in weiterer Folge spezifiziert insbesondere auf „Wirtschafts-, Bonitäts-, Konsumenten-, Warenevidenz und Warenkreditdateien“) .

Dieses Auskunftsbegehren ist der Beschwerdegegnerin zugestellt und bis dato nicht beantwortet worden.

Beweiswürdigung: Diese Feststellungen beruhen auf den der Datenschutzkommission vorliegenden Urkundenkopien (Schreiben von Rechtsanwalt Mag. K*** an den Beschwerdeführer vom 28. November 2011, vorgelegt als Beilage zur Stellungnahme vom 16. April 2012; Auskunftsbegehren vom 21. Dezember 2011, vorgelegt als Beilage zur Beschwerde vom 20. März 2012) und dem glaubwürdigen, diesbezüglich unstrittigen Vorbringen beider Seiten (betreffend Zustellung und Nichtbeantwortung des Auskunftsbegehrens).

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmung § 1 Abs. 3 Z 1 DSG 2000 lautet samt Überschrift:

„Grundrecht auf Datenschutz

§ 1. (1) …(2)

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;“

§ 26 Abs. 1 und 4 DSG 2000 lautet samt Überschrift:

„Auskunftsrecht

§ 26. (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) […] (3)

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“

§ 31 Abs. 1 und 7 DSG 2000 lautet samt Überschrift:

„Beschwerde an die Datenschutzkommission

§ 31. (1) Die Datenschutzkommission erkennt über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Auskunft nach § 26 oder nach § 50 Abs. 1 dritter Satz oder in ihrem Recht auf Darlegung einer automatisierten Einzelentscheidung nach § 49 Abs. 3 verletzt zu sein, soweit sich das Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) nicht auf die Verwendung von Daten für Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit bezieht.

(2) …(6)

(7) Soweit sich eine Beschwerde nach Abs. 1 oder 2 als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung im Recht auf Auskunft (Abs. 1) einem Auftraggeber des privaten Bereichs zuzurechnen, so ist diesem auf Antrag zusätzlich die – allenfalls erneute – Reaktion auf das Auskunftsbegehren nach § 26 Abs. 4, 5 oder 10 in jenem Umfang aufzutragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.“

2. rechtliche Schlussfolgerungen

Die Beschwerde hat sich als berechtigt erwiesen.

Die Beschwerdegegnerin legt das Gesetz unzutreffend aus, wenn sie sinngemäß vorbringt, aufgrund einer Löschungsmitteilung am 28. November 2011 nicht verpflichtet gewesen zu sein, das Auskunftsbegehren des Beschwerdeführers vom 21. Dezember desselben Jahres zu beantworten.

Grundsätzlich muss jedes als solches erkennbare (vgl. hierzu den Bescheid der Datenschutzkommission vom 22. Oktober 2008, GZ K121.386/0009-DSK/2008, RIS) datenschutzrechtliche Auskunftsbegehren beantwortet werden. Dies ergibt sich bereits aus § 26 Abs. 1 sechster Satz DSG 2000, wonach wenn vom Auskunftswerber keine Daten vorhanden, die Bekanntgabe dieses Umstands genügt (Negativauskunft). Der Auftraggeber hat daher jedenfalls zu reagieren.

Das Auskunftsrecht ist ein anlassunabhängiges, subjektives Kontrollrecht, das – in den Grenzen des allgemeinen Verbots schikanöser Rechtsausübung – unbegrenzt oft ausgeübt werden kann, wobei allerdings die eventuell eintretende Kostenersatzpflicht mit ihren Rechtsfolgen gemäß § 26 Abs. 4 und 6 DSG 2000 zu beachten sein wird.

Hier lag ein zweifelsfrei und unbestritten als solches erkennbares Auskunftsbegehren vor.

Durch die Weigerung, das Auskunftsbegehren vom 21. Dezember 2011 zu beantworten, hat die Beschwerdegegnerin den Beschwerdeführer daher in seinem Recht auf Auskunft über eigene Daten verletzt.

Gemäß § 31 Abs. 7 DSG 2000 war daher der spruchgemäße Leistungsauftrag zu erlassen.