{'item': 'K120.842/009-DSK/2003'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum01.07.2003 GeschäftszahlK120.842/009-DSK/2003 Text BESCHEID Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. DUSCHANEK, Mag. HUTTERER, Dr. KLEISER, Mag. PREISS und Dr. SOUHRADA-KIRCHMAYER sowie der Schriftführerin Mag. FERCHENBAUER in ihrer Sitzung vom

1. Juli 2003 folgenden Beschluss gefasst: Spruch Über die Beschwerde des Dipl. Ing. O aus G (Beschwerdeführer) gegen 1) die Kammer für Arbeiter und Angestellte für X (Erstbelangte) und 2) die Hochschülerschaft an der UniversitätÜber die Beschwerde des Dipl. Ing. O aus G (Beschwerdeführer) gegen 1) die Kammer für Arbeiter und Angestellte für römisch zehn (Erstbelangte) und 2) die Hochschülerschaft an der Universität Y (Zweitbelangte) wird gemäß §§ 1 Abs 1 und 6, 26 Abs 1 und 31 Abs 1 und 2 Datenschutzgesetz 2000, BGBl I Nr 165/1999 idF BGBl I Nr 136/2001 (DSG 2000), wie folgt entschieden:Y (Zweitbelangte) wird gemäß Paragraphen eins, Absatz eins und 6, 26 Absatz eins und 31 Absatz eins und 2 Datenschutzgesetz 2000, Bundesgesetzblatt Teil eins, Nr 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr 136 aus 2001, (DSG 2000), wie folgt entschieden: A) So weit eine Verletzung im Recht auf Auskunft dadurch behauptet wird, dass die Erstbelangte mit Schreiben vom
2. Oktober 2002 unvollständig Auskunft erteilte, wird die Beschwerde als unbegründet abgewiesen. B) So weit eine Verletzung im Recht auf Geheimhaltung dadurch behauptet wird, dass die Zweitbelangte der Erstbelangten für Zwecke des Versands einer Veranstaltungseinladung zwischen dem
3. und
4. Oktober 2002 die Daten Name und Adresse des Beschwerdeführers – sowie implizit die Angabe, dass er zu den Studierenden der Universität Y zählte - übermittelte, wird die Beschwerde als unbegründet abgewiesen. Begründung Mit Eingabe vom
5. November 2002, verbessert mit Schreiben vom
6. Dezember 2002, rügte der Beschwerdeführer die Verwendung seiner Daten im Zusammenhang mit einer Einladung zu einer gemeinsamen Informations- und Diskussionsveranstaltung der Erst- und der Zweitbelangten. Zum einen habe ihn die Erstbelangte nur unvollständig Auskunft gegeben und damit im Recht auf Auskunft über eigene Daten verletzt, da sie die Tatsache verschwiegen habe, dass Name und Adresse des Beschwerdeführers aus Datenanwendungen der Zweitbelangten an die Erstbelangte übermittelt und somit von dieser als Auftraggeberin verarbeitet worden seien. Zum anderen habe die Zweitbelangte diese Daten entgegen dem Grundrecht auf Geheimhaltung an die Erstbelangte übermittelt. Weiters hätten beide gegen die Pflicht zur Offenlegung der Identität des Auftraggebers verstoßen, als auf dem Kuvert der Einladung nur die DVR-Nummer der Erstbelangten angeführt gewesen sei. Die Datenschutzkommission hat ein Ermittlungsverfahren durchgeführt und Beweis aufgenommen durch Einsichtnahme in die vom Beschwerdeführer vorgelegten (Urkunden-) Kopien, Einholung von Stellungnahmen beider Belangter sowie Überprüfung des Datenverarbeitungsregisters. Dem Beschwerdeführer wurde dazu Parteiengehör eingeräumt. Es wird folgender entscheidungsrelevanter Sachverhalt festgestellt: Die Hochschülerschaft an der Universität Y (im Folgenden kurz: ÖH) veranstaltete am
7. Oktober 2002 unter dem Titel 'Stress mit Studium und Beruf?' gemeinsam mit der Kammer für Arbeiter und Angestellte für X (im Folgenden kurz: AK) eine Diskussions- und Informationsveranstaltung zur sozialen Lage der Studierenden. Gemäß einer vertraglichen Vereinbarung zwischen beiden Körperschaften öffentlichen Rechts wurden die Kosten für die grafische Gestaltung sowie den Druck und Versand der Einladungen von der AK getragen, während die ÖH wiederum die Adressen der ihr zugehörigen Studierenden zur Verfügung stellte. Die ÖH verarbeitete zu diesem Zweck durch Auswahl aus ihren Datenanwendungen die Daten Name, Vorname, Anrede und Studienadresse (Postleitzahl, Straße, Haus- und Türnummer) des Beschwerdeführers als eines Studierenden der Universität Y, speicherte sie auf einem Datenträger (Diskette) und gab sie in dieser Form an die AK weiter, die sie an einen unbekannten Dienstleister weiterleitete, der Ausdruck, Adressierung und Versand der Einladungsschreiben auf Grund eines Vertrags mit der AK auf deren Rechnung besorgte (Version AK) oder gab sie in dieser Form direkt zu den genannten Zwecken an den angesprochenen Dienstleister weiter (Version ÖH). Auf dem Einladungsschreiben wie dem Kuvert war das Logo des Sozialreferats der ÖH neben dem der AK abgedruckt, auf dem Kuvert war die DVR Nummer XXXX74X, unter welcher die AK als Auftraggeberin registriert ist, angegeben.Die Hochschülerschaft an der Universität Y (im Folgenden kurz: ÖH) veranstaltete am
8. Oktober 2002 unter dem Titel 'Stress mit Studium und Beruf?' gemeinsam mit der Kammer für Arbeiter und Angestellte für römisch zehn (im Folgenden kurz: AK) eine Diskussions- und Informationsveranstaltung zur sozialen Lage der Studierenden. Gemäß einer vertraglichen Vereinbarung zwischen beiden Körperschaften öffentlichen Rechts wurden die Kosten für die grafische Gestaltung sowie den Druck und Versand der Einladungen von der AK getragen, während die ÖH wiederum die Adressen der ihr zugehörigen Studierenden zur Verfügung stellte. Die ÖH verarbeitete zu diesem Zweck durch Auswahl aus ihren Datenanwendungen die Daten Name, Vorname, Anrede und Studienadresse (Postleitzahl, Straße, Haus- und Türnummer) des Beschwerdeführers als eines Studierenden der Universität Y, speicherte sie auf einem Datenträger (Diskette) und gab sie in dieser Form an die AK weiter, die sie an einen unbekannten Dienstleister weiterleitete, der Ausdruck, Adressierung und Versand der Einladungsschreiben auf Grund eines Vertrags mit der AK auf deren Rechnung besorgte (Version AK) oder gab sie in dieser Form direkt zu den genannten Zwecken an den angesprochenen Dienstleister weiter (Version ÖH). Auf dem Einladungsschreiben wie dem Kuvert war das Logo des Sozialreferats der ÖH neben dem der AK abgedruckt, auf dem Kuvert war die DVR Nummer XXXX74X, unter welcher die AK als Auftraggeberin registriert ist, angegeben. Beweiswürdigung: Diese Feststellungen stützen sich auf die weitgehend übereinstimmenden Darstellungen der AK und der ÖH (Stellungnahmen vom
9. Februar 2003, GZ K120.842/004-DSK/2003 und vom
10. Februar 2003, GZ K120.842/005-DSK/2003), die sachverhaltsmäßig nicht im Widerspruch mit den Behauptungen des Beschwerdeführers stehen, sowie auf die der Beschwerde angeschlossenen (Urkunden-)Kopien von Einladung und Briefkuvert. Hinsichtlich der Übermittlung der auf einer Diskette gespeicherten Adressdaten und des weiteren Schicksals des Datenträgers wird dabei der Version der ÖH gefolgt. Weiters wurde von Amts wegen der Stand des Datenverarbeitungsregisters überprüft. Am
11. Oktober 2002 richtete der Beschwerdeführer unter Bezugnahme auf die Einladung zu dieser Veranstaltung ein Auskunftsbegehren gemäß § 26 DSG 2000 an die AK. Mit Auskunftsschreiben vom
12. Oktober 2002, Zeichen: Kom-A/B, wurde ihm mitgeteilt, dass die AK keinerlei Daten über ihn 'gespeichert habe' und dass die Adressen zum Versand der Einladungen von der ÖH stammten.Am
13. Oktober 2002 richtete der Beschwerdeführer unter Bezugnahme auf die Einladung zu dieser Veranstaltung ein Auskunftsbegehren gemäß Paragraph 26, DSG 2000 an die AK. Mit Auskunftsschreiben vom
14. Oktober 2002, Zeichen: Kom-A/B, wurde ihm mitgeteilt, dass die AK keinerlei Daten über ihn 'gespeichert habe' und dass die Adressen zum Versand der Einladungen von der ÖH stammten. Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Inhalt der zitierten Urkunden, die der Datenschutzkommission in Kopie vorliegen (Beilagen zur Beschwerde, GZ: K120.842/001- DSK/2003). In rechtlicher Hinsicht folgt daraus: A) zur Frage der Verletzung im Auskunftsrecht durch die AK: Gemäß § 26 Abs 1 DSG 2000 hat der Auftraggeber dem Betroffenen auf dessen schriftliches Verlangen hin Auskunft über die zu seiner Person verarbeiteten Daten zu geben. Gemäß § 26 Abs 4 DSG 2000 ist die Auskunft innerhalb von acht Wochen schriftlich zu erteilen oder zu begründen, warum sie nicht oder nicht vollständig erteilt wird.Gemäß Paragraph 26, Absatz eins, DSG 2000 hat der Auftraggeber dem Betroffenen auf dessen schriftliches Verlangen hin Auskunft über die zu seiner Person verarbeiteten Daten zu geben. Gemäß Paragraph 26, Absatz 4, DSG 2000 ist die Auskunft innerhalb von acht Wochen schriftlich zu erteilen oder zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Auftraggeber ist jede natürliche oder juristische Person, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten für einen bestimmten Zweck zu verarbeiten (Z 9), und zwar unabhängig davon, ob sie die Verarbeitung selbst durchführen oder hiezu einen anderen heranziehen. Als Auftraggeber gelten die genannten Personen, Personengemeinschaften und Einrichtungen auch dann, wenn sie einem anderen Daten zur Herstellung eines von ihnen aufgetragenen Werkes überlassen und der Auftragnehmer die Entscheidung trifft, diese Daten zu verarbeiten. Wurde jedoch dem Auftragnehmer anlässlich der Auftragserteilung die Verarbeitung der überlassenen Daten ausdrücklich untersagt oder hat der Auftragnehmer die Entscheidung über die Art und Weise der Verwendung, insbesondere die Vornahme einer Verarbeitung der überlassenen Daten, auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß § 6 Abs. 4 eigenverantwortlich zu treffen, so gilt der mit der Herstellung des Werkes Betraute als datenschutzrechtlicher Auftraggeber (vgl. § 4 Z 4 DSG 2000).Auftraggeber ist jede natürliche oder juristische Person, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten für einen bestimmten Zweck zu verarbeiten (Ziffer 9,), und zwar unabhängig davon, ob sie die Verarbeitung selbst durchführen oder hiezu einen anderen heranziehen. Als Auftraggeber gelten die genannten Personen, Personengemeinschaften und Einrichtungen auch dann, wenn sie einem anderen Daten zur Herstellung eines von ihnen aufgetragenen Werkes überlassen und der Auftragnehmer die Entscheidung trifft, diese Daten zu verarbeiten. Wurde jedoch dem Auftragnehmer anlässlich der Auftragserteilung die Verarbeitung der überlassenen Daten ausdrücklich untersagt oder hat der Auftragnehmer die Entscheidung über die Art und Weise der Verwendung, insbesondere die Vornahme einer Verarbeitung der überlassenen Daten, auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß Paragraph 6, Absatz 4, eigenverantwortlich zu treffen, so gilt der mit der Herstellung des Werkes Betraute als datenschutzrechtlicher Auftraggeber vergleiche Paragraph 4, Ziffer 4, DSG 2000). Im vorliegenden Fall kann dahingestellt bleiben, ob die Daten von der ÖH direkt an den Dienstleister übermittelt wurden oder eine die Daten enthaltene Diskette der AK übergeben wurde, damit sie diese auf Grund der bestehenden vertraglichen Vereinbarung Dienstleister übermittelt. In beiden Fällen kann nämlich eine Auftraggebereigenschaft der AK im datenschutzrechtlichen Sinn nicht abgeleitet werden. Im ersten Fall deshalb nicht, als der AK a priori zu keinem Zeitpunkt Daten zur Verfügung standen, im zweiten Fall deshalb nicht, als der AK höchstens die Eigenschaft eines 'Boten' bei der Weiterleitung der Diskette an den Dienstleister zugekommen wäre. Da die Pflicht zur Auskunftserteilung gemäß § 26 DSG 2000 nur einen Auftraggeber treffen kann, war die Beschwerde in diesem Punkt als unbegründet abzuweisen.Da die Pflicht zur Auskunftserteilung gemäß Paragraph 26, DSG 2000 nur einen Auftraggeber treffen kann, war die Beschwerde in diesem Punkt als unbegründet abzuweisen. B) zur Frage der Verletzung im Recht auf Geheimhaltung durch die ÖH: Der durch das Grundrecht auf Datenschutz gemäß § 1 Abs 1 DSG 2000 unmittelbar eingeräumte subjektiv-öffentliche Anspruch auf Geheimhaltung personenbezogener Daten schützt u.a. vor ungerechtfertigter Übermittlung von Daten (Bescheid der Datenschutzkommission vom
15. April 2003, GZ K120.766/004- DSK/2002, veröffentlicht http://www.ris.bka.gv.at/dsk/ ). Im vorliegenden Fall rügt der Beschwerdeführer, die ÖH habe der AK seine Daten durch Übergabe eines Datenträgers an einen von der AK vertraglich bestellten Dienstleister übermittelt. Wie bereits oben zu Punkt A) dargelegt, hat eine solche Übermittlung nicht stattgefunden und stellt die Weitergabe von Daten an einen Dienstleister keine Übermittlung im datenschutzrechtlichen Sinn dar (§ 4 Z 12 DSG 2000). Mangels eines tatbestandsmäßigen Eingriffs in einen Geheimhaltungsanspruch des Beschwerdeführers war die Beschwerde daher auch in diesem Punkt spruchgemäß abzuweisen.Der durch das Grundrecht auf Datenschutz gemäß Paragraph eins, Absatz eins, DSG 2000 unmittelbar eingeräumte subjektiv-öffentliche Anspruch auf Geheimhaltung personenbezogener Daten schützt u.a. vor ungerechtfertigter Übermittlung von Daten (Bescheid der Datenschutzkommission vom
16. April 2003, GZ K120.766/004- DSK/2002, veröffentlicht http://www.ris.bka.gv.at/dsk/ ). Im vorliegenden Fall rügt der Beschwerdeführer, die ÖH habe der AK seine Daten durch Übergabe eines Datenträgers an einen von der AK vertraglich bestellten Dienstleister übermittelt. Wie bereits oben zu Punkt A) dargelegt, hat eine solche Übermittlung nicht stattgefunden und stellt die Weitergabe von Daten an einen Dienstleister keine Übermittlung im datenschutzrechtlichen Sinn dar (Paragraph 4, Ziffer 12, DSG 2000). Mangels eines tatbestandsmäßigen Eingriffs in einen Geheimhaltungsanspruch des Beschwerdeführers war die Beschwerde daher auch in diesem Punkt spruchgemäß abzuweisen. Auf dem Kuvert der Einladung zur Veranstaltung vom
17. Oktober 2002 war die DVR-Nummer der AK angeführt. Da Auftraggeberin der verwendeten Daten die ÖH war, haben sowohl AK wie ÖH damit gegen die Pflicht zur Offenlegung der Identität des Auftraggebers gemäß § 25 Abs 1 und 2 DSG 2000 verstoßen, auf deren Einhaltung jedoch kein subjektives Recht des Betroffenen besteht. Die Datenschutzkommission jedoch richtet diesbezüglich eine Empfehlung gemäß § 30 Abs 6 DSG 2000 an beide Körperschaften öffentlichen Rechts. [Anmerkung:Auf dem Kuvert der Einladung zur Veranstaltung vom
18. Oktober 2002 war die DVR-Nummer der AK angeführt. Da Auftraggeberin der verwendeten Daten die ÖH war, haben sowohl AK wie ÖH damit gegen die Pflicht zur Offenlegung der Identität des Auftraggebers gemäß Paragraph 25, Absatz eins und 2 DSG 2000 verstoßen, auf deren Einhaltung jedoch kein subjektives Recht des Betroffenen besteht. Die Datenschutzkommission jedoch richtet diesbezüglich eine Empfehlung gemäß Paragraph 30, Absatz 6, DSG 2000 an beide Körperschaften öffentlichen Rechts. [Anmerkung: Empfehlung ist mit separater Erledigung ergangen, hier nicht wiedergegeben]