RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum29.06.2007 GeschäftszahlK178.235/0009-DSK/2007 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. ROSENMAYR-KLEMENZ, Dr. KOTSCHY, Mag. ZIMMER, Mag. HUTTERER und Dr. HEISSENBERGER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom
(2)Absatz 2,Die Genehmigung ist unter Beachtung der gemäß § 55 Z 2 ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des § 12 Abs. 5 vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus,Die Genehmigung ist unter Beachtung der gemäß Paragraph 55, Ziffer 2, ergangenen Kundmachungen zu erteilen, wenn die Voraussetzungen des Paragraph 12, Absatz 5, vorliegen und wenn, ungeachtet des Fehlens eines im Empfängerstaat generell geltenden angemessenen Datenschutzniveaus, 1.Ziffer eins für die im Genehmigungsantrag angeführte Übermittlung oder Überlassung im konkreten Einzelfall angemessener Datenschutz besteht; dies ist unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenverwendung eine Rolle spielen, wie insbesondere die Art der verwendeten Daten, die Zweckbestimmung sowie die Dauer der geplanten Verwendung, das Herkunfts- und das Endbestimmungsland und die in dem betreffenden Drittland geltenden allgemeinen oder sektoriellen Rechtsnormen, Standesregeln und Sicherheitsstandards; oder 2.Ziffer 2 der Auftraggeber glaubhaft macht, daß die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr Betroffenen auch im Ausland ausreichend gewahrt werden. Hiefür können insbesondere auch vertragliche Zusicherungen des Empfängers an den Antragsteller über die näheren Umstände der Datenverwendung im Ausland von Bedeutung sein." 3. Rechtlich war zu erwägen: Voraussetzung für die Erteilung einer Genehmigung gemäß § 13 Abs. 2 DSG 2000 ist neben dem Fehlen eines Grundes für Genehmigungsfreiheit gemäß § 12 Abs. 3 DSG 2000 sowohl die rechtliche Zulässigkeit der beantragten Übermittlung im Sinne des § 12 Abs. 5 DSG 2000 als auch die Glaubhaftmachung angemessenen Datenschutzes beim Empfänger.Voraussetzung für die Erteilung einer Genehmigung gemäß Paragraph 13, Absatz 2, DSG 2000 ist neben dem Fehlen eines Grundes für Genehmigungsfreiheit gemäß Paragraph 12, Absatz 3, DSG 2000 sowohl die rechtliche Zulässigkeit der beantragten Übermittlung im Sinne des Paragraph 12, Absatz 5, DSG 2000 als auch die Glaubhaftmachung angemessenen Datenschutzes beim Empfänger. 3.1 Zur Genehmigungsfreiheit Dass kein Fall des § 12 Abs. 3 DSG 2000 vorliegt, konnte im Ermittlungsverfahren geklärt werden und wurde von der Antragstellerin in der Letztformulierung ihres Antrags im Schreiben vom 18. Juni 2007 auch nicht (mehr) behauptet.Dass kein Fall des Paragraph 12, Absatz 3, DSG 2000 vorliegt, konnte im Ermittlungsverfahren geklärt werden und wurde von der Antragstellerin in der Letztformulierung ihres Antrags im Schreiben vom 18. Juni 2007 auch nicht (mehr) behauptet. Die Antragstellerin macht weiters keinen Gebrauch von der Standardverarbeitung SA001 "Rechnungswesen und Logistik", sodass die darin für genehmigungsfrei erklärten Übermittlungen an die ausländische Konzernspitze im vorliegenden Fall nicht unmittelbar zum Tragen kommen können. Der beabsichtigte Datentransfer ist auch aus anderen Gründen nicht genehmigungsfrei, da die USA nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des § 12 Abs. 2 DSG 2000 zählen und die Muttergesellschaft auch nicht der "Safe Harbor"-Vereinbarung (2000/520/EG, CELEX: 32000D0520, Amtsblatt Nr. L 215 vom 25/08/2000 S. 0007 - 0047) beigetreten ist.Der beabsichtigte Datentransfer ist auch aus anderen Gründen nicht genehmigungsfrei, da die USA nicht zu den Staaten mit angemessenem Datenschutzniveau im Sinne des Paragraph 12, Absatz 2, DSG 2000 zählen und die Muttergesellschaft auch nicht der "Safe Harbor"-Vereinbarung (2000/520/EG, CELEX: 32000D0520, Amtsblatt Nr. L 215 vom 25/08/2000 S. 0007 - 0047) beigetreten ist. 3.2 Zum Nachweis des Vorliegens der Voraussetzungen des § 12 Abs. 5 DSG 2000:3.2 Zum Nachweis des Vorliegens der Voraussetzungen des Paragraph 12, Absatz 5, DSG 2000: Gemäß § 12 Abs. 5 DSG 2000 ist Voraussetzung für die Rechtmäßigkeit jeder geplanten Übermittlung, dass die Bedingungen des § 7 Abs. 2 DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sieGemäß Paragraph 12, Absatz 5, DSG 2000 ist Voraussetzung für die Rechtmäßigkeit jeder geplanten Übermittlung, dass die Bedingungen des Paragraph 7, Absatz 2, DSG 2000 erfüllt sind. Danach dürfen Daten nur dann übermittelt werden, wenn sie a)Litera a aus einer zulässigen Datenanwendung stammen und wenn b)Litera b die Übermittlung ihrer Art nach auch im Inland zulässig wäre, d.h. insbesondere ein Fall des §§ 8 bzw. 9 DSG 2000 vorliegt.die Übermittlung ihrer Art nach auch im Inland zulässig wäre, d.h. insbesondere ein Fall des Paragraphen 8, bzw. 9 DSG 2000 vorliegt. 3.2.1 Die zugrunde liegende Datenanwendung "Verwaltung der Leasinggeschäfte" wurde dem Datenverarbeitungsregister unter der laufenden Datenanwendungsnummer *******/003 gemeldet und wird nach Anpassung an den vorliegenden Bescheidinhalt registrierungsfähig sein. 3.2.2 Was den Zweck des von der Antragstellerin als "Übermittlung" bezeichneten Datentransfers betrifft, wurde dieser in der Letztformulierung vom 18. Juni 2007 eingeschränkt wie folgt: a)Litera a Die G**** LLC soll "für die Antragstellerin mit den ("übermittelten") Daten Verarbeitungen vornehmen, die für den Geschäftsbetrieb der Antragstellerin, genauer: für dessen ordnungsgemäße Aufrechterhaltung, notwendig und erforderlich sind". b)Litera b "Die G**** LLC benötigt die Daten aber auch selbst für das geschäftliche Berichtswesen, insbesondere auch um sich eine ausreichende Information über die wirtschaftliche Lage und den Geschäftsgang der Antragstellerin zu verschaffen. Dazu ist es etwa auch wichtig, das Zahlungsverhalten der Kunden der Antragstellerin zu kennen, z.B. also ob Zahlungsausstände bestehen, wenn ja in welcher Höhe". Hinsichtlich der Rechtsgrundlagen der beabsichtigten Datentransfers wird für den Zweck
- a)das Vorliegen eines überwiegenden berechtigten Zwecks bei der Antragstellerin (Kleinbetrieb, kostengünstige Durchführung des Geschäftsbetriebs) behauptet, für den Zweck
- b)das Bestehen eines überwiegenden berechtigten Interesses bei der Empfängerin (konzerninternes Berichtswesen). Die Antragstellerin hat in ihrem Antrag die Genehmigung der "Übermittlung" von Daten beantragt, ohne – wie dies auch in der Richtlinie 95/46/EG der Fall ist – eine entsprechende terminologische Unterscheidung zwischen der Datenweitergabe an andere Auftraggeber oder an Dienstleister zu machen. Die Begründung für den beabsichtigten Datentransfer an die Konzernmuttergesellschaft zielt auch tatsächlich insofern auf eine "Übermittlung" im Sinn des öDSG 2000 von Auftraggeber zu Auftraggeber ab, als das konzerninterne Berichtswesen als Transfergrund angegeben wird – der Rest der unter
- a)wiedergegebenen Antragsbegründung kann jedoch nur so verstanden werden, dass es sich um die "Überlassung" (im Sinn des öDSG 2000) von Daten an die Konzernspitze zum Zweck der Erbringung von Dienstleistungsverarbeitungen für die Antragstellerin handeln soll: Der Transferzweck "Vornahme von Verarbeitungen für die Antragstellerin, die für den Geschäftsbetrieb der Antragstellerin: genauer: für dessen ordnungsgemäße Aufrechterhaltung, notwendig und erforderlich sind", bedeutet dass die Empfängerin der Daten in den USA die Verarbeitung der aus Österreich transferierten Daten für die Zwecke der österreichischen Niederlassung durchführen soll – dies ist typisch nur in einem Dienstleistungsverhältnis denkbar, in dem die österreichische Niederlassung Auftraggeber und die US-Empfängerin Dienstleisterin ist. Da die Heranziehung von Dienstleistern jedermann gestattet ist (§ 10 DSG 2000), sofern kein Anlass besteht, an der datenschutzrechtlichen Zuverlässigkeit des Dienstleisters zu zweifeln, und auch in concreto kein Anhaltspunkt für solche Zweifel vorlagen, konnte dem vorliegenden Genehmigungsantrag insofern entsprochen werden, als der Datentransfer für den von der Antragstellerin angegebenen Zweck in Form der Überlassung (iSd § 4 Z 11 DSG 2000) der Daten an die G**** LLC, USA, genehmigt wurde. Dies schließt freilich eine Weiterverwendung dieser Daten für eigene Zwecke der G**** LLC, USA, aus. Die Genehmigung des gegenständlichen Datentransfers als "Übermittlung" im Sinne des § 4 Z 12 DSG 2000 war hingegen angesichts des von der Antragstellerin im Schreiben vom 18. Juni 2007 geschilderten Zwecks ausgeschlossen, weshalb der Antrag diesbezüglich abzuweisen war.Da die Heranziehung von Dienstleistern jedermann gestattet ist (Paragraph 10, DSG 2000), sofern kein Anlass besteht, an der datenschutzrechtlichen Zuverlässigkeit des Dienstleisters zu zweifeln, und auch in concreto kein Anhaltspunkt für solche Zweifel vorlagen, konnte dem vorliegenden Genehmigungsantrag insofern entsprochen werden, als der Datentransfer für den von der Antragstellerin angegebenen Zweck in Form der Überlassung (iSd Paragraph 4, Ziffer 11, DSG 2000) der Daten an die G**** LLC, USA, genehmigt wurde. Dies schließt freilich eine Weiterverwendung dieser Daten für eigene Zwecke der G**** LLC, USA, aus. Die Genehmigung des gegenständlichen Datentransfers als "Übermittlung" im Sinne des Paragraph 4, Ziffer 12, DSG 2000 war hingegen angesichts des von der Antragstellerin im Schreiben vom 18. Juni 2007 geschilderten Zwecks ausgeschlossen, weshalb der Antrag diesbezüglich abzuweisen war. Der Transfer personenbezogener Daten zum Zweck des konzerninternen Berichtswesens stellt hingegen tatsächlich eine "Übermittlung" gemäß § 4 Z 12 DSG 2000 dar.Der Transfer personenbezogener Daten zum Zweck des konzerninternen Berichtswesens stellt hingegen tatsächlich eine "Übermittlung" gemäß Paragraph 4, Ziffer 12, DSG 2000 dar. Die Standard- und Muster-Verordnung 2004 (StMV 2004), BGBl. II Nr. 312/2004, enthält die Standardanwendung SA001 "Rechnungswesen und Logistik", in welcher die Übermittlung von Daten der Kunden oder Lieferanten des Auftraggebers an die Konzernleitung des Auftraggebers genehmigungsfrei gestellt ist, sofern dies "Lieferanten oder gewerbliche Kunden und Großkunden" betrifft. Da sich die Antragstellerin nicht auf Standardverarbeitungen beruft, kann dieser Umstand zwar nicht unmittelbar nutzbar gemacht werden, doch lässt sich aus dieser Genehmigungsfreiheit die Wertung ableiten, dass in einem Konzern an Datenflüssen für den Zweck "Berichtswesen" grundsätzlich ein berechtigtes Interesse anzunehmen ist, dem im Falle von gewerblich tätigen Betroffenen, insbesondere bei sog. "Großkunden", auch kein überwiegendes berechtigtes Interesse der Betroffenen an der Geheimhaltung ihrer Geschäftsdaten gegenüber der Konzernspitze zukommt. Dementsprechend wurde die Übermittlung genehmigt, wenn auch bei nicht-gewerblich tätigen Betroffenen nur im Einzelfall und nur unter bestimmten Voraussetzungen, weil "konzerninternes Berichtswesen" nicht mit der Erlaubnis völliger Duplizierung aller Daten der Konzerngesellschaften bei der Konzernspitze gleichgesetzt werden kann. Der Kontrolle der Einhaltung dieser Vorraussetzung dient die im Spruchpunkt I. 2 enthaltene Auflage.Die Standard- und Muster-Verordnung 2004 (StMV 2004), Bundesgesetzblatt Teil 2, Nr. 312 aus 2004,, enthält die Standardanwendung SA001 "Rechnungswesen und Logistik", in welcher die Übermittlung von Daten der Kunden oder Lieferanten des Auftraggebers an die Konzernleitung des Auftraggebers genehmigungsfrei gestellt ist, sofern dies "Lieferanten oder gewerbliche Kunden und Großkunden" betrifft. Da sich die Antragstellerin nicht auf Standardverarbeitungen beruft, kann dieser Umstand zwar nicht unmittelbar nutzbar gemacht werden, doch lässt sich aus dieser Genehmigungsfreiheit die Wertung ableiten, dass in einem Konzern an Datenflüssen für den Zweck "Berichtswesen" grundsätzlich ein berechtigtes Interesse anzunehmen ist, dem im Falle von gewerblich tätigen Betroffenen, insbesondere bei sog. "Großkunden", auch kein überwiegendes berechtigtes Interesse der Betroffenen an der Geheimhaltung ihrer Geschäftsdaten gegenüber der Konzernspitze zukommt. Dementsprechend wurde die Übermittlung genehmigt, wenn auch bei nicht-gewerblich tätigen Betroffenen nur im Einzelfall und nur unter bestimmten Voraussetzungen, weil "konzerninternes Berichtswesen" nicht mit der Erlaubnis völliger Duplizierung aller Daten der Konzerngesellschaften bei der Konzernspitze gleichgesetzt werden kann. Der Kontrolle der Einhaltung dieser Vorraussetzung dient die im Spruchpunkt römisch eins. 2 enthaltene Auflage. 3.3. Zur Glaubhaftmachung angemessenen Datenschutzes beim Empfänger Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben der Auftraggeber und der Empfänger einen Vertrag abgeschlossen, der den in der Entscheidung der Kommission 2004/915/EG vom 27. Dezember 2004 zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Set II), Amtsblatt Nr. L 385 S. 74–84, CELEX:Zur Glaubhaftmachung des angemessenen Datenschutzes beim Empfänger im Ausland haben der Auftraggeber und der Empfänger einen Vertrag abgeschlossen, der den in der Entscheidung der Kommission 2004/915/EG vom 27. Dezember 2004 zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Set römisch zwei), Amtsblatt Nr. L 385 S. 74–84, CELEX: 32004D0915, vorgesehenen Standardvertragsklauseln entspricht. Die von der Antragstellerin mit G**** LLC, USA, im Annex B der Standardvertragsklauseln getroffenen Vereinbarungen haben sowohl Überlassungen als auch Übermittlungen von Daten zur Folge. Die vorgelegten Standardvertragsklauseln sind zwar an sich auf die Übermittlung von Daten bezogen, bieten aber für beide Arten des Transfers ausreichende Sicherheit, da aus der Natur einer Überlassung zweifelsfrei hervorgeht, dass jegliche Verwendung der transferierten Daten beim Dienstleister für seine eigenen Zwecke unzulässig und von der vorliegenden Genehmigung nicht gedeckt wäre (vgl. eine ähnliche Sichtweise im Bescheid der DSK K178.244/0005- DSK/2006 vom 13. Dezember 2006). Der Nachweis ausreichenden Datenschutzes beim ausländischen Datenempfänger gilt daher als erbracht im Sinne des § 13 Abs. 2 Z 2 DSG 2000.Die von der Antragstellerin mit G**** LLC, USA, im Annex B der Standardvertragsklauseln getroffenen Vereinbarungen haben sowohl Überlassungen als auch Übermittlungen von Daten zur Folge. Die vorgelegten Standardvertragsklauseln sind zwar an sich auf die Übermittlung von Daten bezogen, bieten aber für beide Arten des Transfers ausreichende Sicherheit, da aus der Natur einer Überlassung zweifelsfrei hervorgeht, dass jegliche Verwendung der transferierten Daten beim Dienstleister für seine eigenen Zwecke unzulässig und von der vorliegenden Genehmigung nicht gedeckt wäre vergleiche eine ähnliche Sichtweise im Bescheid der DSK K178.244/0005- DSK/2006 vom 13. Dezember 2006). Der Nachweis ausreichenden Datenschutzes beim ausländischen Datenempfänger gilt daher als erbracht im Sinne des Paragraph 13, Absatz 2, Ziffer 2, DSG 2000. 3.4. Die Verwaltungsabgabe war gemäß § 78 Abs. 1 AVG iVm §§ 13, 53 Abs. 1 DSG 2000 vorzuschreiben. Demnach ist für Anträge nach § 13 DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.3.4. Die Verwaltungsabgabe war gemäß Paragraph 78, Absatz eins, AVG in Verbindung mit Paragraphen 13, 53, Absatz eins, DSG 2000 vorzuschreiben. Demnach ist für Anträge nach Paragraph 13, DSG 2000 keine Befreiung von Verwaltungsabgaben normiert.