← Österreich

{'item': 'K121.278/0018-DSK/2007'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum03.10.2007 GeschäftszahlK121.278/0018-DSK/2007 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] B E S C H E I DB E S C H E römisch eins D Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Dr. KOTSCHY, Mag. HEILEGGER, Dr. BLAHA und Mag. MAITZ-STRASSNIG sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom

  1. Oktober 2007 folgenden Beschluss gefasst: S p r u c h Über die Beschwerde des Friedrich T*** (Beschwerdeführer) aus Wien, vertreten durch die U*** Rechtsanwälte OG in **** E***, S***gasse **, vom
  2. Februar 2007 gegen die B*** Versicherung AG Österreich (Beschwerdegegnerin) in N*** wegen Verletzung im Recht auf Auskunft über eigene Daten (Unvollständigkeit der datenschutzrechtlichen Auskunft vom
  3. November 2006) wird gemäß den §§ 26 Abs.1 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:Über die Beschwerde des Friedrich T*** (Beschwerdeführer) aus Wien, vertreten durch die U*** Rechtsanwälte OG in **** E***, S***gasse **, vom
  4. Februar 2007 gegen die B*** Versicherung AG Österreich (Beschwerdegegnerin) in N*** wegen Verletzung im Recht auf Auskunft über eigene Daten (Unvollständigkeit der datenschutzrechtlichen Auskunft vom
  5. November 2006) wird gemäß den Paragraphen 26, Absatz eins und 31 Absatz eins, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, entschieden: 1.Ziffer eins Der Beschwerde wird Folge gegeben und festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer im Recht auf Auskunft dadurch verletzt hat, dass in ihrer Auskunft vom
  6. November 2006 die von ihr verarbeiteten Gesundheitsdaten des Beschwerdeführers und die Empfänger von Übermittlungen dieser Daten nicht enthalten waren. 2.Ziffer 2 der Beschwerdegegnerin wird aufgetragen, dem Beschwerdeführer binnen zweier Wochen Auskunft über die im Zusammenhang mit dem Rücktritt von der Kapitallebensversicherungs-Neupolizze 12**/321.*** verarbeiteten Gesundheitsdaten des Beschwerdeführers und die Empfänger von Übermittlungen dieser Daten zu geben oder schriftlich zu begründen, warum die Auskunft nicht erteilt werden kann. B e g r ü n d u n g: A. Vorbringen der Parteien Der Beschwerdeführer behauptet (neben einer Beschwerde wegen Verletzung des Auskunftsrechts gemäß § 31 Abs. 1 DSG 2000 umfasst das Anbringen des Beschwerdeführers auch eine Eingabe gemäß § 30 Abs. 1 DSG 2000, die von der Datenschutzkommission zu Zl. K211.783 bearbeitet wird), anwaltlich vertreten, in der Beschwerde vom
  7. Februar 2007 eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin sein Auskunftsbegehren vom
  8. Oktober 2006 mit Schreiben vom
  9. November 2006 unvollständig beantwortet habe. Er habe im Zuge der Ablehnung eines Versicherungsantrags durch die AVY*** Personenversicherung AG (AVY***) Kenntnis davon erlangt, dass die Beschwerdegegnerin ihn betreffende Daten in das „Zentrale Informationssystem – ZIS“ der österreichischen Versicherungsunternehmen, das ein Informationsverbundsystem sei, eingegeben habe. Weiters habe die Beschwerdegegnerin eine telefonische Anfrage der AVY*** beantwortet, wobei auch eine ihn betreffende Diagnose mitgeteilt worden sei. Diese Datenübermittlung sei der Grund für die Ablehnung seines Vertragsanbots (betreffend eine Krankenversicherung) durch die AVY*** gewesen. Die Beschwerdegegnerin habe jedoch in ihren Auskunftsschreiben in Abrede gestellt, „Aufzeichnungen“ zu Diagnosen zu führen oder solche Informationen weiter zu geben. Durch diese, nach Ansicht des Beschwerdeführers unvollständige Auskunft, sehe er sich in seinem Recht gemäß § 26 Abs.1 DSG 2000 verletzt.Der Beschwerdeführer behauptet (neben einer Beschwerde wegen Verletzung des Auskunftsrechts gemäß Paragraph 31, Absatz eins, DSG 2000 umfasst das Anbringen des Beschwerdeführers auch eine Eingabe gemäß Paragraph 30, Absatz eins, DSG 2000, die von der Datenschutzkommission zu Zl. K211.783 bearbeitet wird), anwaltlich vertreten, in der Beschwerde vom
  10. Februar 2007 eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin sein Auskunftsbegehren vom
  11. Oktober 2006 mit Schreiben vom
  12. November 2006 unvollständig beantwortet habe. Er habe im Zuge der Ablehnung eines Versicherungsantrags durch die AVY*** Personenversicherung AG (AVY***) Kenntnis davon erlangt, dass die Beschwerdegegnerin ihn betreffende Daten in das „Zentrale Informationssystem – ZIS“ der österreichischen Versicherungsunternehmen, das ein Informationsverbundsystem sei, eingegeben habe. Weiters habe die Beschwerdegegnerin eine telefonische Anfrage der AVY*** beantwortet, wobei auch eine ihn betreffende Diagnose mitgeteilt worden sei. Diese Datenübermittlung sei der Grund für die Ablehnung seines Vertragsanbots (betreffend eine Krankenversicherung) durch die AVY*** gewesen. Die Beschwerdegegnerin habe jedoch in ihren Auskunftsschreiben in Abrede gestellt, „Aufzeichnungen“ zu Diagnosen zu führen oder solche Informationen weiter zu geben. Durch diese, nach Ansicht des Beschwerdeführers unvollständige Auskunft, sehe er sich in seinem Recht gemäß Paragraph 26, Absatz eins, DSG 2000 verletzt. Die Beschwerdegegnerin brachte in ihrer Stellungnahme vom
  13. März 2007 vor, es lägen keine Aufzeichnungen betreffend eine Weitergabe von Diagnosen an die AVY*** vor. Die Richtigkeit des Beschwerdevorbringens könnte daher nicht verifiziert werden. Es könne aber auch nicht ausgeschlossen werden, dass ein Mitarbeiter im Einzelfall ohne Wissen und Anordnung der Unternehmensleitung sensible Daten weitergegeben habe. Der Beschwerdeführer brachte in zwei Stellungnahmen nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens vom
  14. April und
  15. Juli 2007 hinsichtlich dieser Beschwerdesache vor, der genaue Inhalt der Datenübermittlung von der Beschwerdegegnerin zur AVY*** sei weiterhin ungeklärt. Vermutlich habe es sich um eine (unrichtige) Krankheitsdiagnose gehandelt. Die Behauptung der Beschwerdegegnerin, keine Aufzeichnungen zu dieser Datenübermittlung zu haben, sei eine Schutzbehauptung, unterläge doch eine solche Übermittlung der Protokollierungspflicht nach § 14 Abs. 2 Z. 7 DSG
  16. Sein Interesse an dieser Sache sei vor allem darin begründet, weitere Übermittlungen unrichtiger sensibler Daten zu seiner Person zu unterbinden, weshalb er auch auf der – hier nicht verfahrensgegenständlichen – Löschung seiner Daten aus dem ZIS bestanden habe. Dazu sei aber das Wissen über die verwendeten Daten, das ihm gestützt auf das datenschutzrechtliche Auskunftsrecht zukommen müsse, unabdingbare Voraussetzung.Der Beschwerdeführer brachte in zwei Stellungnahmen nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens vom
  17. April und
  18. Juli 2007 hinsichtlich dieser Beschwerdesache vor, der genaue Inhalt der Datenübermittlung von der Beschwerdegegnerin zur AVY*** sei weiterhin ungeklärt. Vermutlich habe es sich um eine (unrichtige) Krankheitsdiagnose gehandelt. Die Behauptung der Beschwerdegegnerin, keine Aufzeichnungen zu dieser Datenübermittlung zu haben, sei eine Schutzbehauptung, unterläge doch eine solche Übermittlung der Protokollierungspflicht nach Paragraph 14, Absatz 2, Ziffer 7, DSG
  19. Sein Interesse an dieser Sache sei vor allem darin begründet, weitere Übermittlungen unrichtiger sensibler Daten zu seiner Person zu unterbinden, weshalb er auch auf der – hier nicht verfahrensgegenständlichen – Löschung seiner Daten aus dem ZIS bestanden habe. Dazu sei aber das Wissen über die verwendeten Daten, das ihm gestützt auf das datenschutzrechtliche Auskunftsrecht zukommen müsse, unabdingbare Voraussetzung. B. Beschwerdegegenstand Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch, dass sie in ihrem Auskunftsschreiben vom
  20. November 2006 (samt Ergänzung vom
  21. Jänner 2007) keine Auskunft über die Übermittlung von Gesundheitsdaten erteilte, den Beschwerdeführer in seinem Recht auf Auskunft über eigene Daten verletzt hat. C. Sachverhaltsfeststellungen Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt: Der Beschwerdeführer richtete am
  22. Oktober 2006, damals noch nicht anwaltlich vertreten, ein spezifisch formuliertes Auskunftsbegehren an die Beschwerdegegnerin. Dieses hatte folgenden Wortlaut: „Ich bitte sie höflich darum, mir alle personenbezogenen Daten, die in ihren EDV-Systemen über mich gespeichert und verwaltet werden, in schriftlicher Form mitzuteilen. Im Besonderen bitte ich um Auskunft lt. § 26 DSG 2000 für folgende Daten:Im Besonderen bitte ich um Auskunft lt. Paragraph 26, DSG 2000 für folgende Daten: -Strichaufzählung alle allgemein verarbeiteten, personenbezogenen Daten -Strichaufzählung alle somatisch-medizinisch verarbeiteten, personenbezogenen Daten -Strichaufzählung alle psychisch-medizinisch verarbeiteten, personenbezogenen Daten -Strichaufzählung alle verfügbaren Informationen über die Herkunft der Daten -Strichaufzählung alle Empfänger oder Empfängerkreise von Übermittlungen der Daten“ Dieses Auskunftsbegehren wurde von der Beschwerdegegnerin am
  23. November 2006 mit Auskunftsschreiben zu Zl. 34-45/***12/01 beantwortet. Neben der Angabe der Polizzen-Nummern zu aktiven und historischen Versicherungsverträgen mit dem Beschwerdeführer enthält dieses Schreiben Angaben zu sechs allgemeinen Datenarten (ohne Angabe des Dateninhalts) sowie die Angabe, medizinische Daten des Beschwerdeführers nämlich die „gesundheitliche Historie (Quellen: Dr Michael Ü***, Dr. Hartmut Ö***, Dr. Günther Ä***)“, zu speichern. Angaben zu Empfängern oder Empfängerkreisen von Datenübermittlungen enthält das Schreiben nicht. Beweiswürdigung: Diese Feststellungen beruhen auf vom Beschwerdeführer mit der Beschwerde vorgelegten Kopien der zitierten Schreiben. Deren Echtheit ist von Seiten der Beschwerdegegnerin unbestritten. Am
  24. Mai 2006 verarbeitete die Beschwerdegegnerin (inhaltlich dargestellt, im Original teilweise in Codes ausgedrückt) als Neumeldung folgende Daten im vom Verband der Versicherungsunternehmen Österreichs (VVO) betriebenen Informationsverbundsystem mit der Bezeichnung „Zentrales Informationssystem – ZIS“: Name und Geburtsdatum des Beschwerdeführers, Bezeichnung der Beschwerdegegnerin (Versicherungsunternehmen mit der System ID-Nr. **), sowie die Angabe, dass die Beschwerdegegnerin einen mit dem Beschwerdeführer in der Sparte „Leben“ abgeschlossenen Versicherungsvertrag durch Rücktritt (Feldinhalt „6“) beendet hat. Diese Daten wurden in Folge eines Löschungsbegehrens des Beschwerdeführers am
  25. Jänner 2007 auf Grund eines Auftrags der Beschwerdegegnerin vom
  26. Dezember 2006 vom Systembetreiber aus dem ZIS gelöscht. Beweiswürdigung: Diese Feststellungen stützen sich auf die Angaben der Beschwerdegegnerin in der ergänzenden Stellungnahme vom
  27. April 2007 (ohne Zl.) samt Beilagen (Schreiben von RA Dr. M** vom
  28. Dezember 2006, 9/**/**, enthaltend das erwähnte Löschungsbegehren). Die Daten konnten dabei von der Beschwerdegegnerin aus der eigenen EDV rekonstruiert werden, während eine Anfrage beim VVO (Schreiben des VVO an die Datenschutzkommission vom
  29. April 2007) nach den im ZIS aktuell verarbeiteten Daten ein negatives Ergebnis brachte. Der Inhalt des zeitweilig im ZIS verarbeiteten Datensatzes mit Daten des Beschwerdeführers stimmt inhaltlich (nicht der Form nach) mit der Ergänzung des Auskunftsschreibens der Beschwerdegegnerin vom
  30. Jänner 2007 (Anlage E) überein (siehe sogleich Sachverhaltsfeststellung weiter unten). Am
  31. Dezember 2006 verlangte der Beschwerdeführer, nunmehr anwaltlich vertreten, unter Fristsetzung bis zum
  32. Dezember 2006 die Verbesserung der erteilten Auskunft zu seinen Daten. Zu verbessern sei die Auskunft dahingehend, dass die konkreten Daten, insbesondere die ins ZIS eingegebenen Daten, die gesamte vorliegende gesundheitliche Historie und die medizinischen Daten offen zu legen seien. Mit selbem Schreiben und bei gleicher Frist wurde auch die Löschung der ins ZIS eingegebenen Daten verlangt. Mit Schreiben vom
  33. Jänner 2007 legte die Beschwerdegegnerin dem Beschwerdeführer gegenüber offen, welche Verletzung der Anzeigepflicht (des Beschwerdeführers als Versicherungsnehmer) im Zusammenhang mit welchen medizinischen Befunden ausschlaggebend für den Rücktritt von der Kapitallebensversicherungs-Neupolizze 12**/321.*** war und welche Daten (siehe oben) aus diesem Anlass im ZIS verarbeitet wurden. Über eine Übermittlung dieser Daten, insbesondere einer Diagnose, an die AVY***, wurde auch in diesem Schreiben keine Auskunft erteilt. Beweiswürdigung: wie bisher, insbesondere wird auf den Inhalt der zitierten Urkunden, die der Datenschutzkommission in Kopie vorliegen, verwiesen. Die Beschwerdegegnerin übermittelte zwischen dem
  34. September und dem
  35. Oktober 2006 telefonisch der AVY*** Personenversicherung AG, DVR 00***12, den Beschwerdeführer betreffende sensible Daten zu jener medizinischen Diagnose, die Anlass für den oben festgestellten Vertragsrücktritt waren, nachdem die AVY*** im Zuge der Prüfung eines Antrags des Beschwerdeführers auf Abschluss einer Krankenversicherung die den Beschwerdeführer betreffenden ZIS-Daten eingesehen hatte. Beweiswürdigung: Diese Feststellung – bei einem gegenteiligen Vorbringen der Beschwerdegegnerin – stützt sich auf die vom Beschwerdeführer als Beilage./3 zu seiner Beschwerde vom
  36. Februar 2007 in Kopie vorgelegten Beweisurkunde Schreiben der AVY*** vom
  37. Jänner
  38. Das Anfangsdatum für die zeitliche Abgrenzung stützt sich auf das vom Beschwerdeführer angegebene Datum seines Krankenversicherungsantrags bei der AVY***, das Enddatum auf das in Kopie vorliegende Schreiben, mit dem die AVY*** dieses Anbot abgelehnt hat (Beilage./2 zur Beschwerde). Es erscheint plausibel, dass eine Versicherung, die in einem eigens für diesen Zweck geschaffenen Informationsverbundsystem (die Rechtmäßigkeit der Datenverwendung im ZIS war nicht Gegenstand dieses Auskunftsbeschwerdeverfahrens) anlässlich einer offenbar routinemäßig vorgesehenen Prüfung auf Daten stößt, die geeignet erscheinen, die Vertrauenswürdigkeit eines bestimmten (potenziellen) Kunden in Zweifel zu ziehen, nähere Ermittlungen veranlasst. Diese bestanden hier offenkundig in einer telefonischen Rückfrage bei der ablehnenden Versicherung nach dem Grund für den Rücktritt. Dabei liegt es auf der Hand, dass bei einem Antrag auf Krankenversicherung vorzugsweise nach Gesundheitsdaten gefragt wird. Da die Beschwerdegegnerin schon in ihrem ersten Auskunftschreiben vom
  39. November 2006 ausdrücklich angegeben hat, Daten zur „gesundheitlichen Historie“ des Beschwerdeführers zu „speichern“ (einschließlich der Erwähnung des Namens jenes Arztes, dessen Diagnose für den Vertragsrücktritt entscheidend gewesen sein soll), erscheinen die Behauptungen, eine telefonische Auskunftserteilung sei nicht nachvollziehbar bzw. Diagnosen würden nicht an Dritte übermittelt, als Schutzbehauptungen. Eine Datenverwendung im ZIS, die, äußerst knapp gefasst, als ein bloßer Hinweis auf vertragswidriges Verhalten wirkt, wäre ohne die Bereitschaft zu bedarfsweiser näherer Auskunftserteilung an eine am Informationsverbundsystem teilnehmende Versicherung ohne jene Aussagekraft, die für geschäftliche Entscheidungen unabdingbar erscheint. Und es wäre unverständlich, warum ein Versicherungsunternehmen bereit sein sollte, den Aufwand für eine Teilnahme am ZIS für diese Art von Daten auf sich zu nehmen. Die Beschwerdegegnerin selbst hat ihre negative Auskunft zu jeglicher Form des Flusses von Gesundheitsdaten insoweit abgeschwächt, als sie nicht ausschließen wollte, dass „Mitarbeiter in einem Einzelfall ohne unser Wissen“ solche Daten übermittelt haben könnten (Stellungnahme vom
  40. März 2007). Die Angaben des Beschwerdeführers, die durch den Inhalt einer Urkunde gestützt werden, die ein außerhalb dieses Rechtsstreits stehender Dritter angefertigt hat, waren daher für wahr zu erachten; der obige Sachverhalt war festzustellen. D. In rechtlicher Hinsicht folgt daraus:
  41. anzuwendende Rechtsvorschriften Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.Nach der Verfassungsbestimmung des Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden. § 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten.Paragraph 26, DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu Paragraph eins, Absatz 3, Ziffer eins, DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. § 26 Abs. 1 bis 7 DSG 2000 lautet unter der Überschrift „Auskunftsrecht“:Paragraph 26, Absatz eins bis 7 DSG 2000 lautet unter der Überschrift „Auskunftsrecht“: „§ 26.

(1)Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.
(2)Absatz 2,Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen. Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit 1.Ziffer eins des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich oder 2.Ziffer 2 der Sicherung der Einsatzbereitschaft des Bundesheeres oder 3.Ziffer 3 der Sicherung der Interessen der umfassenden Landesverteidigung oder 4.Ziffer 4 des Schutzes wichtiger außenpolitischer, wirtschaftlicher oder finanzieller Interessen der Republik Österreich oder der Europäischen Union oder 5.Ziffer 5 der Vorbeugung, Verhinderung oder Verfolgung von Straftaten ergeben. Die Zulässigkeit der Auskunftsverweigerung aus den Gründen der Z 1 bis 5 unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission gemäß § 31 Abs. 4.ergeben. Die Zulässigkeit der Auskunftsverweigerung aus den Gründen der Ziffer eins bis 5 unterliegt der Kontrolle durch die Datenschutzkommission nach Paragraph 30, Absatz 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission gemäß Paragraph 31, Absatz 4,
(3)Absatz 3,Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.
(4)Absatz 4,Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Absatz 3, mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.
(5)Absatz 5,In jenen Bereichen der Vollziehung, die mit der Wahrnehmung der in Abs. 2 Z 1 bis 5 bezeichneten Aufgaben betraut sind, ist, soweit dies zum Schutz jener öffentlichen Interessen notwendig ist, die eine Auskunftsverweigerung erfordert, folgendermaßen vorzugehen: Es ist in allen Fällen, in welchen keine Auskunft erteilt wird - also auch weil tatsächlich keine Daten verwendet werden -, anstelle einer inhaltlichen Begründung der Hinweis zu geben, daß keine der Auskunftspflicht unterliegenden Daten über den Betroffenen verwendet werden. Die Zulässigkeit dieser Vorgangsweise unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission nach § 31 Abs. 4.In jenen Bereichen der Vollziehung, die mit der Wahrnehmung der in Absatz 2, Ziffer eins bis 5 bezeichneten Aufgaben betraut sind, ist, soweit dies zum Schutz jener öffentlichen Interessen notwendig ist, die eine Auskunftsverweigerung erfordert, folgendermaßen vorzugehen: Es ist in allen Fällen, in welchen keine Auskunft erteilt wird - also auch weil tatsächlich keine Daten verwendet werden -, anstelle einer inhaltlichen Begründung der Hinweis zu geben, daß keine der Auskunftspflicht unterliegenden Daten über den Betroffenen verwendet werden. Die Zulässigkeit dieser Vorgangsweise unterliegt der Kontrolle durch die Datenschutzkommission nach Paragraph 30, Absatz 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission nach Paragraph 31, Absatz 4,
(6)Absatz 6,Die Auskunft ist unentgeltlich zu erteilen, wenn sie den aktuellen Datenbestand einer Datenanwendung betrifft und wenn der Betroffene im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber zum selben Aufgabengebiet gestellt hat. In allen anderen Fällen kann ein pauschalierter Kostenersatz von 18,89 Euro verlangt werden, von dem wegen tatsächlich erwachsender höherer Kosten abgewichen werden darf. Ein etwa geleisteter Kostenersatz ist ungeachtet allfälliger Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.
(7)Absatz 7,Ab dem Zeitpunkt der Kenntnis von einem Auskunftsverlangen darf der Auftraggeber Daten über den Betroffenen innerhalb eines Zeitraums von vier Monaten und im Falle der Erhebung einer Beschwerde gemäß § 31 an die Datenschutzkommission bis zum rechtskräftigen Abschluß des Verfahrens nicht vernichten.Ab dem Zeitpunkt der Kenntnis von einem Auskunftsverlangen darf der Auftraggeber Daten über den Betroffenen innerhalb eines Zeitraums von vier Monaten und im Falle der Erhebung einer Beschwerde gemäß Paragraph 31, an die Datenschutzkommission bis zum rechtskräftigen Abschluß des Verfahrens nicht vernichten. ...“
  1. Rechtliche Schlussfolgerungen: Die Beschwerde ist in ihrem ganzen Umfang berechtigt. Dass die Beschwerdegegnerin Gesundheitsdaten des Beschwerdeführers verwendet und in zumindest einem Fall übermittelt hat, steht für die Datenschutzkommission fest (siehe Sachverhaltsfeststellung). Zur Frage, welche genauen bescheidmäßigen Feststellungen in einem Beschwerdeverfahren wegen Verletzung im Recht auf Auskunft erforderlich sind, hält die Datenschutzkommission fest, dass bei Ausübung und Durchsetzung des Auskunftsrechts im Allgemeinen weder dem Auskunftswerber noch der Datenschutzkommission die allenfalls zu beauskunftenden Daten im Einzelnen bekannt sind, ansonsten wäre das Recht sinnlos bzw. würde die Datenschutzkommission an die Stelle des zur Auskunft verpflichteten Auftraggebers treten. In einem Verfahren nach § 31 Abs. 1 DSG 2000 kann es daher zunächst nicht Aufgabe der Datenschutzkommission sein, durch Feststellung sämtlicher in Verbindung mit dem Auskunftsersuchen stehender Daten im Bescheid die Auskunftserteilung durch den Auftraggeber vorwegzunehmen (Bescheid der Datenschutzkommission vom
  2. Juni 2006, GZ: K121.075/0013-DSK/2006, RIS).Zur Frage, welche genauen bescheidmäßigen Feststellungen in einem Beschwerdeverfahren wegen Verletzung im Recht auf Auskunft erforderlich sind, hält die Datenschutzkommission fest, dass bei Ausübung und Durchsetzung des Auskunftsrechts im Allgemeinen weder dem Auskunftswerber noch der Datenschutzkommission die allenfalls zu beauskunftenden Daten im Einzelnen bekannt sind, ansonsten wäre das Recht sinnlos bzw. würde die Datenschutzkommission an die Stelle des zur Auskunft verpflichteten Auftraggebers treten. In einem Verfahren nach Paragraph 31, Absatz eins, DSG 2000 kann es daher zunächst nicht Aufgabe der Datenschutzkommission sein, durch Feststellung sämtlicher in Verbindung mit dem Auskunftsersuchen stehender Daten im Bescheid die Auskunftserteilung durch den Auftraggeber vorwegzunehmen (Bescheid der Datenschutzkommission vom
  3. Juni 2006, GZ: K121.075/0013-DSK/2006, RIS). Eine Verwendung von automationsunterstützt gespeicherten Gesundheitsdaten liegt unabhängig von der Form der Speicherung vor. Es macht in Bezug auf das Bestehen des subjektiven Auskunftsrechts daher keinen Unterschied, ob die Daten in einer genau strukturierten und entsprechend aufbereiteten Datenbank verarbeitet oder in einem grafisch gespeicherten Textdokument (etwa einem als Scan gespeicherten ärztlichen Befund) enthalten sind. Das entscheidende Abgrenzungskriterium ist jeweils die Auffindbarkeit der Daten, also die Frage, ob sie mit den beim Auftraggeber üblichen Suchroutinen gefunden und mit der Person des Betroffenen in Zusammenhang gebracht werden können. Aus dem festgestellten Sachverhalt, nämlich dass diese Daten auf telefonische Anfrage hin telefonisch übermittelt werden konnten, lässt sich der Schluss ziehen, dass die eigentlichen Gesundheitsdaten an Hand der im ZIS gespeicherten Daten (Name, Geburtsdatum des Betroffenen, meldendes Versicherungsunternehmen) in den automationsunterstützten Datenanwendungen der Beschwerdegegnerin ohne besonderen Aufwand gefunden und ausgegeben (angezeigt, ausgedruckt etc.) werden konnten. Was das Vorbringen der Beschwerdegegnerin betrifft, der Vorgang einer Datenübermittlung von ärztlichen Diagnosen an Dritte sei weder üblich noch nachvollziehbar, ist Folgendes zu sagen: Dass solche Übermittlungen in Ergänzung zu Auskünften aus dem ZIS „unüblich“ seien, ist nicht glaubwürdig. Wenn sie weiters „nicht nachvollziehbar“ sind, müsste angenommen werden, dass in der Organisation der Auftraggeberin schwerwiegende Mängel hinsichtlich der gesetzlich gebotenen Datensicherheit bestehen. Ein einer Datenanwendung zu Grunde liegendes technisch-organisatorisches System, in dem Mitarbeiter in der Lage wären, sensible Daten (hier: Gesundheitsdaten) - berechtigt oder nicht - abzufragen und telefonisch zu übermitteln, ohne dass dieser Vorgang nachvollzogen und beauskunftet werden kann, würde mit den nach § 14 DSG 2000 gebotenen Datensicherheitsmaßnahmen in Widerspruch stehen. Die Datenschutzkommission geht für das gegenständliche Verfahren bis zum Beweis des Gegenteils davon aus, dass die Beschwerdegegnerin über entsprechende Vorkehrungen verfügt, ihre Auftraggeberpflichten zu erfüllen und somit in der Lage ist, nach eingehenderen Ermittlungen Auskunft zu erteilen. Sich allein darauf zu berufen, dass keine Aufzeichnungen über diese Übermittlungen vorliegen, ist keine ausreichende Begründung dafür, dass glaublich tatsächliche Unmöglichkeit der Auskunftserteilung anzunehmen ist. Vielmehr werden von der Beschwerdegegnerin jedenfalls Nachforschungen, insbesondere bei den unmittelbar in Betracht kommenden Mitarbeitern, durchzuführen sein oder es wird im Sinne des § 26 Abs. 4 DSG 2000 eingehend zu begründen sein, wenn daran festgehalten wird, dass die Auskunft nicht erteilt werden kann. Diese Begründung wird auch aufzuzeigen haben, welche Anstrengungen die Beschwerdeführerin unternommen hat, um ihrer Verpflichtung zur Auskunftserteilung zu genügen.Was das Vorbringen der Beschwerdegegnerin betrifft, der Vorgang einer Datenübermittlung von ärztlichen Diagnosen an Dritte sei weder üblich noch nachvollziehbar, ist Folgendes zu sagen: Dass solche Übermittlungen in Ergänzung zu Auskünften aus dem ZIS „unüblich“ seien, ist nicht glaubwürdig. Wenn sie weiters „nicht nachvollziehbar“ sind, müsste angenommen werden, dass in der Organisation der Auftraggeberin schwerwiegende Mängel hinsichtlich der gesetzlich gebotenen Datensicherheit bestehen. Ein einer Datenanwendung zu Grunde liegendes technisch-organisatorisches System, in dem Mitarbeiter in der Lage wären, sensible Daten (hier: Gesundheitsdaten) - berechtigt oder nicht - abzufragen und telefonisch zu übermitteln, ohne dass dieser Vorgang nachvollzogen und beauskunftet werden kann, würde mit den nach Paragraph 14, DSG 2000 gebotenen Datensicherheitsmaßnahmen in Widerspruch stehen. Die Datenschutzkommission geht für das gegenständliche Verfahren bis zum Beweis des Gegenteils davon aus, dass die Beschwerdegegnerin über entsprechende Vorkehrungen verfügt, ihre Auftraggeberpflichten zu erfüllen und somit in der Lage ist, nach eingehenderen Ermittlungen Auskunft zu erteilen. Sich allein darauf zu berufen, dass keine Aufzeichnungen über diese Übermittlungen vorliegen, ist keine ausreichende Begründung dafür, dass glaublich tatsächliche Unmöglichkeit der Auskunftserteilung anzunehmen ist. Vielmehr werden von der Beschwerdegegnerin jedenfalls Nachforschungen, insbesondere bei den unmittelbar in Betracht kommenden Mitarbeitern, durchzuführen sein oder es wird im Sinne des Paragraph 26, Absatz 4, DSG 2000 eingehend zu begründen sein, wenn daran festgehalten wird, dass die Auskunft nicht erteilt werden kann. Diese Begründung wird auch aufzuzeigen haben, welche Anstrengungen die Beschwerdeführerin unternommen hat, um ihrer Verpflichtung zur Auskunftserteilung zu genügen. Da auf Grundlage der Ergebnisse des Ermittlungsverfahrens feststeht, dass die Beschwerdegegnerin über Daten, die sie verwendet, nicht dem Gesetz entsprechend vollständig Auskunft erteilt hat, war spruchgemäß zu entscheiden. In dieser Sache liegt ein vom Beschwerdeführer dargelegtes besonderes Auskunftsinteresse darin, von der Beschwerdegegnerin Auskunft über die Identität von Empfängern - und nicht bloß Empfängerkreisen - von Gesundheitsdaten zu erhalten, um gegen möglicherweise unrichtige oder missverständliche Daten seine Rechte auch bei Empfängern dieser Daten geltend machen zu können. Wie im Fall der besonderen Interessenlage in Bezug auf Bonitätsdaten (Bescheid der Datenschutzkommission vom
  4. Februar 2005, GZ: K120.981/0002-DSK/2005, RIS, vgl. auch VwGH Erkenntnis vom
  5. Dezember 2006, Zl. 2005/06/0111-13) war daher auch hier dem Auftraggeber die Auskunft über die Empfänger der Daten aufzutragen.In dieser Sache liegt ein vom Beschwerdeführer dargelegtes besonderes Auskunftsinteresse darin, von der Beschwerdegegnerin Auskunft über die Identität von Empfängern - und nicht bloß Empfängerkreisen - von Gesundheitsdaten zu erhalten, um gegen möglicherweise unrichtige oder missverständliche Daten seine Rechte auch bei Empfängern dieser Daten geltend machen zu können. Wie im Fall der besonderen Interessenlage in Bezug auf Bonitätsdaten (Bescheid der Datenschutzkommission vom
  6. Februar 2005, GZ: K120.981/0002-DSK/2005, RIS, vergleiche auch VwGH Erkenntnis vom
  7. Dezember 2006, Zl. 2005/06/0111-13) war daher auch hier dem Auftraggeber die Auskunft über die Empfänger der Daten aufzutragen.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.