GZ: 2023-0.772.005 vom 6. November 2023 (Verfahrenszahl: DSB-D124.0701/23)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dr. Franziska A*** (Beschwerdeführerin) vom 5. April 2023 gegen die Marktgemeinde N*** (Beschwerdegegnerin) wegen behaupteter Verletzung im Recht auf Geheimhaltung wie folgt:
Der Beschwerde wird stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin die Beschwerdeführerin dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem diese trotz Bestehens einer Auskunftssperre eine Meldeauskunft zur Beschwerdeführerin an eine Privatdetektei erteilt hat, ohne die Beschwerdeführerin vorab zu verständigen und ihr Gelegenheit zur Äußerung einzuräumen.
Rechtsgrundlagen : Art. 5, Art. 6, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und Abs. 2, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 16 und 18 des Bundesgesetzes über das polizeiliche Meldewesen (Meldegesetz 1991 – MeldeG), StF: BGBl. Nr. 9/1992 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit Beschwerde vom 5. April 2023 monierte die Beschwerdeführerin eine Verletzung im Recht Geheimhaltung und brachte begründend vor, die Beschwerdegegnerin habe, ungeachtet der für sie bestehenden Auskunftssperre im Zentralen Melderegister, ihr Meldedaten abgefragt und an die B*** Co KG übermittelt, ohne dabei die Vorgaben des § 18 Abs. 5 Meldegesetz einzuhalten. Die Beschwerdeführerin sei Staatsanwältin und ihre Auskunftssperre durch diese Funktion begründet. Sie habe von der monierten Verletzung kurz nach dem 27. Jänner 2023 erfahren, da an diesem Tag im Verfahren zur GZ: *4 C *32/22f des BG D*** ein Detektivprotokoll vorgelegt worden sei, in dem ihre Meldedaten offengelegt worden seien. In diesem Verfahren sei die Mutter der Beschwerdeführerin Partei und habe diese sie über die Offenlegung informiert. In der Folge habe sie am 31. Jänner 2021 eine Anfrage an den für ihren Hauptwohnsitz als Meldebehörde zuständigen Magistrat der Stadt C*** gestellt. Dieser habe beauskunftet, dass ihre Meldedaten unter anderem von der Gemeinde N*** abgefragt wurden, sie sich für Abfragen durch andere Stellen als die Gemeinde C*** jedoch an jene Stellen wenden müsse. Ihre Anfrage an die Beschwerdegegnerin um Auskunftserteilung, warum ihre Meldedaten trotz Bestehen einer Auskunftssperre weiteregegeben worden seien, sei am 2. März 2023 beantwortet worden. Die Beschwerdegegnerin habe zugegeben, dass die Anfrage der B*** Co KG über sämtliche Meldedaten der Einschreiterin trotz Auskunftssperre beantwortet wurden, obwohl diese gewusst habe, dass ihre Daten einer Auskunftssperre unterliegen. Dazu sei anzumerken, dass das von der E***IMMOBILIEN AG beauftragte Detektivunternehmen geradezu generalstabsmäßig sämtliche Meldedaten nicht nur der Beschwerdeführerin und ihrer Familie, sondern auch der weiteren Mieter und vermutlich deren Familienangehörigen in mehreren Häusern bei der Gemeinde N*** abgefragt habe. Ob hier irgendwo ein rechtliches Interesse nachgewiesen wurde, sei zu bezweifeln. Aus der Anfragebeantwortung gehe hervor, dass sich die Gemeinde N*** beim Unterlassen der Prüfung eines rechtlichen Interesses - in ihrem Fall völlig zu Unrecht - auf einen Erlass des Bundesministers für Inneres vom 3. August 2015 bezogen haben dürfte, der dem Wortlaut und dem Sinn von § 18 Abs. 1b MeldeG diametral widerspreche. Die Einbindung eines Detektivs entbinde nicht von der Darlegung eines rechtlichen Interesses.
2. Mit Eingabe vom 14. April 2023 replizierte die Beschwerdegegnerin und führte aus, dass ein Fehlverhalten, seitens einer Mitarbeiterin der Beschwerdegegnerin vorliege und habe sich diese für den Fehler der Missachtung der Auskunftssperre entschuldigt. Es habe sich um ein einmaliges Fehlverhalten gehandelt und seien alle bis dahin erteilten Auskünfte rechtmäßig erteilt worden. Rechtsgrundlage sei das Rundschreiben des BMI, das rechtsmissverständlich verfasst sei. Die Beschwerdegegnerin als Meldebehörde unterliege als letzte in dieser Datenkette den Vorgaben des Gesetzes und der Rechtsmeinung des BMI.
3. Die Datenschutzbehörde räumte der Beschwerdeführerin mit Erledigung vom 29. September 2023 Parteiengehör ein. Die Beschwerdeführerin erstattete keine weitere Stellungnahme.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin die Beschwerdeführerin dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem diese trotz Bestehens einer Auskunftssperre eine Meldeauskunft zur Beschwerdeführerin an eine Privatdetektei erteilt hat, ohne die Beschwerdeführerin vorab zu verständigen und ihr Gelegenheit zur Äußerung einzuräumen.
C. Sachverhaltsfeststellungen
Die Datenschutzbehörde hat folgenden entscheidungswesentlichen Sachverhalt festgestellt:
1. Die Beschwerdeführerin ist als Staatsanwältin tätig und besteht zu dieser eine aufrechte Auskunftssperre im Zentralen Melderegister.
2. Eine Mitarbeiterin der Beschwerdegegnerin führte aufgrund einer Anfrage des Detektivunternehmens B*** Co KG vom 27. Dezember 2021 eine Abfrage und Auskunft über den Hauptwohnsitz der Beschwerdeführerin durch und übermittelte diese Informationen in weiterer Folge an die B*** Co KG.
3. Die Beschwerdeführerin wurde vor Erteilung der Auskunft an die B*** Co KG nicht verständigt und wurde der Beschwerdeführerin auch keine Gelegenheit zur Äußerung gegeben.
4. Die Mutter der Beschwerdeführerin war Partei des Verfahrens zur GZ: *4 C *32/22f, beim BG D***. Im Rahmen dieses Verfahrens wurde am 27. Jänner 2023 ein Detektivprotokoll vorgelegt, in dem Meldedaten der Beschwerdeführerin enthalten waren. Die Mutter der Beschwerdeführerin informierte die Beschwerdeführerin kurz nach dem 27. Jänner 2023 über die Vorlage des Detektivprotokolls.
5. Am 31. Jänner 2023 begehrte die Beschwerdeführerin beim für ihren Hauptwohnsitz als Meldebehörde zuständigen Magistrat der Stadt C*** Auskunft darüber, wer in den letzten drei Jahren auf die Daten der Beschwerdeführerin im Zentralen Melderegister zugegriffen hat.
6. Mit Schreiben vom 17. Februar 2023 erteilte die **** des Magistrats der Stadt C*** der Beschwerdeführerin die begehrte Auskunft und wies diese Auskunft unter anderem einen Zugriff auf die Daten der Beschwerdeführerin seitens der Beschwerdegegnerin aus.
7. Mit Schreiben vom 2. März 2023 bestätigte der Amtsleiter der Beschwerdegegnerin den Zugriff auf die Daten der Beschwerdeführerin sowie deren Übermittlung an die B*** Co KG durch eine Mitarbeiterin der Beschwerdegegnerin. Der Amtsleiter der Beschwerdegegnerin führte darin aus, dass die Mitarbeiterin bei der Abfrage und Übermittlung der Daten der Beschwerdeführerin in Bezug auf eine Mitteilung des BMI vom 3. August 2015 BMI-VA1500/0168-III/3/2015 agierte.
Beweiswürdigung : Die getroffenen Feststellungen gründen auf dem Akteninhalt und dem Vorbringen der Parteien. Die Feststellungen zum Ablauf der Erteilung der Meldeauskunft ergeben sich aus dem übereinstimmenden Vorbringen der Beschwerdeführerin und der Beschwerdegegnerin. Die Beschwerdegegnerin hat sowohl im gegenständlichen Verfahren als auch im von der Beschwerdeführerin vorgelegten Schreiben vom 2. März 2023 selbst eingestanden, dass eine Mitarbeiterin der Beschwerdegegnerin die Auskunft erteilt hat, ohne die Beschwerdeführerin einzubinden. Die Feststellungen, wonach die Beschwerdeführerin erst im Rahmen eines Zivilverfahrens in dem die Mutter der Beschwerdeführerin Parteistellung hat, Kenntnis von der zu ihr erfolgten Abfrage und Weitergabe an die B*** Co KG Kenntnis erlangte, gründet ebenso auf dem Vorbringen der Beschwerdeführerin.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Zur Rechtzeitigkeit der Beschwerde
Gemäß § 24 Abs. 4 DSG erlischt der Anspruch auf Behandlung einer Beschwerde, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
Bei den in § 24 DSG genannten Fristen handelt es sich um Präklusivfristen (siehe OGH 31.07.2015, 6 Ob 45/15h und Jahnel, Datenschutzrecht, Update, S 191 zur Vorgängerbestimmung des § 34 Abs. 1 DSG 2000 sowie Bresich, Dopplinger, Dörnhöfer, Kunnert, Riedl , DSG, S 190 zu § 24 DSG), auf die von Amts wegen, also bei feststehendem Sachverhalt ohne Einwendung Bedacht genommen werden muss (vgl. Dohr/Pollirer/Weiss/Knyrim , Datenschutzrecht, § 34, Anm. 2 zur Vorgängerbestimmung des § 34 Abs. 1 DSG 2000). Aus Bresich, Dopplinger, Dörnhöfer, Kunnert , Riedl geht hervor, dass die Verjährungsregel des § 24 Abs. 4 DSG hinsichtlich der Zeitvorgaben für das Erlöschen des Anspruchs auf Behandlung einer Beschwerde weitgehend § 34 Abs. 1 DSG 2000 (subjektive Frist von einem Jahr ab Kenntnis des Sachverhalts und objektive Frist von drei Jahren ab Stattfinden des Ereignisses) entspricht.
Wie aus den Feststellungen erhellt erfolgte am 27. Dezember 2021 eine Abfrage der Daten der Beschwerdeführerin aus dem Zentralen Melderegister und wurden diese an die B*** Co KG übermittelt. Die Beschwerdeführerin wurde, wie weiters festgestellt, über die Abfrage nicht informiert und erlangte frühestens am 27. Jänner 2023 Kenntnis von diesem Vorgang infolge Vorlage eines Protokolls im Verfahren zur GZ: *4 C *32/22f in dem die Mutter der Beschwerdeführerin Partei gewesen ist und diese die Beschwerdeführerin von der Vorlage unterrichtete.
Die Beschwerde der Beschwerdeführerin vom 5. April 2023 erfolgte sohin binnen der in § 24 Abs. 4 DSG normierten Frist.
D.2. Zur behaupteten Verletzung im Recht auf Geheimhaltung
Allgemeines zur Verarbeitung personenbezogener Daten und den Grundsätzen für deren Verarbeitung
Nach § 1 Abs. 1 DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung zu berücksichtigen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).
Zur Beschwerdeführerin bestand, wie festgestellt, zumindest zum Zeitpunkt der gegenständlichen Abfrage eine Sperre im Zentralen Melderegister.
Gemäß § 16 Abs. 1 MeldeG sind die Meldebehörden als gemeinsam Verantwortliche gemäß Art. 4 Z 7 in Verbindung mit Art. 26 Abs. 1 DSGVO ermächtigt, für die Zwecke der Führung des Zentralen Melderegisters ihre Meldedaten – mit Ausnahme der Angaben zum Religionsbekenntnis – samt allenfalls bestehende Auskunftssperren sowie zugehörige Abmeldungen gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff hat, die dieser von den anderen Verantwortlichen zur Verfügung gestellt wurden (Zentrales Melderegister).
Gemäß § 18 Abs. 1 MeldeG hat die Meldebehörde auf Verlangen gegen Nachweis der Identität im Umfang des § 16 Abs. 1 leg. cit. aus dem Zentralen Melderegister Auskunft zu erteilen, ob und zutreffendenfalls wo innerhalb des Bundesgebietes ein eindeutig bestimmbarer Mensch angemeldet ist oder war.
Scheint für den gesuchten Menschen kein angemeldeter oder zuletzt gemeldeter Hauptwohnsitz auf oder besteht in Bezug auf ihn eine Auskunftssperre, so hat die Auskunft der Meldebehörde zu lauten: „Es liegen über den/die Gesuchte(n) keine Daten für eine Meldeauskunft vor.“ Können die Angaben dessen, der das Verlangen gestellt hat, nicht nur einem Gemeldeten zugeordnet werden, hat die Auskunft der Meldebehörde zu lauten: „Auf Grund der Angaben zur Identität ist der Gesuchte nicht eindeutig bestimmbar; es kann keine Auskunft erteilt werden.“ Für die Zuständigkeit zur Erteilung einer Auskunft ist der Wohnsitz (Sitz) oder Aufenthalt (§ 3 Z 3 AVG) dessen maßgeblich, der das Verlangen stellt.
Nach § 18 Abs. 2 leg. cit kann jeder gemeldete Mensch bei der Meldebehörde beantragen, daß [sic] Meldeauskünfte über ihn nicht erteilt werden (Auskunftssperre). Dem Antrag ist stattzugeben, soweit ein schutzwürdiges Interesse glaubhaft gemacht wird. Ist ein solches Interesse offenkundig, so kann die Auskunftssperre auch von Amts wegen verfügt oder verlängert werden. Die Auskunftssperre kann für die Dauer von höchstens fünf Jahren verfügt oder verlängert werden; sie gilt während dieser Zeit auch im Falle der Abmeldung.
Gemäß § 18 Abs. 5 MeldeG hat soweit hinsichtlich eines Menschen eine Auskunftssperre besteht, die Auskunft der Meldebehörde zu lauten: „Es liegen über den/die Gesuchte(n) keine Daten für eine Meldeauskunft vor“. Eine Auskunft gemäß Abs. 1 ist in diesen Fällen zu erteilen, wenn der Antragsteller nachweist, daß er eine rechtliche Verpflichtung des Betroffenen geltend machen kann. In einem solchen Fall hat die Meldebehörde vor Erteilung der Auskunft den Meldepflichtigen zu verständigen und ihm Gelegenheit zu einer Äußerung zu geben.
D.3. In der Sache
Betreffend die Beschwerdeführerin besteht eine Auskunftssperre gemäß § 18 Abs. 2 MeldeG. Dementsprechend wäre die Beschwerdegegnerin verpflichtet gewesen, mitzuteilen, dass zur Beschwerdeführerin als Gesuchte keine Daten für eine Meldeauskunft vorliegen bzw. hätte die Beschwerdegegnerin nach § 18 Abs. 5 leg. cit. als Meldebehörde die Verpflichtung getroffen die Beschwerdeführerin als Meldepflichtige vor Erteilung einer Auskunft zu verständigen und ihr Gelegenheit zu einer Äußerung zu geben. Wie von der Beschwerdegegnerin selbst vorgebracht, wurde dies seitens der Mitarbeiterin der Beschwerdegegnerin, die die monierte Abfrage durchgeführt hat, jedoch verabsäumt.
In diesem Zusammenhang ist festzuhalten, dass Angestellte, die Zugriff zu personenbezogenen Daten innerhalb einer Organisation haben, grundsätzlich nicht als Verantwortliche oder als Auftragsverarbeiter zu sehen sind, sondern die Verarbeitung im Ergebnis der Verantwortlichen zugerechnet wird (vgl. etwa das Erkenntnis des BVwG vom 27. April 2022, GZ: W214 2237072-1).
Bei der Beschwerdegegnerin handelt es sich um eine „staatliche Behörde“ gemäß § 1 Abs. 2 DSG, womit die Verwendung von personenbezogenen Daten einer (formal)gesetzlichen Grundlage bedarf und erfolgte die Abfrage auch im Rahmen der Hoheitsverwaltung, nämlich bei Erteilung einer Meldeauskunft nach § 18 Abs. 1 MeldeG.
Zumal zur Beschwerdeführerin zum Zeitpunkt der gegenständlichen Abfrage eine Auskunftssperre bestanden hat, war eine solche Meldeauskunft jedoch nur unter den Kautelen des § 18 Abs. 5 leg. cit. zulässigerweise zu erteilen. Wie seitens der Beschwerdegegnerin selbst vorgebracht, wurde die Beschwerdeführerin allerdings nicht vor Erteilung der Meldeauskunft verständigt und dieser auch nicht die Gelegenheit zu einer Äußerung eingeräumt, womit die Beschwerdegegnerin die Vorgaben des § 18 Abs. 5 leg. cit. verletzt hat.
In Ermangelung einer gesetzlichen Deckung erweist sich die gegenständliche Verarbeitung bereits deshalb als rechtswidrig und war der Beschwerde daher Folge zu geben.
Bei diesem Ergebnis erübrigt sich näher auf die Frage einzugehen, ob ein rechtliches Interesse Dritter auf Erhalt der Meldeauskunft vorgelegen hat.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
