RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum11.10.2005 GeschäftszahlK178.180/0009-DSK/2005 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.] BESCHEID Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Dr. KOTSCHY, Mag. PREISS und Dr. ROSENMAYR-KLEMENZ sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 11. Oktober 2005 folgenden Beschluss gefasst: Spruch Über den Antrag der X**** GmbH vom 23. Feber 2004 auf Genehmigung der Übermittlung von Namen und Adressen von Kunden an Unternehmen in allen Staaten der Welt, die selbst oder für andere schriftliche Werbung betreiben, wird entschieden: Der Antrag wird gemäß § 13 Abs. 1 und 2 iVm. § 12 Abs. 5 Datenschutzgesetz 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, abgewiesen.Der Antrag wird gemäß Paragraph 13, Absatz eins und 2 in Verbindung mit Paragraph 12, Absatz 5, Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, abgewiesen. Begründung Festgestellter Sachverhalt: Die Antragstellerin ist ein Unternehmen mit Sitz in der H-Strasse in Wien. Sie verfügt über die Berechtigungen für die Gewerbe "Handelsgewerbe" und "Direktwerbe- und Adressenunternehmer". Die Antragstellerin begehrt mit Antrag vom 23. Feber 2004 die Genehmigung zur Übermittlung von Kundendaten, und zwar Name und Adresse (aus der Tätigkeit der Antragstellerin als Handelsunternehmen) an Unternehmen in allen Staaten der Welt, insbesondere in den USA, Kanada und Australien, "die selbst oder für andere schriftliche Werbung betreiben". Die Datenschutzkommission hat mit Verbesserungsauftrag vom 7. März 2005 um nähere Begründung des Antrages im Lichte der §§ 12 und 13 DSG 2000 ersucht. Mit Schreiben vom 13. April 2005 wurde bekannt gegeben, dass von den Kunden eine schriftliche Zustimmung zur Datenübermittlung vorliegt. Mit Schreiben vom 6. Mai 2005 wurde ersucht, genauere Angaben zu machen und die Zustimmungserklärung vorzulegen.Die Antragstellerin begehrt mit Antrag vom 23. Feber 2004 die Genehmigung zur Übermittlung von Kundendaten, und zwar Name und Adresse (aus der Tätigkeit der Antragstellerin als Handelsunternehmen) an Unternehmen in allen Staaten der Welt, insbesondere in den USA, Kanada und Australien, "die selbst oder für andere schriftliche Werbung betreiben". Die Datenschutzkommission hat mit Verbesserungsauftrag vom 7. März 2005 um nähere Begründung des Antrages im Lichte der Paragraphen 12 und 13 DSG 2000 ersucht. Mit Schreiben vom 13. April 2005 wurde bekannt gegeben, dass von den Kunden eine schriftliche Zustimmung zur Datenübermittlung vorliegt. Mit Schreiben vom 6. Mai 2005 wurde ersucht, genauere Angaben zu machen und die Zustimmungserklärung vorzulegen. Die Antragstellerin hat mit Schreiben vom 31. Mai 2005 erklärt, dass Kunden vor einer Bestellung den Punkt "Ich stimme den AGB's und den Datenschutzbestimmungen zu" auf der Website www.X***.com anklicken müssen; sie hat die Datenschutzkommission aufgefordert, die genannte Website selbst zu besuchen und die allgemeinen Geschäftsbedingungen einzusehen. Auf der Website www.X***.com sind die allgemeinen Geschäftsbedingungen über den Menüpunkt "AGB" von der Hauptseite aus zugänglich. Sie sind mit "ALLGEMEINE GESCHÄFTS- (AGB) UND DATENSCHUTZBESTIMMUNGEN, Stand 2004" überschrieben. Der Abschnitt zum Datenschutz lautet: "Datenschutz Datenschutz garantiert: I X**** GmbH hält sich bei der Speicherung und Verarbeitung Ihrer Daten streng an das geltende Datenschutzgesetz (DSG 2000). Der Käufer erklärt sich ausdrücklich damit einverstanden, dass seine, für das Rechtsgeschäft notwendigen Daten, EDV-mäßig erfasst und verarbeitet werden.Datenschutz garantiert: römisch eins X**** GmbH hält sich bei der Speicherung und Verarbeitung Ihrer Daten streng an das geltende Datenschutzgesetz (DSG 2000). Der Käufer erklärt sich ausdrücklich damit einverstanden, dass seine, für das Rechtsgeschäft notwendigen Daten, EDV-mäßig erfasst und verarbeitet werden. Kontrolle übermittelter personenbezogener Daten Sie behalten immer die Möglichkeit der Kontrolle über die uns übermittelten personenbezogenen Daten, d. h. Sie können jederzeit: 1.Ziffer eins eine Kopie der bei uns gespeicherten personenbezogenen Daten verlangen. 2.Ziffer 2 die Berichtigung oder Aktualisierung der personenbezogenen Daten verlangen. 3.Ziffer 3 die Entfernung der Daten aus unseren Unterlagen verlangen." Weiter unten befindet sich der folgende Absatz: "Personenbezogene Daten, die uns bekannt gegeben werden, wird die X**** GmbH im Einklang mit dem geltenden Datenschutzgesetz (DSG 2000) verarbeiten. Näheres ist dem Abschnitt Datenschutz zu entnehmen." "Wir sind berechtigt, den Inhalt aller Mitteilungen, die an diese Internet-Site oder sonstiger E-Mail an X**** GmbH gesandt werden, auch alle darin enthaltenen Ideen, Erfindungen, Konzepte, Methoden oder enthaltenes Know-how, für jeden Zweck zu verwenden, beispielsweise für die Entwicklung, Herstellung und/oder Vermarktung von Produkten oder Dienstleistungen." Entgegen der Behauptung des Antragstellers findet sich in diesen Klauseln weder eine Zustimmung zur Weiterverwendung der Daten aus dem Handelsgeschäft für Marketingzwecke Dritter noch eine Zustimmung zur Übermittlung der Marketingdaten ins Ausland. Darüber hinaus fehlt auch ein Hinweis auf das durch § 151 Abs. 5 GewO 1994 eingeräumte Widerspruchsrecht gegen die Weiterverwendung der Kundendaten für Marketingzwecke Dritter oder auf das Faktum der beabsichtigten Übermittlung der Daten ins Ausland für Marketingzwecke Dritter.Entgegen der Behauptung des Antragstellers findet sich in diesen Klauseln weder eine Zustimmung zur Weiterverwendung der Daten aus dem Handelsgeschäft für Marketingzwecke Dritter noch eine Zustimmung zur Übermittlung der Marketingdaten ins Ausland. Darüber hinaus fehlt auch ein Hinweis auf das durch Paragraph 151, Absatz 5, GewO 1994 eingeräumte Widerspruchsrecht gegen die Weiterverwendung der Kundendaten für Marketingzwecke Dritter oder auf das Faktum der beabsichtigten Übermittlung der Daten ins Ausland für Marketingzwecke Dritter. In rechtlicher Hinsicht folgt daraus: Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35
- ff)einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden (§ 13 Abs. 1 DSG 2000).Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35,
- ff)einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden (Paragraph 13, Absatz eins, DSG 2000). Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, dass die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein (§ 13 Abs. 2 DSG 2000).näheren Umstände der Datenverwendung im Ausland von Bedeutung sein (Paragraph 13, Absatz 2, DSG 2000). § 12 Abs. 5 DSG 2000 nennt als unabdingbare Voraussetzung für die Zulässigkeit jeder Übermittlung oder Überlassung in das Ausland die Rechtmäßigkeit der Datenanwendung im Inland gemäß § 7 leg. cit. Nach der zuletzt genannten Bestimmung dürfen Daten nur verarbeitet - und somit auch ermittelt (§ 4 Z 9 DSG 2000) - werden, soweit Zweck und Inhalt der Datenanwendung von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des jeweiligen Auftraggebers gedeckt sind und die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nicht verletzen.Paragraph 12, Absatz 5, DSG 2000 nennt als unabdingbare Voraussetzung für die Zulässigkeit jeder Übermittlung oder Überlassung in das Ausland die Rechtmäßigkeit der Datenanwendung im Inland gemäß Paragraph 7, leg. cit. Nach der zuletzt genannten Bestimmung dürfen Daten nur verarbeitet - und somit auch ermittelt (Paragraph 4, Ziffer 9, DSG 2000) - werden, soweit Zweck und Inhalt der Datenanwendung von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des jeweiligen Auftraggebers gedeckt sind und die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nicht verletzen. Die Antragstellerin übt neben dem Gewerbe eines Handelsunternehmens auch das Gewerbe "Direktwerbe- und Adressenunternehmen" (§ 151 GewO 1994) aus und ist daher grundsätzlich rechtlich befugt, Daten für Marketingzwecke Dritter zu verarbeiten. Im vorliegenden Fall ist daher zunächst die Frage der Datenermittlung für Zwecke des Adressverlages zu prüfen. Unter "Ermitteln von Daten" versteht § 4 Z 10 DSG 2000 das Erheben von Daten in der Absicht, sie in einer Datenanwendung zu verwenden. Nur wenn dieses Ermitteln von Daten rechtmäßig erfolgt, kann vom Vorliegen einer rechtmäßigen Datenanwendung im Inland als einer der Grundvoraussetzungen für eine Datenübermittlung in das Ausland gesprochen werden.Die Antragstellerin übt neben dem Gewerbe eines Handelsunternehmens auch das Gewerbe "Direktwerbe- und Adressenunternehmen" (Paragraph 151, GewO 1994) aus und ist daher grundsätzlich rechtlich befugt, Daten für Marketingzwecke Dritter zu verarbeiten. Im vorliegenden Fall ist daher zunächst die Frage der Datenermittlung für Zwecke des Adressverlages zu prüfen. Unter "Ermitteln von Daten" versteht Paragraph 4, Ziffer 10, DSG 2000 das Erheben von Daten in der Absicht, sie in einer Datenanwendung zu verwenden. Nur wenn dieses Ermitteln von Daten rechtmäßig erfolgt, kann vom Vorliegen einer rechtmäßigen Datenanwendung im Inland als einer der Grundvoraussetzungen für eine Datenübermittlung in das Ausland gesprochen werden. Gemäß § 151 Abs. 5 GewO 1994 darf ein Handelsunternehmen Kundendaten für Marketingzwecke an einen Adressverlag übermitteln, wenn die Kunden "in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen". Eine solche Information ist den vorstehend im Wortlaut zitierten "AGB und Datenschutzbestimmungen" nicht zu entnehmen: Das Angebot, Daten auf Wunsch des Betroffenen zu löschen (- "Daten aus den Unterlagen zu entfernen" -), ist dem gesetzlichen Auftrag, dem Betroffenen vor der Übermittlung von Daten an Adressverlage Gelegenheit zum Widerspruch zu geben, nicht gleich zu halten. Schon die Weiterverwendung der Kundendaten aus den Handelsgeschäften der Antragstellerin für Marketingzwecke Dritter in Österreich ist daher nicht zulässig.Gemäß Paragraph 151, Absatz 5, GewO 1994 darf ein Handelsunternehmen Kundendaten für Marketingzwecke an einen Adressverlag übermitteln, wenn die Kunden "in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen". Eine solche Information ist den vorstehend im Wortlaut zitierten "AGB und Datenschutzbestimmungen" nicht zu entnehmen: Das Angebot, Daten auf Wunsch des Betroffenen zu löschen (- "Daten aus den Unterlagen zu entfernen" -), ist dem gesetzlichen Auftrag, dem Betroffenen vor der Übermittlung von Daten an Adressverlage Gelegenheit zum Widerspruch zu geben, nicht gleich zu halten. Schon die Weiterverwendung der Kundendaten aus den Handelsgeschäften der Antragstellerin für Marketingzwecke Dritter in Österreich ist daher nicht zulässig. Da somit die Daten, deren Übermittlung in das Ausland beabsichtigt ist - wie sich aus den eigenen Angaben der Antragstellerin ergibt - aus keiner rechtmäßigen Datenanwendung im Inland stammen können und die in § 13 Abs. 1 letzter Satz DSG 2000 vorgesehene Möglichkeit der Bindung der Genehmigung an Bedingungen oder Auflagen nicht dazu dient, einen bereits von der Rechtsordnung zwingend vorgesehenen Zustand herbeizuführen, war der Antrag abzuweisen.Da somit die Daten, deren Übermittlung in das Ausland beabsichtigt ist - wie sich aus den eigenen Angaben der Antragstellerin ergibt - aus keiner rechtmäßigen Datenanwendung im Inland stammen können und die in Paragraph 13, Absatz eins, letzter Satz DSG 2000 vorgesehene Möglichkeit der Bindung der Genehmigung an Bedingungen oder Auflagen nicht dazu dient, einen bereits von der Rechtsordnung zwingend vorgesehenen Zustand herbeizuführen, war der Antrag abzuweisen.