[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
B E S C H E I D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. MAIER und in Anwesenheit der Mitglieder, Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ; Dr. STAUDIGL und Mag. ZIMMER, sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 14. November 2003 folgenden Beschluss gefasst:
S p r u c h
Über die Beschwerde der B-Bank reg. Gen.m.b.H., vertreten durch E Partner, Rechtsanwälte in N (Beschwerdeführerin), vom 27. Mai 2002 gegen die M-Ges.m.b.H. in N (Beschwerdegegnerin) wegen Verletzung des Rechts auf Auskunft über eigene Daten gemäß § 26 Datenschutzgesetz 2000, BGBl I Nr 165/1999 idF BGBl I Nr 136/2001 (DSG 2000) wird gemäß §§ 1 Abs 3 Z 1, 26 und 31 Abs 1 DSG 2000 wie folgt entschieden:
- Der Beschwerde wird stattgegeben und der Beschwerdegegnerin aufgetragen, der Beschwerdeführerin unverzüglich, längstens aber binnen zwei Wochen Auskunft gemäß § 26 Abs 1 DSG 2000 über die zu ihrer Person verarbeiteten Daten zu erteilen, insbesondere den genauen Inhalt der verarbeiteten Daten zu beauskunften und Name und Adresse der herangezogenen Dienstleister anzugeben.
B e g r ü n d u n g:
Mit Beschwerde vom 27. Mai 2002, protokolliert als GZ K120.819/001-DSK/2002 der Datenschutzkommission, brachte die Beschwerdeführerin vor, durch den unvollständigen Inhalt einer von der Beschwerdegegnerin, einer Gesellschaft mit beschränkter Haftung, am 25. April 2002 erteilten datenschutzrechtlichen Auskunft in ihrem Recht auf Auskunft gemäß § 26 Abs 1 DSG 2000 verletzt worden zu sein.
Darüber hinaus gehende Anträge der Beschwerdeführerin (Antrag auf Untersagung der weiteren Datenverwendung) hat die Datenschutzkommission mit Teilbescheid vom 23. August 2002, GZ: K120.819/003-DSK/2002, rechtskräftig wegen Unzuständigkeit zurückgewiesen.
Hinsichtlich des Vorwurfs der unvollständigen Auskunftserteilung hat die Datenschutzkommission ein Ermittlungsverfahren durchgeführt und Beweis aufgenommen durch Einholung einer Stellungnahme der Beschwerdegegnerin, Einsichtnahme in verschiedene von der Beschwerdeführerin vorgelegte Urkunden und Ausdrucke und Einsichtnahme in verschiedene Websites und Abfrage öffentlicher Datenbanken. Den Parteien wurde zu den Ergebnissen des Ermittlungsverfahrens Parteiengehör eingeräumt.
Es wird folgender entscheidungsrelevanter Sachverhalt festgestellt:
Die Beschwerdegegnerin betreibt einen Dienst der Informationsgesellschaft im Sinne von § 3 Z 1 E-Commerce-Gesetz, BGBl I Nr 152/2001 (ECG), der in der entgeltlichen Veröffentlichung von beim Österreichischen Patentamt registrierten, öffentlich zugänglichen Marken über das World Wide Web besteht.
Die Beschwerdegegnerin verarbeitete (speicherte) zu diesem Zweck Daten der Beschwerdegegnerin, nämlich Firma, Adresse, Registernummern, Registrierungskalenderdaten sowie verschiedene von der Beschwerdeführerin registrierte Wort- und Bildmarken (Markenregister-Nummern XXXXX9, XXXXX0, XXXX30 und XXXXX1).
Beweiswürdigung : Diese Feststellungen ergeben sich hinsichtlich des Tätigkeitsfeldes der Beschwerdegegnerin aus dem übereinstimmenden Vorbringen beider Parteien; hinsichtlich der von der Beschwerdegegnerin verarbeiteten Daten der Beschwerdeführerin aus dem Anbot der Beschwerdegegnerin an die Beschwerdeführerin vom 25. März 2002, Beilage./1 zur Beschwerde vom 27. Mai 2002, vorgelegt von der Beschwerdeführerin.
Die Beschwerdegegnerin bedient sich zum Betrieb ihrer Datenanwendungen des Unternehmens 'X Internet Content Services, Peter A. Z' [Anmerkung: Vorname des Inhabers geändert] (kurz: X) als Host-Provider der Website. Im speziellen Fall handelt es sich um so genanntes 'Webhosting', das darin besteht auf einem Server Speicherplatz für Homepages zur Verfügung zu stellen und Daten im Auftrag des Kunden zu speichern.
Beweiswürdigung : Diese Schlussfolgerung ergibt sich aus einer von der Datenschutzkommission durchgeführten so genannten 'Whois-Anfrage' betreffend die Webadresse der Beschwerdegegnerin, 2. Beilage zu GZ K120.819/007-DSK/2002 vom 4. Oktober 2002, in der die X in den Rubriken 'Admin' und 'Tech' als für die Domain der Beschwerdegegnerin zuständig aufscheint. Aus der Website der X (3. Beilage zu GZ K120.819/007-DSK/2002) geht hervor, dass Hosting von Websites und Datenanwendungen zu den geschäftlichen Tätigkeiten dieses Unternehmens gehört. Auf Vorhalt dieser Ermittlungsergebnisse und Parteiengehör hat die Beschwerdegegnerin mitgeteilt, sich dieses 'Service-Providers' zu bedienen.
Am 4. April 2002 richtete die Beschwerdeführerin, vertreten durch die auch im diesem Beschwerdeverfahren für sie auftretenden Rechtsanwälte, ein Auskunftsbegehren mit sieben Punkten betreffend die von der Beschwerdegegnerin verarbeiteten Daten der Beschwerdeführerin an die Beschwerdegegnerin.
Am 25. April 2002 erteilte die Beschwerdegegnerin dazu die folgende Auskunft: Sie speichere Anschrift und Marken der Beschwerdegegnerin, habe diese aus dem öffentlichen Markenregister des Patentamts ermittelt und übermittle diese Daten nicht. Zweck der Datenverwendung sei die Führung des von der Beschwerdegegnerin ('laut Angebot') betriebene privaten Markenregisters, die Rechtsgrundlage dafür bilde die Gewerbefreiheit, Dienstleister würden nicht herangezogen , und die Datenanwendungen der Beschwerdegegnerin enthielten ausschließlich veröffentlichte Daten, wodurch keine Registrierungspflicht bei der Datenschutzkommission (Datenverarbeitungsregister) bestehe.
Beweiswürdigung : Diese Feststellungen basieren auf dem entsprechenden Schriftverkehr (Urkunden), in Kopie als Beilagen./2 und ./3 zur Beschwerde vom 27. Mai 2002 vorgelegt von der Beschwerdeführerin.
Die von der Beschwerdegegnerin verarbeiteten Daten der Beschwerdeführerin werden nicht durch die Ermöglichung der Abfrage im World Wide Web übermittelt.
Beweiswürdigung : Eine Probeabfrage der Datenschutzkommission nach österreichischen Markeninhabern mit dem Suchwort 'B-Bank' auf der Website der Beschwerdegegnerin, ergab am 3. Oktober 2002 nur einen Treffer, nämlich die Eintragung der 'B-Bank Kapitalanlage Ges.m.b.H.' (Ausdruck als 1. Beilage zur GZ: K120.819/007-DSK/2002). Ein auf die Beschwerdeführerin bezüglicher Treffer konnte nicht erzielt werden. Dies ist logisch und stimmt mit der geschäftlichen Taktik der Beschwerdegegnerin überein, die von Markeninhabern für die Veröffentlichung ihrer Daten bezahlt werden möchte. Die Beschwerdeführerin hat aber von Anbeginn an das entsprechende Angebot der Beschwerdegegnerin abgelehnt, weshalb es auch keinen Grund gibt, warum die Beschwerdegegnerin Daten der Beschwerdeführerin übermitteln sollte. Der Einwand der Beschwerdeführerin (Stellungnahme vom 7. November 2002, Sm-Xn/cX XXXXXX/0XX02), diese Tatsache sei nicht als erwiesen anzunehmen, da wegen behaupteten Zuwiderhandelns gegen das UWG die Glaubwürdigkeit der Beschwerdegegnerin grundsätzlich in Frage zu ziehen sei, übersieht, dass es sich hier nicht um die Darstellung der Beschwerdegegnerin sondern um eigene Ermittlungen und Schlussfolgerungen der Datenschutzkommission handelt, auf Grund derer diese Tatsache festgestellt wurde.
In rechtlicher Hinsicht folgt daraus:
Anzuwendende Rechtsvorschriften
Gemäß der Verfassungsbestimmung § 1 Abs 3 Z 1 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuellen Dateien bestimmt sind, das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden.
Gemäß § 26 Abs 1 DSG 2000 hat jeder Auftraggeber dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger und Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung von Daten beauftragt sind.
Gemäß § 4 Z 5 DSG 2000 ist Dienstleister im Sinne des Datenschutzrechts, wer Daten, die ihm zur Herstellung eines ihm aufgetragenen Werks (vom Auftraggeber) überlassen worden sind, verwendet.
Gemäß § 1 Abs 5 und 31 Abs 1 DSG 2000 ist die Datenschutzkommission dafür zuständig, auf Individualbeschwerde eines Betroffenen hin über dessen subjektives Recht auf Auskunft zu entscheiden. Die Zuständigkeit der Datenschutzkommission erstreckt sich dabei auf alle öffentlichen und privaten Auftraggeber, die nicht als Organe der Gesetzgebung oder der Gerichtsbarkeit tätig geworden sind (Datenverwendung für 'Akte der Gesetzgebung oder der Gerichtsbarkeit' im Sinne von § 31 Abs 1 DSG 2000). Hinsichtlich der übrigen subjektiven Datenschutzrechte (Geheimhaltung, Löschung und Richtigstellung von Daten), hat die Datenschutzkommission keine Entscheidungsbefugnis betreffend Beschwerden, die sich gegen Auftraggeber richten, die in Formen des Privatrechts eingerichtet sind.
§ 16 Abs 1 E-Commerce-Gesetz, BGBl I Nr 152/2001 (ECG), enthält unter dem Titel 'Ausschluss der Verantwortlichkeit bei Speicherung fremder Inhalte (Hosting)' den Ansatz zu einer Definition der technischen Begriffe 'Host' und 'Hosting'. Demnach betreibt Hosting, wer als Diensteanbieter von einem Nutzer eingegebene Informationen speichert. Er ist gemäß Abs 1 Z 1 und 2 leg.cit. unter näheren Voraussetzungen (keine tatsächliche Kenntnis von einer rechtswidrigen Tätigkeit oder Information, unverzügliches Tätigwerden bei Kenntnis durch Entfernen oder Sperren) für diese Informationen nicht verantwortlich, es sei denn, der Nutzer steht unter der Kontrolle oder Aufsicht des Diensteanbieters.
Umfang des Auskunftsrechts
Der Anspruch auf Auskunft enthält das Recht, Auskunft über die verarbeiteten Daten in allgemein verständlicher Form zu erhalten, dies bedeutet, dass der Betroffene nicht nur über die Art (Kategorien) der über ihn verarbeiteten Daten aufzuklären ist, sondern dass ihm der Inhalt dieser Daten bekannt zugeben ist. Es genügt daher nicht festzustellen, dass etwa der Name und das Geburtsdatum gespeichert seien, sondern es muss offen gelegt werden, wie die tatsächlichen Eintragungen bei diesen Datenarten Name und Geburtsdatum lauten. Weiters sind bezüglich aller in Frage kommenden Datenarten die Herkunft dieser Daten und allfällige Übermittlungen zu beauskunften und zwar in hinlänglich konkreter Form, damit der Betroffene seine Berichtigungs- und Löschungsrechte sowohl gegenüber der Quelle der Daten als auch gegenüber Übermittlungsempfängern durchsetzen kann. Darüber hinaus sind der Zweck und die Rechtsgrundlagen der Datenverwendung zu beauskunften (Bescheid der Datenschutzkommission vom 23. November 2001, GZ: K120.748/022- DSK/2001, http://www.ris.bka.gv.at/dsk/).
Vorliegen eines Auskunftsbegehrens
Das Auskunftsbegehren der Beschwerdeführerin vom 4. April 2002 nimmt zwar weder auf § 26 DSG 2000 noch auf das DSG 2000 überhaupt Bezug, ist aber inhaltlich eindeutig als datenschutzrechtliches Auskunftsbegehren zu identifizieren.
Mängel der Auskunft der Beschwerdegegnerin
Die Beschwerdegegnerin hat dieses Auskunftsbegehren in zwei Punkten mangelhaft beantwortet.
Zunächst wurden der Beschwerdeführerin nur die gespeicherten Datenarten mitgeteilt, während die Beschwerdeführerin eindeutig Auskunft darüber begehrt hatte 'welche Daten' die Beschwerdegegnerin über sie verarbeite. Da, wie schon aus der zitierten Entscheidung der Datenschutzkommission hervorgeht, Sinn und Zweck des Auskunftsrechts ist, dem Betroffenen eine Überprüfung unter anderem der Richtigkeit seiner Daten zu ermöglichen, entspricht die Auskunft, es würden die Datenarten 'Firma Anschrift und Marken' gespeichert, schon allein aus diesem Grunde nicht dem Gesetz. Sie ist weiters unvollständig, da das Ermittlungsverfahren ergeben hat, dass zumindest die Kalenderdaten der Markenregistrierung sowie die Markenregisternummern ebenfalls verarbeitet worden sind.
Weiters hat die Beschwerdegegnerin die gezielte Frage der Beschwerdeführerin in ihrem Auskunftsbegehren, ob Dienstleister zur Datenverarbeitung herangezogen würden, verneint. Das Ergebnis des Ermittlungsverfahrens zeigte jedoch, dass die Beschwerdegegnerin einen Internet-Service-Provider (ISP) für das Webhosting der von ihr verarbeiteten Daten heranzieht.
Dienstleisterbegriff, Hosting von Websites
Der datenschutzrechtliche Dienstleisterbegriff des DSG 2000 umfasst jedes 'Werk' – womit aber nicht bloß eine Leistung eines zivilrechtlichen Werkvertrages nach §§ 1165ff ABGB gemeint ist -, für dessen Herstellung der Dienstleister die Daten Dritter vom Auftraggeber überlassen erhält.
iLexikon.net Internet Lexikon Stichworte (www.ilexikon.net) definiert 'Webhosting' (Buchstabe W, http://www.ilexikon.net/w/webhosting.htm) folgendermaßen:
'Web-Hosting ist im Grunde der Begriff für 'hosting' von WebSites. Dabei wird von einem Internet Service Provider (ISP) (Hoster oder Webspace-Provider) Speicherplatz für ein Web auf einem Server im WWW bereitgestellt. Dies wird meist auch als Shared Hosting bezeichnet, wobei dem Web i.d.R. auch eine oder mehrere Domains zugeordnet werden'. In Grundzügen erschließt sich die Bedeutung des Begriffs 'Hosting' aus § 16 des E-Commerce –Gesetzes, BGBl. I Nr 152/2001. Demnach betreibt ein Anbieter elektronischer Dienstleistungen Hosting, wenn er von einem Nutzer eingegebene Informationen in dessen Auftrag auf einem eigenen Rechner speichert. Der Speichervorgang dient der Abgrenzung des Host- vom reinen Zugangsprovider (iSd § 13 E-Commerce-Gesetz), der Informationen lediglich durchleitet. Zankl bezeichnet in seinem Kommentar zum E-Commerce-Gesetz (Verlag Österreich, Wien 2002, S 172ff.) beispielhaft folgende Tätigkeiten als Hostingdienste: das Zur-Verfügung-Stellen von Speicherplatz auf einem Server für Homepages, das Betreiben eines Chatforums oder auch das Angebot von Application-Service-Diensten (dabei wird dem Nutzer Software zur Verfügung gestellt, die er über eine Bildschirmmaske auf seiner eigenen Infrastruktur nutzen kann, wobei die nutzerseitigen Informationen auf dem Rechner des Providers verarbeitet und gespeichert werden). In zivilrechtlicher Hinsicht qualifiziert Zankl den Vertrag zwischen Nutzer und Hostprovider als Werkvertrag, der dadurch charakterisiert sei, dass der Unternehmer einen bestimmten Erfolg –die Speicherung der vom Nutzer gewünschten Daten – schuldet. Im Gegensatz zum Zugangsprovider, der häufig –im Sinne eines Dienstleistungsvertrages nach § 1151 ABGB - sein fachkundiges Bemühen um störungsfreie Durchleitung schuldet, übernimmt der Hostprovider darüber hinaus in der Regel die Schutzfunktion, im Rahmen von technischen Vorkehrungen und regelmäßigen Kontrollen die Integrität der Daten, ihrer Verfügbarkeit übers Netz und die Funktionstüchtigkeit allfälliger Anwendungen zu gewährleisten.
Es ist nun auf rechtlicher Ebene zu prüfen, in wie weit das 'Hosting' einer Website im Sinne von § 16 ECG den Erbringer dieser Dienstleistung zum 'Dienstleister' im Sinne von § 4 Z 5 DSG 2000 macht. Kern des Problems ist , ob schon das bloße Speichern fremder Daten ein Überlassen von Daten für die Erbringung eines Werks im Sinne der Definition des DSG 2000 darstellt. Andernfalls müsste der Begriff des Hostings aufgespalten und für diese Frage auf den Inhalt des individuellen Vertrags zurückgegriffen werden. Unproblematisch ist der Fall, dass der Hoster über das Speichern im Sinne der Vermietung von Speicherplatz hinaus Leistungen wie die Erstellung einer Website (Webdesign) oder Service und Instandhaltung des gespeicherten Datenbestands übernimmt, da in diesem Fall eindeutig 'Leistungen mit Werkerbringungscharakter' vorliegen, die unter die Definition in § 4 Z 5 DSG 2000 fallen.
In solchen Zweifelsfällen sind auch determinierende Rechtsvorschriften des Europarechts zwecks richtlinienkonformer Auslegung in die Erwägungen einzubeziehen. Artikel 2 der Richtlinie des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vom 24. Oktober 1995 (95/46/EG), kurz Richtlinie 95/46/EG (RL 95/46/EG), enthält Begriffsdefinitionen. Demnach bezeichnet Art 2 lit b RL 95/46/EG als 'Verarbeitung' personenbezogener Daten 'jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern ...die Verbreitung oder jede andere Form der Bereitstellung' (Hervorhebung durch die Datenschutzkommission). Gemäß Art 2 lit e) RL 95/46/EG [Anmerkung: im Original in Folge eines Redaktionsversehens 'Art 2 lit c RL 95/46/EG'] ist 'Auftragsverarbeiter' jede Person, Organisation oder Stelle, 'die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet'.
Der Begriff des 'Auftragsverarbeiters' in der Richtlinie 95/46/EG entspricht dabei dem Begriff des 'Dienstleisters' im früheren und derzeitigen österreichischen Datenschutzrecht. Eine Wortinterpretation der RL 95/46/EG ergibt somit klar, dass jemand, der personenbezogene Daten durch bloßes Speichern verarbeitet, Auftragsverarbeiter ist, wenn er den Weisungen (arg 'im Auftrag') eines für die Verarbeitung Verantwortlichen untersteht. Es ist nun kein zwingender Grund erkennbar, das Begriffspaar 'Auftraggeber' – 'Dienstleister' im DSG 2000 anders auszulegen als es durch die RL 95/46/EG für das Begriffspaar 'für die Verarbeitung Verantwortlicher' – 'Auftragsverarbeiter' vorgegeben ist. Also ist auch das Speichern personenbezogener Daten eine Datenverwendung zur Herstellung eines aufgetragenen Werkes. Ob sich diese rechtliche Einschätzung allerdings auch auf kurzfristige Speichervorgänge, wie sie von Providern im Rahmen der Durchleitung von Daten vorgenommen werden, erstreckt oder nicht, kann - da im gegenständlichen Verfahren nicht sachverhaltsrelevant - dahin gestellt bleiben.
Das Hosting von Websites im Sinne von § 16 ECG ist daher, wenn dadurch die Übermittlung von personenbezogenen Daten Betroffener ermöglicht wird, eine Leistung, die den Hoster bzw. Host-Provider zum Dienstleister im datenschutzrechtlichen Sinne macht. Die Beschwerdegegnerin wäre als Auftraggeberin demnach verpflichtet gewesen, der Beschwerdeführerin gemäß § 26 Abs 1 DSG 2000 Name und Adresse des Dienstleisters mitzuteilen.
Zur Herstellung des gesetzmäßigen Zustands war daher der Beschwerdegegnerin spruchgemäß die neuerliche und diesmal vollständige und richtige Auskunftserteilung unter Fristsetzung aufzutragen.
[Literaturhinweis: veröffentlicht; MR 2004, 51 ( Knyrim )]
Rückverweise
Keine Verweise gefunden
