{'item': 'K212.469/0008-DSK/2011'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum20.07.2011 GeschäftszahlK212.469/0008-DSK/2011 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] EMPFEHLUNG Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. SOUHRADA-KIRCHMAYER, Mag. HEILEGGER, Mag. MAITZ-STRASSNIG und Dr. HEISSENBERGER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom

Juli 2011 folgenden Beschluss gefasst: Aus Anlass der Eingabe von Frau S**** vom
Mai 2010, betreffend Anführung ihrer Kontonummer bei der Adressierung von Scheckformularen ergeht gemäß § 30 Abs. 6 DSG 2000 zur Herstellung des rechtmäßigen Zustands die folgende Empfehlung an die A**** BankAus Anlass der Eingabe von Frau S**** vom
Mai 2010, betreffend Anführung ihrer Kontonummer bei der Adressierung von Scheckformularen ergeht gemäß Paragraph 30, Absatz 6, DSG 2000 zur Herstellung des rechtmäßigen Zustands die folgende Empfehlung an die A**** Bank AG: -Strichaufzählung Die A**** Bank AG hat bei der Adressierung und Zustellung von Zusendungen (wie insbesondere Scheckformulare) an Kunden die Anführung der Kontonummer des Kunden auf den Adressetiketten zu unterlassen. -Strichaufzählung Für die Umsetzung dieser Empfehlung wird eine Frist von sechs Monaten gesetzt. Rechtsgrundlagen: §§ 1 Abs. 1 und 2, § 8 Abs. 1 und 30 Abs. 6 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Paragraphen eins, Absatz eins und 2, Paragraph 8, Absatz eins und 30 Absatz 6, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. Gründe für diese Empfehlung: A. Vorbringen der Beteiligten und Verfahrensgang In ihrer Eingabe vom
Mai 2010 (eingelangt am
Juni 2010) führte die Beschwerdeführerin aus, dass sie sich als Kundin der A**** Bank AG "alle paar Monate" die Scheckformulare zusenden lasse. Dabei habe sie feststellen müssen, dass neben der Anschrift ihre vollständige Kontonummer aufscheine. Sie ersuche daher die Datenschutzkommission um Hilfe, damit die A**** Bank AG veranlasst werde, Scheckformulare ohne die für jedermann ersichtliche Kontonummer des Adressaten zuzusenden. Mit Schreiben vom
Juni 2010 ersuchte die Datenschutzkommission die A**** Bank AG um Stellungnahme. In ihrer Stellungnahme vom
Juni 2010 (eingelangt am
Juni 2010) wird von der A**** Bank AG ausgeführt, dass sie wegen der korrekten Zuordenbarkeit bei der Kuvertierung (Scheckgarnitur zur richtigen Klebeetikette) auf den Adressetiketten die Kontonummer anführt. Aus Sicht der A**** Bank AG bestehe keine Datenschutzverletzung, zumal mit der alleinigen Kenntnis der Kontonummer kein Schaden verursacht werden könne. Mit Schreiben vom
Dezember 2010 (eingelangt am
Dezember 2010) wies die Einschreiterin darauf hin, dass sich die Praxis der A**** Bank AG bezüglich der Angabe der Kontonummer auf den Adressetiketten nicht geändert habe. Mit Schreiben vom
Juni 2011 widersprach die Datenschutzkommission der Interpretation der A**** Bank AG, dass die Kontonummer nicht missbraucht werden könne, und wies auf eine Information der Arbeiterkammer "Automatische Zahlungsaufträge von Girokonten" hin, in der diese Missbrauchsgefahr aufgezeigt werde. In ihrer Stellungnahme vom
Juni 2011 (eingelangt am
Juli 2011) teilt die A**** Bank AG auf die Vorhaltung der Datenschutzkommission, dass die Kontonummer allein für missbräuchliche Abbuchungsaufträge und Einziehungsermächtigungen genutzt werden könne, abermals mit, dass mit der Kenntnis der Kontonummer allein – ohne Zutun des Kunden – kein Schaden verursacht werden könne, und dass fragwürdige Abbuchungen ohne zugrundeliegendes rechtmäßiges Vertragsverhältnis innerhalb von 56 Tagen rückgängig gemacht werden können. B. Sachverhaltsfeststellungen Es wird der folgende Sachverhalt festgestellt: Die A**** Bank AG versendet Scheckformulare an Kunden in der Weise, dass von außen nicht nur der Name und die Postanschrift, sondern auch die Kontonummer ersichtlich sind. Beweiswürdigung: Diese Feststellung ergibt sich aus einer Fotokopie eines Umschlages, mit dem Scheckformulare zugesendet werden, der von der Einschreiterin der Beschwerde angeschlossen wurde, sowie aus den Stellungnahmen der A**** Bank AG vom
Juni 2010 und
Juni
C. In rechtlicher Hinsicht folgt daraus:
anzuwendende Rechtsvorschriften Die relevanten Vorschriften des DSG 2000 lauten auszugsweise: Die Verfassungsbestimmung § 1 Abs. 1 und 2 DSG 2000 lautet samtDie Verfassungsbestimmung Paragraph eins, Absatz eins und 2 DSG 2000 lautet samt Überschrift: "Grundrecht auf Datenschutz § 1.

(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins,

(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden."

(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden." § 4 Z 1 DSG 2000 lautet:Paragraph 4, Ziffer eins, DSG 2000 lautet: "§

Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:
"Daten" ("personenbezogene Daten"): Angaben über Betroffene (Z 3), deren Identität bestimmt oder bestimmbar ist; "nur indirekt personenbezogen" sind Daten für einen Auftraggeber (Z 4), Dienstleister (Z 5) oder Empfänger einer Übermittlung (Z 12) dann, wenn der Personenbezug der Daten derart ist, daß dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;"
"Daten" ("personenbezogene Daten"): Angaben über Betroffene (Ziffer 3,), deren Identität bestimmt oder bestimmbar ist; "nur indirekt personenbezogen" sind Daten für einen Auftraggeber (Ziffer 4,), Dienstleister (Ziffer 5,) oder Empfänger einer Übermittlung (Ziffer 12,) dann, wenn der Personenbezug der Daten derart ist, daß dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;" § 7 Abs. 1 DSG 2000 lautet samt Überschrift:Paragraph 7, Absatz eins, DSG 2000 lautet samt Überschrift: "Zulässigkeit der Verwendung von Daten § 7.

(1)Daten dürfen nur verarbeitet werden, soweit Zweck und Inhalt der Datenanwendung von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des jeweiligen Auftraggebers gedeckt sind und die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nicht verletzen." § 8 Abs. 1 DSG 2000 lautet samt Überschrift:Paragraph 8, Absatz eins, DSG 2000 lautet samt Überschrift: "Schutzwürdige Geheimhaltungsinteressen bei Verwendung nichtsensibler Daten § 8.

(1)Gemäß § 1 Abs. 1 bestehende schutzwürdige Geheimhaltungsinteressen sind bei Verwendung nicht-sensibler Daten dann nicht verletzt, wennParagraph 8,

(1)Gemäß Paragraph eins, Absatz eins, bestehende schutzwürdige Geheimhaltungsinteressen sind bei Verwendung nicht-sensibler Daten dann nicht verletzt, wenn 1.Ziffer eins eine ausdrückliche gesetzliche Ermächtigung oder Verpflichtung zur Verwendung der Daten besteht oder 2.Ziffer 2 der Betroffene der Verwendung seiner Daten zugestimmt hat, wobei ein Widerruf jederzeit möglich ist und die Unzulässigkeit der weiteren Verwendung der Daten bewirkt, oder 3.Ziffer 3 lebenswichtige Interessen des Betroffenen die Verwendung erfordern oder 4.Ziffer 4 überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten die Verwendung erfordern." § 30 Abs. 1 und 6 DSG 2000 lauten:Paragraph 30, Absatz eins und 6 DSG 2000 lauten: "Kontrollbefugnisse der Datenschutzkommission § 30.

(1)Jedermann kann sich wegen einer behaupteten Verletzung seiner Rechte oder ihn betreffender Pflichten eines Auftraggebers oder Dienstleisters nach diesem Bundesgesetz mit einer Eingabe an die Datenschutzkommission wenden.Paragraph 30,

(6)Zur Herstellung des rechtmäßigen Zustandes kann die Datenschutzkommission, sofern nicht Maßnahmen nach den §§ 22 und 22a oder nach Abs. 6a zu treffen sind, Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere

Strafanzeige nach §§ 51 oder 52 erstatten, oder
bei schwerwiegenden Verstößen durch Auftraggeber des privaten Bereichs Klage vor dem zuständigen Gericht gemäß § 32 Abs. 5 erheben, oder
bei Verstößen von Auftraggebern, die Organe einer Gebietskörperschaft sind, das zuständige oberste Organ befassen. Dieses Organ hat innerhalb einer angemessenen, jedoch zwölf Wochen nicht überschreitenden Frist entweder dafür Sorge zu tragen, dass der Empfehlung der Datenschutzkommission entsprochen wird, oder der Datenschutzkommission mitzuteilen, warum der Empfehlung nicht entsprochen wurde. Die Begründung darf von der Datenschutzkommission der Öffentlichkeit in geeigneter Weise zur Kenntnis gebracht werden, soweit dem nicht die Amtsverschwiegenheit entgegensteht."

(6)Zur Herstellung des rechtmäßigen Zustandes kann die Datenschutzkommission, sofern nicht Maßnahmen nach den Paragraphen 22 und 22 a oder nach Absatz 6 a, zu treffen sind, Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere

Strafanzeige nach Paragraphen 51, oder 52 erstatten, oder
bei schwerwiegenden Verstößen durch Auftraggeber des privaten Bereichs Klage vor dem zuständigen Gericht gemäß Paragraph 32, Absatz 5, erheben, oder
bei Verstößen von Auftraggebern, die Organe einer Gebietskörperschaft sind, das zuständige oberste Organ befassen. Dieses Organ hat innerhalb einer angemessenen, jedoch zwölf Wochen nicht überschreitenden Frist entweder dafür Sorge zu tragen, dass der Empfehlung der Datenschutzkommission entsprochen wird, oder der Datenschutzkommission mitzuteilen, warum der Empfehlung nicht entsprochen wurde. Die Begründung darf von der Datenschutzkommission der Öffentlichkeit in geeigneter Weise zur Kenntnis gebracht werden, soweit dem nicht die Amtsverschwiegenheit entgegensteht."
rechtliche Schlussfolgerungen § 1 DSG 2000 räumt den Betroffenen einen grundsätzlichen Anspruch auf Schutz ihrer personenbezogenen Daten ein (Grundrecht auf Datenschutz).Paragraph eins, DSG 2000 räumt den Betroffenen einen grundsätzlichen Anspruch auf Schutz ihrer personenbezogenen Daten ein (Grundrecht auf Datenschutz). Personenbezogene Daten sind Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist (§ 4 Z 1 DSG 2000). Die Kontonummer gehört zu den personenbezogenen Daten des Bankkunden. Die Identität des Betroffenen ist im vorliegenden Fall ohne Zweifel bestimmbar, weil der Name zusammen mit der Kontonummer bei der Versendung von Scheckformularen angeführt ist.Personenbezogene Daten sind Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist (Paragraph 4, Ziffer eins, DSG 2000). Die Kontonummer gehört zu den personenbezogenen Daten des Bankkunden. Die Identität des Betroffenen ist im vorliegenden Fall ohne Zweifel bestimmbar, weil der Name zusammen mit der Kontonummer bei der Versendung von Scheckformularen angeführt ist. Im gegenständlichen Fall wird infolge der Anbringung der Kontonummer auf der Adressetikette eine Übermittlung an all jene Dritte vorgenommen, die das Adressetikett einsehen können. Da weder eine Zustimmung der Einschreiterin noch ein "lebenswichtiges Interesse" an Übermittlung der Kontonummer an Dritte gegeben ist, wären Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig. Auch § 8 Abs. 1 DSG 2000, der im Falle automationsunterstützter Datenverwendung anwendbar ist, stellt in Z 4 auf ein überwiegendes berechtigtes Interesse des Auffraggebers oder eines Dritten ab.Im gegenständlichen Fall wird infolge der Anbringung der Kontonummer auf der Adressetikette eine Übermittlung an all jene Dritte vorgenommen, die das Adressetikett einsehen können. Da weder eine Zustimmung der Einschreiterin noch ein "lebenswichtiges Interesse" an Übermittlung der Kontonummer an Dritte gegeben ist, wären Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig. Auch Paragraph 8, Absatz eins, DSG 2000, der im Falle automationsunterstützter Datenverwendung anwendbar ist, stellt in Ziffer 4, auf ein überwiegendes berechtigtes Interesse des Auffraggebers oder eines Dritten ab. Ein solches Interesse liegt jedoch nicht vor. Wie von der A**** Bank AG ausgeführt wird, führt sie die Kontonummer auf den Adressetiketten wegen der korrekten Zuordenbarkeit bei der Kuvertierung (Schickgarnitur zur richtigen Klebeetikette) an. Diese Vorgangweise mag zwar "praktisch" sein und vor Irrtümern schützen, ist jedoch nicht die einzig denkbare Vorgangsweise, um eine korrekte Zusendung zu ermöglichen. Die Anführung der Kontonummer auf einer Adressetikette ist somit überschießend und stellt einen unrechtmäßigen Eingriff in das Grundrecht auf Datenschutz dar. Daran ändert auch die Tatsache nichts, dass im konkreten Fall die Kontonummer offenbar nicht missbräuchlich verwendet wurde. Auch die Mitteilung der A**** Bank AG, dass illegale Buchungen rückgängig gemacht werden können, und der Umstand, dass der finanzielle Schaden wieder behoben werden kann, ändern nichts am gegenständlichen Grundrechtseingriff. Die vorliegende Empfehlung sieht daher vor, die bisherige Vorgangweise der Anbringung der Kontonummer auf den Adressetiketten einzustellen. Eine Frist von sechs Monaten scheint in Anbetracht des Umstandes, dass einige organisatorische Änderungen erforderlich sind, angemessen.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.