← Österreich

{'item': 'K120.704/005-DSK/2003'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum11.07.2003 GeschäftszahlK120.704/005-DSK/2003 Text BESCHEID Die Datenschutzkommission hat unter dem Vorsitz von Dr. MAIER und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Dr. STAUDIGL, und Mag. ZIMMER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom

  1. Juli 2003 folgenden Beschluss gefasst: Spruch Über die Beschwerde der B (Beschwerdeführerin) vom
  2. Mai 2000 gegen die Y Versicherungs AG (Beschwerdegegnerin) wegen Verletzung der Auskunftspflicht wird gemäß § 31 Abs. 1 des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 (DSG 2000), entschieden:Über die Beschwerde der B (Beschwerdeführerin) vom
  3. Mai 2000 gegen die Y Versicherungs AG (Beschwerdegegnerin) wegen Verletzung der Auskunftspflicht wird gemäß Paragraph 31, Absatz eins, des Datenschutzgesetzes 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, (DSG 2000), entschieden: Das belangte Organ hat die Beschwerdeführerin dadurch, dass es ihr trotz mehrfacher Aufforderung (Schreiben vom
  4. Jänner,
  5. Februar,
  6. März und
  7. April 2000) über die von ihm zu ihrer Person verarbeiteten Daten nur unvollständig Auskunft erteilt hat, im Recht auf Auskunft gemäß den §§ 1 Abs. 3 Z. 1 und 26 Abs. 1 DSG 2000 verletzt.Das belangte Organ hat die Beschwerdeführerin dadurch, dass es ihr trotz mehrfacher Aufforderung (Schreiben vom
  8. Jänner,
  9. Februar,
  10. März und
  11. April 2000) über die von ihm zu ihrer Person verarbeiteten Daten nur unvollständig Auskunft erteilt hat, im Recht auf Auskunft gemäß den Paragraphen eins, Absatz 3, Ziffer eins und 26 Absatz eins, DSG 2000 verletzt. Die Beschwerdegegnerin hat der Beschwerdeführerin innerhalb von vier Wochen nach Rechtskraft dieses Bescheides Auskunft über sämtliche zur Person der Beschwerdeführerin verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form zu geben. Begründung Mit Eingabe vom
  12. Mai 2000, protokolliert am
  13. Mai 2000, wandte sich die Beschwerdeführerin an die Datenschutzkommission und gab an, sie habe vom belangten Organ trotz Aufforderung keine vollständige Auskunft über die dort zu ihrer Person verarbeiteten Daten erhalten. Nach auftragsgemäßer Verbesserung mit Telefax vom
  14. August 2000 hat die Datenschutzkommission diese Eingabe als gegen das belangte Organ gerichtete Beschwerde wegen Verletzung des Auskunftsrechtes behandelt. Auf Grund der Angaben der Beschwerdeführerin, der von ihr in Kopie vorgelegten Urkunden sowie der Stellungnahme des belangten Organs vom
  15. Oktober 2000 wird der folgende entscheidungsrelevante Sachverhalt festgestellt: Im Vorfeld des Abschlusses einer sogenannten 'Kreditrestschuldversicherung' (Versicherung des Ablebensrisikos zugunsten einer Bank im Zusammenhang mit einer Kreditrestschuld) im November 1999 hat das belangte Organ von der Beschwerdeführerin eine erhöhte Versicherungsprämie gefordert und dies damit begründet, es liege bei ihr ein erhöhtes gesundheitliches Risiko vor. Dies gehe auf eine Ermittlung von Gesundheitsdaten der Beschwerdeführerin bei ihrem behandelnden Arzt bzw. beim Landeskrankenhaus Z zurück, aus denen ein für das belangte Organ tätiger Arzt den Schluss gezogen hat, die Beschwerdeführerin habe seinerzeit einen Schlaganfall erlitten. Daraufhin ist es zwischen der Beschwerdeführerin und dem belangten Organ zu einem Vertragsabschluss nicht gekommen. Die Beschwerdeführerin richtete am
  16. Jänner 2000 ein Ersuchen an das belangte Organ, ihr binnen gesetzlicher Frist sämtliche sie betreffende Daten in Schriftform zukommen zu lassen. Mit Schreiben vom
  17. Februar 2000 teilte das belangte Organ der Beschwerdeführerin mit, in der Datei, die dem Verband der Versicherungsunternehmen weitergeleitet werde, befinde sich keine Eintragung in Bezug auf einen Schlaganfall. Es sei nur vermerkt worden, dass die Beschwerdeführerin unter Migräne leide, was aus den Befunden und der Angabe ihres Hausarztes zu ersehen sei. Auf Grund des Datenschutzgesetzes 2000 seien sämtliche Eintragungen in Bezug auf Beschwerden gelöscht worden. Auf Grund einer weiteren Antragstellung für eine Kreditrestschuldversicherung bei der X Versicherung hat letztere der Beschwerdeführerin mit Schreiben vom
  18. Februar 2000 mitgeteilt, es seien auf Grund von Antragstellungen bei zwei anderen österreichischen Versicherungsgesellschaften in einem von allen Personenversicherern Österreichs bis zum 31.12.1999 benutzten gemeinschaftlichen Informationssystem Daten zu ihrer Person verfügbar, welche für einen Lebensversicherer ein erhöhtes medizinisches Risiko darstellen.Auf Grund einer weiteren Antragstellung für eine Kreditrestschuldversicherung bei der römisch zehn Versicherung hat letztere der Beschwerdeführerin mit Schreiben vom
  19. Februar 2000 mitgeteilt, es seien auf Grund von Antragstellungen bei zwei anderen österreichischen Versicherungsgesellschaften in einem von allen Personenversicherern Österreichs bis zum 31.12.1999 benutzten gemeinschaftlichen Informationssystem Daten zu ihrer Person verfügbar, welche für einen Lebensversicherer ein erhöhtes medizinisches Risiko darstellen. Die erste Meldung stamme von der W Versicherung mit Datum
  20. März
  21. Als Ursache für eine erschwerte Annahme einer Lebensversicherung sei von dieser der Krankheitsschlüssel für Schlaganfall, Uterusexstirpation sowie Depressionen, Neurosen und Psychopathien angeführt worden. Eine weitere Meldung vom
  22. Jänner 1999 sei durch das belangte Organ erfolgt. Dieses habe einen Krankheitsschlüssel für Depressionen, Neurosen und Psychopathien verwendet und zusätzlich Migräne angeführt. Von der X Versicherung selbst seien keine Meldungen erfolgt, es sei lediglich Einschau gehalten worden. Es seien auch in ihrem eigenen Verwaltungssystem keinerlei medizinische Daten gespeichert. Infolge Änderung des Datenschutzgesetzes mit Wirksamkeit
  23. Jänner 2000 seien im Informationssystem der Versicherer sämtliche medizinische Daten gelöscht worden.Von der römisch zehn Versicherung selbst seien keine Meldungen erfolgt, es sei lediglich Einschau gehalten worden. Es seien auch in ihrem eigenen Verwaltungssystem keinerlei medizinische Daten gespeichert. Infolge Änderung des Datenschutzgesetzes mit Wirksamkeit
  24. Jänner 2000 seien im Informationssystem der Versicherer sämtliche medizinische Daten gelöscht worden. In einem neuerlichen Auskunftsersuchen an das belangte Organ vom
  25. Februar 2000 bezog sich die Beschwerdeführerin ausdrücklich auf die angebliche 'Meldung' vom
  26. Jänner 1999 und forderte neuerlich Auskunft über sämtliche Daten, welche sich auf ihre Person beziehen, die genaue Herkunft dieser Daten sowie Empfänger oder Empfängerkreise von Übermittlungen. In seinem Antwortschreiben vom
  27. März 2000 erklärte das belangte Organ, die erhöhte Prämie sei auf Grund der Angaben der Beschwerdeführerin im Antrag und der von ihren Ärzten ausgestellten Befunde errechnet worden. Der Vorschlag einer erhöhten Prämie sei aus internen, geschäftspolitischen Gründen erfolgt, deren Darlegung nicht möglich sei. Die Beschwerdeführerin habe das belangte Organ im Versicherungsantrag ermächtigt, Informationen über ihren Gesundheitszustand einzuholen und Daten an andere Versicherer und an die Gemeinschaftseinrichtung der Versicherungsunternehmen weiterzuleiten. Darüber hinaus seien keine Daten weitergeleitet worden. Hinsichtlich ihrer Befunde möge die Beschwerdeführerin sich direkt an die jeweiligen Institutionen oder Ärzte wenden. Da sich die Beschwerdeführerin mit dieser Mitteilung wiederum nicht zufrieden gab, nahm das belangte Organ in einem weiteren Schreiben vom
  28. März 2000 wiederum auf die im Versicherungsantrag enthaltene Klausel Bezug, mit der die Beschwerdeführerin das belangte Organ ermächtigt habe, über sie personenbezogene Daten insoweit aufzuzeichnen als sie zur Risikoprüfung des von ihr gestellten Antrages erforderlich seien. Solche Daten seien die von der Beschwerdeführerin im Antrag beantworteten Fragen und ferner die vor dem DSG 2000 bis
  29. Dezember 1999 bestandenen Daten des Mitteilungsverbandes des Verbandes der österreichischen Versicherungsunternehmen. Auf die Daten des Mitteilungsverbandes hätten im übrigen sämtliche Versicherer zugreifen können. Weitere Daten stünden nur dann zur Verfügung, wenn im Schadensfall ärztliche Berichte bzw. Krankengeschichten durch Krankenanstalten oder durch behandelnde Ärzte angefertigt worden seien. Auf Grund der Angaben im Versicherungsantrag, wonach die Beschwerdeführerin einen Krankenhausaufenthalt hinter sich habe bzw. in ärztlicher Behandlung gestanden habe, habe das belangte Organ das Landeskrankenhaus Graz sowie den behandelnden Arzt der Beschwerdeführerin um Übermittlung der Krankengeschichte ersucht. Daraus seien unter anderem die Diagnosen migränoider Cephalea und Erschöpfungsdepressionen hervor gegangen, welche zur Veranschlagung der höheren Prämie geführt hätten. Mit Inkrafttreten des DSG 2000 seien sämtliche Daten des Mitteilungsverbandes gelöscht worden, es würden keine Mitteilungen mehr gemacht. Das belangte Organ könne nunmehr auf eigene Datenbestände zugreifen, die es im Rahmen des DSG selbstverständlich berechtigt erlangt habe und die auch in keinerlei missbräuchlicher Weise verwendet worden seien bzw. verwendet würden. Die über die Beschwerdeführerin vorliegenden Daten würden demnach nur die Angaben der Beschwerdeführerin im Antrag und die Angaben aus dem LKH Z sowie von ihren Ärzten beinhalten. Eine Einsichtnahme sei dort möglich. Diese vor dem
  30. Dezember 1999 über die Beschwerdeführerin erfassten Daten seien an den Mitteilungsverband weitergeleitet worden. In einem Telefax vom
  31. April 2000 erklärt das belangte Organ lediglich, es könne der Beantwortung des letzten Schreibens nichts hinzugefügt werden. Für das belangte Organ ist im Datenverarbeitungsregister unter anderem die Datenverarbeitung 'Betrieb einer Vertragsversicherung' registriert. Beweiswürdigung: Diese Feststellungen beruhen auf den eingangs genannten Stellungnahmen und Urkunden. In rechtlicher Hinsicht folgt daraus: Gemäß § 1 Abs. 3 Z. 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d. h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werde, insbesondere auch, an wen sie übermittelt werden.Gemäß Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d. h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werde, insbesondere auch, an wen sie übermittelt werden. In Ausführung dieser Verfassungsbestimmung sieht § 26 Abs. 1 DSG 2000 vor, dass der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben hat, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Gemäß Abs. 4 dieser Bestimmung ist innerhalb von acht Wochen nach Einlangen des Begehrens die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.In Ausführung dieser Verfassungsbestimmung sieht Paragraph 26, Absatz eins, DSG 2000 vor, dass der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben hat, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Gemäß Absatz 4, dieser Bestimmung ist innerhalb von acht Wochen nach Einlangen des Begehrens die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Absatz 3, mitgewirkt oder weil er den Kostenersatz nicht geleistet hat. Die Beschwerdeführerin hat in Ausübung des ihr nach § 26 Abs. 1 DSG 2000 zustehenden Auskunftsrechtes das belangte Organ im Schreiben vom
  32. Jänner aufgefordert, ihr Auskunft über sämtliche zu ihrer Person verarbeiteten Daten zu geben. Dieses Begehren hat sie in den Schreiben vom
  33. Februar,
  34. März und
  35. April 2000 wiederholt und ausdrücklich auch um Bekanntgabe der genauen Herkunft dieser Daten sowie der Empfänger bzw. Empfängerkreise von Übermittlungen dieser Daten ersucht.Die Beschwerdeführerin hat in Ausübung des ihr nach Paragraph 26, Absatz eins, DSG 2000 zustehenden Auskunftsrechtes das belangte Organ im Schreiben vom
  36. Jänner aufgefordert, ihr Auskunft über sämtliche zu ihrer Person verarbeiteten Daten zu geben. Dieses Begehren hat sie in den Schreiben vom
  37. Februar,
  38. März und
  39. April 2000 wiederholt und ausdrücklich auch um Bekanntgabe der genauen Herkunft dieser Daten sowie der Empfänger bzw. Empfängerkreise von Übermittlungen dieser Daten ersucht. Die der Beschwerdeführerin in sämtlichen Schreiben des belangten Organs erteilten 'Auskünfte' sind jedoch allesamt unpräzise bzw. erschöpfen sich überhaupt nur in allgemeinen Rechtsausführungen sowie daraus sich allenfalls ergebenden Konsequenzen für den zentralen 'Mitteilungsverband' und genügen daher den Anforderungen des § 26 DSG 2000 nicht. So beschränkt sich die Auskunft im Schreiben vom
  40. Februar 2000 darauf, der Beschwerdeführerin mitzuteilen, dass eine Eintragung bezüglich eines Schlaganfalles nicht vorliege und nur eingetragen worden sei, dass sie unter Migräne leide. Diese Information, die sich lediglich auf Gesundheitsdaten bezieht, kann keinesfalls als Auskunft über sämtliche verarbeitete Daten angesehen werden.Die der Beschwerdeführerin in sämtlichen Schreiben des belangten Organs erteilten 'Auskünfte' sind jedoch allesamt unpräzise bzw. erschöpfen sich überhaupt nur in allgemeinen Rechtsausführungen sowie daraus sich allenfalls ergebenden Konsequenzen für den zentralen 'Mitteilungsverband' und genügen daher den Anforderungen des Paragraph 26, DSG 2000 nicht. So beschränkt sich die Auskunft im Schreiben vom
  41. Februar 2000 darauf, der Beschwerdeführerin mitzuteilen, dass eine Eintragung bezüglich eines Schlaganfalles nicht vorliege und nur eingetragen worden sei, dass sie unter Migräne leide. Diese Information, die sich lediglich auf Gesundheitsdaten bezieht, kann keinesfalls als Auskunft über sämtliche verarbeitete Daten angesehen werden. Das Schreiben vom
  42. März 2000 wiederum legt zwar dar, aus welchen Quellen Gesundheitsdaten ermittelt und dass derartige Daten auf Grundlage einer Ermächtigungsklausel weitergeleitet wurden, nicht aber welche Daten insgesamt zu diesem Zeitpunkt aktuell verarbeitet waren. Der Hinweis, dass bei Ärzten bzw. Krankenhäusern in derartige Unterlagen Einsicht genommen werden kann, vermag eine vollständige Auskunft nicht zu ersetzen. Im Schreiben vom
  43. März 2000 wird die Beschwerdeführerin schließlich darüber informiert, dass die über sie 'vorliegenden' Daten nur ihre Angaben im Antrag und die Angaben aus dem LKH Z und von ihren Ärzten beinhalten. Dazu ist zunächst nochmals zu bemerken, dass eine Auskunft über verarbeitete Daten eine konkrete Anführung dieser Daten (zB Name, Geburtsdatum, Adresse etc. des Betroffenen) erfordert und ein Verweis auf Unterlagen, denen die verarbeiteten Daten entnommen wurden bzw. wo diese aufgefunden werden können, nicht ausreicht. Gerade wenn, wie im vorliegenden Fall, zwischen der Ermittlung der Daten und dem Auskunftsbegehren ein längerer Zeitraum liegt (Versicherungsantrag) oder der Betroffene die Daten dem Auftraggeber gar nicht selbst zur Verfügung gestellt hat (ärztliche Befunde), soll die Auskunft dem Betroffenen die Möglichkeit Zusammenfassend wurde der Beschwerdeführerin durch das belangte Organ somit keine dem § 26 Abs. 1 und 4 DSG 2000 genügende Auskunft erteilt.Im Schreiben vom
  44. März 2000 wird die Beschwerdeführerin schließlich darüber informiert, dass die über sie 'vorliegenden' Daten nur ihre Angaben im Antrag und die Angaben aus dem LKH Z und von ihren Ärzten beinhalten. Dazu ist zunächst nochmals zu bemerken, dass eine Auskunft über verarbeitete Daten eine konkrete Anführung dieser Daten (zB Name, Geburtsdatum, Adresse etc. des Betroffenen) erfordert und ein Verweis auf Unterlagen, denen die verarbeiteten Daten entnommen wurden bzw. wo diese aufgefunden werden können, nicht ausreicht. Gerade wenn, wie im vorliegenden Fall, zwischen der Ermittlung der Daten und dem Auskunftsbegehren ein längerer Zeitraum liegt (Versicherungsantrag) oder der Betroffene die Daten dem Auftraggeber gar nicht selbst zur Verfügung gestellt hat (ärztliche Befunde), soll die Auskunft dem Betroffenen die Möglichkeit Zusammenfassend wurde der Beschwerdeführerin durch das belangte Organ somit keine dem Paragraph 26, Absatz eins und 4 DSG 2000 genügende Auskunft erteilt. Dementsprechend war der Beschwerdegegnerin bescheidmäßig die Leistung einer dem Gesetz entsprechenden Auskunft aufzutragen. Es war daher spruchgemäß zu entscheiden.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.