{'item': 'K121.280/0007-DSK/2007'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum07.05.2007 GeschäftszahlK121.280/0007-DSK/2007 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KOTSCHY, Dr. BLAHA, Dr. ROSENMAYR-KLEMENZ, Mag. HEILEGGER und Dr. HEISSENBERGER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom

1. Mai 2007 folgenden Beschluss gefasst: S p r u c h Über die Beschwerde der T in Ö (Beschwerdeführerin), vertreten durch den Verein E in H, vom
2. Februar 2007 gegen die M GmbH in D (Beschwerdegegnerin), vertreten durch Dr. R, Rechtsanwalt in D, wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 1 Abs. 5 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, iVm § 59 Abs. 2 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), BGBl Nr. 51/1991 idF BGBl I Nr. 10/2004, entschieden:Über die Beschwerde der T in Ö (Beschwerdeführerin), vertreten durch den Verein E in H, vom
3. Februar 2007 gegen die M GmbH in D (Beschwerdegegnerin), vertreten durch Dr. R, Rechtsanwalt in D, wegen Verletzung im Recht auf Auskunft wird gemäß den Paragraphen eins, Absatz 5 und 31 Absatz eins, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, in Verbindung mit Paragraph 59, Absatz 2, des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), Bundesgesetzblatt Nr. 51 aus 1991, in der Fassung Bundesgesetzblatt Teil eins, Nr. 10 aus 2004,, entschieden:
4. Der Beschwerde wird Folge gegeben und festgestellt, dass die Beschwerdegegnerin die Beschwerdeführerin im Recht auf Auskunft dadurch verletzt hat, dass sie in der am
5. Februar 2007 erteilten Auskunft keine Angaben zu Übermittlungsempfängern gemacht hat.
6. Der Beschwerdegegnerin wird bei sonstiger Exekution aufgetragen, diese Angaben innerhalb einer Frist von zwei Wochen des Vereins E als Vertreterin der Beschwerdeführerin mitzuteilen. B e g r ü n d u n g: A. Vorbringen der Parteien und Verfahrensgang Die Beschwerdeführerin behauptete in ihrer ursprünglichen Beschwerde vom
7. Jänner 2007 eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin auf ihr Auskunftsbegehren vom
8. September 2006 nicht reagiert habe. Das Vorbringen der Beschwerdeführerin in ihrer Stellungnahme vom
9. Februar 2007, die Beschwerdegegnerin habe zwar nunmehr am
10. Februar 2007 Auskunft erteilt, diese sei jedoch im Hinblick auf Übermittlungsempfänger unvollständig, außerdem habe die Beschwerdegegnerin kein rechtliches Interesse an der Verarbeitung der Daten der Beschwerdeführerin, hat die Datenschutzkommission im Hinblick auf die dadurch eingetretene wesentliche Änderung des Verfahrensgegenstandes als Zurückziehung der Beschwerde vom
11. Jänner 2007 unter gleichzeitiger Einbringung einerseits einer neuen Beschwerde wegen Verletzung im Recht auf Auskunft, andererseits einer Eingabe nach § 30 Abs. 1 DSG 2000 wegen Verletzung im Recht auf Geheimhaltung (protokolliert zur Zahl K211.787), gedeutet. Darüber wurde die Beschwerdeführerin mit Verfügung der Datenschutzkommission vom
12. März 2007 informiert und gleichzeitig das ursprüngliche Beschwerdeverfahren K120.272 eingestellt.Die Beschwerdeführerin behauptete in ihrer ursprünglichen Beschwerde vom
13. Jänner 2007 eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin auf ihr Auskunftsbegehren vom
14. September 2006 nicht reagiert habe. Das Vorbringen der Beschwerdeführerin in ihrer Stellungnahme vom
15. Februar 2007, die Beschwerdegegnerin habe zwar nunmehr am
16. Februar 2007 Auskunft erteilt, diese sei jedoch im Hinblick auf Übermittlungsempfänger unvollständig, außerdem habe die Beschwerdegegnerin kein rechtliches Interesse an der Verarbeitung der Daten der Beschwerdeführerin, hat die Datenschutzkommission im Hinblick auf die dadurch eingetretene wesentliche Änderung des Verfahrensgegenstandes als Zurückziehung der Beschwerde vom
17. Jänner 2007 unter gleichzeitiger Einbringung einerseits einer neuen Beschwerde wegen Verletzung im Recht auf Auskunft, andererseits einer Eingabe nach Paragraph 30, Absatz eins, DSG 2000 wegen Verletzung im Recht auf Geheimhaltung (protokolliert zur Zahl K211.787), gedeutet. Darüber wurde die Beschwerdeführerin mit Verfügung der Datenschutzkommission vom
18. März 2007 informiert und gleichzeitig das ursprüngliche Beschwerdeverfahren K120.272 eingestellt. Die Beschwerdegegnerin erstattete in ihrer Stellungnahme vom
19. März 2007 hauptsächlich Vorbringen zum Vorwurf der unrechtmäßigen Verarbeitung der Daten der Beschwerdeführerin, also zu dem nach § 30 DSG 2000 geführten Verfahren. „Nur der Ordnung halber“ trage sie nach, dass die Tatsache, dass auf Grund einer Anfrage der B GmbH am
20. Oktober 2006 dieser mitgeteilt worden sei, dass zum Datensatz der Beschwerdeführerin keine bonitätsrelevanten Daten vorliegen würden. Darüber hinaus habe eine weitere Verwendung in der vom Gesetz in § 14 Abs. 5 DSG 2000 genannten dreijährigen Protokollierungsfrist nicht stattgefunden.Die Beschwerdegegnerin erstattete in ihrer Stellungnahme vom
21. März 2007 hauptsächlich Vorbringen zum Vorwurf der unrechtmäßigen Verarbeitung der Daten der Beschwerdeführerin, also zu dem nach Paragraph 30, DSG 2000 geführten Verfahren. „Nur der Ordnung halber“ trage sie nach, dass die Tatsache, dass auf Grund einer Anfrage der B GmbH am
22. Oktober 2006 dieser mitgeteilt worden sei, dass zum Datensatz der Beschwerdeführerin keine bonitätsrelevanten Daten vorliegen würden. Darüber hinaus habe eine weitere Verwendung in der vom Gesetz in Paragraph 14, Absatz 5, DSG 2000 genannten dreijährigen Protokollierungsfrist nicht stattgefunden. B. Beschwerdegegenstand Auf Grund des Vorbringens der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Vollständigkeit der der Beschwerdeführerin von der Beschwerdegegnerin am
23. Februar 2007 erteilten Auskunft im Hinblick auf die Benennung von Übermittlungsempfängern ist. C. Sachverhaltsfeststellungen Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt: Die Beschwerdeführerin richtete am
24. September 2006 (schon damals vertreten durch den Verein E) ein Auskunftsbegehren an die Beschwerdegegnerin. Sie erhielt schließlich am
25. Februar 2007 ein Auskunftsschreiben vom
26. Februar
27. Darin fand sich die Aussage, die Daten würden zum Zweck der Ausübung des Auskunfteigewerbes nach § 152 GewO zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert, jedoch keinerlei Aussage über die konkreten Empfänger allfälliger Datenübermittlungen. Lediglich in der Stellungnahme der Beschwerdegegnerin im nunmehrigen Verfahren vom
28. März 2007 erklärte die Beschwerdegegnerin, sie habe am
29. Oktober 2006 Daten der Beschwerdeführerin an die B GmbH weitergegeben, ansonsten sei es innerhalb der letzten drei Jahre zu keinen Übermittlungen gekommen.Die Beschwerdeführerin richtete am
30. September 2006 (schon damals vertreten durch den Verein E) ein Auskunftsbegehren an die Beschwerdegegnerin. Sie erhielt schließlich am
31. Februar 2007 ein Auskunftsschreiben vom
32. Februar
33. Darin fand sich die Aussage, die Daten würden zum Zweck der Ausübung des Auskunfteigewerbes nach Paragraph 152, GewO zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert, jedoch keinerlei Aussage über die konkreten Empfänger allfälliger Datenübermittlungen. Lediglich in der Stellungnahme der Beschwerdegegnerin im nunmehrigen Verfahren vom
34. März 2007 erklärte die Beschwerdegegnerin, sie habe am
35. Oktober 2006 Daten der Beschwerdeführerin an die B GmbH weitergegeben, ansonsten sei es innerhalb der letzten drei Jahre zu keinen Übermittlungen gekommen. Beweiswürdigung: Diese Feststellungen beruhen auf dem unbestrittenen Beschwerdevorbringen sowie der Stellungnahme der Beschwerdegegnerin vom
36. März
37. D. In rechtlicher Hinsicht folgt daraus:
38. anzuwendende Rechtsvorschriften Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.Nach der Verfassungsbestimmung des Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden. § 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Gemäß § 26 Abs.
39. DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.Paragraph 26, DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Gemäß Paragraph 26, Absatz eins, DSG 2000 hat der Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.
40. rechtliche Schlussfolgerungen Der Auskunftsanspruch nach § 26 Abs. 1 DSG 2000 umfasst nach der Rechtsprechung der Datenschutzkommission (siehe den Bescheid vom
41. Februar 2005, GZ K120.981/0002-DSK/2005) und des Verwaltungsgerichtshofes (siehe das zum soeben zitierten Bescheid ergangene Erkenntnis vom
42. Dezember 2006, Zl. 2005/06/0111) grundsätzlich auch die Bekanntgabe konkreter Empfänger. Gründe, die nach § 1 Abs. 4 iVm Abs. 2 bzw. § 26 Abs. 2 DSG 2000 (Durchführung einer Interessenabwägung) die Bekanntgabe von Empfängerkreisen genügen lassen könnten, hat der Beschwerdegegner nicht ins Treffen geführt. Im Übrigen ist nach der vorzitierten Rechtsprechung gerade im Fall der Datenverwendung für Zwecke der Bonitätsauskunft wegen der weit reichenden Konsequenzen ein besonderes Interesse des Auskunftswerbers an der Bekanntgabe konkreter Empfänger gegeben.Der Auskunftsanspruch nach Paragraph 26, Absatz eins, DSG 2000 umfasst nach der Rechtsprechung der Datenschutzkommission (siehe den Bescheid vom
43. Februar 2005, GZ K120.981/0002-DSK/2005) und des Verwaltungsgerichtshofes (siehe das zum soeben zitierten Bescheid ergangene Erkenntnis vom
44. Dezember 2006, Zl. 2005/06/0111) grundsätzlich auch die Bekanntgabe konkreter Empfänger. Gründe, die nach Paragraph eins, Absatz 4, in Verbindung mit Absatz 2, bzw. Paragraph 26, Absatz 2, DSG 2000 (Durchführung einer Interessenabwägung) die Bekanntgabe von Empfängerkreisen genügen lassen könnten, hat der Beschwerdegegner nicht ins Treffen geführt. Im Übrigen ist nach der vorzitierten Rechtsprechung gerade im Fall der Datenverwendung für Zwecke der Bonitätsauskunft wegen der weit reichenden Konsequenzen ein besonderes Interesse des Auskunftswerbers an der Bekanntgabe konkreter Empfänger gegeben. Nach ständiger Rechtsprechung der Datenschutzkommission (vgl. den Bescheid vom
45. Juni 2005, GZ. K120.839/0005-DSK/2005) muss eine Auskunft direkt gegenüber dem Betroffenen erteilt werden. Diese Pflicht kann nicht durch Abgabe einer Stellungnahme gegenüber der Datenschutzkommission im Beschwerdeverfahren ersetzt werden. Durch die Benennung eines Übermittlungsempfängers in der Stellungnahme vom
46. März 2007 ist die Beschwerdegegnerin im vorliegenden Fall somit ihrer Verpflichtung zur Bekanntgabe der konkreten Übermittlungsempfänger gegenüber der Beschwerdeführerin nicht nachgekommen. Die dadurch eingetretene Verletzung im Recht auf Auskunft war spruchgemäß festzustellen und die Auskunftserteilung (im Wege der Vertreterin Verein E) aufzutragen, wofür in Anbetracht dessen, dass die Beschwerdegegnerin die offenbar einzige Übermittlung bereits ausgeforscht hat, eine Frist von zwei Wochen nach § 59 Abs. 2 AVG angemessen erscheint.Nach ständiger Rechtsprechung der Datenschutzkommission vergleiche den Bescheid vom
47. Juni 2005, GZ. K120.839/0005-DSK/2005) muss eine Auskunft direkt gegenüber dem Betroffenen erteilt werden. Diese Pflicht kann nicht durch Abgabe einer Stellungnahme gegenüber der Datenschutzkommission im Beschwerdeverfahren ersetzt werden. Durch die Benennung eines Übermittlungsempfängers in der Stellungnahme vom
48. März 2007 ist die Beschwerdegegnerin im vorliegenden Fall somit ihrer Verpflichtung zur Bekanntgabe der konkreten Übermittlungsempfänger gegenüber der Beschwerdeführerin nicht nachgekommen. Die dadurch eingetretene Verletzung im Recht auf Auskunft war spruchgemäß festzustellen und die Auskunftserteilung (im Wege der Vertreterin Verein E) aufzutragen, wofür in Anbetracht dessen, dass die Beschwerdegegnerin die offenbar einzige Übermittlung bereits ausgeforscht hat, eine Frist von zwei Wochen nach Paragraph 59, Absatz 2, AVG angemessen erscheint.