GZ: 2020-0.103.803 vom 25.2.2020 (Verfahrenszahl: DSB-D122.871)
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Iris A*** (Beschwerdeführerin) vom 6. März 2018 gegen das Bundesministerium für Landesverteidigung/Abwehramt (Beschwerdegegner) wegen 1) Verletzung im Recht auf Geheimhaltung und 2) Verletzung im Recht auf Information wie folgt:
- Die Beschwerde wird abgewiesen .
Rechtsgrundlagen: § 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF bis BGBl. I Nr. 132/2015; §§ 24 Abs. 5, §§ 36 ff und 69 Abs. 4 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idF ab BGBl. I Nr. 120/2017; §§ 22 ff des Militärbefugnisgesetzes (MBG), BGBl. I Nr. 86/2000 idgF, §§ 1 ff der Verordnung des Bundesministers für Landesverteidigung über die Verlässlichkeitserklärung, BGBl. II Nr. 195/2001 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit Eingabe vom 6. März 2018, verbessert mit Schreiben vom 14. März 2018, behauptete die Beschwerdeführerin eine Verletzung im Recht auf Geheimhaltung zusammengefasst dadurch, dass ihr Bruder, Eugen A***, im Rahmen einer „erweiterten Verlässlichkeitsprüfung“ die Wohnanschrift der Beschwerdeführerin dem Beschwerdegegner bekannt geben habe müssen. Die Beschwerdeführerin sei darüber nur zufällig am 28. Februar 2018 telefonisch durch ihren Bruder und nicht vom „Bundesheer“ in Kenntnis gesetzt worden. Der Bruder der Beschwerdeführerin habe gezwungenermaßen und daher nicht freiwillig ihre Daten weitergegeben, da er sonst den angestrebten Posten nicht erhalte, was zu erheblichen Einkommensverlusten und Karriereeinschnitten führe.
2. Mit Stellungnahme vom 5. April 2018 brachte der Beschwerdegegner zusammengefasst vor, dass militärische Dienststellen, die mit Aufgaben der nachrichtendienstlichen Abwehr betraut wären, in Angelegenheiten der militärischen Landesverteidigung berechtigt wären, eine Verlässlichkeitsprüfung gemäß § 23 MBG durchzuführen, insbesondere bei Personen, die Zugang zu militärischen Rechtsgütern hätten oder eine solche erlangen sollen. Gemäß § 24 MBG würde eine diesbezügliche Verlässlichkeitsüberprüfung nur aufgrund einer Verlässlichkeitserklärung des Betroffenen hinsichtlich seines Vorlebens und seiner gegenwärtigen Lebensumstände sowie mit dessen Zustimmung erfolgen. Mit Verordnung des Bundesministers für Landesverteidigung über die Verlässlichkeitserklärung seien nähere Bestimmungen u.a. über die erweiterte Verlässlichkeitserklärung getroffen worden, die auch Angaben zum Wohnsitz bestimmter Angehöriger vorsehen würden. Die Erläuterungen zum MBG sähen darüber hinaus vor, dass die verfassungsrechtlichen Grundrechte auf Datenschutz, sowie die Achtung des Privat- und Familienlebens beachtet, aber in Hinblick auf die Landesverteidigung in bestimmten Angelegenheiten keine Anwendung finden würden.
3. Die Beschwerdeführerin gab zur Stellungnahme des Beschwerdegegners im erteilten Parteigehör keine Stellungnahme ab.
4. Mit Schreiben vom 17. Juli 2019 forderte die Datenschutzbehörde den Beschwerdegegner zur ergänzenden Stellungnahme auf.
5. Mit ergänzender Stellungnahme vom 6. September 2019 brachte der Beschwerdegegner zusammengefasst vor, dass der Zweck der Verlässlichkeitsprüfung gemäß §§ 23 und 24 MBG darin liege, eine Gefahrenprognose über die zu prüfende Person zu erstellen. Im Rahmen der Prüfung der Verhältnismäßigkeit des Eingriffs habe in jedem Einzelfall eine Interessensabwägung im Hinblick auf die Schwere eines allfälligen Grundrechtseingriffs zu erfolgen. Der angestrebte Erfolg müsse in einem vertretbaren Verhältnis zu den Schäden oder Gefährdungen stehen, die der Befugniseinsatz voraussichtlich bewirkt. Darüber hinaus sei hier die Erstellung einer verlässlichen Gefährdungsprognose über eine Person erforderlich, damit in weiterer Folge keine militärischen Rechtgüter gefährdet würden. Der Erfolg bestehe somit im Schutzzustand von militärischen Rechtsgütern und dem präventiven Abwenden von Angriffen auf militärische Rechtsgüter. Da die gewonnenen Informationen auch gemäß den gesetzlichen Vorgaben verwahrt würden, könne ein Missbrauch und dadurch eine Gefährdung der betroffenen Person ausgeschlossen werden. In gegenständlicher Angelegenheit liege weder eine Verletzung des Rechts auf Geheimhaltung noch ein Verstoß gegen die Verpflichtung zur Information gemäß den Bestimmungen des DSG vor. Es werde daher der Antrag gestellt, die Beschwerde der Beschwerdeführerin abzuweisen.
6. Die Beschwerdeführerin gab zur ergänzenden Stellungnahme des Beschwerdegegners im erteilten Parteigehör keine Stellungnahme ab.
7. Mit Schreiben vom 25. Oktober 2019 beraumte die Datenschutzbehörde für den 14. November 2019 eine Einschau in den Räumlichkeiten des Abwehramtes an. Die Einschau wurde am 14. November 2019 durchgeführt.
6. Die Beschwerdeführerin gab zur – im Rahmen des Parteiengehörs – vorgelegten Resümeenotiz über die Einschau keine Stellungnahme ab.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob der Beschwerdegegner durch die Verarbeitung personenbezogener Daten der Beschwerdeführerin im Rahmen der Verlässlichkeitsprüfung des Bruders der Beschwerdeführerin diese in ihren Rechten auf Geheimhaltung und Information verletzt hat.
C. Sachverhaltsfeststellungen
Die Datenschutzbehörde legt zunächst den oben unter A. festgehaltenen, aktenmäßig dokumentierten Sachverhalt ihrer Entscheidung zu Grunde, wobei in Bezug auf die Verlässlichkeitserklärung festgestellt wird, dass der Bruder der Beschwerdeführerin (Eugen A***) eine solche ausgefüllt und abgegeben hat.
Beweiswürdigung : Die Feststellungen ergeben sich aus den übereinstimmenden Vorbringen der Verfahrensparteien in ihren Schreiben an die Datenschutzbehörde.
Hr. A*** hat die Verlässlichkeitsprüfung anlässlich der Begründung eines Dienstverhältnisses selbst beantragt, der Antrag wurde vom S 2-Dienst des zuständigen Militärkommandos (hier Militärkommando *** – MilKdo *) entgegengenommen.
Die Verlässlichkeitsprüfung wurde anhand des vom Beschwerdegegner vorgegebenen, standardisierten Fragebogens („Erweiterte Verlässlichkeitserklärung gem. § 1 Abs. 1 Z 2 Verlässlichkeitserklärung, BGBl. II Nr. 195/2001“) durchgeführt. Ein Musterformular befindet sich im Akt.
In weiterer Folge wurde der von Hrn. A*** ausgefüllte Antrag vom MilKdo * gemeinsam mit den Anträgen anderer Personen physisch zu einem „Sammelakt“ zusammengefasst und dieser Sammelakt anschließend ebenfalls physisch dem Abwehramt zur weiteren Prüfung vorgelegt.
Lediglich ein Erledigungsschreiben des MilKdo *, in welchem auf die Vorlage des Sammelaktes Bezug genommen wird, samt Folgeblatt wurden dem Abwehramt nachrichtlich (elektronisch) übermittelt. Der Name von Eugen A*** scheint nicht auf der ersten Seite dieser Erledigung auf, sondern erst auf dem Folgeblatt. Eine Suche im elektronischen Aktenverwaltungssystem des Abwehramtes mit den Suchparametern „Eugen A***“ verläuft negativ. Nur im Rahmen einer so genannten „Volltextsuche“ können die Daten „Eugen A***“ dem Erledigungsschreiben des MilKdo *, und damit der Geschäftszahl, zugeordnet werden.
Anhand des Erledigungsschreibens des MilKdo * samt Geschäftszahl ist es möglich, den physischen Antrag des Eugen A*** in der physischen Aktenablage zu finden (hier: Aktenkiste mit der Nummer Z*****-2018).
In der Aktenkiste befinden sich mehrere geprüfte Anträge, der Antrag des Eugen A*** ist im Gesamtkonvolut nicht gesondert markiert und kann daher nur nach Sichtung aller Anträge ausgehoben werden.
Im „Beiblatt 2 zur erweiterten Verlässlichkeitserklärung“ des Eugen A*** scheint – neben anderen Einträgen – folgender handschriftlicher Eintrag auf (Formatierung nicht wie im Original, handschriftliche Einträge kursiv gesetzt):
„Bezug zu dieser Person: Bruder/Schwester
Familienname: A***
Vorname: Iris
frühere Namen: -
Geburtsort und Geburtsland: */Österreich
Geburtsdatum: *.**.1974
Staatsbürgerschaft(en): Österreich
Beruf: *angestellte
Wohnsitz: **** Wien, **gasse **/* “
Die Daten der Beschwerdeführerin wurden vom Beschwerdegegner im Rahmen der Verlässlichkeitsprüfung des Eugen A***nicht elektronisch verarbeitet.
Die elektronische Datenverarbeitung von Daten der Beschwerdeführerin im Aktenverwaltungssystem des Abwehramtes bezieht sich ausschließlich auf das vorliegende Beschwerdeverfahren.
Beweiswürdigung: Dies ergibt sich aus der am 14. November 2019 durchgeführten Einschau, in deren Rahmen sich die Datenschutzbehörde vergewisserte, dass die Daten der Beschwerdeführerin ausschließlich im Zusammenhang mit dem vorliegenden Beschwerdeverfahren elektronisch verarbeitet werden. Dies wurde durch Abfragen im elektronischen Aktenverwaltungssystem des Abwehramtes nachgewiesen. Die Datenschutzbehörde konnte weiters feststellen, dass die Daten der Beschwerdeführerin im Zusammenhang mit der Verlässlichkeitsprüfung des Eugen A*** nur analog im Antrag des Eugen A*** aufscheinen und dieser Antrag nur auf die oben beschriebene Weise ausgehoben werden kann.
D. In rechtlicher Hinsicht folgt daraus:
D.1 Zur Rechtslage:
D.1.1. Verstoß gegen § 1 Abs. 1 DSG 2000:
Über diesen Beschwerdeteil ist verfahrensrechtlich nach neuer Rechtslage (DSG idF BGBl. I Nr. 24/2018) gemäß § 24 Abs. 5 DSG zu entscheiden. Materiellrechtlich ist die Sache jedoch nach den - vor dem 28. Februar 2018 (Zeitpunkt der behaupteten Verletzung des Rechts auf Geheimhaltung) - geltenden Bestimmungen des DSG (2000) idF BGBl. I Nr. 83/2013 zu beurteilen.
Ein Eingriff in das Grundrecht auf Datenschutz ist nicht von einer bestimmten Form abhängig. Nach der Rechtsprechung des Verwaltungsgerichtshofes zu § 1 Abs. 1 DSG 2000 gewährt diese Bestimmungen einen umfassenden Geheimhaltungsanspruch personenbezogener Daten, unabhängig von den technisch-organisatorischen Bedingungen ihrer Verarbeitung. Auch der Verfassungsgerichtshof hat im Erkenntnis VfSlg. 19.937/2014 ausgesprochen, dass das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG 2000 nicht auf automationsunterstützt verarbeitete Daten oder manuelle Daten eingeschränkt ist (vgl. dazu das Erkenntnis [Anmerkung Bearbeiter: des Verwaltungsgerichtshofs] vom 28. Februar 2018, Ra 2015/04/0087).
Der Anwendungsbereich des § 1 DSG 2000 ist somit jedenfalls eröffnet.
Eine Verletzung im Grundrecht auf Geheimhaltung nach § 1 Abs. 1 DSG 2000 liegt nicht vor, wenn die Datenverarbeitung mit Zustimmung der betroffenen Person, in ihrem lebenswichtigen Interesse oder zur Wahrung überwiegender berechtigter Interessen eines anderen erfolgt, und zwar bei Eingriffen einer staatlichen Behörde nur aufgrund einer qualifizierten gesetzlichen Grundlage (§ 1 Abs. 2 DSG 2000).
Da vorliegend der Eingriff einer staatlichen Behörde – der Beschwerdegegnerin – zuzurechnen ist, ist zu prüfen, ob der Eingriff durch eine qualifizierte gesetzliche Grundlage gedeckt ist.
§§ 23 und 24 MBG lauten auszugsweise:
Verlässlichkeitsprüfung
§ 23. (1) Militärische Dienststellen, die mit Aufgaben der nachrichtendienstlichen Abwehr betraut sind, dürfen in Angelegenheiten der militärischen Landesverteidigung eine Verlässlichkeitsprüfung durchführen. Eine Verlässlichkeitsprüfung ist die Abklärung der Verlässlichkeit einer Person anhand von Daten, die Aufschluss darüber geben, ob Anhaltspunkte dafür bestehen, dass von dieser Person eine Gefahr für die militärische Sicherheit ausgeht.
(2) […]
(3) Eine Verlässlichkeitsprüfung darf erfolgen hinsichtlich Personen, die
1. Zugang zu militärischen Rechtsgütern nach § 1 Abs. 7 Z 3 haben oder erlangen sollen oder
2. sich im räumlichen Umfeld von Personen oder Sachen aufhalten, deren Schutz und Sicherung im Rahmen des militärischen Wachdienstes erforderlich ist.
(4) […].
Durchführung der Verlässlichkeitsprüfung
§ 24. (1) Eine Verlässlichkeitsprüfung ist in den Fällen des § 23 Abs. 3 Z 1 nur auf Grund einer Erklärung des Betroffenen hinsichtlich seines Vorlebens und seiner gegenwärtigen Lebensumstände (Verlässlichkeitserklärung) und mit dessen Einwilligung durchzuführen. Der Bundesminister für Landesverteidigung hat mit Verordnung nähere Bestimmungen über die Verlässlichkeitserklärung zu erlassen.
(2) In die Verlässlichkeitsprüfung sind jene Daten einzubeziehen, die die mit Aufgaben der nachrichtendienstlichen Abwehr betrauten militärischen Dienststellen ermittelt haben. Darüber hinaus dürfen im Wege eines Auskunftsverlangens nach § 21 oder § 22 Abs. 2 ermittelt werden
1. im Falle des § 23 Abs. 3 Z 1 die zur Überprüfung der Richtigkeit und Vollständigkeit der vom Geprüften gemachten Angaben notwendigen Daten und
2. im Falle des § 23 Abs. 3 Z 2 jene Daten, ohne die die Durchführung der Verlässlichkeitsprüfung nicht möglich wäre.
Bei der Einbeziehung von Daten in eine Verlässlichkeitsprüfung ist die Verhältnismäßigkeit zu wahren zwischen den Interessen des Privat- und Familienlebens des Betroffenen und den zwingenden öffentlichen Interessen.
(3) Im Falle einer Verlässlichkeitsprüfung nach § 23 Abs. 3 Z 1 haben sich die Ermittlungen auf die Überprüfung der Verlässlichkeitserklärung zu beschränken. Widersprechen die Ergebnisse solcher Ermittlungen der Verlässlichkeitserklärung, so ist dem Betroffenen Gelegenheit zu einer Äußerung zu geben.
§ 3 der Verordnung über die Verlässlichkeitserklärung lautet auszugsweise:
§ 3. (1) Die Verlässlichkeitsprüfung ist auf Grund einer erweiterten Verlässlichkeitserklärung
durchzuführen, wenn der Betroffene Zugang zu militärischen Bereichen oder Heeresgut oder militärischen Geheimnissen haben oder erlangen soll, deren Beeinträchtigung einen erheblichen Nachteil für die militärische Sicherheit darstellt.
(2) Im Rahmen der erweiterten Verlässlichkeitserklärung dürfen zusätzlich zu den Themenbereichen
nach § 2 Abs. 2 ausschließlich Angaben über folgende Themenbereiche verlangt werden:
[…]
3. Name, Geburtsort und -datum, Staatsbürgerschaft, Beruf und Wohnsitz von
a) Kindern, Geschwistern, früheren Ehegatten oder Lebensgefährten und
b) sonstigen näher verwandten oder näher verschwägerten oder näher bekannten Personen,
jeweils mit Relevanz für die militärische Sicherheit,
[…].
Wie festgestellt, gab der Bruder der Beschwerdeführerin eine erweiterte Verlässlichkeitserklärung ab. Diese wurde, wie festgestellt, vom Abwehramt geprüft. Soweit es die Beschwerdeführerin betrifft, wurden die oben festgestellten Daten verarbeitet.
Im Summe findet daher die verfahrensgegenständliche Datenverarbeitung der Beschwerdeführerin Deckung in den zitierten Bestimmungen, weshalb eine Verletzung im Recht auf Geheimhaltung nicht vorliegt.
D.1.2. Verstoß gegen Informationspflichten:
Über diesen Beschwerdeteil ist verfahrensrechtlich nach neuer Rechtslage (DSG, BGBl. I Nr. 165/1999 idF BGBl. I Nr. 24/2018) gemäß § 24 Abs. 5 DSG zu entscheiden. Zeitlich dauert der behauptete Verstoß nämlich an, da der Beschwerdegegner auch im laufenden Verfahren vor der Datenschutzbehörde bis zu dessen Abschluss den Informationspflichten nicht nachgekommen ist.
Die verfahrensgegenständliche Datenverarbeitung fällt unter das 3. Hauptstück des DSG, weil sie durch eine zuständige Behörde (vgl. dazu § 36 Abs. 2 Z 7 lit. a DSG) für Zwecke der militärischen Eigensicherung (vgl. dazu § 36 Abs. 1 DSG iVm § 2 Abs. 1 Z 2 MBG) erfolgte.
Die Zuständigkeit der Datenschutzbehörde gründet sich auf § 31 Abs. 1 DSG und wurde im Übrigen auch nicht angezweifelt.
§ 43 DSG verpflichtet den Verantwortlichen der betroffenen Person bestimmte Informationen zur Verarbeiter ihrer Daten zur Verfügung zu stellen.
Das 3. Hauptstück des DSG setzt die Richtlinie (EU) 2016/680 um. Diese Richtlinie gilt gemäß deren Art. 2 Abs. 2 für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Die §§ 36 ff DSG sind daher im Lichte dieses sachlichen Anwendungsbereiches zu interpretieren.
Wie festgestellt, wurden die Daten der Beschwerdeführerin im Rahmen der Verlässlichkeitsprüfung ihres Bruders nichtautomatisiert verarbeitet. Demnach ist es für die Anwendung der §§ 36 ff DSG erforderlich, dass die nichtautomatisierte Verarbeitung so erfolgt, dass die so verarbeiteten Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Gemäß § 36 Abs. 2 Z 6 DSG bedeutete „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geographischen Gesichtspunkten geführt wird.
Nach der Rechtsprechung des EuGH zur vergleichbaren Definition nach der Richtlinie 95/46/EG liegt eine Datei immer dann vor, wenn eine strukturierte Sammlung personenbezogener Daten gegeben ist, die eine leichte Wiederauffindbarkeit einer Person gewährleistet (vgl. dazu das Urteil vom 10. Juli 2018, C 25/17 Rz 52 ff).
Umgelegt auf den vorliegenden Fall bedeutet dies folgendes:
Um die Daten der Beschwerdeführerin wiederaufzufinden, ist es zunächst erforderlich zu wissen, dass sie die Schwester von Eugen A***ist und dass dieser eine erweiterte Verlässlichkeitserklärung abgegeben hat.
Da bereits die Suche nach der Verlässlichkeitserklärung der Referenzperson – Eugen A*** – wie festgestellt einen erheblichen Aufwand verursacht und die Daten der Beschwerdeführerin nur im „Beiblatt 2 zur erweiterten Verlässlichkeitserklärung“ aufscheinen und dieses Beiblatt im Gesamtkonvolut eigens herausgesucht werden muss, kann nicht davon ausgegangen werden, dass eine leichte Wiederauffindbarkeit ihrer Daten möglich ist.
Die Daten der Beschwerdeführerin werden daher nicht in einem Dateisystem verarbeitet, weshalb die §§ 36 ff DSG, und damit auch die Verpflichtung zur Information der betroffenen Person nach § 43 DSG, keine Anwendung finden.
D.1.3. Zusammenfassung
Zusammenfassend liegt daher die behauptete Rechtsverletzung nicht vor.
Es war somit spruchgemäß zu entscheiden.
Rückverweise
