← Österreich

{'item': 'K120.862/0011-DSK/2005'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum20.05.2005 GeschäftszahlK120.862/0011-DSK/2005 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.] BESCHEID Die Datenschutzkommission hat unter dem Vorsitz von Dr. Maier und in Anwesenheit der Mitglieder Dr. Blaha, Dr. Duschanek, Dr. Kotschy, Dr. Staudigl und Mag. Zimmer, sowie des Schriftführers Mag. Suda in ihrer Sitzung vom

  1. Mai 2005 folgenden Beschluss gefasst: Spruch Über die Beschwerde des Michael K*** (Beschwerdeführer) aus F*** vom
  2. Mai 2003, zuletzt geändert (erweitert) durch Schreiben vom
  3. März 2005, gegen die ***data Gesellschaft m. b.H. (Beschwerdegegnerin) aus F***, vertreten durch P*** & S***, Rechtsanwälte und Verteidiger in Strafsachen, **70 F***, ***gasse **, wegen Verletzung im Recht auf Auskunft über eigene Daten durch Erteilung keiner Auskunft im Schreiben vom
  4. März 2003, wird gemäß §§ 1 Abs 3 Z1, 4 Z 4
  5. Satz, 26 Abs 1 und 10 und 31 Abs 1 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr 165/1999 idF BGBl I Nr 136/2001, wie folgt entschieden:Über die Beschwerde des Michael K*** (Beschwerdeführer) aus F*** vom
  6. Mai 2003, zuletzt geändert (erweitert) durch Schreiben vom
  7. März 2005, gegen die ***data Gesellschaft m. b.H. (Beschwerdegegnerin) aus F***, vertreten durch P*** & S***, Rechtsanwälte und Verteidiger in Strafsachen, **70 F***, ***gasse **, wegen Verletzung im Recht auf Auskunft über eigene Daten durch Erteilung keiner Auskunft im Schreiben vom
  8. März 2003, wird gemäß Paragraphen eins, Absatz 3, Z1, 4 Ziffer 4,
  9. Satz, 26 Absatz eins und 10 und 31 Absatz eins, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr 136 aus 2001,, wie folgt entschieden:
  10. Der Beschwerde wird stattgegeben und festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch, dass sie auf sein Auskunftsbegehren vom 10 März 2003 keine inhaltliche Auskunft erteilte, im Recht auf Auskunft nach § 26 Abs 1 DSG 2000 verletzt hat.
  11. Der Beschwerde wird stattgegeben und festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch, dass sie auf sein Auskunftsbegehren vom 10 März 2003 keine inhaltliche Auskunft erteilte, im Recht auf Auskunft nach Paragraph 26, Absatz eins, DSG 2000 verletzt hat.
  12. Der Beschwerdegegnerin wird daher aufgetragen, dem Beschwerdeführer binnen drei Wochen nach § 26 Abs. 1 DSG 2000 inhaltlich Auskunft über die zu seiner Person verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger (oder Empfängerkreise) von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form schriftlich zu erteilen, insbesondere hinsichtlich der Daten betreffend Arbeitszeitaufzeichnungen, sowie Name und Anschrift eines eventuell herangezogenen Dienstleisters anzugeben.
  13. Der Beschwerdegegnerin wird daher aufgetragen, dem Beschwerdeführer binnen drei Wochen nach Paragraph 26, Absatz eins, DSG 2000 inhaltlich Auskunft über die zu seiner Person verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger (oder Empfängerkreise) von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form schriftlich zu erteilen, insbesondere hinsichtlich der Daten betreffend Arbeitszeitaufzeichnungen, sowie Name und Anschrift eines eventuell herangezogenen Dienstleisters anzugeben. A) Verfahrensgang und Vorbringen der Parteien In der am
  14. Mai 2003 (neuerlich, nach Zurückziehung des ursprünglichen Schreibens) eingebrachten Beschwerde brachte der Beschwerdeführer unter Vorlage einer entsprechenden Urkundenkopie (Schreiben der Beschwerdegegnerin vom
  15. März 2003) vor, von der Beschwerdegegnerin keine vollständige und richtige Auskunft über die zu seiner Person verarbeiteten Daten erhalten zu haben. Die Beschwerdegegnerin verarbeite Daten betreffend Zeiteinteilung und Abwesenheiten ihrer Mitarbeiter (Krankenstand, Urlaub, Zeitausgleich u.dgl.). Angaben zu den diesbezüglich über ihn verarbeiteten Daten fehlten im Auskunftsschreiben der Beschwerdegegnerin. Die anwaltlich vertretene Beschwerdegegnerin brachte dazu vor, es gäbe bei ihr kein EDV-System zu dem vom Beschwerdeführer umschriebenen Zweck (Zeiterfassung). Ein EDV-System mit dem vom Beschwerdeführer genannten Betriebssystem 'Linux' sei zwar vorhanden gewesen, wäre aber in der Zwischenzeit 'mangels Kompatibilität' wieder deinstalliert worden. Die Mitarbeiter seien allerdings angehalten, Aufzeichnungen über ihre Termine und Abwesenheiten zu führen. Derartige Daten würden 'ausschließlich beim Steuerberater, welcher auch die Personalverrechnung über hat, geführt.' Mit Schreiben vom
  16. März 2005 brachte der Beschwerdeführer nach Parteiengehör zu den vorliegenden Ergebnissen des Ermittlungsverfahrens vor, die Beschwerdegegnerin verarbeite sehr wohl selbst Daten der Arbeitnehmer. Die Beschwerdegegnerin hat zu den Ergebnissen des Ermittlungsverfahrens keine Stellungnahme abgegeben. B) Ermittlungsverfahren, verwendete Beweismittel Die Datenschutzkommission hat ein Ermittlungsverfahren durchgeführt und Beweis aufgenommen durch Einsichtnahme in die vom Beschwerdeführer und von der Beschwerdegegnerin eingebrachten Schriftsätze samt Beilagen (Urkundenkopien). Weiters durch Einholung einer Stellungnahme von Dr. Anna C***, Steuerberaterin, und der O*** Steuerberatungs Ges.m.b.H.. C) Sachverhaltsfeststellung samt Beweiswürdigung Die Mitarbeiter der ***data Gesellschaft m.b.H. führen schriftliche Zeitaufzeichnungen über ihre Termine und Abwesenheiten vom Arbeitsplatz. Die durch diese Aufzeichnungen ermittelten Daten werden von Dr. Anna C***, Steuerberaterin, und der O*** Steuerberatungs Ges.m.b.H. im Rahmen eines Auftrags der Beschwerdegegnerin zur Abwicklung der Lohn- und Gehaltsverrechnung der Beschwerdegegnerin verarbeitet. Beweiswürdigung: Diese Feststellungen stützen sich auf das glaubwürdige Vorbringen der Beschwerdegegnerin selbst und die Stellungnahme von Dr. Anna C***, Steuerberaterin, und der O*** Steuerberatungs Ges.m.b.H. vom
  17. April
  18. Der Beschwerdeführer richtete am
  19. März 2003 ein Auskunftsersuchen an die Beschwerdegegnerin betreffend über ihn gespeicherte Personendaten. Mit Schreiben vom
  20. März 2003 wurde ihm die Auskunft erteilt, dass 'eine solche Speicherung routinemäßig nicht erfolgt und auch von niemandem veranlasst wurde'. Mit Eingaben vom
  21. Mai 2003 wandte sich der Beschwerdeführer gemäß § 31 Abs 1 DSG 2000 an die Datenschutzkommission. Mit Kopie des Schreibens an die Datenschutzkommission vom
  22. Juli 2003 wurde dem Beschwerdeführer der Name des mit der Personalverrechnung betrauten Auftragnehmers bekannt gegeben mit: 'Steuerberatungs GesmbH Dr. Anna C*** (vormals C*** & L*** Steuerberatungs OEG)'; unter einem wurde auch dessen Adresse mitgeteilt. Mit Eingaben vom
  23. Mai 2003 wandte sich der Beschwerdeführer gemäß Paragraph 31, Absatz eins, DSG 2000 an die Datenschutzkommission. Mit Kopie des Schreibens an die Datenschutzkommission vom
  24. Juli 2003 wurde dem Beschwerdeführer der Name des mit der Personalverrechnung betrauten Auftragnehmers bekannt gegeben mit: 'Steuerberatungs GesmbH Dr. Anna C*** (vormals C*** & L*** Steuerberatungs OEG)'; unter einem wurde auch dessen Adresse mitgeteilt. Beweiswürdigung: Diese Feststellungen stützen sich auf den Inhalt der in Kopie vorliegenden, zitierten Schreiben, sowie auf die Mitteilung von Dr. Anna C***, Steuerberaterin, und der O*** Steuerberatungs Ges.m.b.H. vom
  25. April
  26. D) rechtliche Beurteilung
  27. anzuwendende Rechtsvorschriften: § 4 Z 4 DSG 2000 lautet unter Überschrift 'Definitionen':Paragraph 4, Ziffer 4, DSG 2000 lautet unter Überschrift 'Definitionen': '"Auftraggeber": natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten für einen bestimmten Zweck zu verarbeiten (Z 9), und zwar unabhängig davon, ob sie die Verarbeitung selbst durchführen oder hiezu einen anderen heranziehen. Als Auftraggeber gelten die genannten Personen, Personengemeinschaften und Einrichtungen auch dann, wenn sie einem anderen Daten zur Herstellung eines von ihnen aufgetragenen Werkes überlassen und der Auftragnehmer die Entscheidung trifft, diese Daten zu verarbeiten. Wurde jedoch dem Auftragnehmer anläßlich der Auftragserteilung die Verarbeitung der überlassenen Daten ausdrücklich untersagt oder hat der Auftragnehmer die Entscheidung über die Art und Weise der Verwendung, insbesondere die Vornahme einer Verarbeitung der überlassenen Daten, auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß § 6 Abs. 4 eigenverantwortlich zu treffen, so gilt der mit der Herstellung des Werkes Betraute als datenschutzrechtlicher Auftraggeber;''"Auftraggeber": natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten für einen bestimmten Zweck zu verarbeiten (Ziffer 9,), und zwar unabhängig davon, ob sie die Verarbeitung selbst durchführen oder hiezu einen anderen heranziehen. Als Auftraggeber gelten die genannten Personen, Personengemeinschaften und Einrichtungen auch dann, wenn sie einem anderen Daten zur Herstellung eines von ihnen aufgetragenen Werkes überlassen und der Auftragnehmer die Entscheidung trifft, diese Daten zu verarbeiten. Wurde jedoch dem Auftragnehmer anläßlich der Auftragserteilung die Verarbeitung der überlassenen Daten ausdrücklich untersagt oder hat der Auftragnehmer die Entscheidung über die Art und Weise der Verwendung, insbesondere die Vornahme einer Verarbeitung der überlassenen Daten, auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß Paragraph 6, Absatz 4, eigenverantwortlich zu treffen, so gilt der mit der Herstellung des Werkes Betraute als datenschutzrechtlicher Auftraggeber;' § 6 Abs 4 DSG 2000 lautet unter der Überschrift 'Grundsätze':Paragraph 6, Absatz 4, DSG 2000 lautet unter der Überschrift 'Grundsätze': '

(4)Zur näheren Festlegung dessen, was in einzelnen Bereichen als Verwendung von Daten nach Treu und Glauben anzusehen ist, können für den privaten Bereich die gesetzlichen Interessenvertretungen, sonstige Berufsverbände und vergleichbare Einrichtungen Verhaltensregeln ausarbeiten. Solche Verhaltensregeln dürfen nur veröffentlicht werden, nachdem sie dem Bundeskanzler zur Begutachtung vorgelegt wurden und dieser ihre Übereinstimmung mit den Bestimmungen dieses Bundesgesetzes begutachtet und als gegeben erachtet hat.' § 26 Abs 1 und 10 DSG 2000 lauten unter der Überschrift 'Auskunftsrecht':Paragraph 26, Absatz eins und 10 DSG 2000 lauten unter der Überschrift 'Auskunftsrecht': '
(1)Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden. [..]
(10)Im Falle der auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß § 6 Abs. 4 eigenverantwortlichen Entscheidung über die Durchführung einer Datenanwendung durch einen Auftragnehmer gemäß § 4 Z 4, dritter Satz, kann der Betroffene sein Auskunftsbegehren zunächst auch an denjenigen richten, der die Herstellung des Werkes aufgetragen hat. Dieser hat dem Betroffenen, soweit dies nicht ohnehin bekannt ist, binnen zwei Wochen unentgeltlich Namen und Adresse des eigenverantwortlichen Auftragnehmers mitzuteilen, damit der Betroffene sein Auskunftsrecht gemäß Abs. 1 gegen diesen geltend machen kann.'
(10)Im Falle der auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß Paragraph 6, Absatz 4, eigenverantwortlichen Entscheidung über die Durchführung einer Datenanwendung durch einen Auftragnehmer gemäß Paragraph 4, Ziffer 4,, dritter Satz, kann der Betroffene sein Auskunftsbegehren zunächst auch an denjenigen richten, der die Herstellung des Werkes aufgetragen hat. Dieser hat dem Betroffenen, soweit dies nicht ohnehin bekannt ist, binnen zwei Wochen unentgeltlich Namen und Adresse des eigenverantwortlichen Auftragnehmers mitzuteilen, damit der Betroffene sein Auskunftsrecht gemäß Absatz eins, gegen diesen geltend machen kann.' 2. Anwendung auf den Beschwerdefall: Dem mit der Vornahme der Personalverrechnung beauftragten Steuerberater könnte grundsätzlich Auftraggebereigenschaft im Sinne des § 4 Z 4 dritter Satz DSG 2000 zukommen, wenn er gem. § 26 Abs. 10 DSG eigenverantwortlich, das heißt ohne genaue Anleitung durch oder Vereinbarung mit seinem Mandanten, die Personalverrechnung mit Hilfe von EDV durchführt. Das Recht zu einer solchen eigenverantwortlichen Datenverarbeitung für einen Auftraggeber muss dem Auftragnehmer jedoch durch zumindest eine der in § 4 Z 4 dritter Satz DSG 2000 aufgezählten Rechtsquellen eingeräumt sein.Dem mit der Vornahme der Personalverrechnung beauftragten Steuerberater könnte grundsätzlich Auftraggebereigenschaft im Sinne des Paragraph 4, Ziffer 4, dritter Satz DSG 2000 zukommen, wenn er gem. Paragraph 26, Absatz 10, DSG eigenverantwortlich, das heißt ohne genaue Anleitung durch oder Vereinbarung mit seinem Mandanten, die Personalverrechnung mit Hilfe von EDV durchführt. Das Recht zu einer solchen eigenverantwortlichen Datenverarbeitung für einen Auftraggeber muss dem Auftragnehmer jedoch durch zumindest eine der in Paragraph 4, Ziffer 4, dritter Satz DSG 2000 aufgezählten Rechtsquellen eingeräumt sein. Die Datenschutzkommission hat die Rechtslage betreffend Steuerberater näher geprüft und kommt zu dem Schluss, dass es keine nachweisbare Rechtsquelle gibt, die dem Steuerberater der Beschwerdegegnerin eine solche Entscheidung für den Sachverhalt dieses Beschwerdefalls (Durchführung der Lohn- und Gehaltsverrechnung) einräumen würde. Das Berufsrecht der Steuerberater (Wirtschaftstreuhandberufsgesetz (WTBG), BGBl I Nr 58/1999 idF BGBl I Nr 135/2001) lässt diese Frage offen, ebenso die allgemein bekannten und veröffentlichten Standesregeln (Wirtschaftstreuhandberufs-Ausübungsrichtlinie WT-ARL 2001, Amtsblatt der Kammer der Wirtschaftstreuhänder, Sondernummer I/2002). Verhaltensregeln gemäß § 6 Abs 4 DSG 2000, die der Begutachtung durch den Bundeskanzler vor Veröffentlichung unterliegen, bestehen ebenfalls nicht. Andere Verhaltensregeln (wie Rundschreiben einer Kammer, Rechtsgutachten, Richtlinien einer privaten Vereinigung u.ä.), die nicht gemäß § 6 Abs 4 DSG 2000 begutachtet und veröffentlicht worden sind, können nicht zur Begründung eigenverantwortlicher Datenverarbeitung durch einen Auftragnehmer (hier: Steuerberater) herangezogen werden, da das Gesetz nach seinem logisch-systematischen Zusammenhang nur gesetzmäßig veröffentlichten Verhaltensregeln entsprechende präjudizielle Wirkungen zumisst. Die Datenschutzkommission hat die Rechtslage betreffend Steuerberater näher geprüft und kommt zu dem Schluss, dass es keine nachweisbare Rechtsquelle gibt, die dem Steuerberater der Beschwerdegegnerin eine solche Entscheidung für den Sachverhalt dieses Beschwerdefalls (Durchführung der Lohn- und Gehaltsverrechnung) einräumen würde. Das Berufsrecht der Steuerberater (Wirtschaftstreuhandberufsgesetz (WTBG), Bundesgesetzblatt Teil eins, Nr 58 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr 135 aus 2001,) lässt diese Frage offen, ebenso die allgemein bekannten und veröffentlichten Standesregeln (Wirtschaftstreuhandberufs-Ausübungsrichtlinie WT-ARL 2001, Amtsblatt der Kammer der Wirtschaftstreuhänder, Sondernummer I/2002). Verhaltensregeln gemäß Paragraph 6, Absatz 4, DSG 2000, die der Begutachtung durch den Bundeskanzler vor Veröffentlichung unterliegen, bestehen ebenfalls nicht. Andere Verhaltensregeln (wie Rundschreiben einer Kammer, Rechtsgutachten, Richtlinien einer privaten Vereinigung u.ä.), die nicht gemäß Paragraph 6, Absatz 4, DSG 2000 begutachtet und veröffentlicht worden sind, können nicht zur Begründung eigenverantwortlicher Datenverarbeitung durch einen Auftragnehmer (hier: Steuerberater) herangezogen werden, da das Gesetz nach seinem logisch-systematischen Zusammenhang nur gesetzmäßig veröffentlichten Verhaltensregeln entsprechende präjudizielle Wirkungen zumisst. Es ist der Beschwerdegegnerin daher nicht gelungen nachzuweisen, dass sie zum Vorgehen nach § 26 Abs 10 DSG 2000 berechtigt war. Daher trifft sie trotz Auslagerung der Personalverrechnung die Pflicht zur inhaltlichen Auskunft an Betroffene gemäß § 26 Abs 1 DSG 2000, wobei sie sich die Daten gegebenenfalls vom Steuerberater, der datenschutzrechtlich als Dienstleister der Beschwerdegegnerin zu qualifizieren ist, zu beschaffen hätte. Es ist der Beschwerdegegnerin daher nicht gelungen nachzuweisen, dass sie zum Vorgehen nach Paragraph 26, Absatz 10, DSG 2000 berechtigt war. Daher trifft sie trotz Auslagerung der Personalverrechnung die Pflicht zur inhaltlichen Auskunft an Betroffene gemäß Paragraph 26, Absatz eins, DSG 2000, wobei sie sich die Daten gegebenenfalls vom Steuerberater, der datenschutzrechtlich als Dienstleister der Beschwerdegegnerin zu qualifizieren ist, zu beschaffen hätte. Was das Vorbringen des Beschwerdeführers betrifft, die Beschwerdegegnerin verarbeite entgegen ihrem Vorbringen selbst personenbezogene Daten des Beschwerdeführers, so konnte eine Beweisaufnahme zu dieser Behauptung unterbleiben, da der Anspruch des Beschwerdeführers auf Auskunft schon aus den oben dargelegten rechtlichen Erwägungen feststeht.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.