{'item': 'K215.018/0005-DSK/2013'}

RIS Dokument Entscheidende BehördeDatenschutzkommission Entscheidungsdatum01.02.2013 GeschäftszahlK215.018/0005-DSK/2013 Text[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] E M P F E H L U N G Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KÖNIG, Dr. ROSENMAYR-KLEMENZ, Mag. HUTTERER, Mag. HEILEGGER und Dr. HEISSENBERGER sowie des Schriftführers Dr. SCHMIDL in ihrer Sitzung vom

Februar 2013 folgenden Beschluss gefasst: Aus Anlass der Eingabe von Herrn Heribert Ä*** vom
August 2012, betreffend die Installation von Gaszählgeräten, ergeht gemäß § 30 Abs. 6 DSG 2000 zur Herstellung des rechtmäßigen Zustands die folgende Empfehlung an die Y*** GmbH:Aus Anlass der Eingabe von Herrn Heribert Ä*** vom
August 2012, betreffend die Installation von Gaszählgeräten, ergeht gemäß Paragraph 30, Absatz 6, DSG 2000 zur Herstellung des rechtmäßigen Zustands die folgende Empfehlung an die Y*** GmbH: - Der Y*** GmbH möge geeignete Datensicherheitsmaßnahmen ergreifen, um den Zugriff auf personenbezogene Daten, die im Gaszählgerät gespeichert sind, durch Unbefugte zu unterbinden. Für die Umsetzung dieser Empfehlung wird eine Frist von sechs Monaten gesetzt. Rechtsgrundlagen: § 1 Abs. 1 und 2, § 4 Z 1, § 14 und § 30 Abs. 6 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Paragraph eins, Absatz eins und 2, Paragraph 4, Ziffer eins,, Paragraph 14 und Paragraph 30, Absatz 6, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. G r ü n de f ü r d i e s e E m p f e h l u n g : A. Vorbringen der Beteiligten und Verfahrensgang
In seiner Eingabe vom 29 August 2012 führte der Einschreiter aus, dass im Zuge des Neueinbaus von Gasleitungen im denkmalgeschützten „***haus“ in Y***, in dem er wohnhaft ist, die Gaszählgeräte auf den Gang verlegt würden, sodass der Zählerstand, Verbrauch (ob und wie viel) etc. einem unbegrenzten Kreis von unbekannten Personen (Mieter und Angehörige, Zusteller etc.) zugänglich gemacht werde. Dadurch sehe er sich in seinem Recht auf Datenschutz massiv beeinträchtigt, macht dazu die Hausverwaltung namhaft, die die Umstände in Besprechungen aber ins Lächerliche gezogen hätte.
Die zur Stellungnahme aufgeforderte Hausverwaltung verwies auf den Gaslieferanten, die Y*** GmbH.
Die Y*** GmbH brachte im Schreiben vom
Oktober 2012 vor, für den Montageort des Zählers seien sicherheitstechnische (Richtlinie der ÖVGW; Allgemeine Verteilernetzbedingungen) und gesetzliche Vorgaben sowie die räumliche Situation vor Ort zu berücksichtigen. Ein „massiver Eingriff“ in das Recht auf Datenschutz des Einschreiters sei nicht gegeben, das Vorliegen personenbezogener Daten werde bezweifelt, die An- bzw. Abwesenheiten in der Wohnung könne man anhand des Zählerstandes nicht eruieren. Der gleiche Sachverhalt sei überdies auch bei anderen Messstellen (Strom, Wasser) gegeben. Sollte der Eingriff in das Recht auf Datenschutz tatsächlich bestehen, werde die Datenschutzkommission ersucht, anzuleiten, zu welchen Maßnahmen Versorgungsunternehmen verpflichtet seien, um den Zugriff auf die genannten Daten durch Dritte zu unterbinden. B. Sachverhaltsfeststellungen Es wird der folgende Sachverhalt festgestellt: Im Zuge des Neueinbaus von Gasleitungen im so genannten „***haus“ an der Adresse *** (an welcher der Einschreiter wohnhaft ist), werden die Gaszählgeräte in allgemein zugänglichen Gebäudeteilen angebracht, sodass die Zählstände einem über den Gasnetzbetreiber, den Gaslieferanten und den Mieter (Vertragspartner) hinausreichenden Personenkreis zugänglich werden. Beweiswürdigung: Diese Feststellungen sind unbestritten und ergeben sich aus der Eingabe sowie der Stellungnahme der Y*** GmbH vom
Oktober
C. In rechtlicher Hinsicht folgt daraus:
anzuwendende Rechtsvorschriften Die relevanten Vorschriften des DSG 2000 lauten auszugsweise: Die Verfassungsbestimmung § 1 Abs. 1 und 2 DSG 2000 lautet samt Überschrift:Die Verfassungsbestimmung Paragraph eins, Absatz eins und 2 DSG 2000 lautet samt Überschrift: „Grundrecht auf Datenschutz § 1.

(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins,

(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.“

(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.“ § 4 Z 1 DSG 2000 lautet:Paragraph 4, Ziffer eins, DSG 2000 lautet: „§

Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:
„Daten“ („personenbezogene Daten“): Angaben über Betroffene (Z 3), deren Identität bestimmt oder bestimmbar ist; „nur indirekt personenbezogen“ sind Daten für einen Auftraggeber (Z 4), Dienstleister (Z 5) oder Empfänger einer Übermittlung (Z 12) dann, wenn der Personenbezug der Daten derart ist, daß dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;“
„Daten“ („personenbezogene Daten“): Angaben über Betroffene (Ziffer 3,), deren Identität bestimmt oder bestimmbar ist; „nur indirekt personenbezogen“ sind Daten für einen Auftraggeber (Ziffer 4,), Dienstleister (Ziffer 5,) oder Empfänger einer Übermittlung (Ziffer 12,) dann, wenn der Personenbezug der Daten derart ist, daß dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;“ § 14 DSG 2000 lautet samt Überschrift:Paragraph 14, DSG 2000 lautet samt Überschrift: „Datensicherheitsmaßnahmen § 14.

(1)Für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, sind Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit sicherzustellen, daß die Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, daß ihre Verwendung ordnungsgemäß erfolgt und daß die Daten Unbefugten nicht zugänglich sind.Paragraph 14,

(2)Insbesondere ist, soweit dies im Hinblick auf Abs. 1 letzter Satz erforderlich ist,

(2)Insbesondere ist, soweit dies im Hinblick auf Absatz eins, letzter Satz erforderlich ist,

die Aufgabenverteilung bei der Datenverwendung zwischen den Organisationseinheiten und zwischen den Mitarbeitern ausdrücklich festzulegen,
die Verwendung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden,
jeder Mitarbeiter über seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,
die Zutrittsberechtigung zu den Räumlichkeiten des Auftraggebers oder Dienstleisters zu regeln,
die Zugriffsberechtigung auf Daten und Programme und der Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln,
die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,
Protokoll zu führen, damit tatsächlich durchgeführte Verwendungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können,
eine Dokumentation über die nach Z 1 bis 7 getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern.
eine Dokumentation über die nach Ziffer eins bis 7 getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern. Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei der Durchführung erwachsenden Kosten ein Schutzniveau gewährleisten, das den von der Verwendung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.

(3)Nicht registrierte Übermittlungen aus Datenanwendungen, die einer Verpflichtung zur Auskunftserteilung gemäß § 26 unterliegen, sind so zu protokollieren, daß dem Betroffenen Auskunft gemäß § 26 gegeben werden kann. In der Standardverordnung (§ 17 Abs. 2 Z 6) oder in der Musterverordnung (§ 19 Abs. 2) vorgesehene Übermittlungen bedürfen keiner Protokollierung.

(3)Nicht registrierte Übermittlungen aus Datenanwendungen, die einer Verpflichtung zur Auskunftserteilung gemäß Paragraph 26, unterliegen, sind so zu protokollieren, daß dem Betroffenen Auskunft gemäß Paragraph 26, gegeben werden kann. In der Standardverordnung (Paragraph 17, Absatz 2, Ziffer 6,) oder in der Musterverordnung (Paragraph 19, Absatz 2,) vorgesehene Übermittlungen bedürfen keiner Protokollierung.

(4)Protokoll- und Dokumentationsdaten dürfen nicht für Zwecke verwendet werden, die mit ihrem Ermittlungszweck - das ist die Kontrolle der Zulässigkeit der Verwendung des protokollierten oder dokumentierten Datenbestandes - unvereinbar sind. Unvereinbar ist insbesondere die Weiterverwendung zum Zweck der Kontrolle von Betroffenen, deren Daten im protokollierten Datenbestand enthalten sind, oder zum Zweck der Kontrolle jener Personen, die auf den protokollierten Datenbestand zugegriffen haben, aus einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, daß es sich um die Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach § 278a StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt.

(4)Protokoll- und Dokumentationsdaten dürfen nicht für Zwecke verwendet werden, die mit ihrem Ermittlungszweck - das ist die Kontrolle der Zulässigkeit der Verwendung des protokollierten oder dokumentierten Datenbestandes - unvereinbar sind. Unvereinbar ist insbesondere die Weiterverwendung zum Zweck der Kontrolle von Betroffenen, deren Daten im protokollierten Datenbestand enthalten sind, oder zum Zweck der Kontrolle jener Personen, die auf den protokollierten Datenbestand zugegriffen haben, aus einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, daß es sich um die Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach Paragraph 278 a, StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt.

(5)Sofern gesetzlich nicht ausdrücklich anderes angeordnet ist, sind Protokoll- und Dokumentationsdaten drei Jahre lang aufzubewahren. Davon darf in jenem Ausmaß abgewichen werden, als der von der Protokollierung oder Dokumentation betroffene Datenbestand zulässigerweise früher gelöscht oder länger aufbewahrt wird.

(6)Datensicherheitsvorschriften sind so zu erlassen und zur Verfügung zu halten, daß sich die Mitarbeiter über die für sie geltenden Regelungen jederzeit informieren können. § 30 Abs. 1 und 6 DSG 2000 lauten:Paragraph 30, Absatz eins und 6 DSG 2000 lauten: „Kontrollbefugnisse der Datenschutzkommission § 30.

(1)Jedermann kann sich wegen einer behaupteten Verletzung seiner Rechte oder ihn betreffender Pflichten eines Auftraggebers oder Dienstleisters nach diesem Bundesgesetz mit einer Eingabe an die Datenschutzkommission wenden.Paragraph 30,

(6)Zur Herstellung des rechtmäßigen Zustandes kann die Datenschutzkommission, sofern nicht Maßnahmen nach den §§ 22 und 22a oder nach Abs. 6a zu treffen sind, Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere

(6)Zur Herstellung des rechtmäßigen Zustandes kann die Datenschutzkommission, sofern nicht Maßnahmen nach den Paragraphen 22 und 22 a oder nach Absatz 6 a, zu treffen sind, Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere 1.Ziffer eins Strafanzeige nach §§ 51 oder 52 erstatten, oderStrafanzeige nach Paragraphen 51, oder 52 erstatten, oder 2.Ziffer 2 bei schwerwiegenden Verstößen durch Auftraggeber des privaten Bereichs Klage vor dem zuständigen Gericht gemäß § 32 Abs. 5 erheben, oderbei schwerwiegenden Verstößen durch Auftraggeber des privaten Bereichs Klage vor dem zuständigen Gericht gemäß Paragraph 32, Absatz 5, erheben, oder

bei Verstößen von Auftraggebern, die Organe einer Gebietskörperschaft sind, das zuständige oberste Organ befassen. Dieses Organ hat innerhalb einer angemessenen, jedoch zwölf Wochen nicht überschreitenden Frist entweder dafür Sorge zu tragen, dass der Empfehlung der Datenschutzkommission entsprochen wird, oder der Datenschutzkommission mitzuteilen, warum der Empfehlung nicht entsprochen wurde. Die Begründung darf von der Datenschutzkommission der Öffentlichkeit in geeigneter Weise zur Kenntnis gebracht werden, soweit dem nicht die Amtsverschwiegenheit entgegensteht.“
rechtliche Schlussfolgerungen Gemäß § 4 Z 1 DSG 2000 sind personenbezogene Daten Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist. Die Gaszählerstände sind daher personenbezogene Daten des Mieters der Wohneinheit, der wie im gegenständlichen Fall in der Regel auch Verbraucher ist, und stehen unter dem Schutz des Grundrechts auf Datenschutz gemäß § 1 DSG 2000.Gemäß Paragraph 4, Ziffer eins, DSG 2000 sind personenbezogene Daten Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist. Die Gaszählerstände sind daher personenbezogene Daten des Mieters der Wohneinheit, der wie im gegenständlichen Fall in der Regel auch Verbraucher ist, und stehen unter dem Schutz des Grundrechts auf Datenschutz gemäß Paragraph eins, DSG
Gemäß § 14 Abs. 1 DSG 2000 sind für alle Organisationseinheiten eines Auftraggebers, die (personenbezogene) Daten verwenden, Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit (ua.) sicherzustellen, dass die Daten Unbefugten nicht zugänglich sind.Gemäß Paragraph 14, Absatz eins, DSG 2000 sind für alle Organisationseinheiten eines Auftraggebers, die (personenbezogene) Daten verwenden, Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit (ua.) sicherzustellen, dass die Daten Unbefugten nicht zugänglich sind. Gemäß § 14 Abs. 2 Z 5 DSG 2000 ist dabei insbesondere, soweit dies im Hinblick auf Abs. 1 letzter Satz erforderlich ist, die Zugriffsberechtigung auf Daten und Programme und der Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln.Gemäß Paragraph 14, Absatz 2, Ziffer 5, DSG 2000 ist dabei insbesondere, soweit dies im Hinblick auf Absatz eins, letzter Satz erforderlich ist, die Zugriffsberechtigung auf Daten und Programme und der Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln. Im gegenständlichen Fall werden die Gaszählerstände zur Erfüllung des Vertrages des Verbrauchers mit dem Netzbetreiber bzw. dem Energielieferanten benötigt. Wird, etwa durch den allgemein zugänglichen Montageort wie hier, Unbefugten ohne jede Beschränkung der Zugriff auf personenbezogene Daten, die dem Grundrecht auf Datenschutz (§ 1 DSG 2000) unterliegen, ermöglicht, wird der Betroffene (Verbraucher) in diesem Grundrecht verletzt.Wird, etwa durch den allgemein zugänglichen Montageort wie hier, Unbefugten ohne jede Beschränkung der Zugriff auf personenbezogene Daten, die dem Grundrecht auf Datenschutz (Paragraph eins, DSG 2000) unterliegen, ermöglicht, wird der Betroffene (Verbraucher) in diesem Grundrecht verletzt. Etwaige sicherheitstechnische Vorgaben (gesetzliche Vorgaben wurden trotz Behauptung nicht näher angeführt) können einen Eingriff in das Grundrecht auf Datenschutz nicht rechtfertigen. Es war daher gemäß § 30 Abs. 6 DSG 2000 zur Herstellung des rechtmäßigen Zustands die obige Empfehlung zu erteilen. Eine Frist von sechs Monaten scheint in Anbetracht des Umstandes, dass bauliche Veränderungen notwendig sein könnten, angemessen.Es war daher gemäß Paragraph 30, Absatz 6, DSG 2000 zur Herstellung des rechtmäßigen Zustands die obige Empfehlung zu erteilen. Eine Frist von sechs Monaten scheint in Anbetracht des Umstandes, dass bauliche Veränderungen notwendig sein könnten, angemessen. Die Datenschutzkommission kann darüber hinaus entgegen dem Ersuchen der Y*** GmbH keine Maßnahmen verpflichtend vorschreiben, um den Zugriff auf die genannten Daten durch Dritte zu unterbinden, sie hat lediglich zu beurteilen, ob der gegebene Sachverhalt dem DSG 2000 entspricht.

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.