K121.930/0004-DSK/2013 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Dr. KÖNIG, Dr. ROSENMAYR-KLEMENZ, Mag. HUTTERER und Mag. HEILEGGER sowie des Schriftführers Dr. SCHMIDL in ihrer Sitzung vom 1. Februar 2013 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde der Jasmin O*** (Beschwerdeführerin) aus 1220 Wien vom 25. November 2012 gegen die ****-Data austria Gesellschaft m.b.H. (Beschwerdegegnerin, im Folgenden auch kurz: ****-Data) wegen Verletzung in den Rechten auf Auskunft und Löschung in Folge nicht gesetzmäßiger Beantwortung ihres Auskunfts- und Löschungsbegehrens vom 23. November 2012 wird entschieden:

Rechtsgrundlagen : § 26 Abs. 1, 3 und 4, § 31 Abs. 1, 2, 4 und 7 und § 32 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF.

B e g r ü n d u n g:

A. Vorbringen der Beschwerdeführerin, Verfahrensgang und Sachverhaltsfeststellungen

Die Beschwerdeführerin brachte am 25. November per E-Mail eine vom selben Tage datierende und als „Beschwerde an die Datenschutzkommission“ bezeichnete Eingabe ein, in der sie ausführte, dass sie am 20. November 2012 ein Mahnschreiben der ****-Data, eines Inkassounternehmens, wegen einer „offenen Schuld“ von EUR 313,03 erhalten habe. Nach dem angegebenen Gläubiger, der Mediengruppe „N***“ GmbH, habe es sich um das Entgelt für ein Zeitungsabonnement gehandelt, das sie bereits bei Fälligkeit bezahlt habe. Der Verlag habe ihr dies auch telefonisch bestätigt. Darauf habe sie am 23. November 2012 bei der ****-Data angerufen und Auskunft über die Herkunft ihrer Daten sowie deren anschließende Löschung verlangt. Beides sei ihr telefonisch verweigert worden, wobei man noch zusätzlich ihr Geburtsdatum verlangt habe. Die Beschwerdeführerin beantragte bei der Datenschutzkommission, der ****-Data mit Bescheid die Auskunftserteilung und die Löschung ihrer Daten aufzutragen.

Die Datenschutzkommission erließ am 30. November 2012 zu GZ: DSK-K121.930/0002-DSK/2012 einen Mangelbehebungsauftrag.

Dessen Inhalt lautete:

„Ihre am 26. November 2012 bei der Datenschutzkommission eingelangte Beschwerde erweist sich aus folgenden Gründen als mangelhaft und bedarf der Verbesserung:

Hinsichtlich der behaupteten Verletzung im Recht auf Auskunft fehlt folgendes Element zu einer gesetzmäßig gemäß § 31 Abs. 4

DSG 2000 ausgeführten Beschwerde:

Bitte beheben Sie diesen Mangel, in dem Sie die Beschwerde nochmals verbessert einbringen oder ergänzen. Sie können die Beschwerde auch gemäß § 13 Abs. 7 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG) ganz oder teilweise ohne Kostenfolgen zurückziehen oder statt der förmlichen Beschwerde die Einleitung eines Verfahrens nach § 30 DSG 2000 (Kontroll- und Ombudsmannverfahren) verlangen.

Für die Erfüllung dieses Mangelbehebungsauftrags wird eine Frist von zwei Wochen ab Erhalt dieses Schreibens gesetzt. Sollte keine Verbesserung erfolgen, ist gemäß § 13 Abs. 3 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG) mit der Zurückweisung des Anbringens zu rechnen.“

Dieser Mangelbehebungsauftrag wurde der Beschwerdeführer per Post am 6. Dezember 2012 (Beginn der Abholfrist, Zustellversuch am 5. Dezember 2012) durch Hinterlegung zugestellt.

Am 26. Dezember 2012 langte per E-Mail (Teile davon per Post am 2. Jänner 2013 nochmals zugestellt) eine weitere Eingabe der Beschwerdeführerin ein. Diese wiederholte (durch neuerliche Einbringung der ursprünglichen Beschwerde) ihr Beschwerdebegehren und brachte nun unter Vorlage von Urkundenkopien zur Bescheinigung vor, am 7. Dezember 2012 – also erst nach dem Mangelbehebungsauftrag – ein als „Beschwerde an ****-Data austria gmbh nach § 28 DSG 2000“ bezeichnetes Schreiben an die ****-Data gerichtet zu haben.

Darin verlangte sie von der ****-Data

Die ****-Data antwortete darauf am 20. Dezember 2012 mit der Aufforderung an die Beschwerdeführerin, eine Ausweiskopie zur Überprüfung ihrer Identität vorzulegen. Die Beschwerdeführerin ist dem nicht nachgekommen.

Beweiswürdigung : Diese Feststellungen stützen sich auf das Vorbringen der Beschwerdeführerin selbst und die von ihr vorgelegten Beweismittel (Beschwerde vom 25. November 2012, insbesondere das dieser in Kopie beiliegende Mahnschreiben der ****-Data vom 16. November 2012, sowie das per E-Mail eingebrachte Schreiben vom 26. Dezember 2012 mit dem in Kopie angeschlossenen Auskunftsbegehren [„Beschwerde“] an die ****-Data vom 7. Dezember 2012 sowie deren Antwort vom 20. Dezember 2012).

B. In rechtlicher Hinsicht folgt daraus :

1. anzuwendende Rechtsvorschriften

§ 26 Abs. 1, 3 und 4 DSG 2000 lautet samt Überschrift:

„ Auskunftsrecht

§ 26 . (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) [...]

(3) Der Auskunftswerber hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“

§ 31 Abs. 1 bis 4 DSG 2000 lautet samt Überschrift:

„ Beschwerde an die Datenschutzkommission

§ 31 . (1) Die Datenschutzkommission erkennt über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Auskunft nach § 26 oder nach § 50 Abs. 1 dritter Satz oder in ihrem Recht auf Darlegung einer automatisierten Einzelentscheidung nach § 49 Abs. 3 verletzt zu sein, soweit sich das Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) nicht auf die Verwendung von Daten für Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit bezieht.

(2) Die Datenschutzkommission erkennt weiters über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Geheimhaltung (§ 1 Abs. 1) oder in ihrem Recht auf Richtigstellung oder auf Löschung (§§ 27 und 28) verletzt zu sein, sofern der Anspruch nicht nach § 32 Abs. 1 vor einem Gericht geltend zu machen ist oder sich gegen ein Organ im Dienste der Gesetzgebung oder der Gerichtsbarkeit richtet.

(3) Die Beschwerde hat zu enthalten:

(4) Einer Beschwerde nach Abs. 1 sind außerdem das zu Grunde liegende Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) und eine allfällige Antwort des Beschwerdegegners anzuschließen. Einer Beschwerde nach Abs. 2 sind außerdem der zu Grunde liegende Antrag auf Richtigstellung oder Löschung und eine allfällige Antwort des Beschwerdegegners anzuschließen.“

2. rechtliche Schlussfolgerungen

A) teilweise Unzuständigkeit der Datenschutzkommission

(Spruchpunkt 1)

Die Datenschutzkommission ist zur Entscheidung über das Bestehen eines Löschungsanspruchs unzuständig.

„Gemäß § 32 Abs. 1 DSG 2000 sind Ansprüche wegen Verletzung der Rechte einer Person auf Löschung gegen natürliche Personen, Personengemeinschaften oder Rechtsträger, die in Formen des Privatrechts eingerichtet sind, soweit nicht ein spezieller Akt des Gesetzesvollzugs (insbesondere durch mit hoheitlichen Aufgaben beliehene Privatrechtsträger wie etwa die GIS – Gebühren Info Service Ges.m.b.H. hinsichtlich der Rundfunkgebühren) vorliegt, auf dem Zivilrechtsweg geltend zu machen.“ (Bescheid der Datenschutzkommission vom 24. November 2010, K121.646/0011-DSK/2010, RIS)

Die Beschwerdegegnerin ist eine Gesellschaft mit beschränkter Haftung, somit ein Rechtsträger, der in einer Form des Privatrechts eingerichtet ist.

Daraus folgt, dass die Datenschutzkommission nicht zur Entscheidung über den von der Beschwerdeführerin behaupteten Löschungsanspruch zuständig ist. Da dieser Anspruch nicht auf den Verwaltungsrechtsweg gehört, war auch eine Weiterleitung oder Verweisung an die sachlich und örtlich zuständige Verwaltungsbehörde gemäß § 6 Abs. 1 AVG nicht möglich. Im Übrigen ist darauf hinzuweisen, dass die Beschwerdeführerin von der Datenschutzkommission bereits im Mangelbehebungsauftrag vom 30. November 2012, GZ: DSK-K121.930/0002-DSK/2012, auf diese Unzuständigkeit hingewiesen wurde. Da die Beschwerde bezüglich des Löschungsanspruches jedoch nicht zurückgezogen wurde, war die Beschwerde, soweit sie diesen Anspruch betrifft, zurückzuweisen.

B) in der Sache selbst: keine Verletzung im Auskunftsrecht (Spruchpunkt 2.)

Die Beschwerde hat sich in diesem Punkt als unbegründet erwiesen, die Beschwerdegegnerin hat gesetzmäßig auf beide Auskunftsbegehren der Beschwerdeführerin reagiert.

Zunächst legt das Gesetz (§ 26 Abs. 1 1. Satz DSG 2000) fest, dass Auskunftsbegehren grundsätzlich nur schriftlich gestellt werden können. Nur mit Zustimmung des datenschutzrechtlichen Auftraggebers kann ein Auskunftsbegehren auch mündlich abgewickelt werden. Eine solche Zustimmung, die etwa in jeder mündlich erteilten Auskunft indirekt enthalten ist, wurde jedoch weder behauptet noch nachgewiesen.

Da § 31 Abs. 4 DSG 2000 in der Fassung BGBl. I Nr. 133/2009 vorschreibt, dass mit der Beschwerde (arg: „Einer Beschwerde...sind...anzuschließen“ ) das schriftliche Auskunftsverlangen und eine allfällige Antwort darauf der Datenschutzkommission als Beweismittel vorzulegen sind, wurde die Beschwerdeführerin aufgefordert, diese Beweismittel nachzureichen.

Dabei ergab sich in weiterer Folge zweifelsfrei, dass die Beschwerdeführerin im November 2012 kein schriftliches Auskunftsverlangen an die ****-Data gerichtet hatte, sondern dieses vielmehr erst nach der Beschwerdeerhebung stellte, weshalb die Beschwerde schon aus diesem Grunde abzuweisen war.

Im Übrigen wird noch auf Folgendes hingewiesen: Wenn die Beschwerdeführerin behauptet, die ****-Data hätte ihr auch telefonisch antworten müssen und dass diese kein Recht habe, von ihr die Angabe eines Geburtsdatums (anlässlich des Telefonkontakts zwischen Beschwerdeführerin und ****-Data am 23. November 2012) oder die Vorlage einer Ausweiskopie (im Schreiben vom 20. Dezember 2012) zu verlangen, so übersieht sie, dass die Beschwerdegegnerin durch das Gesetz (§ 26 Abs. 1 DSG 2000) sogar verpflichtet ist, sich mit einem hohen Grad an Verlässlichkeit von der Identität einer Auskunftswerberin zu überzeugen.

„Das Ansuchen um Auskunftserteilung nach § 26 DSG 2000 hat nach dem Wortlaut des Gesetzes schriftlich zu ergehen, wobei es mit Zustimmung des Auftraggebers auch mündlich gestellt werden kann. Die vom Gesetz vorgesehene Formvorschrift soll damit (auch) sicherstellen, dass für den Auftraggeber der Umfang des Auskunftsbegehrens klar umrissen ist (siehe dazu das hg. Erkenntnis vom 27. November 2007, Zl. 2006/06/0262). Der Auskunftswerber hat nicht nur im Auskunftsverfahren mitzuwirken (§ 26 Abs. 3 DSG 2000), sondern er hat zunächst einmal seine Identität nachzuweisen, wobei der Nachweis der Identität des Antragsteller "in geeigneter Form" zu erfolgen hat. Im Hinblick auf die Zielsetzung des Gesetzes und zur Verhinderung von Missbrauch ist ein hoher Grad an Verlässlichkeit hinsichtlich des Identitätsnachweises zu fordern.“ (Erkenntnis des Verwaltungsgerichtshofs vom 9. September 2008, VwSlg 17515 A/2008, RIS, RS2)

Daher ist die Weigerung der Beschwerdegegnerin, ohne Angabe weiterer Identifikationsdaten (Geburtsdatum) oder ohne Vorlage einer Ausweiskopie (aus der ein Vergleichsmuster einer Unterschrift hervorgeht) Auskunft über die Daten der Beschwerdeführerin zu erteilen, nicht zu beanstanden. Diese Handlungsweise, einschließlich der schriftlichen Aufforderung (§ 26 Abs. 3 DSG 2000), den Identitätsnachweis zu erbringen, entsprach vielmehr dem Gesetz.