{'item': 'K120.858/009-DSK/2003'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum12.09.2003 GeschäftszahlK120.858/009-DSK/2003 Text BESCHEID Die Datenschutzkommission hat unter dem Vorsitz von Dr. MAIER und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. ROSENMAYR-KLEMENZ, Dr. SOUHRADA-KIRCHMAYER, Dr. STAUDIGL und Mag. ZIMMER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom

1. September 2003 folgenden Beschluss gefasst: Spruch Die Beschwerde des D. (in der Folge: Beschwerdeführer), vertreten durch die Vereinigung C, vom
2. März 2003 gegen die X-Bank wegen Verletzung in seinem Recht auf Auskunft nach § 26 Abs. 1 Datenschutzgesetz 2000, BGBl I Nr. 165/1999 idgF (DSG 2000), durch Erteilung einer unvollständigen Auskunft wird gemäß § 31 Abs. 1 in Verbindung mit § 26 Abs. 1 DSG 2000 als unbegründet abgewiesen.Die Beschwerde des D. (in der Folge: Beschwerdeführer), vertreten durch die Vereinigung C, vom
3. März 2003 gegen die X-Bank wegen Verletzung in seinem Recht auf Auskunft nach Paragraph 26, Absatz eins, Datenschutzgesetz 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF (DSG 2000), durch Erteilung einer unvollständigen Auskunft wird gemäß Paragraph 31, Absatz eins, in Verbindung mit Paragraph 26, Absatz eins, DSG 2000 als unbegründet abgewiesen. Begründung Sachverhalt: Mit Schreiben vom
4. März 2002 richtete der Beschwerdeführer ein Auskunftsbegehren an die X-Bank Dieses Auskunftsersuchen beantwortete die X-Bank mit Schriftsatz vom
5. März
6. Nachdem diese Auskunftserteilung nach Auffassung des Beschwerdeführers nicht vollständig war, wandte sich der Beschwerdeführer am
7. Februar 2003 nochmals an den Beschwerdegegner. Daraufhin teilte die X-Bank, mittlerweile vertreten durch die S. Rechtsanwälte OEG, dem Beschwerdeführer die von ihr verarbeiteten personenbezogenen Daten des Beschwerdeführers mit. Bezüglich der persönlichen Angaben wurde der Namen, das Geschlecht, die Adresse, die Telefonnummer, das Geburtsdatum und das Bruttojahreseinkommen des Beschwerdeführers, hinsichtlich der Angaben zur Berufstätigkeit die beschäftigende Firma, deren Adresse und Telefonnummer, die Branche, die Position des Beschwerdeführers und das Datum des Beginns des Beschäftigungsverhältnisses beauskunftet. Hinsichtlich der Bankverbindung des Beschwerdeführers verarbeitet die X-Bank den Namen der Bank, die Konto-Nummer des Beschwerdeführers, die Bankleitzahl, die Postleitzahl, den Ort und die Frage, ob ein Hauptkartenantragsteller vorhanden sei. Bezüglich der Bonitätsdaten des Beschwerdeführers führte die X-Bank aus, dass sie auf Grund einer vom Beschwerdeführer gegebenen Zustimmungserklärung beim Gläubigerschutzverband B [Anmerkung: Name bzw. Initialen geändert] eine Bonitätsauskunft über den Beschwerdeführer eingeholt habe. Die Entscheidung, den Antrag des Beschwerdeführers auf Ausstellung einer 'X-Card' abzulehnen, sei in der Folge von den internen Analysten bei X-Bank getroffen worden. Den Beschwerdeführer stellte diese Auskunftserteilung durch den Beschwerdegegner nicht zufrieden, und so wandte er sich mit Schriftsatz vom
8. März 2003, vertreten durch die Vereinigung C [Anmerkung: Name bzw. Initialen geändert], an die Datenschutzkommission. Diese forderte den Beschwerdegegner in der Folge zur Stellungnahme auf. In der Stellungnahme vom
9. April 2003 legte die X-Bank, abermals vertreten durch die S. Rechtsanwälte OEG, ein Schreiben vom selben Tag vor, welches an den Beschwerdeführer gerichtet war. In diesem Schreiben führte der Beschwerdegegner wie folgt aus: 'Aufgrund ausdrücklicher Zustimmung des Beschwerdeführers haben wir über ihn beim Gläubigerschutzverband B eine Bonitätsauskunft aus der Konsumentenkreditevidenz eingeholt. Andere Bonitätsdaten betreffend den Beschwerdeführer als jene des Gläubigerschutzverbandes B wurden von uns nicht eingeholt. Den genauen Inhalt dieser Auskunft können wir dem Beschwerdeführer nicht mehr mitteilen, weil wir die uns in Papierform übermittelte Auskunft nach Ablehnung eines Kreditkartenantrages aus Datenschutzgründen stets vernichten. Dies geschah auch im Fall des Beschwerdeführers. Laut Auskunft durch den Gläubigerschutzverband B ist es auch heute nicht mehr möglich, den damaligen Inhalt der Auskunft aus der Konsumentenkreditevidenz für den Beschwerdeführer festzustellen; es können nur die tagesaktuellen Evidenzdaten abgefragt werden. Wir können den Inhalt der Bonitätsauskunft aus unserer unternehmensinternen Bewertung nur rekonstruieren. Wir haben seinerzeit die Auskunft aus der Konsumentenkreditevidenz für den Beschwerdeführer mit 'B' bewertet. Dies ist eine positive Bewertung und bedeutet, dass der Auszug aus der Konsumentenkreditevidenz keine negativen Merkmale aufwies. Unser Analyst beurteilte den Antrag des Beschwerdeführers ausschließlich aufgrund der von ihm freiwillig weitergegebenen Daten, d. h. der im Antragsformular angegebenen Daten (vgl. unser Schreiben vom 28.2.), sowie der zulässigen Bonitätsauskunft des Gläubigerschutzverbandes B.Wir können den Inhalt der Bonitätsauskunft aus unserer unternehmensinternen Bewertung nur rekonstruieren. Wir haben seinerzeit die Auskunft aus der Konsumentenkreditevidenz für den Beschwerdeführer mit 'B' bewertet. Dies ist eine positive Bewertung und bedeutet, dass der Auszug aus der Konsumentenkreditevidenz keine negativen Merkmale aufwies. Unser Analyst beurteilte den Antrag des Beschwerdeführers ausschließlich aufgrund der von ihm freiwillig weitergegebenen Daten, d. h. der im Antragsformular angegebenen Daten vergleiche unser Schreiben vom 28.2.), sowie der zulässigen Bonitätsauskunft des Gläubigerschutzverbandes B. Der Analyst bewertete diesen Antrag - wie in jedem anderen Fall auch - insbesondere nach den Kriterien Einkommen, Bonität, Alter und Beruf. Die Bewertung ergab einen ziffernmäßigen Gesamtwert von 5xx Punkten. Da dieser Wert über den für positive Antragserledigungen von uns festgesetzten Wert (sogenannter cut-off) lag, mussten wir - obwohl die Bonitätsauskunft des Gläubigerschutzverbandes B positiv war - den Antrag ablehnen. Die einzigen von uns verarbeiteten Analysedaten sind somit die Angabe des über den cut-off gelegenen Wertes von 5xx Punkten, sowie die Angabe, dass der Antrag des Beschwerdeführers abgelehnt wurde. Zusammenfassend folgt daraus, dass wir neben den vom Beschwerdeführer freiwillig weitergegebenen Daten nur die Bonitätsbewertung 'B', die Gesamtbewertung '5xx; über dem cutoff', sowie das Ergebnis der Antragserledigung 'Antragsteller abgelehnt' verarbeitet haben.' Gegen diese Auskunftserteilung brachte der Beschwerdeführer vor, dass die Auskunft nicht allgemein verständlich im Sinne des § 26 DSG 2000 sei, weil der vom Beschwerdegegner dargestellte Gesamtwert - besonders im Hinblick darauf, wie er sich zusammensetze - eine Bonitätsbeurteilung der X-Bank widerspiegle, die für den Beschwerdeführer nicht nachvollziehbar sein.Gegen diese Auskunftserteilung brachte der Beschwerdeführer vor, dass die Auskunft nicht allgemein verständlich im Sinne des Paragraph 26, DSG 2000 sei, weil der vom Beschwerdegegner dargestellte Gesamtwert - besonders im Hinblick darauf, wie er sich zusammensetze - eine Bonitätsbeurteilung der X-Bank widerspiegle, die für den Beschwerdeführer nicht nachvollziehbar sein. Beweiswürdigung: Der Sachverhalt ergab sich ohne Widersprüche aus dem Vorbringen der Partei und den zitierten Urkunden. Dem Beschwerdeführer wurde zu den Ergebnissen des Ermittlungsverfahren Parteiengehör eingeräumt. Daraus folgt in rechtlicher Hinsicht: Gemäß § 26 Abs. 1 DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben. Diese Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenanwendung sowie die Rechtsgrundlagen hierfür in allgemein verständlicher Form anzuführen.Gemäß Paragraph 26, Absatz eins, DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben. Diese Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenanwendung sowie die Rechtsgrundlagen hierfür in allgemein verständlicher Form anzuführen. Der Anspruch auf Auskunft enthält also das Recht, Auskunft über die verarbeiteten Daten in allgemein verständlicher Form zu erhalten. Dies bedeutet, dass der Betroffene nicht nur über die Art (Kategorien) der über ihn verarbeiteten Daten aufzuklären ist, sondern, dass ihm der Inhalt dieser Daten auch bekannt zu geben ist. Genau dieser Verpflichtung ist der Beschwerdegegner in seinen Schreiben vom
10. Februar 2003 und vom
11. April 2003 an den Beschwerdeführer nachgekommen: Es wurden sämtliche personenbezogene Daten, die beim Beschwerdegegner verarbeitet werden, beauskunftet. Das Recht auf Auskunft nach § 26 DSG 2000 stellt an den Auskunftspflichtigen die Anforderung, die Daten in allgemein verständlicher Form anzuführen. Im gegenständlichen Fall wurden Einträge in Form von Buchstabencodes bzw. Zahlen ('B); '5xx; über dem cut-off') vorgenommen, die für sich betrachtet noch keine verständliche Informationen darstellen. Im Zusammenhang mit der erfolgten Auskunft über Art und Herkunft der Akten und ihren Verwendungszweck kommt den Einträgen aber zumindest ein beschränkter Erklärungswert zu.Das Recht auf Auskunft nach Paragraph 26, DSG 2000 stellt an den Auskunftspflichtigen die Anforderung, die Daten in allgemein verständlicher Form anzuführen. Im gegenständlichen Fall wurden Einträge in Form von Buchstabencodes bzw. Zahlen ('B); '5xx; über dem cut-off') vorgenommen, die für sich betrachtet noch keine verständliche Informationen darstellen. Im Zusammenhang mit der erfolgten Auskunft über Art und Herkunft der Akten und ihren Verwendungszweck kommt den Einträgen aber zumindest ein beschränkter Erklärungswert zu. Dem Beschwerdeführer wurden die der Auskunftspflicht des § 26 DSG 2000 unterliegenden Informationen über Art, Herkunft und Verwendungszweck der Daten mit Schreiben vom 17.4.2003 in einer allgemein verständlichen Weise erteilt. Nicht offen gelegt worden sind die genauen Berechnungsmodalitäten, die das Unternehmen entsprechend ihren Unternehmenszielen allgemein festgelegt hat und bei allen Antragsprüfungen anwendet. Eine Offenlegung der Bewertungsregeln hätte die Aussagekraft und Verständlichkeit der erteilten Auskunft zwar zweifellos erhöht. Eine entsprechende Rechtspflicht zur Offenlegung der den Einträgen zu Grunde liegenden Entscheidungsvoraussetzungen bzw. Bewertungsgrundsätze kann aus § 26 DSG 2000 jedoch nicht abgeleitet werden.Dem Beschwerdeführer wurden die der Auskunftspflicht des Paragraph 26, DSG 2000 unterliegenden Informationen über Art, Herkunft und Verwendungszweck der Daten mit Schreiben vom 17.4.2003 in einer allgemein verständlichen Weise erteilt. Nicht offen gelegt worden sind die genauen Berechnungsmodalitäten, die das Unternehmen entsprechend ihren Unternehmenszielen allgemein festgelegt hat und bei allen Antragsprüfungen anwendet. Eine Offenlegung der Bewertungsregeln hätte die Aussagekraft und Verständlichkeit der erteilten Auskunft zwar zweifellos erhöht. Eine entsprechende Rechtspflicht zur Offenlegung der den Einträgen zu Grunde liegenden Entscheidungsvoraussetzungen bzw. Bewertungsgrundsätze kann aus Paragraph 26, DSG 2000 jedoch nicht abgeleitet werden. Wesentliche Teile der der Auskunftspflicht unterliegenden Dateninhalte wurden dem Beschwerdeführer nicht - wie in § 26 Abs. 4 DSG 2000 vorgesehen - innerhalb von 8 Wochen mitgeteilt. Da eine Beschwerde nach § 31 DSG 2000 die Auskunftserteilung sicherstellen soll, ist im Fall einer vollständigen Auskunftserteilung - mag sie auch nicht fristgerecht erfolgt sein - das Ziel des § 26 Abs. 1 DSG 2000 dennoch erreicht. Die selbstständige Feststellung einer Rechtsverletzung wegen Nichteinhaltung der in § 26 Abs. 4 DSG 2000 vorgesehenen Frist ist nach Wegfall der Beschwer auf Seiten des Betroffenen nicht mehr möglich (vgl. u.a. die Entscheidung der DSK vom
12. Februar 2002, GZ 120.760).Wesentliche Teile der der Auskunftspflicht unterliegenden Dateninhalte wurden dem Beschwerdeführer nicht - wie in Paragraph 26, Absatz 4, DSG 2000 vorgesehen - innerhalb von 8 Wochen mitgeteilt. Da eine Beschwerde nach Paragraph 31, DSG 2000 die Auskunftserteilung sicherstellen soll, ist im Fall einer vollständigen Auskunftserteilung - mag sie auch nicht fristgerecht erfolgt sein - das Ziel des Paragraph 26, Absatz eins, DSG 2000 dennoch erreicht. Die selbstständige Feststellung einer Rechtsverletzung wegen Nichteinhaltung der in Paragraph 26, Absatz 4, DSG 2000 vorgesehenen Frist ist nach Wegfall der Beschwer auf Seiten des Betroffenen nicht mehr möglich vergleiche u.a. die Entscheidung der DSK vom
13. Februar 2002, GZ 120.760). Die Beschwerde des Beschwerdeführers war aus diesem Grunde als unbegründet abzuweisen.