RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum07.03.2007 GeschäftszahlK121.241/0008-DSK/2007 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Mag. MAITZ-STRASSNIG, Mag. ZIMMER und Dr. SOUHRADA-KIRCHMAYER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom
- März 2007 folgenden Beschluss gefasst: S p r u c h Über die Beschwerde der Pamina Q*** in Wien (Beschwerdeführerin), vertreten durch Z*** in Wien, vom
- Juli 2006 gegen die T*** GmbH in Wien (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 1 Abs. 3 Z 1, 26 Abs. 1 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:Über die Beschwerde der Pamina Q*** in Wien (Beschwerdeführerin), vertreten durch Z*** in Wien, vom
- Juli 2006 gegen die T*** GmbH in Wien (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wird gemäß den Paragraphen eins, Absatz 3, Ziffer eins, 26, Absatz eins und 31 Absatz eins, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, entschieden: - Die Beschwerde wird abgewiesen. B e g r ü n d u n g : A. Vorbringen der Parteien Die Beschwerdeführerin behauptet eine Verletzung im Recht auf Auskunft „jedenfalls“ dadurch, dass ihr von der Beschwerdegegnerin nicht mitgeteilt worden sei, in welche Altersgruppe sie die Beschwerdegegnerin eingeordnet habe (eine zuvor erhaltene Auskunft enthielt den Hinweis, dass eine Alterzuordnung aufgrund eines „edv-technischen Annäherungsverfahrens“ ermittelt worden sei, „das auf die Häufigkeit von bestimmten Vornamen in bestimmten Jahrgängen basiert“), während ihr „zufälligerweise genau zum
- Geburtstag“ gezieltes Werbematerial über Gesundheitsbehandlungen zugesandt worden sei. Darüber hinaus bestehe der dringende Verdacht, dass die Beschwerdegegnerin nicht alle vorhandenen Daten beauskunftet habe, da es eine völlig unrealistische Angabe ist, dass mit einem edvtechnischen Verfahren anhand des Vornamens die Altersgruppe bestimmt werden könne. Es werde daher ein amtswegiges Prüfverfahren nach § 30 DSG 2000 angeregt, da ein erhöhtes Gefährdungspotential durch die Weitergabe unrichtiger bzw. verfälschter Daten gegeben sein könne.Die Beschwerdeführerin behauptet eine Verletzung im Recht auf Auskunft „jedenfalls“ dadurch, dass ihr von der Beschwerdegegnerin nicht mitgeteilt worden sei, in welche Altersgruppe sie die Beschwerdegegnerin eingeordnet habe (eine zuvor erhaltene Auskunft enthielt den Hinweis, dass eine Alterzuordnung aufgrund eines „edv-technischen Annäherungsverfahrens“ ermittelt worden sei, „das auf die Häufigkeit von bestimmten Vornamen in bestimmten Jahrgängen basiert“), während ihr „zufälligerweise genau zum
- Geburtstag“ gezieltes Werbematerial über Gesundheitsbehandlungen zugesandt worden sei. Darüber hinaus bestehe der dringende Verdacht, dass die Beschwerdegegnerin nicht alle vorhandenen Daten beauskunftet habe, da es eine völlig unrealistische Angabe ist, dass mit einem edvtechnischen Verfahren anhand des Vornamens die Altersgruppe bestimmt werden könne. Es werde daher ein amtswegiges Prüfverfahren nach Paragraph 30, DSG 2000 angeregt, da ein erhöhtes Gefährdungspotential durch die Weitergabe unrichtiger bzw. verfälschter Daten gegeben sein könne. Die Datenschutzkommission werde ersucht, einerseits der Beschwerdegegnerin bei sonstiger Exekution aufzutragen, die von der Beschwerdeführerin begehrte Auskunft vollinhaltlich zu erteilen und die tatsächliche Herkunft des Geburtsdatums zu beauskunften und andererseits zu prüfen, ob die Beschwerdegegnerin den vom Direct Marketing Verband Österreichs und der Wirtschaftskammer Österreich erstellten und vom Bundeskanzleramt genehmigten Code of Conduct für Adressverlage und Direktmarketingunternehmen einhält. Die Beschwerdegegnerin, zur Stellungnahme aufgefordert, übermittelte der Datenschutzkommission die an die Beschwerdeführerin erteilte Auskunft, in der im Wesentlichen das Verfahren zur Ermittlung der Altersgruppe genau erklärt wird. Die Beschwerdeführerin sah im Parteiengehör, „wiewohl diese Berechnungsverfahren theoretisch möglich sind“, diese zur Begründung einer Zusendung knapp vor dem
- Geburtstag als nicht ausreichend an. Die Berechnungen seien nicht plausibel und treffen auf den gegenständlichen Fall auch nicht zu – die Beschwerdeführerin sei entgegen der Behauptung der Beschwerdegegnerin nicht mit ihrem akademischen Grad im Telefonbuch geführt, sodass die Beschwerdegegnerin andere Datenquellen benutzt haben müsse. In diesem Punkt sei die Auskunft jedenfalls unrichtig. Weiters sei nicht plausibel, dass zur Antragstellerin keine weiteren Selektionskriterien bestünden. In weiterer Folge wird die Anregung zur Systemprüfung begründet. Die Datenschutzkommission ordnete für
- Februar 2007 eine Einschau bei der Beschwerdegegnerin in sämtliche Daten der Beschwerdeführerin an. Im dazu gewährten Parteiengehör brachte die Beschwerdeführerin im Wesentlichen vor, sie hätte begründete Zweifel, dass jener Datenbestand geprüft worden sei, der Grundlage für den Datenhandel der Beschwerdegegnerin sei und legt dazu zwei neue (jeweils undatierte) Werbeschreiben von Drittfirmen (allerdings mit DVR-Nummer der Beschwerdegegnerin) an die Beschwerdeführerin von „Ende 06“ vor. Es sei weiters ungeklärt, woher das Geburtsdatum der Beschwerdeführerin stamme – sie habe im Dezember Geburtstag, alle bisherigen Zusendungen seien ausschließlich in diesem zeitlichen Umfeld erfolgt. Selbst die Behauptung, bloß eine Jahreskategorie würde errechnet, sei angesichts der daraus resultierenden hohen Streuverluste bisher nicht plausibel erklärt. B. Beschwerdegegenstand Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Herkunft und Richtigkeit des Geburtsdatums der Beschwerdeführerin bzw. ihre Einteilung in eine (von der Beschwerdegegnerin definierte) Altersgruppe in den Auskunftsschreiben vom
- Juni 2006 und vom
- August 2006 ist. C. Sachverhaltsfeststellungen Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt: Die Beschwerdegegnerin firmiert unter FN *** seit
- Februar 2005 als „T*** GmbH“, in welcher die in der Beschwerde als Gegnerin bezeichnete „TT*** GmbH“ mit drei weiteren Firmen verschmolzen ist. Beweiswürdigung: Diese Feststellungen lassen sich zu oben angeführter Nummer aus dem Firmenbuch entnehmen. Die Verschmelzung von vier Firmen beruht auf einer Aussage des Geschäftsführers der Beschwerdegegnerin im Zuge der Einschau durch die Datenschutzkommission am
- Februar 2007, der die Beschwerdeführerin nicht entgegengetreten ist. Die Beschwerdeführerin stellte am
- April 2006 ein Auskunftsersuchen gemäß § 26 DSG 2000 an die Beschwerdegegnerin.Die Beschwerdeführerin stellte am
- April 2006 ein Auskunftsersuchen gemäß Paragraph 26, DSG 2000 an die Beschwerdegegnerin. Die Beschwerdegegnerin erteilte der Beschwerdeführerin am
- Juni 2006 im Wesentlichen folgende Auskunft: „Im konkreten Fall wurde Ihr Name und Adresse dem öffentlichen Telefonbuch entnommen. Weitere Daten und Informationen zur Adresse sind in unserer Datenbank nicht gespeichert. Eine Alterzuordnung wurde aufgrund eines edv-technischen Annäherungsverfahrens ermittelt, das auf der Häufigkeit von bestimmten Vornamen in bestimmten Jahrgängen basiert. Das Recht auf Auskunft, aber auch die Pflicht zur Mithilfe des Betroffenen ist in §26
(3)Datenschutzgesetz geregelt: Sollten Sie demgemäß weitere Auskünfte wünschen, wem Ihre Adresse im Einzelnen zur Verfügung gestellt wurde, bitten wir Sie um Ihre Mithilfe. Wir bitten Sie, uns diejenigen Datenverarbeitungen zu bezeichnen, bezüglich derer Sie konkret Auskünfte wünschen.“ Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Vorbringen der Beschwerdeführerin in ihrer Beschwerde und den Beilagen dazu. Im Verfahren vor der Datenschutzkommission ergänzte die Beschwerdegegnerin ihre Auskunft mit Schreiben vom
- August 2006 im Wesentlichen wie folgt: „Gemäß unserem Schreiben vom 1.8.2006 wurde in Ihrem Falle – mangels exakter Information zu Ihrem Alter – eine Alterszuordnung aufgrund eines technischen Annäherungsverfahrens ermittelt, die auf der Häufigkeit bestimmter Vornamen in bestimmten Jahrgängen basiert. Die statistisch wahrscheinliche Alterszuteilung zu Altersgruppen wird in einer zeitlichen Bandbreite von mehreren Jahren vorgenommen. In Ihrem konkreten Fall wurde Ihr Vorname der Altersgruppe 3 (46-60 Jahre) zugeordnet. Weitere Details zu diesem Verfahren entnehmen Sie bitte der Anlage. [Anm. der Datenschutzkommission: Anlage enthält Beispiel der Altersgruppenberechnung anhand des Vornamens der Beschwerdeführerin] Weiters begehren Sie Auskunft darüber, an welche Kunden wir Ihre Daten weitergegeben haben. Hierzu können wir Ihnen mitteilen, dass wir unseren Kunden im Regelfall Adressen nur zur einmaligen Verwendung für eine konkrete Marketing-Aktion vermieten. Anschließend werden diese Adress-Selektionen gelöscht, so dass eine Weitergabe zur dauerhaften Verwendung der Daten an Dritte nicht stattfindet oder stattgefunden hat. Aufgrund dieser Abläufe ist eine nachträgliche Recherche, für welche Kunden Ihre Daten zur Durchführung von jeweils einmaligen Marketing-Aktionen verwendet (und anschließend gelöscht) wurden, nicht möglich. Wir können Ihnen daher aufgrund unserer Recherchen mitteilen, dass eine aktuelle Weitergabe Ihrer Daten zur einmaligen Verwendung, zur Dauernutzung oder zur dauerhaften Abspeicherung an Dritte nicht erfolgt ist. Sollten Sie weitere Auskünfte wünschen, welche Unternehmen Ihre Adresse für einmalige Marketing-Aktionen zur Verfügung gestellt wurde, bitten wie Sie insoweit um Ihre Mithilfe, dass Sie uns die betreffenden Werbeschreiben vorlegen oder zumindest benennen.“ Beweiswürdigung: Diese Feststellungen ergeben sich aus dem auch der Datenschutzkommission übermittelten Schreiben der Beschwerdegegnerin an die Beschwerdeführerin vom
- August 2006 selbst. Im Rahmen einer Einschau in die Datenanwendungen der Beschwerdegegnerin am
- Februar 2007 konnte festgestellt werden, dass die Beschwerdegegnerin zu diesem Datum das Geburtsdatum der Beschwerdeführerin nicht gespeichert hat. Im Feld „GEBURTSJAHR“ ist „0000“ vermerkt. Im Feld „ALTGRUP“ (Altersgruppe) ist „3“ vermerkt, also die Zuordnung zur Altersgruppe 3 (46-60 Jahre). Beweiswürdigung: Diese Feststellungen stammen aus dem Protokoll zur Einschau vom
- Februar 2007 bzw. dessen Beilage, ein Ausdruck über den aktuellen Datenbestand der Beschwerdegegnerin. In die Altersgruppe „3“ fällt man nach dem Auskunftsschreiben der Beschwerdegegnerin vom
- August 2006, wenn das Alter (tatsächlich oder errechnet) zwischen 46 und 60 Jahren liegt. Während der Einschau wurde vom Leiter der EDV der Beschwerdegegnerin angegeben, dass die Altergruppe „3“ das Alter 45-55 Jahre meint. Da dies aus dem Gedächtnis erfolgte und diese Altersgruppierung nicht starr sei, sondern jedes Jahr neu errechnet werde, scheint der in der Auskunft gegebene Altersbereich glaubwürdiger. D. In rechtlicher Hinsicht folgt daraus:
- passive Beschwerdelegitimation Die von der Beschwerdeführerin als Gegnerin bezeichnete „TT*** GmbH“ ist zusammen mit drei anderen Firmen zur „T*** GmbH“ verschmolzen. Daher ist Letztere als Beschwerdegegnerin anzusehen.
- anzuwendende Rechtsvorschriften Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.Nach der Verfassungsbestimmung des Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden. § 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Gemäß § 26 Abs. 1 DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.Paragraph 26, DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Gemäß Paragraph 26, Absatz eins, DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden. Gemäß Abs. 4 leg. cit. ist die Auskunft innerhalb von acht Wochen nach Einlangen des Begehrens zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird.Gemäß Absatz 4, leg. cit. ist die Auskunft innerhalb von acht Wochen nach Einlangen des Begehrens zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird.
- rechtliche Schlussfolgerungen Die Beschwerdegegnerin hat der Beschwerdeführerin in der Auskunft am
- August 2006 jene Altersgruppe (46-60 Jahre), in die die Beschwerdeführerin eingeordnet wurde, mitgeteilt. Überdies beauskunftete sie jenes Berechnungsverfahren, aufgrund dessen das Geburtsjahr errechnet wurde, welches Grundlage für die Einordnung in die Altergruppe war. Das Geburtsdatum bzw. dessen Herkunft konnten nicht beauskunftet werden, da dieses von der Beschwerdegegnerin gar nicht verarbeitet wurde (wovon sich die Datenschutzkommission in der Einschau vor Ort auch überzeugen konnte). Dagegen brachte die Beschwerdeführerin im Parteiengehör vom
- Februar 2007 vor, dass es auffällig sei, dass alle bisherigen Zusendungen ausschließlich im Dezember, wo die Beschwerdeführerin auch Geburtstag hat, erfolgt seien. Es bestünde daher ein berechtigter Grund zur Annahme, dass das Geburtsdatum Teil der Selektion für Aussendungen sei. Weiters meint die Beschwerdeführerin, selbst die Behauptung, bloß eine Jahreskategorie würde errechnet, sei angesichts der daraus resultierenden Streuverluste bisher nicht plausibel erklärt. Diese bloße Vermutung ist nicht geeignet, das Ergebnis der Einschau zu entkräften. Aus den der Beschwerdeführerin übermittelten Werbezusendungen, soweit der Datenschutzkommission bekannt (jene Werbezusendung, derentwegen das Auskunftsbegehren am
- April 2006 an die Beschwerdegegnerin gestellt wurde, wurde der Datenschutzkommission nie übermittelt), lässt sich per se kein Zusammenhang zum genauen Geburtsdatum ersehen. Es handelt sich dabei um Werbung für Gesundheitsprodukte, die wohl ab einem bestimmten Alter interessant sein werden. Für eine derartige Werbezusendung ist daher auch die Kenntnis des genauen Geburtsdatums als Selektionskriterium für die Aussendung nicht notwendig, es genügt das (tatsächliche oder errechnete) Geburtsjahr. Damit verbundene Streuverluste sind nicht wirklich ersichtlich und für die Rechte der Beschwerdeführerin auch nicht relevant. Berechnungsverfahren zur Bestimmung des Geburtsjahres sind entgegen der Annahme der Beschwerdeführerin, wie ihr bereits im Schreiben der Datenschutzkommission vom
- August 2006 mitgeteilt wurde, auch durch die Verhaltensregeln gemäß § 6 Abs. 4 DSG 2000 für die Ausübung des Gewerbes gemäß § 151 Gewerbeordnung (Adressverlage und Direktmarketingunternehmen) gedeckt. Nach Abs. 4 Z 7 der Verhaltensregeln kann die zu bewerbende Zielgruppe anhand von für Marketingzwecke erhobener Marketinginformationen oder -klassifikationen (wie hier eben die Altersgruppe), die namentlich bestimmten Personen aufgrund von Marketinganalyseverfahren zugeschrieben werden (sachbezogene Vermutungen und Typologien), definiert werden.Berechnungsverfahren zur Bestimmung des Geburtsjahres sind entgegen der Annahme der Beschwerdeführerin, wie ihr bereits im Schreiben der Datenschutzkommission vom
- August 2006 mitgeteilt wurde, auch durch die Verhaltensregeln gemäß Paragraph 6, Absatz 4, DSG 2000 für die Ausübung des Gewerbes gemäß Paragraph 151, Gewerbeordnung (Adressverlage und Direktmarketingunternehmen) gedeckt. Nach Absatz 4, Ziffer 7, der Verhaltensregeln kann die zu bewerbende Zielgruppe anhand von für Marketingzwecke erhobener Marketinginformationen oder -klassifikationen (wie hier eben die Altersgruppe), die namentlich bestimmten Personen aufgrund von Marketinganalyseverfahren zugeschrieben werden (sachbezogene Vermutungen und Typologien), definiert werden. Die Beschwerdegegnerin hat der Beschwerdeführerin also Auskunft über die Altersgruppe, in welche sie eingeordnet wurde, gegeben. Das Geburtsdatum der Beschwerdeführerin wird von der Beschwerdegegnerin nicht verarbeitet. Somit war die Auskunft vom
- Juni bzw. die Ergänzung vom
- August 2006 vollständig und richtig. Daher war spruchgemäß zu entscheiden. Sowohl die Prüfung, ob die Beschwerdegegnerin die vom Direct Marketing Verband Österreich und der Wirtschaftskammer Österreich erstellten Verhaltensregeln gemäß § 6 Abs. 4 DSG 2000 für die Ausübung des Gewerbes gemäß § 151 Gewerbeordnung (Adressverlage und Direktmarketingunternehmen) sonst einhält, als auch die angeregte umfangreiche Prüfung der von der Beschwerdegegnerin betriebenen Systeme können nicht Gegenstand eines Beschwerdeverfahrens nach § 31 DSG 2000 sein. Ein Verdacht einer Rechts- bzw. Pflichtenverletzung im Hinblick auf Bestimmungen des DSG 2000 hat sich im vorliegenden Fall für die Datenschutzkommission nicht ergeben, weshalb auch eine weitere Behandlung der Angelegenheit nach § 30 DSG 2000 nicht geboten ist.Sowohl die Prüfung, ob die Beschwerdegegnerin die vom Direct Marketing Verband Österreich und der Wirtschaftskammer Österreich erstellten Verhaltensregeln gemäß Paragraph 6, Absatz 4, DSG 2000 für die Ausübung des Gewerbes gemäß Paragraph 151, Gewerbeordnung (Adressverlage und Direktmarketingunternehmen) sonst einhält, als auch die angeregte umfangreiche Prüfung der von der Beschwerdegegnerin betriebenen Systeme können nicht Gegenstand eines Beschwerdeverfahrens nach Paragraph 31, DSG 2000 sein. Ein Verdacht einer Rechts- bzw. Pflichtenverletzung im Hinblick auf Bestimmungen des DSG 2000 hat sich im vorliegenden Fall für die Datenschutzkommission nicht ergeben, weshalb auch eine weitere Behandlung der Angelegenheit nach Paragraph 30, DSG 2000 nicht geboten ist.