K120.839/0005-DSK/2005

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum21.06.2005 GeschäftszahlK120.839/0005-DSK/2005 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.] BESCHEID Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Dr. DUSCHANEK, Dr. KOTSCHY und Mag. PREISS sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom

1. Juni 2005 folgenden Beschluss gefasst: Spruch Über die Beschwerde des K in Wien (Beschwerdeführer) vom
2. September 2002 gegen die V –Telekomgesellschaft m.b.H. in U (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 1 Abs. 5 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:Über die Beschwerde des K in Wien (Beschwerdeführer) vom
3. September 2002 gegen die römisch fünf –Telekomgesellschaft m.b.H. in U (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird gemäß den Paragraphen eins, Absatz 5 und 31 Absatz eins, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, entschieden:
4. Es wird festegestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch, dass sie ihm nicht innerhalb von acht Wochen nach Einlangen seines Auskunftsbegehrens vom
5. Juni 2002 Auskunft über -Strichaufzählung die zu seiner Person in der Ebene „Finance“ der Kundendatenbank „YZ“ gespeicherten Bonitätsdaten, die verfügbaren Informationen über ihre Herkunft sowie allfällige Empfänger oder Empfängerkreise von Übermittlungen, sowie -Strichaufzählung den Zweck und die Rechtsgrundlagen der Verarbeitung sämtlicher zu seiner Person vorhandener Daten erteilt hat, im Recht auf Auskunft nach § 1 Abs. 3 Z 1 iVm § 26 Abs. 1 und 4 DSG 2000 verletzt hat.den Zweck und die Rechtsgrundlagen der Verarbeitung sämtlicher zu seiner Person vorhandener Daten erteilt hat, im Recht auf Auskunft nach Paragraph eins, Absatz 3, Ziffer eins, in Verbindung mit Paragraph 26, Absatz eins und 4 DSG 2000 verletzt hat.
6. Der Beschwerdegegnerin wird gemäß § 59 Abs. 2 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), BGBl Nr. 51/1991 idF BGBl I Nr. 10/2004, aufgetragen, dem Beschwerdeführer diese Auskünfte innerhalb einer Frist von drei Wochen zu erteilen.
7. Der Beschwerdegegnerin wird gemäß Paragraph 59, Absatz 2, des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 10 aus 2004,, aufgetragen, dem Beschwerdeführer diese Auskünfte innerhalb einer Frist von drei Wochen zu erteilen. Begründung: Vorauszuschicken ist, dass bereits mit Bescheid der Datenschutzkommission vom
8. Februar 2002, GZ K120.732/003- DSK/2002, festgestellt wurde, dass die Beschwerdegegnerin den Beschwerdeführer im Recht auf Auskunft verletzt hat, und ihr die Erteilung einer vollständigen Auskunft, insbesondere hinsichtlich gespeicherter Bonitätsdaten, aufgetragen wurde. Dieser Bescheid war auf ein Auskunftsersuchen des Beschwerdeführers vom
9. November 2000 bezogen. Der Beschwerdeführer behauptet nun in seiner Beschwerde vom
10. September 2002 eine neuerliche Verletzung im Recht auf Auskunft. Er habe am
11. Juni 2002 ein Auskunftsbegehren für das Jahr 2002 gestellt. Die daraufhin von der Beschwerdegegnerin am
12. Juni 2002 erteilte Auskunft habe der aus der früheren Beschwerde resultierenden komplett geglichen. Daraufhin habe er am
13. Juli 2002 einen kompletten Systemausdruck eingefordert und darauf hingewiesen, dass die Anfrage hinsichtlich des Feldes „Bemerkungen“ völlig unbeantwortet geblieben sei. Die Beschwerdegegnerin habe jedoch die Vorlage eines Systemausdruckes abgelehnt. Es sei ungeklärt, ob bei der Bonitätsprüfung in den Filialen mit Echtdaten aus den einzelnen Kreditschutzunternehmen (Onlineverbindung) gearbeitet werde oder aber die Daten nach einem vorgelegten Terminplan seitens der einzelnen Kreditschutzunternehmen mittels Updates übermittelt würden. In der auftragsgemäßen Verbesserung vom
14. Dezember 2002 konkretisiert der Beschwerdeführer sein Vorbringen: Einige Datenarten bzw. deren Inhalt würden in der Auskunft vom
15. Juni 2002 fehlen, der Zweck der Datenverarbeitung sei nicht genannt, es sei nicht darauf eingegangen worden, ob eine Weitergabe an Dienstleister bzw. Weitergaben im internationalen Datenverkehr erfolgt sind. Daten aus anderen Dateien, die über Schlüssel-, Such- und Referenzbegriffe mit seinen personenbezogenen Daten direkt oder indirekt verknüpft werden können, seien nicht beauskunftet worden. Die Beschwerdegegnerin räumt in ihrer Stellungnahme vom
16. März 2003 ein, den Zweck der Datenanwendung nicht neuerlich beauskunftet zu haben, weil dieser sich seit der Auskunft vom
17. März 2002 nicht geändert habe. Sie komme dem jedoch nunmehr gerne nach. Es würden keine Daten aus anderen Dateien mit den personenbezogenen Daten des Beschwerdeführers verknüpft. Die Beschwerdegegnerin bestreitet einen Anspruch des Beschwerdegegners auf Übermittlung eines Systemauszuges. Dies sei auch technisch nicht möglich. Ein Textfeld „Bemerkungen über den Kunden“, in dem Angaben bzw. Beschreibungen über den Kunden vorgenommen werden, gebe es nicht. Einträge zum jeweiligen Kunden würden insofern vorgenommen, als vermerkt werde, wann und in welcher Form der Kunde von der Beschwerdegegnerin serviciert wurde. Diese würden Problembeschreibungen und die dazugehörigen Lösungen umfassen, weiters den Vermerk von Marketingaktivitäten. Es handle sich um Teile des betriebsinternen Ablaufs der Beschwerdegegnerin. Diese Einträge würden der internen Qualitätskontrolle und besseren Servicierung der Kunden dienen. Sie seien nicht vom Auskunftsrecht des § 26 Abs. 1 DSG 2000 umfasst. Dasselbe gelte für die Anfrage des Beschwerdeführers, welcher Art die Verbindungen zu behördlich befugten Kreditschutzverbänden usw. seien. Die Beschwerdegegnerin beantworte jedoch gerne den Inhalt der zum Beschwerdeführer vorliegenden Bonitätsdaten.Die Beschwerdegegnerin räumt in ihrer Stellungnahme vom
18. März 2003 ein, den Zweck der Datenanwendung nicht neuerlich beauskunftet zu haben, weil dieser sich seit der Auskunft vom
19. März 2002 nicht geändert habe. Sie komme dem jedoch nunmehr gerne nach. Es würden keine Daten aus anderen Dateien mit den personenbezogenen Daten des Beschwerdeführers verknüpft. Die Beschwerdegegnerin bestreitet einen Anspruch des Beschwerdegegners auf Übermittlung eines Systemauszuges. Dies sei auch technisch nicht möglich. Ein Textfeld „Bemerkungen über den Kunden“, in dem Angaben bzw. Beschreibungen über den Kunden vorgenommen werden, gebe es nicht. Einträge zum jeweiligen Kunden würden insofern vorgenommen, als vermerkt werde, wann und in welcher Form der Kunde von der Beschwerdegegnerin serviciert wurde. Diese würden Problembeschreibungen und die dazugehörigen Lösungen umfassen, weiters den Vermerk von Marketingaktivitäten. Es handle sich um Teile des betriebsinternen Ablaufs der Beschwerdegegnerin. Diese Einträge würden der internen Qualitätskontrolle und besseren Servicierung der Kunden dienen. Sie seien nicht vom Auskunftsrecht des Paragraph 26, Absatz eins, DSG 2000 umfasst. Dasselbe gelte für die Anfrage des Beschwerdeführers, welcher Art die Verbindungen zu behördlich befugten Kreditschutzverbänden usw. seien. Die Beschwerdegegnerin beantworte jedoch gerne den Inhalt der zum Beschwerdeführer vorliegenden Bonitätsdaten. Die Datenschutzkommission hat am
20. September 2004 in den Geschäftsräumlichkeiten der Beschwerdegegnerin einen Augenschein durchgeführt. Dabei haben Herr E und Herr DI F, Mitarbeiter des Vereins „Zentrum für sichere Informationstechnologie – Austria (A-SIT)“, welcher der Datenschutzkommission als Amtssachverständigeneinheit zur Verfügung steht, Befund aufgenommen und ein Gutachten erstellt. Sie hat weiters den Geschäftsführer der B-Gesellschaft, von der die Beschwerdegegnerin Bonitätsinformationen über (potentielle) Kunden bezieht, am
21. November 2004 als Zeugen einvernommen. Bei dieser Einvernahme war der Amtssachverständige E ebenfalls anwesend und hat die Zeugenaussage bei Erstellung des Gutachtens mitberücksichtigt. Auf Grund des Vorbringens der Parteien, der von Ihnen in Kopie vorgelegten Urkunden sowie von Befund und Gutachten der Amtssachverständigen wird der folgende Sachverhalt festgestellt: Der Beschwerdeführer richtete am
22. Juni 2002 mittels E-mail ein Auskunftsbegehren mit dem Betreff: „Anfrage gem. § 26 DSG für das Jahr 2002“ und auszugsweise folgendem Wortlaut an die Beschwerdegegnerin:Der Beschwerdeführer richtete am
23. Juni 2002 mittels E-mail ein Auskunftsbegehren mit dem Betreff: „Anfrage gem. Paragraph 26, DSG für das Jahr 2002“ und auszugsweise folgendem Wortlaut an die Beschwerdegegnerin: „ [..] Gem. § 26 DSG bringe ich hiermit die Anfrage ein und fordere sie auf, diese innerhalb der gesetzlichen Frist zu beantworten.Gem. Paragraph 26, DSG bringe ich hiermit die Anfrage ein und fordere sie auf, diese innerhalb der gesetzlichen Frist zu beantworten. Insbesondere interessant ist ein Ausdruck der von ihnen in ihrem System gespeicherten Daten und Bemerkungen. Es genügt also nicht nur anzugeben, welche Daten gespeichert werden, sondern ist auch die Angabe der Herkunft notwendig. Auf Grund des DSG fallen auch alle in Papierform und sonstigen Aufzeichnungsarten gespeicherten Daten unter die Auskunftspflicht. Weiters wäre es interessant, welche Anmerkungen in den Bemerkungen zu meiner Person angeführt sind. [..]“ Beweiswürdigung: Diese Feststellungen beruhen auf dem von der Beschwerdegegnerin vorgelegten Ausdruck des Auskunftsbegehrens, dem der Beschwerdeführer nicht entgegengetreten ist. Die Beschwerdegegnerin reagierte darauf am
24. Juni 2002 mit einem Schreiben, in dem sie dem Beschwerdeführer mitteilte, dass sie zu seiner Person Name (samt Titel), Geburtsdatum, Adresse, Geschlecht, den Umstand, ob die Rufnummer des Beschwerdeführers eine Geheimnummer sein soll, die Teilnehmeranschlussnummer, die Kundennummer, eine Kontaktnummer, den Tarif, die Zahlungsmodalitäten für die Rechnungen, den Beginn des Vertragsverhältnisses und das Kundenpasswort speichere. Auch der Inhalt dieser Datenfelder wurde jeweils mitgeteilt. Es wurde weiters darauf hingewiesen, dass Verbindungsdaten insoweit vorliegen würden, als sie für Zwecke der Verrechnung erforderlich seien und diese noch gerichtlich beeinsprucht oder der Anspruch auf Zahlung geltend gemacht werden könne. Inhaltsdaten würden nicht gespeichert. Hingewiesen wurde weiters darauf, dass der Beschwerdeführer im Rahmen der Vertragsunterzeichnung einer Weitergabe seiner Stammdaten an Dritte ausschließlich zum Zweck des Gläubigerschutzes an behördlich befugte Kreditschutzverbände und Kreditinstitute zugestimmt habe. Mit E-mail vom
25. Juli 2002 teilte der Beschwerdeführer der Beschwerdegegnerin mit, dass er die Antwort auf sein Auskunftsersuchen für mangelhaft halte und forderte erneut einen Systemausdruck sowie Eintragungen im Feld „Bemerkungen“ ein. Am
26. August 2002 übermittelte die Beschwerdegegnerin daraufhin das Schreiben vom
27. Juni 2002 nochmals in Kopie und teilte ihm gleichzeitig mit, sie sehe keine Veranlassung, ihm einen Systemausdruck zukommen zu lassen. Der Beschwerdeführer bekräftigte daraufhin mittels E-mail vom
28. August 2002 seine Forderungen betreffend Systemausdruck und Eintragungen im Feld „Bemerkungen“. Beweiswürdigung: Diese Feststellungen beruhen auf dem vom Beschwerdeführer in Kopie vorgelegten Schreiben, dem die Beschwerdegegnerin nicht entgegengetreten ist. In der Kundendatenbank „YZ“ (Ebene „Finance“) der Beschwerdegegnerin befinden sich – abgesehen von den Daten, welche bereits mit Schreiben vom
29. Juni 2002 beauskunftet wurden - folgende Eintragungen: [Anmerkung Bearbeiter: Formatierung (Raster) im Originalbescheid hier nur annähernd wiedergegeben] ----------------------------------- | Blacklist Status: | White | ----------------------------------- | Blacklist Date | 13.09.2004| ----------------------------------- | Blacklist Reason | CCWFL01 | ----------------------------------- | Blacklist Comment: | | ----------------------------------- | Blacklisted by | a*** | ----------------------------------- | T Date | 14.09.2004| ----------------------------------- | T Result: | 100 | ----------------------------------- | Score Date: | 14.09.2004| ----------------------------------- | | | ----------------------------------- | Score Result | 100 | ----------------------------------- | Units of Risk | 400 | ----------------------------------- Dabei handelt es sich um Bonitätsdaten, die in drei Gruppen eingeteilt werden können: -Strichaufzählung Bonitätsdaten aus dem Vertragsverhältnis mit der Beschwerdegegnerin, zB Konkurs, Zahlungsverzug, Todesfall, Betrug; Im Fall des Beschwerdeführers liegen keine negativen internen Bonitätsdaten vor, daher ist der „Blacklist Status“ „White“, dem entspricht die Abkürzung CCWFL01 (=Costumer Care White Flag) im Feld „Blacklist Reason“. Das Feld „Blacklisted by“ bezeichnet den Namen des Mitarbeiters, der die interne Bonitätsbeurteilung vorgenommen hat. -Strichaufzählung Abfragen in der Warenkreditevidenz der Kreditauskunftei T: Es wird ein Wert („T Result“) zwischen 0 (schlechtestes Ergebnis) und 100 (bestes Ergebnis) zurückgeliefert. -Strichaufzählung Bonitätsprüfung im Wege eines von der B-Gesellschaft entwickelten und technisch betreuten Online-Abfragesystems. Über eine Internetverbindung werden Kundendaten von der Beschwerdegegnerin an die B-Gesellschaft gesendet, die sodann für die Beschwerdegegnerin insbesondere in der „w-Datenbank“ der B-Gesellschaft nach negativen Bonitätsinformationen sucht, zusätzlich aber auch Bonitätsabfragen wiederum bei der Kreditauskunftei T sowie bei der Kreditauskunftei X tätigt. Aus den Abfrageergebnissen sowie den Bonitätsdaten aus dem Vertragsverhältnis zur V-Gesellschaft wird ein Wert („score“) zwischen 0 (schlechtestes Ergebnis) und 100 (bestes Ergebnis) errechnet und zurückgeliefert.Bonitätsprüfung im Wege eines von der B-Gesellschaft entwickelten und technisch betreuten Online-Abfragesystems. Über eine Internetverbindung werden Kundendaten von der Beschwerdegegnerin an die B-Gesellschaft gesendet, die sodann für die Beschwerdegegnerin insbesondere in der „w-Datenbank“ der B-Gesellschaft nach negativen Bonitätsinformationen sucht, zusätzlich aber auch Bonitätsabfragen wiederum bei der Kreditauskunftei T sowie bei der Kreditauskunftei römisch zehn tätigt. Aus den Abfrageergebnissen sowie den Bonitätsdaten aus dem Vertragsverhältnis zur V-Gesellschaft wird ein Wert („score“) zwischen 0 (schlechtestes Ergebnis) und 100 (bestes Ergebnis) errechnet und zurückgeliefert. Aus diesen verschiedenen Bonitätsdaten berechnet die V-Gesellschaft die Anzahl der Anschlüsse („units of risk“). Ein Wert von 400 bedeutet, dass vom Kunden vier Anschlüsse angemeldet werden können. Beweiswürdigung: Diese Feststellungen beruhen im Wesentlichen auf der Befundaufnahme und dem Gutachten der Sachverständigen auf Grundlage des Lokalaugenscheins vom
30. September 2004 sowie auf der Aussage des Geschäftsführers der B-Gesellschaft vom
31. November 2004 und den von ihm vorgelegten Verträgen mit der Beschwerdegegnerin. Die Bedeutung der Datenfelder mit der Abkürzung T konnte im Zuge der Befundaufnahme nicht geklärt werden. Diesbezüglich beruhen die Feststellungen auf dem Scheiben der Beschwerdegegnerin vom
32. März
33. In rechtlicher Hinsicht folgt daraus: Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.Nach der Verfassungsbestimmung des Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden. § 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Gemäß § 26 Abs.
34. DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.Paragraph 26, DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Gemäß Paragraph 26, Absatz eins, DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden. Gemäß Abs. 4 leg. cit. ist die Auskunft innerhalb von acht Wochen nach Einlangen des Begehrens zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird.Gemäß Absatz 4, leg. cit. ist die Auskunft innerhalb von acht Wochen nach Einlangen des Begehrens zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Zunächst ist nochmals zu betonen, dass es sich beim vorliegenden Verfahren um eine Beschwerde nach § 31 Abs. 1 DSG 2000 wegen Verletzung im Recht auf Auskunft handelt. Eine Erweiterung dieses Gegenstandes, etwa auf die Prüfung von Verletzungen im Recht auf Geheimhaltung, kommt wegen der fehlenden Zuständigkeit der Datenschutzkommission in diesem Bereich (vgl. § 31 Abs. 2 DSG 2000) nicht in Betracht. Auf das Vorbringen des Beschwerdeführers, mit dem er dennoch die Zulässigkeit der Verwendung seiner Daten durch die Beschwerdegegnerin in Frage stellt, kann daher nicht eingegangen werden.Zunächst ist nochmals zu betonen, dass es sich beim vorliegenden Verfahren um eine Beschwerde nach Paragraph 31, Absatz eins, DSG 2000 wegen Verletzung im Recht auf Auskunft handelt. Eine Erweiterung dieses Gegenstandes, etwa auf die Prüfung von Verletzungen im Recht auf Geheimhaltung, kommt wegen der fehlenden Zuständigkeit der Datenschutzkommission in diesem Bereich vergleiche Paragraph 31, Absatz 2, DSG 2000) nicht in Betracht. Auf das Vorbringen des Beschwerdeführers, mit dem er dennoch die Zulässigkeit der Verwendung seiner Daten durch die Beschwerdegegnerin in Frage stellt, kann daher nicht eingegangen werden. Das Ermittlungsverfahren hat ergeben, dass die im Spruch bezeichneten Informationen dem Beschwerdeführer von der Beschwerdegegnerin weder in der Auskunft vom
35. Juni 2002 noch zu einem späteren Zeitpunkt mitgeteilt wurden. Dies räumt die Beschwerdegegnerin in ihrer Stellungnahme an die Datenschutzkommission vom
36. März 2003 hinsichtlich des Zwecks und der Rechtsgrundlage der zur Person des Beschwerdeführers verarbeiteten Daten selbst ein. Die Bekanntgabe in der Stellungnahme an die Datenschutzkommission kann aber die Erteilung der Auskunft unmittelbar an den Beschwerdeführer nicht ersetzen, auch wenn dieser im Rahmen des Parteiengehörs davon Kenntnis erlangte (vgl. etwa den Bescheid der Datenschutzkommission vom
37. November 2004, K120.918/0008-DSK/2004, abrufbar im RIS unter www.ris.bka.gv.at). Hinsichtlich der in der Ebene „Finance“ der Kundendatenbank „YZ“ verarbeiteten Daten ist die Beschwerdegegnerin den Ergebnissen der Amtssachverständigen nicht entgegen getreten. Sie hat auch sonst keine Gründe vorgebracht, welche der Erteilung einer Auskunft über diese Daten entgegenstehen (etwa nach § 26 Abs. 2 DSG 2000).Das Ermittlungsverfahren hat ergeben, dass die im Spruch bezeichneten Informationen dem Beschwerdeführer von der Beschwerdegegnerin weder in der Auskunft vom
38. Juni 2002 noch zu einem späteren Zeitpunkt mitgeteilt wurden. Dies räumt die Beschwerdegegnerin in ihrer Stellungnahme an die Datenschutzkommission vom
39. März 2003 hinsichtlich des Zwecks und der Rechtsgrundlage der zur Person des Beschwerdeführers verarbeiteten Daten selbst ein. Die Bekanntgabe in der Stellungnahme an die Datenschutzkommission kann aber die Erteilung der Auskunft unmittelbar an den Beschwerdeführer nicht ersetzen, auch wenn dieser im Rahmen des Parteiengehörs davon Kenntnis erlangte vergleiche etwa den Bescheid der Datenschutzkommission vom
40. November 2004, K120.918/0008-DSK/2004, abrufbar im RIS unter www.ris.bka.gv.at). Hinsichtlich der in der Ebene „Finance“ der Kundendatenbank „YZ“ verarbeiteten Daten ist die Beschwerdegegnerin den Ergebnissen der Amtssachverständigen nicht entgegen getreten. Sie hat auch sonst keine Gründe vorgebracht, welche der Erteilung einer Auskunft über diese Daten entgegenstehen (etwa nach Paragraph 26, Absatz 2, DSG 2000). Somit war die Auskunft vom
41. Juni 2002 in diesem Umfang unvollständig und war daher die Erteilung der Auskunft an den Beschwerdeführer spruchgemäß aufzutragen. Nicht berechtigt sind allerdings die darüber hinaus gehenden Begehren des Beschwerdeführers. Hinsichtlich des verlangten „Systemausdrucks“ ist zu bemerken, dass § 26 Abs. 1 DSG 2000 einen solchen Anspruch nicht einräumt. Gegenstand des datenschutzrechtlichen Auskunftsanspruches sind lediglich „zur Person des Beschwerdeführers verarbeitete Daten“, nicht aber eine konkrete Darstellung der Datenanwendung, in der diese verwendet werden. Im vorliegenden Fall ist auch nicht erkennbar, dass ohne Kenntnis des Datenbankaufbaus die Auskunft an Informationswert verlieren würde (etwa unverständlich wäre), sodass eine Interessenabwägung nach § 26 Abs. 2 DSG 2000 gar nicht erforderlich ist.Nicht berechtigt sind allerdings die darüber hinaus gehenden Begehren des Beschwerdeführers. Hinsichtlich des verlangten „Systemausdrucks“ ist zu bemerken, dass Paragraph 26, Absatz eins, DSG 2000 einen solchen Anspruch nicht einräumt. Gegenstand des datenschutzrechtlichen Auskunftsanspruches sind lediglich „zur Person des Beschwerdeführers verarbeitete Daten“, nicht aber eine konkrete Darstellung der Datenanwendung, in der diese verwendet werden. Im vorliegenden Fall ist auch nicht erkennbar, dass ohne Kenntnis des Datenbankaufbaus die Auskunft an Informationswert verlieren würde (etwa unverständlich wäre), sodass eine Interessenabwägung nach Paragraph 26, Absatz 2, DSG 2000 gar nicht erforderlich ist. Der vom Beschwerdeführer behauptete Auskunftsanspruch über Datenverwendungen im internationalen Datenverkehr ist in § 26 Abs. 1 DSG 2000 ebenfalls nicht vorgesehen. Er spricht damit offenbar die in § 19 Abs. 1 Z 6 DSG 2000 enthaltene Verpflichtung des Auftraggebers, in der Meldung an das Datenverarbeitungsregister die Geschäftszahl der Genehmigung durch die Datenschutzkommission anzuführen. Damit wird aber kein Recht eines Betroffenen auf gesonderte Bekanntgabe derartiger Verwendungen bzw. darauf bezogener Genehmigungen im Rahmen einer Auskunft nach § 26 Abs. 1 DSG 2000 begründet. Abgesehen davon sind derartige Verwendungen im Ermittlungsverfahren überhaupt nicht hervorgekommen.Der vom Beschwerdeführer behauptete Auskunftsanspruch über Datenverwendungen im internationalen Datenverkehr ist in Paragraph 26, Absatz eins, DSG 2000 ebenfalls nicht vorgesehen. Er spricht damit offenbar die in Paragraph 19, Absatz eins, Ziffer 6, DSG 2000 enthaltene Verpflichtung des Auftraggebers, in der Meldung an das Datenverarbeitungsregister die Geschäftszahl der Genehmigung durch die Datenschutzkommission anzuführen. Damit wird aber kein Recht eines Betroffenen auf gesonderte Bekanntgabe derartiger Verwendungen bzw. darauf bezogener Genehmigungen im Rahmen einer Auskunft nach Paragraph 26, Absatz eins, DSG 2000 begründet. Abgesehen davon sind derartige Verwendungen im Ermittlungsverfahren überhaupt nicht hervorgekommen. Hinsichtlich der behaupteten Rechtsverletzung durch die Nichtbekanntgabe von Dienstleistern ist schließlich darauf hinzuweisen, dass der vorletzte Satz des § 26 Abs. 1 DSG 2000 den Anspruch auf die Nennung von Dienstleistern von einem besonderen Verlangen im Auskunftsbegehren abhängig macht. Dieses war aber weder im Auskunftsbegehren vom
42. Juni 2002 noch in den darauf folgenden Urgenzen enthalten.Hinsichtlich der behaupteten Rechtsverletzung durch die Nichtbekanntgabe von Dienstleistern ist schließlich darauf hinzuweisen, dass der vorletzte Satz des Paragraph 26, Absatz eins, DSG 2000 den Anspruch auf die Nennung von Dienstleistern von einem besonderen Verlangen im Auskunftsbegehren abhängig macht. Dieses war aber weder im Auskunftsbegehren vom
43. Juni 2002 noch in den darauf folgenden Urgenzen enthalten. Somit war das Mehrbegehren abzuweisen.