Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I D B E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Dr. KOTSCHY, Mag. PREISS und Dr. ROSENMAYR-KLEMENZ sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 16. Dezember 2005 folgenden Beschluss gefasst: S p r u c h Über die datenschutzrechtliche Beschwerde des Sebastian R***
P***, vertreten durch Dr. Bernhard M***, Rechtsanwalt in **** P***, B***straße **2, vom
P***, vertreten durch Dr. Bernhard M***, Rechtsanwalt in **** P***, B***straße **2, vom
1999, idgF sowie Paragraphen 6, 37 und 39 Absatz 2, Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG), Bundesgesetzblatt Nr.51
1991, idgF wie folgt entschieden: 1.Ziffer eins Das Anbringen, dem Beschwerdeführer eine Entschädigung in Höhe von Euro 14.535,-- zuzusprechen, wird zurückgewiesen. 2.Ziffer 2 Der datenschutzrechtlichen Beschwerde wird teilweise stattgegeben und festgestellt, dass a.Litera a der Erstbeschwerdegegner dadurch, dass er am bzw. vor dem
gewertet worden. Dabei seien zahlreiche nicht dienstlich veranlasste Datenabfragen entdeckt worden, die aber allesamt die Steuerkonten von Verwandten, Bekannten und Freunden (bzw. diesen zuzurechnenden Unternehmen) betroffen hätten und von ihm
Servicedenken bzw. Gefälligkeit gemacht worden seien, ohne dass dabei Daten übermittelt worden seien, die die Betroffenen nicht auch vom zuständigen Finanzamt im
kunftswege erfahren hätten können. Ziel dieser Ermittlungen – so der sinngemäße Sukkus des Beschwerdeführers – sei es gewesen, seine dauerhafte Bestellung zum Vorstand des Finanzamts P*** zu verhindern, was auch gelungen sei. Die Ermittlung durch
wertung ihn betreffender Logfiledaten sei unrechtmäßig erfolgt, weiters seien in dem Verfahrensakt falsche Angaben betreffend seine Befugnis zur Abfrage von bestimmten Daten des Abgabenverfahrens (so genannte S + Ü-Daten) eingeflossen. Dies alles habe dazu geführt, dass gegen ihn unrechtmäßig letztendlich noch eine Disziplinaranzeige erstattet worden sei. Im Einzelnen brachte er vor -Strichaufzählung durch
wertung von Logfiles der Datenanwendungen der Finanzverwaltung durch die Abteilung Antikorruption beim Erstbeschwerdegegner im Recht auf Geheimhaltung (Faktum 1.a.), -Strichaufzählung durch Übermittlung der Ergebnisse der Logfileauswertung -Strichaufzählung an die Zweitbeschwerdegegnerin im Recht auf Geheimhaltung (Faktum 1.b.), -Strichaufzählung dadurch, dass „bereits am 21.4.2004...Gerüchte kursierten“, er werde als (provisorischer) Leiter des Finanzamts P*** abberufen werden, durch den Erstbeschwerdegegner, eventuell die Zweitbeschwerdegegnerin, im Recht auf Geheimhaltung (Faktum 1.c.), -Strichaufzählung dadurch, dass bereits am 22.4.2004 in einer Sitzung seitens Dr. L*** mitgeteilt wurde, er stehe im Verdacht unerlaubter Datenabfragen, im Recht auf Geheimhaltung (Faktum 1.d.), -Strichaufzählung dadurch, dass er „bereits am 23.4.2004 von Mitgliedern der Kollegenschaft“ mit Vorwürfen der unerlaubten Datenabfragen konfrontiert wurde, im Recht auf Geheimhaltung (Faktum 1.e.), -Strichaufzählung dadurch, dass am 28. 4. 2004 HR N*** von der Zweitbeschwerdegegnerin ohne dienstliche Veranlassung Einsicht in die persönlichen Daten der Gattin des Beschwerdeführers und seiner Kinder Einsicht genommen habe, im Recht auf Geheimhaltung (Faktum 1.f.), -Strichaufzählung dadurch, dass am 5.5.2004 erste Berichte über unerlaubte Datenabfragen in den Medien erschienen sind, im Recht auf Geheimhaltung (Faktum 1.g.), -Strichaufzählung dadurch, dass in einem „***artikel vom 8.5.2004 (3. Absatz)
drücklich zu lesen stand“ [Anmerkung Bearbeiter: Name der Tageszeitung im Original
geschrieben], die Vorwürfe gegen ihn seien vom Erstbeschwerdegegner mitgeteilt worden, in seinem Grundrecht auf Geheimhaltung (Faktum 1.h.), -Strichaufzählung dadurch, dass „in einem ***artikel vom 11.5.2004 [Anmerkung Bearbeiter: wie oben] zu lesen stand“, es sei gegen ihn ein Disziplinarverfahren eingeleitet worden, während die entsprechende Disziplinaranzeige erst am 28.5.2004 abgesendet wurde, im Recht auf Geheimhaltung (Faktum 1.i.), sowie -Strichaufzählung dadurch, dass trotz
spruchs einer Ermahnung am 30. April 2004 samt Abstandnahme von einer Disziplinaranzeige gegen ihn dennoch Disziplinaranzeige erstattet worden ist, im Recht auf Geheimhaltung (Faktum 1.j.) verletzt worden zu sein. Er beantragte, diese Rechtsverletzungen mit Bescheid festzustellen. Weiters brachte der Beschwerdeführer vor, dadurch, dass sich „der öffentliche Auftraggeber“ geweigert habe, die Angabe, es sei ihm möglich gewesen, so genannte „S+Ü-Daten“ abzufragen, in den Akten richtig zu stellen, in seinem Recht auf Richtigstellung unrichtiger personenbezogener Daten verletzt zu sein (Faktum 2.). Weiters brachte der Beschwerdeführer vor, dass er dadurch in seinem Recht auf Richtigstellung unrichtiger personenbezogener Daten verletzt sei (Faktum 3), dass der Erstbeschwerdegegner (als Nachfolger der aufgelösten Zweitbeschwerdegegnerin) sich geweigert habe, „jene Passagen, in denen ihm die Einsichtnahme in Geheimdaten („Fallgruppenzuordnungen S + Ü“) sowie die daraus folgenden Verdächtigungen von unerlaubten Datenabfragen und Datenweitergaben bis hin zum Verdacht auf Amtsmissbrauch vorgeworfen werde,
dem Verfahrensakt P 1**/1***1/04 zu löschen“. Der Beschwerdeführer beantragte zu den Fakten 2. und 3. die Löschung dieser Daten
dem Akt P 1**/1***1/04 sowie die Verständigung der Stellen, denen diese Daten übermittelt wurden; in eventu beantragte der Beschwerdeführer die Beifügung „klarstellender Vermerke“ über die Unrichtigkeit dieser Daten des Inhalts: „Die Löschung sämtlicher Vermerke und Daten, in welchen die Wortfolge ’mit Fallkennzeichnung (S, Ü)’ in einem derartigen Zusammenhang festgehalten ist, dass dem Beschwerdeführer vorwerfbar sei, dass er in Daten der Fallkennzeichnung (S, Ü) Einsicht genommen und diese Daten der Fallkennzeichnung (S, Ü) weitergegeben habe“. Weiter beantragte der Beschwerdeführer, da er unrechtmäßig verdächtigt, „gemobbt und denunziert“ worden sei, was die Eignung gehabt habe, ihn öffentlich bloß zu stellen, die Datenschutzkommission möge ihm für die erlittene Kränkung eine angemessene Entschädigung in Höhe von Euro 14.535,-- zusprechen; die Geltendmachung weiterer Schadenersatzansprüche behalte er sich
drücklich vor. Der Erstbeschwerdegegner - die Zweitbeschwerdegegnerin, die Finanzlandesdirektion für Wien, Niederösterreich und das Burgenland, wurde durch BGBl. I Nr. 124/2003 aufgelöst, ihre Aufgaben sind auf die Finanzämter und den Erstbeschwerdegegner übergegangen - brachte mit Stellungnahme vom 2. Juni 2005, GZ: BMF-3***0/0007-I/20/2005, unter Vorlage von Kopien
den Verwaltungsakten zu Zl. P 1**/1***1/04 der ehemaligen FLD Wien, NÖ, Bgld. (und weiterer Aktenstücke) vor, es seien tatsächlich am 23. März 2004 Logfiles betreffend Datenhandhabung des AIS-DB2
gewertet worden, um die Zulässigkeit der vom Beschwerdeführer getätigten Abfragen im Hinblick auf seine beabsichtigte Betrauung mit der Leitung des Finanzamts P*** überprüfen zu können. Diese Datenverwendung sei durch § 14 Abs 2 Z 7 DSG 2000 gedeckt gewesen. Der Beschwerdeführer sei davon mittels E-Mail am 24. März 2004 in Kenntnis gesetzt worden. Gleichzeitig habe man ihm das Ergebnis der
wertung vorgehalten und ihn zur Stellungnahme zu Abfragen zu elf angeführten Steuernummern aufgefordert. Die
wertung der Logfiles bilde keine gesonderte Datenanwendung, sondern diene
schließlich dem in § 14 Abs.2 Z.7 DSG 2000 angeführten gesetzmäßigen Kontrollzweck (Zulässigkeit der Verwendung des protokollierten Datenbestands, insbesondere der dienstlichen Veranlassung von Abfragen). Für solche Kontrollen bedürfe es auch weder eines vorherigen Verdachts noch einer Einschaltung von Personalvertretern. Die vom Beschwerdeführer behauptete Abfrage von Daten von Gattin und Kindern des Beschwerdeführers am
2003, aufgelöst, ihre Aufgaben sind auf die Finanzämter und den Erstbeschwerdegegner übergegangen - brachte mit Stellungnahme vom 2. Juni 2005, GZ: BMF-3***0/0007-I/20
2005,, unter Vorlage von Kopien
den Verwaltungsakten zu Zl. P 1**/1***1/04 der ehemaligen FLD Wien, NÖ, Bgld. (und weiterer Aktenstücke) vor, es seien tatsächlich am 23. März 2004 Logfiles betreffend Datenhandhabung des AIS-DB2
gewertet worden, um die Zulässigkeit der vom Beschwerdeführer getätigten Abfragen im Hinblick auf seine beabsichtigte Betrauung mit der Leitung des Finanzamts P*** überprüfen zu können. Diese Datenverwendung sei durch Paragraph 14, Absatz 2, Ziffer 7, DSG 2000 gedeckt gewesen. Der Beschwerdeführer sei davon mittels E-Mail am 24. März 2004 in Kenntnis gesetzt worden. Gleichzeitig habe man ihm das Ergebnis der
wertung vorgehalten und ihn zur Stellungnahme zu Abfragen zu elf angeführten Steuernummern aufgefordert. Die
wertung der Logfiles bilde keine gesonderte Datenanwendung, sondern diene
schließlich dem in Paragraph 14, Absatz 2, Ziffer 7, DSG 2000 angeführten gesetzmäßigen Kontrollzweck (Zulässigkeit der Verwendung des protokollierten Datenbestands, insbesondere der dienstlichen Veranlassung von Abfragen). Für solche Kontrollen bedürfe es auch weder eines vorherigen Verdachts noch einer Einschaltung von Personalvertretern. Die vom Beschwerdeführer behauptete Abfrage von Daten von Gattin und Kindern des Beschwerdeführers am
dem Akt GZ P 1**/1***1/04 gehe unter anderem hervor, dass Dr. N*** am 28. April 2004 das Personalinformationssystem des Bundes nach Daten der Gattin und der Kinder des Beschwerdeführers abgefragt habe, dies ohne dienstliche Veranlassung. Das Grundrecht auf Datenschutz (einschließlich der Rechte auf
kunft, Richtigstellung und Löschung) gelte für alle Arten von Daten, unabhängig von der Art der Verarbeitung, also auch für Akten, die lediglich nach Namen, Adressen oder Berufen geordnet seien.
dem ihm bisher unbekannten E-Mail von Dr. E*** vom 28.4.2004 ergebe sich etwa, dass durch die Inaussichtstellung eines „Schnellverfahrens“ (lediglich Ermahnung statt vollem Disziplinarverfahren) Druck auf den Beschwerdeführer
geübt worden sei, auf seine Bewerbung zu verzichten. Das dem Beschwerdeführer zugeteilte Bedienerkennzeichen (BKZ),
dem sich der Umfang der Zugriffsberechtigung ergebe, habe gar nicht den Zugriff auf die – geheime - Fallgruppenzuordnung „S“ (Soforterledigung) oder „Ü“ (Überprüfung) von Steuerfällen bei Fremdfinanzämtern ermöglicht. Der Beamte (Mag. Arno W***), der die vom Beschwerdeführer gemachten Datenabfragen überprüft habe, habe ein viel umfassenderes BKZ. Die von Mag. W*** mit dessen BKZ gemachten Abfragen seien allerdings im entsprechenden Aktenvermerk so dargestellt, als habe der Beschwerdeführer Zugriff auf die „S“- und „Ü“-Daten gehabt. Diese Daten seien daher unrichtig und damit Gegenstand seines Löschungsrechts.Der Beschwerdeführer, dem zu diesen Ergebnissen des Ermittlungsverfahrens Parteiengehör gewährt wurde, brachte mit Stellungnahme vom 8. August 2005 unter Vorlage weiterer Urkunden und Datenausdrucke vor, die von den Beschwerdegegnern veranlasste Logfileauswertung sei weit über jene „stichprobenweise Logfileauswertung gem. Paragraph 14, Absatz 2, Ziffer 7, DSG“ hinausgegangen, mit der er selbst als provisorischer Leiter eines Finanzamts im Rahmen der Dienstaufsicht befasst gewesen sei. Das vorgenommene „vollständige Screening des Logfiledatenbestandes von 1995 bis 10/2003“ stelle vielmehr eine eigene Datenanwendung dar und gehe weit über die gesetzlich gebotenen Datensicherheitsmaßnahmen hinaus. Es stelle vielmehr eine Kontrolle der Arbeitsleistung des Beschwerdeführers (Suche nach möglicher „Pfuschtätigkeit“) dar und sei im Zusammenhang mit seiner Bewerbung um eine leitende Stelle gestanden. An Hand der Aktenkopien, zu denen er jetzt von der Datenschutzkommission Parteiengehör erhalten habe, habe er erstmals Einblick in einige Aktenbestandteile bzw. E-Mails erhalten, die im vorher vorenthalten worden seien.
dem Akt GZ P 1**/1***1/04 gehe unter anderem hervor, dass Dr. N*** am 28. April 2004 das Personalinformationssystem des Bundes nach Daten der Gattin und der Kinder des Beschwerdeführers abgefragt habe, dies ohne dienstliche Veranlassung. Das Grundrecht auf Datenschutz (einschließlich der Rechte auf
kunft, Richtigstellung und Löschung) gelte für alle Arten von Daten, unabhängig von der Art der Verarbeitung, also auch für Akten, die lediglich nach Namen, Adressen oder Berufen geordnet seien.
dem ihm bisher unbekannten E-Mail von Dr. E*** vom 28.4.2004 ergebe sich etwa, dass durch die Inaussichtstellung eines „Schnellverfahrens“ (lediglich Ermahnung statt vollem Disziplinarverfahren) Druck auf den Beschwerdeführer
geübt worden sei, auf seine Bewerbung zu verzichten. Das dem Beschwerdeführer zugeteilte Bedienerkennzeichen (BKZ),
dem sich der Umfang der Zugriffsberechtigung ergebe, habe gar nicht den Zugriff auf die – geheime - Fallgruppenzuordnung „S“ (Soforterledigung) oder „Ü“ (Überprüfung) von Steuerfällen bei Fremdfinanzämtern ermöglicht. Der Beamte (Mag. Arno W***), der die vom Beschwerdeführer gemachten Datenabfragen überprüft habe, habe ein viel umfassenderes BKZ. Die von Mag. W*** mit dessen BKZ gemachten Abfragen seien allerdings im entsprechenden Aktenvermerk so dargestellt, als habe der Beschwerdeführer Zugriff auf die „S“- und „Ü“-Daten gehabt. Diese Daten seien daher unrichtig und damit Gegenstand seines Löschungsrechts. Die Finanzprokuratur, der die Beschwerde im Hinblick auf die geltend gemachte Schadenersatzforderung vorgelegt wurde, teilte mit Erledigung vom 13. Juli 2005, SM/***7/1a, lediglich mit, sie gehe davon
, dass sich der anwaltlich vertretene Beschwerdeführer bei Geltendmachung von Schadenersatzforderung
dem Titel der Amtshaftung mit seinen Ansprüchen selber gemäß § 1 Abs 4 Prokuraturgesetz an sie wenden werde.Die Finanzprokuratur, der die Beschwerde im Hinblick auf die geltend gemachte Schadenersatzforderung vorgelegt wurde, teilte mit Erledigung vom 13. Juli 2005, SM/***7/1a, lediglich mit, sie gehe davon
, dass sich der anwaltlich vertretene Beschwerdeführer bei Geltendmachung von Schadenersatzforderung
dem Titel der Amtshaftung mit seinen Ansprüchen selber gemäß Paragraph eins, Absatz 4, Prokuraturgesetz an sie wenden werde. B) Ermittlungsverfahren und verwendete Beweismittel Die Datenschutzkommission hat ein Ermittlungsverfahren durchgeführt und Beweis aufgenommen durch Einsichtnahme in die von den Beteiligten vorgelegten Urkundenkopien und Datenausdrucke, insbesondere
dem Akt GZ P 1**/1***1/04 der ehemaligen Finanzlandesdirektion Wien, Niederösterreich, Burgenland, sowie durch Einholung einer Stellungnahme des Erstbeschwerdegegners. Dem Beschwerdeführer wurde, soweit die Beweismittel und Vorbringen nicht von ihm selbst stammen, zu den Ergebnissen des Ermittlungsverfahrens Parteiengehör eingeräumt. C) Sachverhaltsfeststellung samt Beweiswürdigung Für die Datenschutzkommission steht folgender Sachverhalt fest: Mitte März 2004 führte der Antikorruptionsbeauftragte (AKBA) beim Bundesministerium für Finanzen im Auftrag des Erstbeschwerdegegners (BMF/Sektion I) eine Logfileanalyse der Systemnutzung (des AIS-DB) für insgesamt acht Bedienstete
dem Ressortbereich des BMF, die Bewerbungen um leitende Funktionen in der Finanzverwaltung abgegeben hatten, durch, darunter auch für den Beschwerdeführer (- er wurde am
kunfts- und Hilfestellungsersuchen an ihn gewandt hätten. Der AKBA erstattete am
dem Motiv des „Servicegedankens“ gehandelt – nichts Neues ergab. Mitte März 2004 führte der Antikorruptionsbeauftragte (AKBA) beim Bundesministerium für Finanzen im Auftrag des Erstbeschwerdegegners (BMF/Sektion römisch eins) eine Logfileanalyse der Systemnutzung (des AIS-DB) für insgesamt acht Bedienstete
dem Ressortbereich des BMF, die Bewerbungen um leitende Funktionen in der Finanzverwaltung abgegeben hatten, durch, darunter auch für den Beschwerdeführer (- er wurde am
kunfts- und Hilfestellungsersuchen an ihn gewandt hätten. Der AKBA erstattete am
dem Motiv des „Servicegedankens“ gehandelt – nichts Neues ergab. Beweiswürdigung: Diese Feststellungen ergeben sich insbesondere
dem angeführten Bericht des AKBA vom
den vorliegenden Akten wie sogar
dem Vorbringen des Beschwerdeführers selbst hervor, dessen provisorische Bestellung zum Finanzamtsvorstand, verbunden mit der Bewerbung um die dauerhafte Ernennung auf diesen Posten. Auch war nicht der Beschwerdeführer allein von einem solchen „Screening“ betroffen, es wurden vielmehr sieben weitere, der Datenschutzkommission namentlich bekannte Bewerberinnen und Bewerber
der Finanzverwaltung im fraglichen Zeitraum in gleicher Weise überprüft. Der Zweck der Logfileanalyse ergibt sich klar
dem Schreiben des AKBA vom
drucken der Ergebnisse der Logfileauswertungen, per E-Mail (z.Hd. HR Dr. N***) an die Zweitbeschwerdegegnerin übermittelt. Das Verfahren wurde dort zu Zl. P 1**/1***1/04 geführt. Am
dem Abgabenkonto keine Meldungen ersichtlich“ waren, „die dem Abgabepflichtigen nicht bekannt sein sollten/dürften“. Am 23. April erstattete die Zweitbeschwerdegegnerin (HR Dr. N***) per E-Mail einen Vorhabensbericht an den Erstbeschwerdegegner. Danach konnte nicht erwiesen werden, dass der Beschwerdeführer Daten, die vor Abgabepflichtigen geheim zu halten gewesen wären, im Speziellen die Fallgruppeneinteilung in S- und Ü-Fälle, übermittelt hätte. Es liege kein Anhaltspunkt für einen entstandenen Schaden vor, demnach auch nicht der Verdacht des (gerichtlich strafbaren) Amtsmissbrauchs. Es sei aber der Verdacht entstanden, der Beschwerdeführer habe sich entgegen bestehenden erlassmäßigen Regelungen in zahlreichen Befangenheitsfällen nicht der
übung seines Amts enthalten und Abfragen durchgeführt sowie
künfte erteilt. Die Zweitbeschwerdegegnerin beabsichtige, den Beschwerdeführer förmlich zu ermahnen, aber von der Erstattung einer Disziplinaranzeige abzusehen. Am 28. April 2004 erteilte der Erstbeschwerdegegner (Dr. Leo E***, Bereichsleiter Personal) ebenfalls per E-Mail die Weisung, den Akt mit einer förmlichen, schriftlichen Ermahnung nur vorzubereiten und an den Erstbeschwerdegegner zu übermitteln. Die Erlassung (
händigung) der Ermahnung oder die Erstattung der Disziplinaranzeige sollte von einer Besprechung mit dem Beschwerdeführer am
fertigung dem Beschwerdeführer am selben Tag persönlich übergeben wurde. Am 30. April 2004 erteilte die Zweitbeschwerdegegnerin dem Beschwerdeführer zu GZ P 1**/1***1/04 gemäß Paragraph 109, Absatz 2, BDG eine förmliche schriftliche Ermahnung, deren
fertigung dem Beschwerdeführer am selben Tag persönlich übergeben wurde. Am 10. Mai 2004 erstattete der Erstbeschwerdegegner zu GZ DR-1**4/2-01/08/04 Disziplinaranzeige gegen den Beschwerdeführer an die Disziplinarkommission beim Bundesministerium für Finanzen. Beweiswürdigung: Diese Feststellungen ergeben sich
dem Akteninhalt zu Zl. P 1**/1***1/04 der Zweitbeschwerdegegnerin, hinsichtlich des dem Beschwerdeführer angebotenen wechselseitigen Verzichts stützen sie sich
drücklich auf die einliegende, die Weisung enthaltende E-Mail von Dr. E*** an Dr. N*** und Dr. Ä*** vom
gang des Gespräches werde ich selbst die
händigung der Ermahnung vornehmen oder die Erstattung einer Disziplinaranzeige in Auftrag geben.“
drücklich nicht festgestellt werden konnte – im Gegensatz zu mehrfachen Behauptungen des Beschwerdeführers -, dass der Aktenvermerk vom 23. April 2004 die Feststellung trifft, der Beschwerdeführer habe Zugriff auf den unter dem Kürzel „PROG“ aufgelisteten Datenbestand LEKV „
kunft E1, mit Fallkennzeichnung (S, Ü)“ gehabt. Der Aktenvermerk listet lediglich die Bedeutung dieses Kürzels auf und hält bei den Eintragungen zum LOG-Datum 20.3.1998 fest, die
gabe der Fallgruppenzuordnung – es ist dies der einzige näher überprüfte Datenverarbeitungsschritt, bei dem das Kürzel „UE“ bzw. „Ü“ überhaupt aufscheint - sei hier unwesentlich (und daher nicht näher zu überprüfen), da eine neu (am
gegeben wurden, die nicht auch dem Abgabepflichtigen bekannt sein sollten und dürften. Die weiter reichende Schlussfolgerung, es bestehe der Verdacht, der Beschwerdeführer habe Zugang zu geheim zu haltende Daten erhalten, scheint erst später in der gegen den Beschwerdeführer erstatteten Disziplinaranzeige (GZ DR- 1***4/2-01/08/4 des BMF vom
drucke verschiedener Protokolldaten des AIS DB, insgesamt 20 Seiten, samt
gedruckten und handschriftlichen Vermerken; -Strichaufzählung 3 E-Mails von Meinhard N*** an Günter U*** (Erstbeschwerdegegner) vom
der „A***-Zeitung“ vom
fertigung der Ermahnung trägt einen handschriftlichen Übernahmevermerk des Beschwerdeführers vom
sagekraft von Datenausdrucken, können im Akt, ohne ihn zu lesen oder zumindest durchzublättern, nicht vereinfacht erschlossen werden. Dies gilt auch und insbesondere für Unterlagen (
drucke auf Papier), die das Ergebnis eines Datenverarbeitungsvorgangs darstellen. Beweiswürdigung: Diese Feststellungen gründen sich auf die Form und den Inhalt der zitierten Urkunden(sammlung). Der Beschwerdeführer richtete am
, warum dies seiner Meinung nach nicht stimmen könne und verlangte die „umgehende Löschung dieser unrichtigen Daten“ und Verständigung an ihn, alternativ die „Feststellung, dass ich keinen Einblick auf diese Geheimdaten hatte und somit der Verdacht auf Amtsmissbrauch nie gegeben sein konnte.“Der Beschwerdeführer richtete am
, warum dies seiner Meinung nach nicht stimmen könne und verlangte die „umgehende Löschung dieser unrichtigen Daten“ und Verständigung an ihn, alternativ die „Feststellung, dass ich keinen Einblick auf diese Geheimdaten hatte und somit der Verdacht auf Amtsmissbrauch nie gegeben sein konnte.“ Mit Erledigung des Erstbeschwerdegegners (BMF/Abteilung VI/1) vom
2005,. D) rechtliche Beurteilung 1. anzuwendende Rechtsvorschriften: § 1 Abs DSG 2000 lautet unter der Überschrift „Grundrecht auf Datenschutz“Paragraph eins, Abs DSG 2000 lautet unter der Überschrift „Grundrecht auf Datenschutz“ „§ 1.
geschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210
1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
kunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden; 2.Ziffer 2 das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.
nahme des Rechtes auf
kunft auf dem Zivilrechtsweg geltend zu machen. In allen übrigen Fällen ist die Datenschutzkommission zur Entscheidung zuständig, es sei denn, daß Akte der Gesetzgebung oder der Gerichtsbarkeit betroffen sind.“ § 14 DSG 2000 lautet unter der Überschrift „Datensicherheitsmaßnahmen“Paragraph 14, DSG 2000 lautet unter der Überschrift „Datensicherheitsmaßnahmen“ „§ 14.
drücklich festzulegen, 2.Ziffer 2 die Verwendung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden, 3.Ziffer 3 jeder Mitarbeiter über seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren, 4.Ziffer 4 die Zutrittsberechtigung zu den Räumlichkeiten des Auftraggebers oder Dienstleisters zu regeln, 5.Ziffer 5 die Zugriffsberechtigung auf Daten und Programme und der Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln, 6.Ziffer 6 die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern, 7.Ziffer 7 Protokoll zu führen, damit tatsächlich durchgeführte Verwendungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen
maß nachvollzogen werden können, 8.Ziffer 8 eine Dokumentation über die nach Z 1 bis 7 (Links zu Z 2, 3, 4, 5 und 6) getroffenen Maßnahmeneine Dokumentation über die nach Ziffer eins bis 7 (Links zu Ziffer 2, 3, 4, 5 und 6) getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern. Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei der Durchführung erwachsenden Kosten ein Schutzniveau gewährleisten, das den von der Verwendung
gehenden Risiken und der Art der zu schützenden Daten angemessen ist.
Datenanwendungen, die einer Verpflichtung zur
kunftserteilung gemäß § 26 unterliegen, sind so zu protokollieren, daß dem Betroffenen
kunft gemäß § 26 gegeben werden kann. In der Standardverordnung (§ 17 Abs. 2 Z 6) oder in der Musterverordnung (§ 19 Abs. 2) vorgesehene Übermittlungen bedürfen keiner Protokollierung.
Datenanwendungen, die einer Verpflichtung zur
kunftserteilung gemäß Paragraph 26, unterliegen, sind so zu protokollieren, daß dem Betroffenen
kunft gemäß Paragraph 26, gegeben werden kann. In der Standardverordnung (Paragraph 17, Absatz 2, Ziffer 6,) oder in der Musterverordnung (Paragraph 19, Absatz 2,) vorgesehene Übermittlungen bedürfen keiner Protokollierung.
einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, daß es sich um die Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach § 278a StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt.
einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, daß es sich um die Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach Paragraph 278 a, StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt.
drücklich anderes angeordnet ist, sind Protokoll- und Dokumentationsdaten drei Jahre lang aufzubewahren. Davon darf in jenem
maß abgewichen werden, als der von der Protokollierung oder Dokumentation betroffene Datenbestand zulässigerweise früher gelöscht oder länger aufbewahrt wird.
dem ersten Satz der Verfassungsbestimmung des § 1 Abs 3 DSG 2000 (arg: „soweit...bestimmt sind“).
Abs 1 DSG 2000, der
führungsbestimmung zu § 1 Abs. 3, „nach (deren) Maßgabe“ das Grundrecht im hier zu entscheidenden Fall
zuüben ist, ergibt sich kein über § 1 Abs 3 DSG 2000 hinausgehendes Recht auf Löschung oder Richtigstellung von Daten. Daten müssen daher zumindest in einer manuellen Datei gemäß § 4 Z.6 DSG 2000 verarbeitet sein, um dem Löschungs- und Richtigstellungsrecht zu unterliegen. „Akten“ im Sinne einer behördenüblichen Sammlung von Urkunden und sonstigen Verfahrensergebnissen in Papierform sind, wenn nicht spezielle Strukturierungsmerkmale vorliegen, weder allein noch als Sammlung eine „Datei“.Die Datenschutzkommission verneint in ständiger Spruchpraxis ein Recht auf Löschung oder Richtigstellung von Daten, die nicht in einer automationsunterstützt geführten Datenanwendung oder in manuellen Dateien verarbeitet sind. Dies ergibt sich schon
dem ersten Satz der Verfassungsbestimmung des Paragraph eins, Absatz 3, DSG 2000 (arg: „soweit...bestimmt sind“).
Paragraph 27, Absatz eins, DSG 2000, der
führungsbestimmung zu Paragraph eins, Absatz 3,, „nach (deren) Maßgabe“ das Grundrecht im hier zu entscheidenden Fall
zuüben ist, ergibt sich kein über Paragraph eins, Absatz 3, DSG 2000 hinausgehendes Recht auf Löschung oder Richtigstellung von Daten. Daten müssen daher zumindest in einer manuellen Datei gemäß Paragraph 4, Ziffer 6, DSG 2000 verarbeitet sein, um dem Löschungs- und Richtigstellungsrecht zu unterliegen. „Akten“ im Sinne einer behördenüblichen Sammlung von Urkunden und sonstigen Verfahrensergebnissen in Papierform sind, wenn nicht spezielle Strukturierungsmerkmale vorliegen, weder allein noch als Sammlung eine „Datei“. Mit Erkenntnis vom 21. Oktober 2004, Zl. 2004/06/0086, hat der Verwaltungsgerichtshof diese Rechtsauffassung bestätigt und dazu folgenden Rechtssatz veröffentlicht: „Zur Bestimmung der Begriffe "strukturierte Datei" und "Datei" tritt der VwGH den Erwägungen des OGH in der Entscheidung vom 28.Juni 2000, 6 Ob 148/00h, bei: Die Struktur einer manuellen Datei als einer strukturierten Sammlung personenbezogener Daten im Sinne des § 1 Abs. 3 DSG 2000 iVm Art. 3 Abs. 1 der Richtlinie 95/46/EG ist dann zu bejahen, wenn sie - im Gegensatz zu einem Fließtext - eine äußere Ordnung aufweist, nach der die verschiedenen Arten von Daten in einer bestimmten räumlichen Verteilung auf dem oder den manuellen Datenträgern oder in einer bestimmten physikalischen oder logischen Struktur dargestellt sind. Darüber hinaus müssen die Daten nach bestimmten Kriterien zugänglich sein, d. h. es bestehen vereinfachte Möglichkeiten der inhaltlichen Erschließung, beispielsweise durch alphabetische oder chronologische Sortierung oder durch automatisierte Erschließungssysteme. Unter Datei sind daher Karteien und Listen, nicht aber Akten und Aktenkonvolute zu verstehen, wie dies auch Erwägungsgrund 27 der genannten Richtlinie zum
druck bringt. Das Vorliegen einer manuellen Datei im Sinne des § 1 Abs. 3 DSG 2000 setzt daher voraus, dass sie sich durch den in der zitierten Entscheidung des OGH erwähnten bestimmten "Organisationsgrad" der "Akten"
zeichnen muss, um von einer Strukturierung im Sinne des DSG 2000 sprechen zu können, der aber beim vorliegenden "Papierakt" nicht gegeben ist.“ „Zur Bestimmung der Begriffe "strukturierte Datei" und "Datei" tritt der VwGH den Erwägungen des OGH in der Entscheidung vom 28.Juni 2000, 6 Ob 148/00h, bei: Die Struktur einer manuellen Datei als einer strukturierten Sammlung personenbezogener Daten im Sinne des Paragraph eins, Absatz 3, DSG 2000 in Verbindung mit Artikel 3, Absatz eins, der Richtlinie 95/46/EG ist dann zu bejahen, wenn sie - im Gegensatz zu einem Fließtext - eine äußere Ordnung aufweist, nach der die verschiedenen Arten von Daten in einer bestimmten räumlichen Verteilung auf dem oder den manuellen Datenträgern oder in einer bestimmten physikalischen oder logischen Struktur dargestellt sind. Darüber hinaus müssen die Daten nach bestimmten Kriterien zugänglich sein, d. h. es bestehen vereinfachte Möglichkeiten der inhaltlichen Erschließung, beispielsweise durch alphabetische oder chronologische Sortierung oder durch automatisierte Erschließungssysteme. Unter Datei sind daher Karteien und Listen, nicht aber Akten und Aktenkonvolute zu verstehen, wie dies auch Erwägungsgrund 27 der genannten Richtlinie zum
druck bringt. Das Vorliegen einer manuellen Datei im Sinne des Paragraph eins, Absatz 3, DSG 2000 setzt daher voraus, dass sie sich durch den in der zitierten Entscheidung des OGH erwähnten bestimmten "Organisationsgrad" der "Akten"
zeichnen muss, um von einer Strukturierung im Sinne des DSG 2000 sprechen zu können, der aber beim vorliegenden "Papierakt" nicht gegeben ist.“ Im Sinne der zitierten Rechtsmeinung des Verwaltungsgerichtshofs wurden Feststellungen zur Struktur der Akten der Zweitbeschwerdegegnerin betreffend disziplinarrechtliche Ermittlungen gegen den Beschwerdeführer, Zl. P 1**/1***1/04 der (ehemaligen) Finanzlandesdirektion für Wien, Niederösterreich und das Burgenland, getroffen. Diese lassen nur den Schluss zu, dass kein Akt vorliegt, der die Eigenschaften einer Datei im Sinne der zitierten Gesetzesbestimmung aufweist. Dem Beschwerdeführer kommt daher kein bei der DSK geltend zu machendes Recht zu, Daten
dem Inhalt dieses Aktes löschen, richtig stellen oder mit richtig stellenden Anmerkungen versehen zu lassen: Jedes darauf abzielende Begehren war daher als unbegründet abzuweisen.
Vm Abs 5 DSG 2000 ergibt sich, dass während einer drei Jahre dauernden Zeitspanne Protokolldaten dazu benützt werden dürfen, die Rechtmäßigkeit des Zugriffs auf den durch Zugriffsprotokollierung abgesicherten Datenbestand zu kontrollieren, und zwar – mangels näherer gesetzlicher Regelung – in jeder Art, die der Auftraggeber der Datenanwendung für zweckmäßig erachtet, wobei als Grenze das Verhältnismäßigkeitsprinzip bzw. das Übermaßverbot gilt. Die Heranziehung von Protokolldaten zur Kontrolle der Rechtmäßigkeit des Zugriffs kann daher in verschiedener Intensität und nach verschiedenen Methoden, also sowohl durch routinemäßige Kontrolle aller Zugriffsvorgänge sowie durch anlassbezogene Kontrollen oder durch Kontrolle bestimmter Kategorien von Abfragen, durch Kontrolle der Abfragen bestimmter Mitarbeiter oder Mitarbeiterkategorien oder durch stichprobenweise Kontrollen erfolgen. Eines besonderen Anlasses bedarf es dazu, im Gegensatz zur Rechtsansicht des Beschwerdeführers, nicht. Die betroffenen Mitarbeiter sind aber gemäß §§ 14 Abs 6 und 24 Abs 1 DSG 2000 über Art und Weise des Kontrollsystems – allerdings nicht über einzelne beabsichtigte Kontrollmaßnahmen - zu informieren.
Paragraph 14, Absatz 4, in Verbindung mit Absatz 5, DSG 2000 ergibt sich, dass während einer drei Jahre dauernden Zeitspanne Protokolldaten dazu benützt werden dürfen, die Rechtmäßigkeit des Zugriffs auf den durch Zugriffsprotokollierung abgesicherten Datenbestand zu kontrollieren, und zwar – mangels näherer gesetzlicher Regelung – in jeder Art, die der Auftraggeber der Datenanwendung für zweckmäßig erachtet, wobei als Grenze das Verhältnismäßigkeitsprinzip bzw. das Übermaßverbot gilt. Die Heranziehung von Protokolldaten zur Kontrolle der Rechtmäßigkeit des Zugriffs kann daher in verschiedener Intensität und nach verschiedenen Methoden, also sowohl durch routinemäßige Kontrolle aller Zugriffsvorgänge sowie durch anlassbezogene Kontrollen oder durch Kontrolle bestimmter Kategorien von Abfragen, durch Kontrolle der Abfragen bestimmter Mitarbeiter oder Mitarbeiterkategorien oder durch stichprobenweise Kontrollen erfolgen. Eines besonderen Anlasses bedarf es dazu, im Gegensatz zur Rechtsansicht des Beschwerdeführers, nicht. Die betroffenen Mitarbeiter sind aber gemäß Paragraphen 14, Absatz 6 und 24 Absatz eins, DSG 2000 über Art und Weise des Kontrollsystems – allerdings nicht über einzelne beabsichtigte Kontrollmaßnahmen - zu informieren. In der Entscheidung GZ K121.014/0008-DSK/2005 hat die Datenschutzkommission festgehalten, dass „jeder Auftraggeber ...gemäß § 14 DSG 2000 die Pflicht (hat), durch geeignete Maßnahmen vorzukehren, dass auf die von ihm verarbeiteten Daten nicht unzulässigerweise zugegriffen wird. Der Zugriff auf Steuerdaten von Bürgern durch Bedienstete der Finanzverwaltung zu außerdienstlichen Zwecken ist eine unzulässige Datenverwendung. Die Protokollierung der Zugriffe und
wertende Kontrolle der Protokolle zum Zweck der Feststellung und künftigen Unterbindung unzulässiger Zugriffe ist ein nach dem Stand der Technik allgemein anerkanntes Mittel zur Verwirklichung von Datensicherheit in Form der Generalprävention gegen unzulässige Zugriffe.
DSG 2000 ist nicht nur die Verpflichtung erkennbar, Abfragedaten zu protokollieren, sondern auch die Verpflichtung, Protokolldaten für die Überprüfung der Zulässigkeit der Verwendung des Datensatzes heranzuziehen.“ In der Entscheidung GZ K121.014/0008-DSK/2005 hat die Datenschutzkommission festgehalten, dass „jeder Auftraggeber ...gemäß Paragraph 14, DSG 2000 die Pflicht (hat), durch geeignete Maßnahmen vorzukehren, dass auf die von ihm verarbeiteten Daten nicht unzulässigerweise zugegriffen wird. Der Zugriff auf Steuerdaten von Bürgern durch Bedienstete der Finanzverwaltung zu außerdienstlichen Zwecken ist eine unzulässige Datenverwendung. Die Protokollierung der Zugriffe und
wertende Kontrolle der Protokolle zum Zweck der Feststellung und künftigen Unterbindung unzulässiger Zugriffe ist ein nach dem Stand der Technik allgemein anerkanntes Mittel zur Verwirklichung von Datensicherheit in Form der Generalprävention gegen unzulässige Zugriffe.
Paragraph 14, DSG 2000 ist nicht nur die Verpflichtung erkennbar, Abfragedaten zu protokollieren, sondern auch die Verpflichtung, Protokolldaten für die Überprüfung der Zulässigkeit der Verwendung des Datensatzes heranzuziehen.“ In derselben Entscheidung wird weiters Folgendes
geführt: „Der Rechtsvorschrift des § 14 Abs. 2 Z 7 DSG 2000 lässt sich auch nicht, wie der Beschwerdeführer vermeint, entnehmen, dass für die gegenständliche
wertung ein genereller Verdacht nicht
reichend und ein konkreter Verdacht dem Beschwerdeführer gegenüber notwendig sei. Die generelle, laufende Kontrolle der Protokolldaten ist eine gesetzliche Verpflichtung des Auftraggebers, die gänzlich unabhängig von tatsächlichen Vorfällen besteht. Es hat daher auch der
gang des Disziplinarverfahrens auf die Rechtmäßigkeit der gegenständlichen
wertung der Logfiles und damit auf das Verfahren vor der Datenschutzkommission keinen Einfluss.“„Der Rechtsvorschrift des Paragraph 14, Absatz 2, Ziffer 7, DSG 2000 lässt sich auch nicht, wie der Beschwerdeführer vermeint, entnehmen, dass für die gegenständliche
wertung ein genereller Verdacht nicht
reichend und ein konkreter Verdacht dem Beschwerdeführer gegenüber notwendig sei. Die generelle, laufende Kontrolle der Protokolldaten ist eine gesetzliche Verpflichtung des Auftraggebers, die gänzlich unabhängig von tatsächlichen Vorfällen besteht. Es hat daher auch der
gang des Disziplinarverfahrens auf die Rechtmäßigkeit der gegenständlichen
wertung der Logfiles und damit auf das Verfahren vor der Datenschutzkommission keinen Einfluss.“ Wie sich
der Sachverhaltsfeststellung ergibt, sollte im vorliegenden Fall jedoch nicht nur die Zulässigkeit von Zugriffen auf Daten des AIS geprüft werden, sondern primär nach Mustern bei der Benutzung der AIS-Daten durch den Beschwerdeführer gesucht werden, die den Verdacht einer außerdienstlichen Beratungs- oder Vertretungstätigkeit begründen könnten: Die Sektion I des Erstbeschwerdegegners hatte den Antikorruptionsbeauftragten mit einer „systematischen Analyse“ der Protokolldaten beauftragt, um Hinweise „auf eine mögliche Pfuschtätigkeit“ zu finden. Die relativ häufigen Zugriffe des Beschwerdeführers auf Daten Dritter – ohne diese im Einzelnen nach Rechtswidrigkeit oder Rechtmäßigkeit beurteilen zu wollen – führten dabei offenkundig dazu, dass sein Benutzerverhalten in dem vom AKBA angelegten Analyseraster auffällig wurde. Die Verwendung von Protokolldatenauswertungen für die Gewinnung von Hinweisen oder von Beweismitteln für die Strafbarkeit eines Datenzugriffs
einem anderen Aspekt als dem unmittelbar dienstlichen ist
schließlich in den von § 14 Abs. 4 DSG 2000
drücklich angeführten Fällen zulässig, das sind die „Verhinderung oder Verfolgung eines Verbrechens nach § 278a StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt“. Die Weiterverwendung der
wertungsergebnisse der Protokolldaten zwecks Feststellung der „Pfuschtätigkeit“ stellt daher eine unzulässige
weitung ihres ursprünglichen Verwendungszwecks dar, da gemäß § 14 Abs. 4 DSG 2000 eine Weiterverwendung „
einem anderen Grund als jenem der Prüfung der Zugriffsberechtigung“ als unvereinbar mit dem ursprünglichen Ermittlungszweck gilt.Wie sich
der Sachverhaltsfeststellung ergibt, sollte im vorliegenden Fall jedoch nicht nur die Zulässigkeit von Zugriffen auf Daten des AIS geprüft werden, sondern primär nach Mustern bei der Benutzung der AIS-Daten durch den Beschwerdeführer gesucht werden, die den Verdacht einer außerdienstlichen Beratungs- oder Vertretungstätigkeit begründen könnten: Die Sektion römisch eins des Erstbeschwerdegegners hatte den Antikorruptionsbeauftragten mit einer „systematischen Analyse“ der Protokolldaten beauftragt, um Hinweise „auf eine mögliche Pfuschtätigkeit“ zu finden. Die relativ häufigen Zugriffe des Beschwerdeführers auf Daten Dritter – ohne diese im Einzelnen nach Rechtswidrigkeit oder Rechtmäßigkeit beurteilen zu wollen – führten dabei offenkundig dazu, dass sein Benutzerverhalten in dem vom AKBA angelegten Analyseraster auffällig wurde. Die Verwendung von Protokolldatenauswertungen für die Gewinnung von Hinweisen oder von Beweismitteln für die Strafbarkeit eines Datenzugriffs
einem anderen Aspekt als dem unmittelbar dienstlichen ist
schließlich in den von Paragraph 14, Absatz 4, DSG 2000
drücklich angeführten Fällen zulässig, das sind die „Verhinderung oder Verfolgung eines Verbrechens nach Paragraph 278 a, StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt“. Die Weiterverwendung der
wertungsergebnisse der Protokolldaten zwecks Feststellung der „Pfuschtätigkeit“ stellt daher eine unzulässige
weitung ihres ursprünglichen Verwendungszwecks dar, da gemäß Paragraph 14, Absatz 4, DSG 2000 eine Weiterverwendung „
einem anderen Grund als jenem der Prüfung der Zugriffsberechtigung“ als unvereinbar mit dem ursprünglichen Ermittlungszweck gilt. Eine Analyse von Protokolldaten mit dem Zweck, nicht nur die Rechtmäßigkeit von Datenzugriffen zu überprüfen, sondern nach bestimmten Mustern im Verhalten der Zugriffsberechtigten zu suchen, die Schlüsse auf anderweitig rechtswidriges Verhalten der Betroffenen (hier: außerberufliche Beratungs- und Vertretungstätigkeit, „Pfuschtätigkeit“ von Finanzbeamten) ermöglichten, überschreitet den in § 14 Abs 4 DSG 2000 umschriebenen rechtmäßigen Kontrollzweck. Der Text des § 14 Abs. 4 stellt die Beschränkung des Verwendungszwecks von Protokolldaten unmissverständlich klar, insbesondere auch dadurch, dass er die wenigen zulässigen Erweiterungen des Verwendungszwecks
drücklich und abschließend anführt. Durch die Verwendung der Protokolldaten für die Feststellung allfälliger außerberuflicher Beratungstätigkeit in Steuerangelegenheiten wurde daher – ungeachtet des Umstandes, dass auf die Feststellung einer mangelnden Zugriffsberechtigung dienstrechtliche Konsequenzen gegründet werden können - in das Recht des Beschwerdeführers auf Geheimhaltung ihn betreffender personenbezogener Daten (Ermittlungsschutz) in unzulässiger Weise eingegriffen.Eine Analyse von Protokolldaten mit dem Zweck, nicht nur die Rechtmäßigkeit von Datenzugriffen zu überprüfen, sondern nach bestimmten Mustern im Verhalten der Zugriffsberechtigten zu suchen, die Schlüsse auf anderweitig rechtswidriges Verhalten der Betroffenen (hier: außerberufliche Beratungs- und Vertretungstätigkeit, „Pfuschtätigkeit“ von Finanzbeamten) ermöglichten, überschreitet den in Paragraph 14, Absatz 4, DSG 2000 umschriebenen rechtmäßigen Kontrollzweck. Der Text des Paragraph 14, Absatz 4, stellt die Beschränkung des Verwendungszwecks von Protokolldaten unmissverständlich klar, insbesondere auch dadurch, dass er die wenigen zulässigen Erweiterungen des Verwendungszwecks
drücklich und abschließend anführt. Durch die Verwendung der Protokolldaten für die Feststellung allfälliger außerberuflicher Beratungstätigkeit in Steuerangelegenheiten wurde daher – ungeachtet des Umstandes, dass auf die Feststellung einer mangelnden Zugriffsberechtigung dienstrechtliche Konsequenzen gegründet werden können - in das Recht des Beschwerdeführers auf Geheimhaltung ihn betreffender personenbezogener Daten (Ermittlungsschutz) in unzulässiger Weise eingegriffen. Auf Grund dieses Ergebnisses braucht auf weitere Fragen, wie etwa ob die Speicherung der Protokolldaten durch den Erstbeschwerdeführer über die grundsätzliche Dreijahresfrist gemäß § 14 Abs 5 DSG 2000 hinaus überhaupt
nahmsweise zulässig war, nicht näher eingegangen werden.Auf Grund dieses Ergebnisses braucht auf weitere Fragen, wie etwa ob die Speicherung der Protokolldaten durch den Erstbeschwerdeführer über die grundsätzliche Dreijahresfrist gemäß Paragraph 14, Absatz 5, DSG 2000 hinaus überhaupt
nahmsweise zulässig war, nicht näher eingegangen werden. Der Beschwerde war daher hinsichtlich des Faktums 1.a. stattzugeben und es waren die im Spruchpunkt 2.a. gemachten Feststellungen zu treffen.
zuwerten. Nach bisheriger Spruchpraxis der Datenschutzkommission kann man aber daraus nicht ableiten, dass es rechtswidrig war, dass das Ergebnis durch die Dienstbehörde (= Zweitbeschwerdegegnerin) disziplinarrechtlich beurteilt wurde. Es „besteht kein Verbot, Daten, die einer Behörde oder Behördenabteilung ohne eigene Initiative in Form schriftlicher Unterlagen als Beweismittel vorgelegt wurden, auch für behördliche Zwecke zu verwenden.
Abs 1 DSG 2000 kann sich zwar ein Verbot zur Ermittlung von Daten ergeben, es ist aber keinerlei Beweismittelverwertungsverbot ableitbar“ (Bescheid der Datenschutzkommission vom 8. Oktober 2004, GZ: K120.869/0002- DSK/2004 [Hervorhebung im Original]; veröffentlicht, http://www.ris.bka.gv.at/dsk/). Allerdings bindet § 7 Abs 2 DSG 2000 die Übermittlung von Daten an die Rechtmäßigkeit der Ermittlung. Daher war es dem Erstbeschwerdegegner nicht erlaubt, das Ergebnis der Logfileanalyse an die Zweitbeschwerdegegnerin zu übermitteln und es wurde dadurch ebenfalls in das Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten (Ermittlungsschutz) des Beschwerdeführers eingegriffen.Der Erstbeschwerdegegner war nicht berechtigt, die Logfiles
zuwerten. Nach bisheriger Spruchpraxis der Datenschutzkommission kann man aber daraus nicht ableiten, dass es rechtswidrig war, dass das Ergebnis durch die Dienstbehörde (= Zweitbeschwerdegegnerin) disziplinarrechtlich beurteilt wurde. Es „besteht kein Verbot, Daten, die einer Behörde oder Behördenabteilung ohne eigene Initiative in Form schriftlicher Unterlagen als Beweismittel vorgelegt wurden, auch für behördliche Zwecke zu verwenden.
Paragraph eins, Absatz eins, DSG 2000 kann sich zwar ein Verbot zur Ermittlung von Daten ergeben, es ist aber keinerlei Beweismittelverwertungsverbot ableitbar“ (Bescheid der Datenschutzkommission vom 8. Oktober 2004, GZ: K120.869/0002- DSK/2004 [Hervorhebung im Original]; veröffentlicht, http://www.ris.bka.gv.at/dsk/). Allerdings bindet Paragraph 7, Absatz 2, DSG 2000 die Übermittlung von Daten an die Rechtmäßigkeit der Ermittlung. Daher war es dem Erstbeschwerdegegner nicht erlaubt, das Ergebnis der Logfileanalyse an die Zweitbeschwerdegegnerin zu übermitteln und es wurde dadurch ebenfalls in das Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten (Ermittlungsschutz) des Beschwerdeführers eingegriffen. Der Beschwerde war somit auch hinsichtlich des Faktums 1.b. stattzugeben und es waren die im Spruchpunkt 2.b gemachten Feststellungen zu treffen. bb) Gerüchte und Vorhalte
der Kollegenschaft, Medienberichte (Fakten 1.c. bis 1.e., 1.g, 1.h. und 1.j): Hinsichtlich dieser Beschwerdepunkte fehlt ein hinreichend substantiierte Vorbringen, um ein Ermittlungsverfahren durchführen zu können. Die Datenschutzkommission kann der Frage nicht nachgehen, welche Gerüchte kursierten und
welcher Quelle diese stammten bzw. wie Angaben betreffend die gegen den Beschwerdeführer erhobenen disziplinarrechtlichen Vorwürfe und die eingeleiteten Verfahrensschritte an bestimmte Medien gelangten. In der Beschwerde fehlen nähere Behauptungen dazu, wer
der Kollegenschaft den Beschwerdeführer auf „unerlaubte Datenabfragen“ angesprochen haben soll, ebenso fehlen nähere Angaben zu relevanten Medienberichten. „Grundsätzlich trifft auch bei amtswegig durchzuführenden Verfahren die Partei eine entsprechende Mitwirkungspflicht, insbesondere dort, wo den amtswegigen behördlichen Erhebungen im Hinblick auf die nach den materiell-rechtlichen Verwaltungsvorschriften zu beachtenden Tatbestandsmerkmale faktische Grenzen gesetzt sind. Dort also, wo es der Behörde nicht möglich ist, von sich
und ohne Mitwirkung der Partei tätig zu werden was insbesondere bei jenen in der Person des Antragstellers gelegenen Voraussetzungen der Fall sein wird, deren Kenntnis sich die Behörde nicht von Amts wegen verschaffen kann, ist die Partei selbst zu entsprechendem Vorbringen und Beweisanbot verpflichtet“ (VwGH 11. Mai 1993, Zl. 91/08/0122,). Dies trifft auch auf den vorliegenden Fall zu.- Ein Ermittlungsverfahren zur
forschung der Quelle von Gerüchten und Medienberichten hätte eines entsprechend
gearbeiteten Vorbringens samt Beweisanboten bedurft. Da ein solches nicht vorlag und der Beschwerdeführer anwaltlich vertreten war, war das entsprechende Beschwerdevorbringen als unbewiesen weil unbeweisbar anzusehen und die Beschwerde diesbezüglich abzuweisen.
den Ergebnissen des disziplinarrechtlichen Ermittlungsverfahrens rügt. Es ist, wie bereits oben (Punkt ab)) aufgezeigt wurde, nicht Aufgabe der Datenschutzkommission, die rechtlichen Schlussfolgerungen anderer Behörden zu überprüfen. Dieses Vorbringen lässt keinen Eingriff in Datenschutzrechte des Beschwerdeführers erkennen, weshalb die Beschwerde daher auch in diesem Punkt als unbegründet abzuweisen war.
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.