GZ: DSB-D216.435/0005-DSB/2017 vom 6.12.2017
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
EMPFEHLUNG
Die Datenschutzbehörde spricht aus Anlass der Eingabe des Udo I*** (Einschreiter), vertreten durch ****, vom 18. April und 18. Mai 2017 gegen die V*** Adressdaten GmbH (Antragsgegnerin), vertreten durch A*** F*** Rechtsanwälte OG, betreffend Verletzung im Recht auf Auskunft in Folge eines unvollständig beantworteten Auskunftsbegehrens folgende Empfehlung aus:
1. Die V*** Adressdaten GmbH möge die Auskunftsbeantwortung ergänzen und dem Einschreiter folgendes zur Kenntnis bringen:
a) Eine allgemein verständliche Erklärung für interne Schlüsselbegriffe (wie „innovative Aufsteiger“ ) sowie eine nähere Erklärung für deren Bewertung und Zuordnung zum Einschreiter (sei es durch Parameter und deren Gewichtung und der Aufzählung weiterer möglicher Kategorien oder anderer Kriterien) und
b) die Bekanntgabe allfälliger Empfänger oder Empfängerkreise von Übermittlungen.
2. Für die Umsetzung dieser Empfehlung wird eine Frist von einem Monat gesetzt.
Rechtsgrundlagen: § 1 Abs. 3 Z 1, § 26 Abs. 1 und 4, § 30 Abs. 1 und 6 sowie § 49 Abs. 3 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF; § 151 Abs. 6 der Gewerbeordnung 1994 (GewO), BGBl. Nr. 194 idgF.
Gründe für diese Empfehlung
A. Verfahrensgang und Vorbringen der Parteien
1. Der Einschreiter erhielt im Dezember 2016 eine Werbesendung zu einer „Franchise-Parnerschaft“ der Firma t*** AG an seine Postadresse. Diese Werbung veranlasste ihn dazu, bei der Firma t*** AG anzufragen, woher das Unternehmen die jeweiligen Adressen der Empfänger für die genannte Werbung beziehe. Dem Einschreiter wurde beauskunftet, dass die Antragsgegnerin die Adressdaten den vorgegebenen Auswahlkriterien entsprechend zur Verfügung stelle und man diese bei der Antragsgegnerin käuflich erworben habe.
2. Der Einschreiter , vertreten durch die ****, begehrte sodann mit Schreiben vom 24. Jänner 2017 Auskunft von der Antragsgegnerin. Insbesondere wurde angefragt, auf welcher Rechtsgrundlage die Antragsgegnerin bestimmte (Adress-) Daten anbieten würde und ob man diese gemäß vorgegebener Auswahlkriterien an die Firma t*** AG kostenpflichtig verkauft habe.
3. Die Antragsgegnerin brachte in ihrer Stellungnahme vom 02. Februar 2017 zusammengefasst vor, dass die Firma t*** AG tatsächlich den Zugang zu einem „V***online-Address-Tool“ erworben habe, um für den Versand von postalischen Werbeaussendungen Privatadressen zu selektieren. Es bestehe die Möglichkeit, mit diesem Tool nach bestimmten Merkmalen und Marketingklassifikationen zu selektieren. Es seien jedoch nur Name und Adresse zu einer Person angegeben worden, nicht jedoch die entsprechenden „Merkmalsberechnungen“. Darüber hinaus sei die Antragsgegnerin als Adressverlag und Direktmarketingunternehmen berechtigt, gemäß § 151 GewO unter Einhaltung der geltenden datenschutzrechtlichen Bestimmungen personenbezogene Daten in der genannten Weise zu verarbeiten.
4. Mit Schreiben vom 21. Februar 2017 forderte der Einschreiter schließlich eine vollständige Datenschutzauskunft von der Antragsgegnerin. Der Einschreiter führte insbesondere an, dass betreffend der Werbeaktion der Firma t*** AG keine konkrete Zustimmung vorläge und verlangte eine Erklärung zu dem Begriff „Merkmalsberechnungen“.
5. Im Schreiben vom 16. März 2017 gab die Antragsgegnerin an, folgende personenbezogene Daten des Einschreiters gespeichert bzw. im V***online-Address-Tool hinterlegt zu haben:
Herr Udo I***, J***straße 2*/4, 7*** L***dorf (einsehbar im Tool)
Altersgruppe: 46 bis 60 Jahre (nicht einsehbar im Tool)
Kaufkraft: hoch (nicht einsehbar im Tool)
Hausgröße: Einfamilienhaus (nicht einsehbar im Tool)
Lifestyle Segment / Typologie: Innovative Aufsteiger (nicht einsehbar im Tool)
6. Nach weiterem Schriftverkehr der Beteiligten kam mit Schreiben der Antragsgegnerin vom 12. April 2017 hervor, dass die E***-Direktmarketing Group Österreich GmbH (in Folge: Firma E***) die Daten des Einschreiters bereitgestellt habe. Diese verfüge – wie auch die Antragsgegnerin – über eine Gewerbeberechtigung für das Gewerbe des Adressverlag- und Direktmarketingunternehmens gemäß § 151 GewO. Man gehe davon aus, dass die Daten des Einschreiters durch die Firma E*** auf Grundlage und unter Beachtung der Bestimmung des § 151 GewO ermittelt und verarbeitet seien. Der Antragsgegner müsse daher sein Auskunftsbegehren an die Firma E*** richten.
7. Der Einschreiter wandte sich sodann mit Eingaben vom 18. April und 18. Mai 2017 an die Datenschutzbehörde und fügte den bisherigen Schriftverkehr der Beteiligten als Beilage bei. Es sei nicht ersichtlich, auf welcher Rechtsgrundlage die Antragsgegnerin und die Firma E*** welche persönliche Daten und zu welchem konkreten Zwecke weitergegeben haben. Die Firma E*** sei überdies bereits länger liquidiert und habe wohl Kundendaten – wie etwa die des Einschreiters – an die Antragsgegnerin weitergegeben bzw. verkauft. Insbesondere habe die Antragsgegnerin die von der Firma E*** übernommenen Daten nie geprüft. Man könne daher nicht davon ausgehen, dass die Daten durch die Firma E*** „unter Beachtung der gewerberechtlichen sowie datenschutzrechtlichen Bestimmungen ermittelt und verarbeitet worden seien“. Nach wie vor sei dem Einschreiter auch unklar, was unter dem Begriff „Innovative Aufsteiger“ gemeint sei bzw. weshalb dieser Begriff konkret dem Einschreiter zugeordnet sei.
8. Mit Stellungnahme vom 14. Juni 2017 wiederholte die Antragsgegnerin im Wesentlichen den bisherigen Inhalt des dargestellten Schriftverkehrs der Beteiligten. Die genannten Merkmale Altersgruppe, Kaufkraft, Hausgröße und Lifestyle-Segment/Typologie seien für Nutzer des V***online-Address-Tool nicht ersichtlich, es werde lediglich eine Selektion anhand dieser Merkmale ermöglicht (Filterfunktion). Wie ausgeführt, sei der Datenbestand der Firma E*** im Jahre 2013 übernommen worden, wobei eine entsprechende Mitteilung an die Datenschutzbehörde erfolgt sei. Bei der Übernahme der Adressdatensätze der Firma E***sei der Antragsgegnerin verbindlich zugesagt worden, dass die Daten rechtmäßig ermittelt, verarbeitet und zudem entsprechend behördlich gemeldet worden seien. Es bestand daher kein Anlass zum Zweifel, dass die Firma E*** Datenschutzrechte verletzt hätte.
9. Nach Aufforderung der Datenschutzbehörde brachte die Antragsgegnerin mit erneutem Schreiben vom 30. August 2017 folgende Stellungnahme vor:
a. Folgende Daten des Einschreiters werden ermittelt:
b. Einflussgrößen und Gewichtung der Merkmale betreffend:
Altersgruppe: Diese wird anhand des Vornamens bestimmt; hierbei werden
statistische Daten zu der Häufigkeit der Vornamen in den Geburtsjahren herangezogen.
Hausgröße: Diese wird anhand der Anzahl der Personen, die an einer
Wohnadresse wohnen, ermittelt (Einfamilienhaus, Zweifamilienhaus und Mehrparteienhaus).
Kaufkraft: Diese wird auf Basis der Parameter Adresse, Name (Titel) und
Hausgröße (siehe oben) ermittelt.
Lifestyle-Segment/
Typologie: Dieses wird auf Basis der Parameter Altersgruppe (siehe oben),
Hausgröße (siehe oben), Postleitzahl und Kaufkraft (siehe oben) ermittelt.
c. Übernahme der Daten von der E***-Direktmarketing Group GmbH durch die Antragsgegnerin
Die Übernahme des Datenbestandes sei auf Basis eines Asset Deal erfolgt. Es seien verschiedene Vermögenswerte, darunter auch eine Datenbank zu Marketingzwecken, von der Firma E*** übernommen worden. Eine Zustimmung der Betroffenen zur Übernahme der Datenbank der Firma E*** durch die Antragsgegnerin sei nicht erfolgt. Es seien jedoch die Betroffenen durch die Firma E*** informiert worden, dass ihre Daten zu Marketingzwecken verarbeitet würden und hierzu sei auch eine Zustimmung zur Übernahme in die Marketingdatenbank eingeholt worden.
d. Vertragsbestimmung zur Datenübernahme
Die relevante Vertragsbestimmung zur Datenübernahme zwischen der Firma E*** und der Antragsgegnerin sei folgende (Unterstreichungen erfolgten durch die Datenschutzbehörde):
[…]
5.1.11 Die Verkäufer garantieren und haften dafür solidarisch, dass die DATENBANKEN ordnungsgemäß gemäß §17ffDSG2000 bei der Österreichischen Datenschutzkommission gemeldet wurden und in der Folge im Datenverarbeitungsregister registriert wurden und zu den bestehenden Meldungen keine Auflagen seitens der Österreichischen Datenschutzkommission erteilt wurden. Die Verkäufer garantieren weiters und haften dafür solidarisch, dass sämtliche Angaben in den Meldungen richtig, vollständig und aktuell sind und, dass die DATEN unter Einhaltung der gesetzlichen Bestimmungen, insbesondere des § 151 GewO ermittelt und laufend aktualisiert wurden . Die Verkäufer garantieren auch, dass bei der Verwendung der DATENBANKEN in Deutschland alle anwendbaren datenschutzrechtlichen Bestimmungen eingehalten wurden und auch künftig eingehalten werden.
10. Mit Schreiben vom 18. September 2017 wiederholte der Einschreiter grundsätzlich sein bisheriges Vorbringen und brachte vor, die Antragsgegnerin sei einen entsprechenden Nachweis für das Nichtaufscheinen der Merkmale Altersgruppe, Kaufkraft, Hausgröße und Lifestyle-Segment / Typologie der Benutzer im V***online-Address-Tool schuldig. Nach wie vor fehle auch die entsprechende Rechtsgrundlage, die genannten Merkmale der Person des Einschreiters zuzuordnen. Die Antragsgegnerin sei verpflichtet, vor Übernahme von Datensätzen der Firma E*** diese einer Prüfung hinsichtlich ihrer datenschutzrechtlichen Konformität zu unterziehen und die Antragsgegnerin dürfe sich diesbezüglich nicht auf etwaige „vertragliche Garantien“ bzw. Zusagen verlassen. Unklar sei auch, welche Unternehmen konkret Zugriff auf das Produkt V***online-Address-Tool hätten und auf welche Weise die Antragsgegnerin die oben genannten Merkmale bzw. Marketingklassifikationen berechne und dem Einschreiter schließlich zuordne.
B. Sachverhalt
11. Der Einschreiter erhielt im Dezember 2016 eine Werbesendung zu einer „Franchise-Parnerschaft“ der Firma t*** AG an seine Postadresse. Im Rahmen eines Auskunftsbegehren und folglich eingeleiteten Verfahrens vor der Datenschutzbehörde stellte sich heraus, dass die Firma t*** AG die Adressdaten von der Antragsgegnerin im Zuge eines käuflich erworbenen Zugangs zum „ V***online-Address-Tool “ erhielt . Anhand einer Filterfunktion können mit diesem Tool potentielle (Werbe-) Kunden selektiert und deren Daten zu Werbezwecken erworben werden. Es befinden sich folgende Daten des Einschreiters im V***online-Address-Tool:
Die Datenarten „Name“ und „Adresse“ sind für Werbetreibende wie die Firma t*** AG, die einen Zugang zum Tool erwerben, öffentlich im Tool sichtbar, die übrigen Punkte „Kaufkraft“, „Hausgröße“ und „Lifstyle-Segment/Typologie“ sind nicht direkt im Tool sichtbar.
Die Antragsgegnerin ist ein Adressverlag und Direktmarketingunternehmen im Sinne von § 151 GewO. Sie erwarb die Datenarten „Name“ und „Adresse“ des Einschreiters im Rahmen eines Asset Deal von der mittlerweile liquidierten Firma E***, ebenfalls ein Adressverlag und Direktmarketingunternehmen im Sinne von § 151 GewO.
Die Datenarten „Kaufkraft“, „Hausgröße“ und „Lifestyle-Segment/Typologie“ wurden sodann statistisch hochgerechnet bzw. mit einem nicht näher bekannten Algorithmus ausgewertet, wobei die Antragsgegnerin zu den Datenarten folgendes angab:
Altersgruppe: Diese wird anhand des Vornamens bestimmt; hierbei werden
statistische Daten zu der Häufigkeit der Vornamen in den Geburtsjahren herangezogen.
Hausgröße: Diese wird anhand der Anzahl der Personen, die an einer
Wohnadresse wohnen, ermittelt (Einfamilienhaus, Zweifamilienhaus und Mehrparteienhaus).
Kaufkraft: Diese wird auf Basis der Parameter Adresse, Name (Titel) und
Hausgröße (siehe oben) ermittelt.
Lifestyle-Segment/
Typologie: Dieses wird auf Basis der Parameter Altersgruppe (siehe oben),
Hausgröße (siehe oben), Postleitzahl und Kaufkraft (siehe oben) ermittelt.
Beweiswürdigung: Die Feststellungen ergeben sich aus dem unstrittigen Vorbringen der Beteiligten und den im Akt aufliegenden Dokumenten, insbesondere aus dem Schriftverkehr der Beteiligten vor Einleitung des Verfahrens und dem Postwurf der Firma t*** AG.
C. In rechtlicher Hinsicht folgt daraus:
Allgemeines, Gegenstand des Verfahrens
12. Zunächst ist darauf hinzuweisen, dass alleiniger Gegenstand dieses Verfahrens die Frage der gesetzmäßigen datenschutzrechtlichen Auskunftserteilung durch die Antragsgegnerin ist. Durch diese Grenze war auch der Gegenstand des Ermittlungsverfahrens beschränkt. Ausführungen zur allgemeinen Rechtmäßigkeit der Datenverwendung durch die Beschwerdegegnerin und Fragen zur Rechtmäßigkeit bestimmter Verwendungsvorgänge, die sich im Laufe des Verfahrens ergeben haben, sind separat geltend zu machen. Auf die damit im Zusammenhang stehenden Fragen wird daher in weiterer Folge nicht näher eingegangen.
13. Somit waren bei Schluss des Ermittlungsverfahrens auf Grund des Vorbringens des Beschwerdeführers noch folgende zwei Punkte offen:
a) Eine allgemein verständliche Erklärung für interne Schlüsselbegriffe (wie „innovative Aufsteiger“ ) sowie eine nähere Erklärung für deren Bewertung und Zuordnung zum Einschreiter und
b) die Bekanntgabe allfälliger Empfänger oder Empfängerkreise von Übermittlungen.
Recht auf Auskunft, Umfang
14. Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.
15. Die Auskunft hat gemäß § 26 Abs. 1 in allgemein verständlicher Form zu erfolgen. Grundsätzlich müssen etwa interne Codes, technische Abkürzungen oder fremdsprachige Ausdrücke für den Betroffenen verständlich verdeutlicht oder erläutert werden. Jedenfalls ist eine Auskunft derart zu gestalten, dass diese unter Anlegung einer Durchschnittsbetrachtung verständlich ist ( Jahnel , Datenschutzrecht, 262; Dohr/Pollirer/Weiss/Knyrim , DSG², § 26 Anm. 16, 180). Dies bedeutet konkret, dass der Betroffene nicht nur über die Art (Kategorien) der über ihn zu verarbeiteten Daten aufzuklären ist, sondern dass ihm auch der Inhalt dieser Daten bekannt zu geben ist. Codes (im konkreten Fall: Dateninhalt, der nicht im Volltext, sondern durch Schlüsselbegriffe ausgedrückt wird, die nur dem organisationsinternen Gebrauch des Auftraggebers dienen) sind dem Betroffenen somit offen zu legen und zu erläutern (vgl. DSK vom 03. Oktober 2007, GZ K121.290/0015-DSK/2007, RIS; DSB vom 08. Juni 2017, GZ DSB D122.641/0006 DSB/2017, RIS).
Zu Frage a):
16. Die Zuschreibung von Marketingklassifikationen gemäß § 151 Abs. 6 GewO wie im vorliegenden Fall ist kein Vorgang der automatisierten Einzelentscheidung , der dem besonderen Auskunftsrecht gemäß § 49 Abs. 3 DSG 2000 unterliegt, wonach das Gesetz dem Betroffenen ein besonderes Auskunftsrecht hinsichtlich der Logik des Verarbeitungsvorgangs einräumt, das über das allgemeine Auskunftsrecht gemäß § 26 Abs. 1 und 4 DSG hinausgeht. (vgl. DSB vom 10. März 2016, GZ: DSB D122.322/0001 DSB/2016).
17. Das allgemeine Auskunftsrecht gemäß § 26 Abs. 1 und 4 DSG umfasst jedoch in jedem Fall verständliche Erklärungen für interne Schlüsselbegriffe (wie etwa „innovative Aufsteiger“ ), für deren Bewertung und Zuordnung zum Einschreiter ebenfalls eine nähere Erklärung erforderlich ist (sei es durch Parameter und deren Gewichtung und der Aufzählung weiterer möglicher Kategorien oder anderer Kriterien; vgl. dazu nochmals den Bescheid vom 10. März 2016).
Zu Frage b):
18. Dem Einschreiter sind gemäß § 26 Abs. 1 allfällige Empfänger oder Empfängerkreise von Übermittlungen seiner personenbezogenen Daten zu nennen. Gibt die Antragsgegnerin bloße Empfängerkreise bekannt, so ist auszuführen, weshalb in diesem Einzelfall auf Grund einer Abwägung der Gesichtspunkte der Datenschutzinteressen des Einschreiters einerseits und der Interessen der Antragsgegnerin andererseits keine konkreten Empfänger genannt werden (vgl. das Erkenntnis des VfGH vom 02. Oktober 2007, GZ B227/05).
Zusammenfassung
19. Dem Beschwerdeführer wurde im Rahmen des Schriftverkehrs der Beteiligten und auch anschließend im Rahmen des Verfahrens vor der Datenschutzbehörde schrittweise Auskunft gewährt, sodass sich im Ergebnis ein Gesamtbild über die ihn betreffenden personenbezogenen Daten ergab. Aus Sicht der Datenschutzbehörde waren jedoch noch die unter Punkt 13. angeführten Fragen offen, weshalb die obige Empfehlung zu erteilen war.
Rückverweise
