K121.899/0005-DSK/2013 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KÖNIG, Mag. HUTTERER, Mag. MAITZ-STRASSNIG, Mag. HEILEGGER und Dr. GUNDACKER sowie des Schriftführers Mag. HILD in ihrer Sitzung vom 20. Februar 2013 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Mag. (FH) Beat A*** (Beschwerdeführer) aus O*** vom 7. August 2012 gegen Else B*** (Beschwerdegegnerin) aus W*** wegen Verletzung im Recht auf Auskunft in Folge unvollständiger Beantwortung seines Auskunftsbegehrens vom 29. Mai 2012 wird entschieden:

Rechtsgrundlagen : §§ 1 Abs. 3 Z 1, 26 Abs. 1 und 4, 31 Abs. 1, 7 und 8 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF.

B e g r ü n d u n g:

A. Vorbringen der Parteien

Der Beschwerdeführer behauptet in seiner vom 7. August 2012 datierten und am 8. August 2012 per E-Mail bei der Datenschutzkommission eingelangten Beschwerde eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdeführerin, eine Einzelunternehmerin (Lebensberaterin und Betreiberin eines „AdS“ -Zentrums), zu der er in den Jahren 2006 und 2007 in geschäftlichem Kontakt gestanden sei, auf sein Auskunftsbegehren vom 29. Mai 2012 (Kopie der Beschwerde angeschlossen) nicht vollständig geantwortet habe. Er habe speziell Auskunft zu den Daten betreffend drei Ereignisse, an denen er beteiligt gewesen sei (Familienaufstellung vom 1. April 2006, Familienaufstellung vom 9. Juni 2007, Seminar „H***-NLP-Practitioner“ vom 10. März 2006 bis 23. März 2006), verlangt. Das Antwortschreiben vom 4. Juni 2012 entspreche den gesetzlichen Anforderungen nicht. Die Beschwerdegegnerin gebe weder den Inhalt der gespeicherten „Adresse, Telefonnummer und E-Mailadresse“ an, noch mache sie – auch nicht in Form einer Negativauskunft – Angaben zu den drei angeführten Ereignissen. Ein Verweis auf „handschriftliche Unterlagen“ in Zusammenhang mit Allgemeinen Geschäftsbedingungen habe keine Bedeutung, da die Beschwerdegegnerin in den Jahren 2006 und 2007 noch gar keine Allgemeinen Geschäftsbedingungen verwendet habe. Da die Beschwerdegegnerin auch nicht zeitgerecht Auskunft erteilt habe, habe sie nach Meinung des Beschwerdeführers überdies eine Verwaltungsübertretung begangen.

Die Beschwerdegegnerin legte nach der Aufforderung der Datenschutzkommission, sich zum Beschwerdevorbringen zu äußern, am 27. August 2012 ein neuerliches bzw. ergänzendes Auskunftsschreiben an den Beschwerdeführer vor.

Nach Parteiengehör (gemäß § 31 Abs. 8 DSG 2000) brachte der Beschwerdeführer dazu in seiner Stellungnahme vom 27. Jänner 2013 vor, seine Beschwer sei deswegen durch die ergänzende Auskunft nicht vollständig beseitigt, als die Beschwerdegegnerin ausdrücklich nur angebe, zu den Ereignissen „Familienaufstellung vom 1. April 2006“ und „Seminar „H***-NLP-Practitioner“ vom 10. März 2006 bis 23. März 2006“ keine Daten elektronisch erfasst zu haben. Zum Ereignis „Familienaufstellung vom 9. Juni 2007“ fehle eine entsprechende Erklärung. Er halte seine Beschwerde daher aufrecht und beantrage die Feststellung und Durchsetzung seines Auskunftsrechts.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin das datenschutzrechtliche Auskunftsbegehren des Beschwerdeführers mit den Schreiben vom 4. Juni und 27. August 2012 gesetzmäßig beantwortet hat, im Besonderen, ob sie zu den drei angesprochenen Ereignissen gesetzmäßig Auskunft erteilt hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Der Beschwerdeführer richtete am 29. Mai 2012 ein datenschutzrechtliches Auskunftsbegehren an die Beschwerdegegnerin.

In diesem (mit Hilfe eines Musterbriefs der Datenschutzkommission erstellten) Auskunftsbegehren ersuchte der Beschwerdeführer allgemein um „Auskunft über alle zu meiner Person gespeicherten Daten“ und weiters im Speziellen:

„Ich ersuche um Auskunft über meine Daten im Zusammenhang mit einem bestimmten Ereignis, nämlich den Familienaufstellungen vom 01.04.2006 und vom 09.06.2007 sowie dem Seminar H***-NLP-Practitioner von 10.03.2006 bis 24.03.2006.“

Weiters wurde auch Auskunft über Dienstleister der Beschwerdegegnerin verlangt.

Dieses Auskunftsbegehren ist der Beschwerdegegnerin unbestritten zugestellt worden.

Am 4. Juni 2012 beantwortete die Beschwerdegegnerin das Auskunftsbegehren. Die hier verfahrensrelevanten, nicht persönlich gehaltenen Passagen lauten:

„Elektronisch gespeichert existiert von Dir Adresse, Telefonnummer und E-Mailadresse.

Handschriftliche Unterlagen dienen meinem persönlichen Erinnern und sind für Andere nicht einsehbar. Dieser Punkt ist in meinen AGB’s geregelt.

Dienstleister in Deinem Sinne habe ich nicht.

Für Seminare von Melvin J*** ist ausschließlich er verantwortlich. Auch darüber führe ich keinerlei Aufzeichnungen.“

Gegen diese Auskunftserteilung richtete sich die am 7. Juni 2012 eingebrachte datenschutzrechtliche Beschwerde.

Die Datenschutzkommission erließ am 16. August 2012 zu GZ: DSK-K121.899/0002-DSK/2012 eine an die Beschwerdegegnerin gerichtete Aufforderung zur Stellungnahme.

Am 27. August richtete die Beschwerdegegnerin an den Beschwerdeführer folgendes weitere Auskunftsschreiben:

„Bezugnehmend auf die Aufforderung zur Stellungnahme zwecks Beseitigung der Rechtsverletzung gemäß § 31 Abs. 8 DSG 2000 gegenüber dem Beschwerdeführer Beat A*** gemäß § 26 Abs. 4 DS 2000.

Grundlage ist die Anfrage des oben genannten Beschwerdeführers von 2012-05-29.

Ad 1)

Adresse (obengenannte, andere kenne ich keine) und Telefonnummer sind bereits aus der aktuellen KlientInnenkartei entfernt worden.

Es gibt keine weiteren gespeicherten Daten.

Es wurden keine Daten weitergegeben.

Ad 3)

Weder zu den Interventionen (Familienaufstellung) im Jahr 2006 noch zu den H***-NLP-Seminaren im Jahr 2006 wurden Daten elektronisch erfasst.

H***-Seminare werden von H*** International veranstaltet und nicht von mir.

Ad 5)

Dienstleister im Zusammenhang mit Herrn Mag(FH) Beat A*** gibt es nicht.

PS.: Zur Zeit der Zusammenarbeit mit Herrn Mag(FH) Beat A*** vor fast 6 Jahren gab es keine elektronische Datenerfassung, außer der e-Mailadresse für den Newsletter (auch diese längst entfernt/ siehe Punkt 1).“

Auch dieses (zweite) Auskunftsschreiben ist dem Beschwerdeführer unbestritten zugestellt worden.

Beweiswürdigung : Diese Feststellungen beruhen auf den Akten dieses Beschwerdeverfahrens, insbesondere auf den Beilagen zur Beschwerde vom 7. August 2012 (Auskunftsbegehren vom 29. Mai 2012, erstes Auskunftsschreiben vom 4. Juni 2012) und der zitierten Stellungnahme der Beschwerdegegnerin (zweites Auskunftsschreiben vom 27. August 2012).

D. In rechtlicher Hinsicht folgt daraus :

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmung § 1 DSG 2000 lautet samt Überschrift:

„ Grundrecht auf Datenschutz

§ 1 . (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

(5) Gegen Rechtsträger, die in Formen des Privatrechts eingerichtet sind, ist, soweit sie nicht in Vollziehung der Gesetze tätig werden, das Grundrecht auf Datenschutz mit Ausnahme des Rechtes auf Auskunft auf dem Zivilrechtsweg geltend zu machen. In allen übrigen Fällen ist die Datenschutzkommission zur Entscheidung zuständig, es sei denn, daß Akte der Gesetzgebung oder der Gerichtsbarkeit betroffen sind.“

§ 26 Abs. 1, 4 und 7 DSG 2000 lautet samt Überschrift:

„ Auskunftsrecht

§ 26 . (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) [...] (3) [...]

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

(5) [...] (6) [...]

(7) Ab dem Zeitpunkt der Kenntnis von einem Auskunftsverlangen darf der Auftraggeber Daten über den Auskunftswerber innerhalb eines Zeitraums von vier Monaten und im Falle der Erhebung einer Beschwerde gemäß § 31 an die Datenschutzkommission bis zum rechtskräftigen Abschluß des Verfahrens nicht vernichten. Diese Frist gilt nicht, wenn einem Löschungsantrag des Auskunftswerbers nach § 27 Abs. 1 Z 2 oder § 28 zu entsprechen ist.“

§ 31 Abs. 1, 3, 4, 7 und 8 DSG 2000 lautet samt Überschrift:

„ Beschwerde an die Datenschutzkommission

§ 31 . (1) Die Datenschutzkommission erkennt über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Auskunft nach § 26 oder nach § 50 Abs. 1 dritter Satz oder in ihrem Recht auf Darlegung einer automatisierten Einzelentscheidung nach § 49 Abs. 3 verletzt zu sein, soweit sich das Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) nicht auf die Verwendung von Daten für Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit bezieht.

(2) [...]

(3) Die Beschwerde hat zu enthalten:

(4) Einer Beschwerde nach Abs. 1 sind außerdem das zu Grunde liegende Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) und eine allfällige Antwort des Beschwerdegegners anzuschließen. Einer Beschwerde nach Abs. 2 sind außerdem der zu Grunde liegende Antrag auf Richtigstellung oder Löschung und eine allfällige Antwort des Beschwerdegegners anzuschließen.

(5) [...] (6) [...]

(7) Soweit sich eine Beschwerde nach Abs. 1 oder 2 als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung im Recht auf Auskunft (Abs. 1) einem Auftraggeber des privaten Bereichs zuzurechnen, so ist diesem auf Antrag zusätzlich die – allenfalls erneute – Reaktion auf das Auskunftsbegehren nach § 26 Abs. 4, 5 oder 10 in jenem Umfang aufzutragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(8) Ein Beschwerdegegner, gegen den wegen Verletzung in Rechten nach den §§ 26 bis 28 Beschwerde erhoben wurde, kann bis zum Abschluss des Verfahrens vor der Datenschutzkommission durch Reaktionen gegenüber dem Beschwerdeführer gemäß § 26 Abs. 4 oder § 27 Abs. 4 die behauptete Rechtsverletzung nachträglich beseitigen. Erscheint der Datenschutzkommission durch derartige Reaktionen des Beschwerdegegners die Beschwerde als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzkommission das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.“

2. rechtliche Schlussfolgerungen

Die Beschwerde hat sich in einem Kernpunkt als berechtigt erwiesen.

Der Beschwerdeführer hat in seiner Stellungnahme nach Parteiengehör gemäß § 31 Abs. 8 DSG 2000 (nach Erhalt des zweiten Auskunftsschreibens der Beschwerdegegnerin vom 27. August 2012) begründet und zutreffend dargelegt, warum auch die ergänzende Auskunft sein Auskunftsrecht nicht vollständig erfüllt hat.

Das Auskunftsbegehren vom 29. Mai 2012 war präzise formuliert. Es ging daraus, bei Annahme eines durchschnittlich rechtskundigen, verständigen und über den Gegenstand des Anbringens (hier: die berufliche Tätigkeit der Beschwerdegegnerin als Lebensberaterin und NLP-Trainerin) informierten Empfängers ( „Empfängerhorizont“ , vgl. dazu die Ausführungen im Bescheid der Datenschutzkommission vom 22. Oktober 2008, K121.386/0009-DSK/2008, RIS, mwN), klar hervor, was der Beschwerdeführer im Besonderen wollte: Auskunft darüber, ob die Beschwerdegegnerin zu drei Ereignissen ( „Familienaufstellungen vom 01.04.2006 und vom 09.06.2007 sowie dem Seminar H***-NLP-Practitioner von 10.03.2006 bis 24.03.2006“ ) ihn betreffende Daten in einer automationsunterstützten Datenanwendung oder einer manuellen Datei verarbeitet.

Aus dem ersten Auskunftsschreiben vom 4. Juni 2012 geht nicht klar hervor, ob solche Daten existieren. Es enthält nur einen allgemeinen Satz des Inhalts, dass „handschriftliche Unterlagen“ nicht weitergegeben würden. Ob und in welcher Form (manuelle Datei oder bloß unstrukturierte, daher auch nicht unter das Auskunftsrecht gemäß § 1 Abs. 3 Z 1 und § 26 Abs. 1 DSG 2000 fallende Notizen) solche Unterlagen betreffend den Beschwerdeführer vorliegen, wurde nicht angegeben.

Das zweite Auskunftsschreiben vom 27. August 2012 geht wiederum auf das Faktum „Familienaufstellung vom 09.06.2007“ nicht ein. Es gibt nur an, dass „weder zu den Interventionen (Familienaufstellung) im Jahr 2006 noch zu den H***-NLP-Seminaren im Jahr 2006“ Daten elektronisch erfasst wurden.

Ein angesprochener datenschutzrechtlicher Auftraggeber hat gemäß § 26 Abs. 1 5. Satz DSG 2000 einem Auskunftswerber auch eine Negativauskunft zu erteilen. Bezieht sich der Auskunftswerber dabei auf ein bestimmtes Ereignis , dann umfasst diese Pflicht zur Negativauskunft die Pflicht zur Angabe, dass zu diesem Ereignis keine den Beschwerdeführer betreffenden Daten verarbeitet werden, wenn in Beantwortung desselben Auskunftsbegehrens auf andere Ereignisse näher eingegangen wird.

Wie sich aus § 26 Abs. 1 DSG 2000 in logisch-systematischer (arg: „in allgemein verständlicher Form“ ) sowie teleologischer Auslegung (wenn der Gesetzgeber dem datenschutzrechtlichen Auftraggeber ausdrücklich eine der Form nach klare Auskunftserteilung aufgetragen hat, so muss es auch geboten sein, den Inhalt klar und allgemein verständlich zu halten) des Gesetzes ergibt, muss eine datenschutzrechtliche Auskunft auch inhaltlich klar und insbesondere widerspruchsfrei sein.

Im vorliegenden Beschwerdefall kann nun dem Beschwerdeführer nicht widersprochen werden, wenn er vorbringt, dass das Antwortschreiben vom 27. August 2012 Widersprüche aufweist und unpräzise ist, das heißt: mehrere Deutungen zulässt. Insbesondere besteht ein gewisser Widerspruch zwischen der generellen Angabe, es gäbe „keine weiteren gespeicherten Daten“ und dem Nicht-Eingehen auf die spezielle Frage zu einem von drei bestimmten Ereignissen. Ob dies, wie der Beschwerdeführer in seiner Stellungnahme vom 27. Jänner 2013 vermutet, bewusst so angelegt worden ist, oder ob ein Versehen vorliegt, kann für Zwecke dieses Verfahrens dahingestellt bleiben.

Jedenfalls hat die Beschwerdegegnerin mit ihren beiden Schreiben das Auskunftsrecht nicht in gebotener Form erfüllt. Soweit der Beschwerdeführer nach Parteiengehör gemäß § 31 Abs. 8 DSG 2000 ein Weiterbestehen seiner Beschwer darlegen konnte, war daher gemäß § 31 Abs. 7 DSG 2000 ein vollstreckbarer Leistungsauftrag zur Ergänzung der Auskunft zu erteilen.