RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum06.12.2005 GeschäftszahlK178.194/0007-DSK/2005 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.] BESCHEID Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Dr. KOTSCHY, Mag. MAITZ-STRASSNIG und Mag. PREISS sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom
- Dezember 2005 folgenden Beschluss gefasst: Spruch Der Antrag der G-**** GmbH in Wien, vom
- März 2005 auf Genehmigung der Übermittlung bzw. Überlassung von Daten aus der Datenanwendung 'Weltweite Finanzierung' an die G**** Corporation USA und zwar auf 1.Ziffer eins die Überlassung zum Zweck der Erbringung einer Dienstleistung (Hosting-Services) 2.Ziffer 2 die Übermittlung bestimmter Datenarten aus der Datenanwendung 'Weltweite Finanzierung' zum Zweck der Entscheidung über die Kreditfinanzierung von Leasing-, Kauf- und Servicegeschäften wird gemäß § 13 Abs. 1 und 2 DSG 2000 abgewiesen.wird gemäß Paragraph 13, Absatz eins und 2 DSG 2000 abgewiesen. Begründung § 13 Abs. 1 und 2 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF. BGBl. I Nr. 13/2005, lauten:Paragraph 13, Absatz eins und 2 Datenschutzgesetz 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, lauten: § 13.
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß § 12 genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (§§ 35 ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.Paragraph 13,
(1)Soweit der Datenverkehr mit dem Ausland nicht gemäß Paragraph 12, genehmigungsfrei ist, hat der Auftraggeber vor der Übermittlung oder Überlassung von Daten in das Ausland eine Genehmigung der Datenschutzkommission (Paragraphen 35, ff) einzuholen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen binden.
(2)Absatz 2,Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, daß die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein. Zum Spruchpunkt 1: Die Antragstellerin hat zur Glaubhaftmachung des Vorliegens angemessenen Datenschutzes beim Dienstleister in den USA Vertragsklauseln vorgelegt, die insbesondere in Klausel 10 die Möglichkeit vorsehen, dass die Vertragspartner inhaltlich nicht näher eingegrenzte Änderungen zum vorliegenden Vertrag vereinbaren können. Die Erteilung einer Genehmigung zum Datentransfer auf Grundlage eines derartigen Vertrages ist der Datenschutzkommission nicht möglich, da eine Abänderung des Vertrags ohne ihre Kenntnis jederzeit möglich wäre, sodass nicht beurteilt werden kann, ob er zur Herbeiführung eines angemessenen Datenschutzniveaus geeignet ist. Die Erteilung einer Genehmigung war daher in diesem Punkt abzulehnen. Zum Spruchpunkt 2: Die Einholung einer Erlaubnis für kreditfinanzierte Geschäfte durch im Konzern übergeordnete Einheiten ist eine Maßnahme, die einem Vertragsabschluss notwendigerweise vorgeordnet ist. Wenn diese Maßnahme 'auf Antrag der betroffenen Person geschieht', wie Art. 26 Abs. 1 lit. b der RL 95/46/EG formuliert, dann liegt gleichzeitig die Einwilligung des Betroffenen zum Datentransfer vor, wodurch dieser genehmigungsfrei wird (vgl. Art. 26 Abs. 1 lit. a der RL 95/46/EG und § 12 Abs. 3 Z 5 DSG 2000) und von der Antragstellerin ohne Weiteres vorgenommen werden darf.Die Einholung einer Erlaubnis für kreditfinanzierte Geschäfte durch im Konzern übergeordnete Einheiten ist eine Maßnahme, die einem Vertragsabschluss notwendigerweise vorgeordnet ist. Wenn diese Maßnahme 'auf Antrag der betroffenen Person geschieht', wie Artikel 26, Absatz eins, Litera b, der RL 95/46/EG formuliert, dann liegt gleichzeitig die Einwilligung des Betroffenen zum Datentransfer vor, wodurch dieser genehmigungsfrei wird vergleiche Artikel 26, Absatz eins, Litera a, der RL 95/46/EG und Paragraph 12, Absatz 3, Ziffer 5, DSG 2000) und von der Antragstellerin ohne Weiteres vorgenommen werden darf. Wenn die Einholung der Entscheidung der G**** Corporation USA jedoch ohne Befassung des Betroffenen geschieht, mag dies zwar in berechtigten Interessen des Konzerns gelegen sein, doch fehlt im vorliegenden Fall für eine Genehmigung des Datentransfers jedenfalls die Voraussetzung nach § 13 Abs. 2 Z 2 DSG 2000, da die vorgelegten Vertragsklauseln für die Glaubhaftmachung eines angemessenen Datenschutzes beim Empfänger nicht geeignet sind. So wird in Klausel 11 die Möglichkeit vorgesehen, dass die Vertragspartner inhaltlich nicht näher eingegrenzte Änderungen zum vorliegenden Vertrag vereinbaren können.Wenn die Einholung der Entscheidung der G**** Corporation USA jedoch ohne Befassung des Betroffenen geschieht, mag dies zwar in berechtigten Interessen des Konzerns gelegen sein, doch fehlt im vorliegenden Fall für eine Genehmigung des Datentransfers jedenfalls die Voraussetzung nach Paragraph 13, Absatz 2, Ziffer 2, DSG 2000, da die vorgelegten Vertragsklauseln für die Glaubhaftmachung eines angemessenen Datenschutzes beim Empfänger nicht geeignet sind. So wird in Klausel 11 die Möglichkeit vorgesehen, dass die Vertragspartner inhaltlich nicht näher eingegrenzte Änderungen zum vorliegenden Vertrag vereinbaren können. Die Erteilung einer Genehmigung zum Datentransfer auf Grundlage eines derartigen Vertrages ist der Datenschutzkommission nicht möglich, da eine Abänderung des Vertrags ohne ihre Kenntnis jederzeit möglich wäre, sodass nicht beurteilt werden kann, ob er zur Herbeiführung eines angemessenen Datenschutzniveaus geeignet ist. Die Erteilung einer Genehmigung war daher in diesem Punkt abzulehnen. Der Umstand, dass die G**** Corporation USA mit 12. 10. 2002 eine in der Safe Harbor Liste des US Department of Commerce (http://www.export.gov/safeharbor/) veröffentlichte Erklärung abgegeben hat, dem Safe Harbor angehören zu wollen, hat angesichts der undeutlichen Formulierung des sachlichen Anwendungsbereichs von Safe Harbor auf Datenanwendungen der G- **** Corporation USA und angesichts des Faktums, dass im Genehmigungsantrag die Anwendbarkeit von Safe Harbor auf die ggst. Datenflüsse auch nicht behauptet wurde, keine Relevanz.