K121.878/0008-DSK/2012 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. SOUHRADA-KIRCHMAYER, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER und Dr. HEISSENBERGER sowie des Schriftführers Dr. SCHMIDL in ihrer Sitzung vom 14. Dezember 2012 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Manuel Ä*** (Beschwerdeführer) in Linz vom 2. Juli 2012 gegen die Sozialversicherungsanstalt X*** (Beschwerdegegnerin) in Wien, wegen Verletzung im Recht auf Geheimhaltung wird entschieden:

- Die Beschwerde wird als unbegründet a b g e w i e s e n.

Rechtsgrundlagen: § 1 Abs. 1 und 2 § 4 Z 5 und Z 11, § 10 und § 31 Abs. 2 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF.

B e g r ü n d u n g

A. Verfahrensgang und Vorbringen der Parteien

1. Der Beschwerdeführer behauptet eine Verletzung im Recht auf Geheimhaltung dadurch, dass die Beschwerdegegnerin seit Juni 2012 eine Urbefragung der Versicherten mittels Fragebogen durchführe. Obwohl der Fragebogen Anonymität suggeriere, sei eine individuelle Fragebogennummer aufgedruckt. Die Junge Wirtschaft als Abteilung der WKO versende nun einen Aufruf, an der Befragung teilzunehmen, per E-Mail, die neben Namen und E-Mailadresse auch eine individuelle Fragebogennummer enthalte. Die Weitergabe dieser Daten müsse durch die die Befragung durchführende Y*** GmbH geschehen sein, da diese die individuelle Nummer erstellt habe. Durch Weitergabe dieser Nummer an die Junge Wirtschaft sei eine „Entanonymisierung“ der persönlichen geheimen Meinung vorgenommen worden, des weiteren seien Daten der Mitglieder der Beschwerdegegnerin, welche ausschließlich für die Durchführung der Befragung bestimmt waren, neben der Y*** GmbH, an Dritte (eben die Junge Wirtschaft) weitergegeben worden. Ausreichende Gewähr für eine rechtmäßige und sichere Datenverwendung sei nicht gegeben. Der Beschwerdeführer beantragte, die Verletzung im Recht auf Geheimhaltung festzustellen.

2. Die Beschwerdegegnerin brachte vor, der im Schreiben erwähnte Aufruf zur Teilnahme an der Urbefragung durch die Junge Wirtschaft sei im Auftrag der Beschwerdegegnerin erfolgt. Die Überlassung der Daten sei vertraglich durch (beigelegten) Dienstleistervertrag abgesichert. Die Fragebogennummern seien durch die Beschwerdegegnerin, nicht die Y*** GmbH erstellt und versandt worden. Die Y*** GmbH sei mit der Auswertung der Urbefragung beauftragt gewesen. Inhalt sei unter anderem die Anonymisierung gewesen, eine Weiterleitung an die Beschwerdegegnerin sei damit ausgeschlossen.

3. Im Parteiengehör dazu meinte der Beschwerdeführer im Wesentlichen, die Vereinbarung zwischen Beschwerdegegnerin und WKO beinhalte Bestimmungen zur Überlassung von Daten. Die Weitergabe von geheimen Fragebogennummern sei nicht Gegenstand der Vereinbarung. Die Daten der Mitglieder habe die WKO für einen Sondernewsletter ohnehin. Die Vereinbarung beinhalte keine genaue Definition über Art und Umfang der weiterzugebenden Daten. Die Vergabe der Identifikation der Aussendung ermögliche eine Feststellung der Identität, was jedenfalls datenschutzrechtlich bedenklich sei, da keine Zustimmung darüber von den Mitgliedern der Beschwerdegegnerin eingeholt worden sei. Die Beschwerdegegnerin und die WKO seien eigenständige Organisationen. Der Versand des Newsletters durch die Junge Wirtschaft erinnere mehr an die Bewerbung politscher Inhalte als an eine Befragung.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand ausschließlich die Frage ist, ob ihn die Beschwerdegegnerin dadurch in seinem Recht auf Geheimhaltung gemäß DSG 2000 verletzt hat, dass sie für Zwecke einer von ihr durchgeführten Urbefragung Daten an die Wirtschaftskammer Österreich, Junge Wirtschaft Österreich, weitergegeben hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Die Beschwerdegegnerin führte von Juni bis Ende September 2012 eine Urbefragung unter ihren Mitgliedern durch. Zur Sicherstellung, dass Mitglieder nur einmalig an der Befragung teilnehmen, wurde auf die Fragebögen eine eindeutige, von der Beschwerdegegnerin generierte 6-stellige Fragebogennummer aufgedruckt. Für die Auswertung der Urbefragung zog die Beschwerdegegnerin die Y*** GmbH heran. Dabei werden die Daten vor Überlassung an die Beschwerdegegnerin vollständig anonymisiert.

Mit E- Mail vom 27. Juni 2012 der Jungen Wirtschaft Österreich, eine Interessenvertretung innerhalb der Wirtschaftskammer Österreich, wurde der Beschwerdeführer in einem Sonder-Newsletter ersucht, an der Urbefragung der Beschwerdegegnerin teilzunehmen:

„Lieber ...,

die [Beschwerdegegnerin] ist mitten in einem großen Reformprozess und konnte schon einige wichtige Verbesserungen für ihre Versicherten durchsetzen.

Bei den kommenden Reformschritten, sollen nun alle mitbestimmen können, welche Schwerpunkte die [Beschwerdegegnerin] in den Verhandlungen mit dem Sozial- und Gesundheitsminister vorrangig umsetzen soll.

Die Forderung der Jungen Wirtschaft nach einer Entschärfung der Nachzahlungen und einer transparenteren Beitragsvorschreibung sind im Fragebogen enthalten.

Umso wichtiger ist es, dass die Mitglieder der Jungen Wirtschaft über die Zukunft der sozialen Absicherung von Selbständigen mitentscheiden.

Nimm Dir bitte 3 Minuten Zeit, um den Fragebogen online auszufüllen:

[Link]

Zur Abstimmung benötigst du deine persönliche Fragebogennummer und deine Sozialversicherungsnummer (SVNR). Die Auswertung erfolgt selbstverständlich anonym, mit der Nummer soll sichergestellt werden, dass jede/r Versicherte ihre/seine Stimme nur einmal abgeben kann.

Deine persönliche Fragebogennummer lautet: ***

Hilf uns, die Leistungen der [Beschwerdegegnerin] für Gründer/innen und Jungunternehmer/innen noch besser zu machen.

...“

Dieser Aussendung lag ein Dienstleistervertrag vom 6. Juni 2012 zwischen Beschwerdegegnerin und der Wirtschaftskammer Österreich „gemäß § 10“ DSG 2000 mit den durchzuführenden Arbeiten zugrunde:

„Durchführung eines Sondernewsletters für Mitglieder der Wirtschaftskammern im Rahmen der ***-Urbefragung“

Im Rahmen dessen wurden von der Beschwerdegegnerin die Daten Namen und Fragebogennummer an die Wirtschaftskammer Österreich, Junge Wirtschaft Österreich, weitergegeben.

Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Vorbringen beider Streitparteien bzw. den Inhalten der jeweiligen Dokumente selbst, die Beilage zur Beschwerde vom 2. Juli 2012 (Sondernewsletter) bzw. Stellungnahme der Beschwerdegegnerin vom 19. Juli 2012 (Dienstleistervereinbarung) gewesen sind. Dauer der Urbefragung ist der im Sondernewsletter verlinkten Website zu entnehmen (Stand: 14. Dezember 2012).

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmung des § 1 DSG 2000 lautet auszugsweise:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. ...

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

…“

§ 4 Z 5 und 11 DSG 2000 lautet:

„Definitionen

§ 4. Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:

...

5. Dienstleister: natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie Daten nur zur Herstellung eines ihnen aufgetragenen Werkes verwenden (Z 8);

...

11. Überlassen von Daten: die Weitergabe von Daten zwischen Auftraggeber und Dienstleister im Rahmen des Auftragsverhältnisses (Z 5);

...“

§ 11 DSG 2000 lautet:

„Zulässigkeit der Überlassung von Daten zur Erbringung von Dienstleistungen

§ 10. (1) Auftraggeber dürfen bei ihren Datenanwendungen Dienstleister in Anspruch nehmen, wenn diese ausreichende Gewähr für eine rechtmäßige und sichere Datenverwendung bieten. Der Auftraggeber hat mit dem Dienstleister die hiefür notwendigen Vereinbarungen zu treffen und sich von ihrer Einhaltung durch Einholung der erforderlichen Informationen über die vom Dienstleister tatsächlich getroffenen Maßnahmen zu überzeugen.

(2) Die beabsichtigte Heranziehung eines Dienstleisters durch einen Auftraggeber des öffentlichen Bereichs im Rahmen einer Datenanwendung, die der Vorabkontrolle gemäß § 18 Abs. 2 unterliegt, ist der Datenschutzkommission mitzuteilen, es sei denn, daß die Inanspruchnahme des Dienstleisters auf Grund ausdrücklicher gesetzlicher Ermächtigung erfolgt oder als Dienstleister eine Organisationseinheit tätig wird, die mit dem Auftraggeber oder einem diesem übergeordneten Organ in einem Über- oder Unterordnungsverhältnis steht. Kommt die Datenschutzkommission zur Auffassung, daß die geplante Inanspruchnahme eines Dienstleisters geeignet ist, schutzwürdige Geheimhaltungsinteressen der Betroffenen zu gefährden, so hat sie dies dem Auftraggeber unverzüglich mitzuteilen. Im übrigen gilt § 30 Abs. 6 Z 4.“

2. Rechtliche Schlussfolgerungen:

Wie sich aus den Feststellungen ergibt, wurden von der Beschwerdegegnerin an die Wirtschaftskammer Österreich, Junge Wirtschaft Österreich, die Datenarten Namen und persönliche Fragebogennummer für Zwecke der Aussendung eines Sondernewsletters zu einer Urbefragung der Beschwerdegegnerin weitergegeben. Dem lag ein Dienstleistervertrag vom 6. Juni 2012 zwischen Wirtschaftskammer Österreich und Beschwerdegegnerin zugrunde.

Die gegenständliche Aussendung erfolgte daher, wie sich aus ihrem Inhalt in ausreichendem Maß auch ergibt (arg.: „...

Schwerpunkte die *** ... umsetzen soll.“; Anführung des

[Beschwerdegegnerin]-Logos; Anführung des [Links] ), für Zwecke der Beschwerdegegnerin. Die Wirtschaftskammer Österreich, Junge Wirtschaft Österreich, fungierte daher als Dienstleister gemäß § 4 Z 5 DSG 2000 für die Beschwerdegegnerin, bei der Weitergabe der Daten im Zuge dessen handelt es daher um eine Überlassung von Daten gemäß § 4 Z 11 DSG 2000.

Die Zulässigkeit der Überlassung von Daten ist in § 10 DSG 2000 geregelt. § 10 Abs. 1 DSG 2000 verlangt dazu, dass Dienstleister eine ausreichende Gewähr für eine rechtmäßige und sichere Datenverwendung bieten. Dass dies nicht der Fall gewesen sei, wurde vom Beschwerdeführer zwar behauptet, aber weder in der Beschwerde noch in weiterer Folge näher begründet, noch war dies für die Datenschutzkommission erkennbar.

Wenn der Beschwerdeführer weiter meint, die Dienstleistervereinbarung enthalte keine genaue Definition über Art und Umfang der weiterzugebenden Daten, so ist dem durchaus zuzustimmen. Eine Verletzung im Recht auf Geheimhaltung lässt sich daraus allerdings deshalb nicht ableiten, weil das Ermittlungsverfahren nicht ergeben hat, dass außer den für die Dienstleistung „Durchführung eines Sondernewsletters für Mitglieder der Wirtschaftskammern im Rahmen der ***-Urbefragung“ notwendigen Datenarten Namen und Fragebogennummern (die zur Erreichung ihres Zwecks bei freiwilligem Ausfüllen des Fragebogens anzugeben war) weitere Daten übermittelt worden seien. Die Weitergabe dieser Datenarten war aber von der gegenständlichen Dienstleistervereinbarung jedenfalls gedeckt.

Wenn der Beschwerdeführer schließlich meint, die Vergabe der Identifikation der Aussendung, die angeblich ausschließlich der Kontrolle diene, sei datenschutzrechtlich bedenklich, da keine Zustimmung darüber von den Mitgliedern der Beschwerdegegnerin eingeholt worden sei, so übersieht er, dass dies außerhalb des durch das Vorbringen in der Beschwerde festgelegten Beschwerdegegenstands, welcher ausschließlich die Weitergabe der Daten von der Beschwerdegegnerin an die Wirtschaftskammer Österreich umfasst, liegt. Eine Änderung des Beschwerdegegenstandes iSd § 13 Abs. 8 AVG ist mit der bloßen Erwähnung ohne Verbindung mit einem Antrag nicht gegeben.

Die Beschwerde war daher als unbegründet abzuweisen.