← Österreich

{'item': 'K120.964/0002-DSK/2005'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum11.03.2005 GeschäftszahlK120.964/0002-DSK/2005 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.] BESCHEID Die Datenschutzkommission hat unter dem Vorsitz von Dr. MAIER und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Dr. STAUDIGL und Mag. ZIMMER sowie der Schriftführer Dr. KÖNIG und Fr. HAAS in ihrer Sitzung vom 11. März 2005 folgenden Beschluss gefasst: Spruch Über die Beschwerde der G**** in T**** (in der Folge: Beschwerdeführerin), vertreten durch Dr. E****, Rechtsanwältin in B****, gegen das Finanzamt T**** (in der Folge auch: Beschwerdegegner) wegen Verletzung des Rechts auf Auskunft gemäß § 26 Datenschutzgesetz 2000 idF BGBl I Nr. 136/2001 (DSG 2000) durch Nichterfüllung ihres Auskunftsbegehrens vom 30. Dezember 2003 wird gemäß § 31 Abs. 1 DSG 2000 iVm § 26 Abs. 1, 4 und 6 sowie § 14 Abs. 3 DSG 2000 wie folgt entschieden:Über die Beschwerde der G**** in T**** (in der Folge: Beschwerdeführerin), vertreten durch Dr. E****, Rechtsanwältin in B****, gegen das Finanzamt T**** (in der Folge auch: Beschwerdegegner) wegen Verletzung des Rechts auf Auskunft gemäß Paragraph 26, Datenschutzgesetz 2000 in der Fassung Bundesgesetzblatt Teil eins, Nr. 136 aus 2001, (DSG 2000) durch Nichterfüllung ihres Auskunftsbegehrens vom 30. Dezember 2003 wird gemäß Paragraph 31, Absatz eins, DSG 2000 in Verbindung mit Paragraph 26, Absatz eins, 4 und 6 sowie Paragraph 14, Absatz 3, DSG 2000 wie folgt entschieden: Der Beschwerde wird insofern stattgegeben, als dem Beschwerdegegner aufgetragen wird, der Beschwerdeführerin innerhalb von 8 Wochen Auskunft über die zwischen dem 1. Jänner 2000 und dem 30. Dezember 2003 stattgefundenen Übermittlungen von zu ihrer Person verarbeiteten Daten durch das Finanzamt T**** an Dritte zu erteilen. Im Übrigen wird die Beschwerde als unbegründet abgewiesen. B e g r ü n d u n g : Mit Eingabe vom 3. Mai 2004, eingegangen bei der Datenschutzkommission am 6. Mai 2004, erhob die Beschwerdeführerin Beschwerde vor der Datenschutzkommission, in welcher sie mit Hinweis auf ein beigeschlossenes Auskunftsersuchen an den Beschwerdegegner vom 30. Dezember 2003 eine Verletzung im Recht auf Auskunft durch den Beschwerdegegner behauptete. Sachverhalt: Folgender entscheidungsrelevanter Sachverhalt wird festgestellt:

  1. a)Im Zusammenhang mit dem Versuch einer Akteneinsicht beim Wohnsitzfinanzamt der Beschwerdeführerin, bei der hervorkam, dass der Steuerakt der Beschwerdeführerin vom Finanzamt T**** an das Finanzamt I**** übermittelt worden war, richtete die Beschwerdeführerin am 30. Dezember 2003 ein Auskunftsbegehren nach § 26 DSG 2000 an das Finanzamt T****. In diesem Auskunftsbegehren ersuchte die Beschwerdeführerin um Bekanntgabe aller dokumentierten Abfragen ab dem 1. Jänner 2000 sowie um Offenlegung, welche personenbezogenen Daten der Beschwerdeführerin an wen und zu welchem Zweck weitergegeben worden waren.
  2. a)Im Zusammenhang mit dem Versuch einer Akteneinsicht beim Wohnsitzfinanzamt der Beschwerdeführerin, bei der hervorkam, dass der Steuerakt der Beschwerdeführerin vom Finanzamt T**** an das Finanzamt I**** übermittelt worden war, richtete die Beschwerdeführerin am 30. Dezember 2003 ein Auskunftsbegehren nach Paragraph 26, DSG 2000 an das Finanzamt T****. In diesem Auskunftsbegehren ersuchte die Beschwerdeführerin um Bekanntgabe aller dokumentierten Abfragen ab dem 1. Jänner 2000 sowie um Offenlegung, welche personenbezogenen Daten der Beschwerdeführerin an wen und zu welchem Zweck weitergegeben worden waren. Die Antwort des (nunmehrigen) Finanzamtes T**** vom 29. Jänner 2004 ging auf diese Fragen nicht ein, sondern befasste sich vielmehr mit dem Verbleib des Papieraktes, sowie mit einer von der Beschwerdeführerin abgelehnten Entbindung ihres Sohnes von der abgabenrechtlichen Geheimhaltungspflicht. Da auch in der Folge eine Beauskunftung der vom Finanzamt T**** verarbeiteten personenbezogenen Daten der Beschwerdeführerin nicht erfolgte, richtete die Beschwerdeführerin am 30. März 2004 ein Urgenzschreiben an das Finanzamt T****. Als Reaktion darauf erhielt die Beschwerdeführerin ein Schreiben des Beschwerdegegners vom 20. April 2004, in welchem ihr mitgeteilt wurde, dass in der gegenständlichen Sache Berichterstattung unter Anschluss der bezughabenden Aktenteile an die Finanzlandesdirektion für B**** erfolgt sei. Grund für diesen Schritt sei, dass in diesem vorliegenden Fall eine Grundsatzfrage (Veröffentlichung der Log-files und der Beifügung von Begründungen) im Verhältnis Bürger-Finanzverwaltung thematisiert werde, deren sachgerechte Klärung von überregionaler Bedeutung erscheine.
  3. b)Die Beschwerdeführerin erachtete sich durch diese Vorgangsweise des Beschwerdegegners in Ihrem Recht auf Auskunft gemäß § 26 DSG 2000 verletzt und erhob daher am 3. Mai 2004 Beschwerde vor der Datenschutzkommission.
  4. b)Die Beschwerdeführerin erachtete sich durch diese Vorgangsweise des Beschwerdegegners in Ihrem Recht auf Auskunft gemäß Paragraph 26, DSG 2000 verletzt und erhob daher am 3. Mai 2004 Beschwerde vor der Datenschutzkommission. In dieser Beschwerde stellte sie die Anträge, ‘die Datenschutzkommission möge 1. feststellen, dass das Finanzamt T**** das Recht der Beschwerdeführerin auf Auskunft gemäß § 1 Abs. 3 Z 1 und § 26 DSG 2000 dadurch verletzt hat, dass es dieser die Bekanntgabe bestimmter zu ihrer Person verarbeiteter Daten, und zwar welche personenbezogenen Daten, insbesondere betreffend DB2- System und Grundbuchsabfragen ab 1.1.2000 an wen und zu welchem Zweck weiter gegeben wurden, verweigerte; 1. feststellen, dass das Finanzamt T**** das Recht der Beschwerdeführerin auf Auskunft gemäß Paragraph eins, Absatz 3, Ziffer eins und Paragraph 26, DSG 2000 dadurch verletzt hat, dass es dieser die Bekanntgabe bestimmter zu ihrer Person verarbeiteter Daten, und zwar welche personenbezogenen Daten, insbesondere betreffend DB2- System und Grundbuchsabfragen ab 1.1.2000 an wen und zu welchem Zweck weiter gegeben wurden, verweigerte; 2. dem Finanzamt T**** auftragen, der Beschwerdeführerin Auskunft über die in Punkt 1. angeführten personenbezogenen Daten binnen einer Frist von 14 Tagen ab Zustellung der Entscheidung erteilen.’
  5. c)In der dem Beschwerdegegner daraufhin von der Datenschutzkommission aufgetragenen Stellungnahme vom 8. Juni 2004 wiederholte der Beschwerdegegner im Wesentlichen seine früheren gegenüber der Beschwerdeführerin gemachten Aussagen. Mit Schreiben vom 29. Juni 2004 übermittelte der Beschwerdegegner ein weiteres Schreiben des Finanzamtes T**** vom 17. Juni 2004 an die Beschwerdeführerin, in welchem ausgeführt wird, dass die Frage, ob Daten über die Beschwerdeführerin im Abgabeninformationssystem DB2 abgefragt wurden und von welcher Person oder welchen Personen diese Daten abgefragt wurden, über das Auskunftsrecht gemäß § 26 DSG 2000 hinausgehe. Diese Frage könnte auch nur nach entsprechenden Auswertungen der gemäß § 14 DSG 2000 zu führenden Protokolle beantwortet werden. Da diese Protokolldaten aber in sequentieller Form abgespeichert würden, bestünde für diese gemäß dem Bericht des Verfassungsausschusses des Nationalrates zum Datenschutzgesetz 2000 keine Verpflichtung zur Auskunftserteilung gemäß § 26 DSG 2000.Mit Schreiben vom 29. Juni 2004 übermittelte der Beschwerdegegner ein weiteres Schreiben des Finanzamtes T**** vom 17. Juni 2004 an die Beschwerdeführerin, in welchem ausgeführt wird, dass die Frage, ob Daten über die Beschwerdeführerin im Abgabeninformationssystem DB2 abgefragt wurden und von welcher Person oder welchen Personen diese Daten abgefragt wurden, über das Auskunftsrecht gemäß Paragraph 26, DSG 2000 hinausgehe. Diese Frage könnte auch nur nach entsprechenden Auswertungen der gemäß Paragraph 14, DSG 2000 zu führenden Protokolle beantwortet werden. Da diese Protokolldaten aber in sequentieller Form abgespeichert würden, bestünde für diese gemäß dem Bericht des Verfassungsausschusses des Nationalrates zum Datenschutzgesetz 2000 keine Verpflichtung zur Auskunftserteilung gemäß Paragraph 26, DSG 2000. Ein von der zuständigen Sachbearbeiterin am 17. August 2004 zur Klarstellung des Begehrens der Beschwerdeführerin mit der Beschwerdeführervertreterin geführtes Telefonat ergab, dass im Zentrum des Auskunftsinteresses der Beschwerdeführerin die Frage stehe, an wen diese Daten weitergegeben, d.h. übermittelt worden wären. Beweiswürdigung: Diese Feststellungen stützen sich auf die von der Beschwerdeführerin und vom Beschwerdegegner abgegebenen und jeweils vom Gegner unbestrittene Stellungnahmen, sowie auf die von diesen vorgelegten Urkunden. Daraus folgt in rechtlicher Hinsicht:
  6. a)anzuwendende Rechtsvorschriften: Gemäß der Verfassungsbestimmung des § 1 Abs. 3 Ziff. 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuellen Dateien bestimmt sind, das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.Gemäß der Verfassungsbestimmung des Paragraph eins, Absatz 3, Ziff. 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuellen Dateien bestimmt sind, das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden. Gemäß § 26 Abs. 1 DSG 2000 hat jeder Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger und Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung, sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung von Daten beauftragt sind.Gemäß Paragraph 26, Absatz eins, DSG 2000 hat jeder Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger und Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung, sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung von Daten beauftragt sind. Gemäß § 14 Abs. 3 erster Satz DSG 2000 sind nicht registrierte Übermittlungen so zu protokollieren, dass dem betroffenen Auskunft gemäß § 26 DSG 2000 gegeben werden kann.Gemäß Paragraph 14, Absatz 3, erster Satz DSG 2000 sind nicht registrierte Übermittlungen so zu protokollieren, dass dem betroffenen Auskunft gemäß Paragraph 26, DSG 2000 gegeben werden kann.
  7. b)Zur Frage der Erfüllung der Auskunftspflicht: Das Finanzamt T**** vertritt - ausgehend von einer Sachlage, nach der offenbar alle Zugriffe auf Steuerkontodaten nur sequentiell protokolliert werden - in seiner im gegenwärtigen Verfahren abgegebenen Stellungnahme die Rechtsauffassung, dass keine Auskunft erteilt werden müsse, da hiezu eine Auswertung der in sequentieller Form abgespeicherten Protokolldaten erforderlich wäre; für diese bestünde gemäß dem Bericht des Verfassungsausschusses des Nationalrates zum Datenschutzgesetz 2000 (2028 der Beil XX GPNR) keine Verpflichtung zur Auskunftserteilung gemäß § 26 DSG 2000.Das Finanzamt T**** vertritt - ausgehend von einer Sachlage, nach der offenbar alle Zugriffe auf Steuerkontodaten nur sequentiell protokolliert werden - in seiner im gegenwärtigen Verfahren abgegebenen Stellungnahme die Rechtsauffassung, dass keine Auskunft erteilt werden müsse, da hiezu eine Auswertung der in sequentieller Form abgespeicherten Protokolldaten erforderlich wäre; für diese bestünde gemäß dem Bericht des Verfassungsausschusses des Nationalrates zum Datenschutzgesetz 2000 (2028 der Beil römisch zwanzig GPNR) keine Verpflichtung zur Auskunftserteilung gemäß Paragraph 26, DSG 2000. Nun ist es zwar richtig, dass im zitierten Ausschussbericht festgehalten wird, dass ‘die Verpflichtung zur Auskunftserteilung gemäß § 26 . . . nicht bei Protokolldaten (besteht), die nur durch sequentielle Suche aufgefunden werden können’, doch ist dem der klare Wortlaut des § 14 Abs. 3 DSG 2000 – entgegen zu halten, wonach ‘nicht registrierte Übermittlungen aus Datenanwendungen… so zu protokollieren (sind), dass dem Betroffenen Auskunft gemäß § 26 DSG 2000 gegeben werden kann’. Daraus folgt, dass Übermittlungen durch Zugriffe Dritter, die bei der Einräumung der Zugriffsberechtigung ja von vorn herein als ‘Dritte’ bekannt waren, sofern sie nicht ohnehin aus der Registrierung ersichtlich sind, anders als sequentiell protokolliert werden müssen, damit der gesetzliche Auftrag, Auskunft geben zu können, erfüllbar ist.Nun ist es zwar richtig, dass im zitierten Ausschussbericht festgehalten wird, dass ‘die Verpflichtung zur Auskunftserteilung gemäß Paragraph 26, . . . nicht bei Protokolldaten (besteht), die nur durch sequentielle Suche aufgefunden werden können’, doch ist dem der klare Wortlaut des Paragraph 14, Absatz 3, DSG 2000 – entgegen zu halten, wonach ‘nicht registrierte Übermittlungen aus Datenanwendungen… so zu protokollieren (sind), dass dem Betroffenen Auskunft gemäß Paragraph 26, DSG 2000 gegeben werden kann’. Daraus folgt, dass Übermittlungen durch Zugriffe Dritter, die bei der Einräumung der Zugriffsberechtigung ja von vorn herein als ‘Dritte’ bekannt waren, sofern sie nicht ohnehin aus der Registrierung ersichtlich sind, anders als sequentiell protokolliert werden müssen, damit der gesetzliche Auftrag, Auskunft geben zu können, erfüllbar ist. Das vom Ausschussbericht behauptete Privileg für zeitlich sequentiell gespeicherte Protokolldaten kann daher, soweit ein solches Protokollierungssystem überhaupt noch eingesetzt wird, nur für auftraggeberinterne Zugriffe beansprucht werden, nicht aber für Zugriffe, die erkennbar solche Übermittlungen, die dem Regime des § 14 Abs. 3 DSG 2000 unterliegen, darstellen. (Die bezogene Bemerkung im Ausschussbericht kann daher nur im Hinblick auf eine Konstellation besondere Wirkung entfalten, in der die Frage gestellt wird, ob ein interner Zugriff, also der Zugriff durch einen Organwalter des Auftraggebers, unberechtigt war; zur Frage der Auskunftsverpflichtung über die Auftraggeber-interne Datenbenützung vgl. etwa auch die Entscheidung der Datenschutzkommission vom 23. Mai 2003, GZ K120.840/007-DSK/2003.)Das vom Ausschussbericht behauptete Privileg für zeitlich sequentiell gespeicherte Protokolldaten kann daher, soweit ein solches Protokollierungssystem überhaupt noch eingesetzt wird, nur für auftraggeberinterne Zugriffe beansprucht werden, nicht aber für Zugriffe, die erkennbar solche Übermittlungen, die dem Regime des Paragraph 14, Absatz 3, DSG 2000 unterliegen, darstellen. (Die bezogene Bemerkung im Ausschussbericht kann daher nur im Hinblick auf eine Konstellation besondere Wirkung entfalten, in der die Frage gestellt wird, ob ein interner Zugriff, also der Zugriff durch einen Organwalter des Auftraggebers, unberechtigt war; zur Frage der Auskunftsverpflichtung über die Auftraggeber-interne Datenbenützung vergleiche etwa auch die Entscheidung der Datenschutzkommission vom 23. Mai 2003, GZ K120.840/007-DSK/2003.) Die vom Beschwerdegegner gegebene Begründung für eine Verweigerung der Auskunftserteilung kann somit hinsichtlich von Übermittlungen an Dritte nicht als rechtmäßig anerkannt werden, weshalb die Auskunftserteilung diesbezüglich aufzutragen war. Die Festsetzung einer 8-wöchigen Leistungsfrist ist deshalb angemessen, weil nach den Ausführungen des Beschwerdegegners offenbar nur sequentiell durchsuchbare Protokolldatenbestände geprüft werden müssen, um die angeordnete Auskunft erteilen zu können. Betreffend die Frage der Kostentragung für den mit der Auskunft verbundenen Aufwand wird der Beschwerdegegner bei der Auskunftserteilung dem Beschwerdeführer darzulegen haben, inwieweit das Auskunftsbegehren einen aktuellen Datenbestand im Sinne des § 26 Abs. 6 DSG 2000 betrifft.Betreffend die Frage der Kostentragung für den mit der Auskunft verbundenen Aufwand wird der Beschwerdegegner bei der Auskunftserteilung dem Beschwerdeführer darzulegen haben, inwieweit das Auskunftsbegehren einen aktuellen Datenbestand im Sinne des Paragraph 26, Absatz 6, DSG 2000 betrifft.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.