[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]
BESCHEID
Die Datenschutzkommission hat unter dem Vorsitz von Dr. MAIER und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ und Mag. ZIMMER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 30. Juni 2005 folgenden Beschluss gefasst:
Spruch
Über die Beschwerde des Hans B*** in W*** (Beschwerdeführer), vertreten durch Dr. Eva G***, Rechtsanwältin in W***, vom 20. Dezember 2004 gegen das Finanzamt W*** (Beschwerdegegner) wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 1 Abs. 5 und 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 136/2001, iVm § 26 Abs. 1, 4 und 6 sowie § 14 Abs. 3 und 5 DSG 2000 und hinsichtlich der Grundstücksdatenbank (GDB) in Verbindung mit § 2 Abs. 1 des Grundbuchsumstellungsgesetzes (GUG), BGBl Nr. 550/1980 idF BGBl I Nr. 94/2003, wie folgt entschieden:
Der Beschwerde wird insofern stattgegeben, als dem Beschwerdegegner aufgetragen wird, innerhalb von 8 Wochen Auskunft über die zwischen dem 11. November 2001 und dem 11. November 2004 stattgefundenen Übermittlungen von Daten des Beschwerdeführers an Dritte, für die das Finanzamt W*** Auftraggeber ist, und deren Zweck zu erteilen, soweit eine solche Übermittlung durch Abfrage des Abgabeninformationssystems des Bundes (AIS, DB4) bewirkt wurde.
Im Übrigen wird die Beschwerde als unbegründet abgewiesen.
Begründung:
Der Beschwerdeführer hat mit Eingabe vom 20. Dezember 2004, bei der Datenschutzkommission eingelangt am 3. Jänner 2005, Beschwerde erhoben im Hinblick auf den Umstand, dass er am 11. November 2004 einen Antrag auf Auskunftserteilung nach § 26 DSG 2000 an das Finanzamt W*** gestellt habe. Das Finanzamt W*** habe die Beantwortung seines Auskunftsbegehrens mit einer Begründung verweigert, die nicht den Tatsachen und ebenso wenig den gesetzlichen Bestimmungen entspreche. Deshalb verlange er
1. die Feststellung, dass ihn das FA W*** in seinen Rechten nach § 1 Abs. 3 Z 1 und § 26 DSG 2000 verletzt habe, und
2. dem FA W*** aufzutragen, binnen 14 Tagen Auskunft zu erteilen.
Näherhin behauptet der Beschwerdeführer in seiner Beschwerdebegründung eine Verletzung im Recht auf Auskunft dadurch, dass der Beschwerdegegner seinem Auskunftsersuchen vom 11. November 2004, welches darauf gerichtet war, Auskunft darüber zu erlangen, welche Personen seine Daten ab dem 1. Jänner 1999 im Abgabeninformationssystem des Bundes (AIS, DB4 und GDB) wann, wie oft und zu welchem Zweck abgefragt haben, mit der Begründung nicht entsprochen habe, die vom Beschwerdeführer begehrten Auskünfte würden nicht dem Auskunftsrecht unterliegen.
Der Beschwerdegegner hat diesen Standpunkt in seiner Stellungnahme gegenüber der Datenschutzkommission aufrecht erhalten. Er bringt weiters vor, „AIS“ und „DB4“ seien lediglich Arbeitsbegriffe, unter denen die registrierten Datenverarbeitungen der Auftraggeber „Finanzämter“ zusammengefasst seien. Konkrete Informationen könnten daher unter Hinweis auf das Abgabeninformationssystem nicht erteilt werden. Die „GDB“ (Grundstücksdatenbank) sei keine Anwendung der Finanzverwaltung, sondern der Justiz.
Der folgende Sachverhalt wurde festgestellt:
Der Beschwerdeführer richtete am 11. November 2004 ein als „Auskunftsbegehren nach § 26 DSG 2000“ bezeichnetes Schreiben an den Beschwerdegegner, mit dem er Auskunft darüber begehrte, „welche Personen ab dem 1. Jänner 1999 Daten im Abgabeninformationssystem des Bundes (AIS, DB4, GDB) wann, wie oft und zu welchem Zweck abgefragt haben“. Es wurde in diesem Auskunftsersuchen weiters ausdrücklich darauf hingewiesen, dass die örtlich unzuständigen Finanzämter A*** und K*** seine Akten bearbeitet hätten. Daher betreffe das Ersuchen auch jene Abfragen, die von den Finanzämtern A*** und K*** getätigt worden seien.
Mit Schreiben vom 3. Dezember lehnte der Beschwerdegegner die Erteilung der gewünschten Auskunft mit der Begründung ab, sie würde angesichts der in § 26 Abs. 1 genau aufgezählten Themen einer Auskunft eindeutig über das Auskunftsrecht nach § 26 DSG 2000 hinausgehen. Darüber hinaus könnten diese Fragen nur nach entsprechenden Auswertungen der gemäß § 14 DSG 2000 zu führenden Protokolle beantwortet werden, welche in sequentieller Form abgespeichert würden. Gemäß dem Bericht des Verfassungsausschusses des Nationalrates zum DSG 2000 bestehe für derartige Protokolldaten keine Verpflichtung zur Auskunftserteilung. Außerdem wären dafür umfangreiche Auswertungen der Protokolle erforderlich. Eine derartige Vorgangsweise stelle offenkundig einen aufwändigen Informationsbeschaffungsvorgang dar, der zu einer Beeinträchtigung der übrigen Verwaltungsabläufe führen würde.
Zu einer derart aufwändigen Informationsbeschaffung sei der Beschwerdegegner im Übrigen auch schon aufgrund des Auskunftspflichtgesetzes 1987 nicht verpflichtet, da nach diesem nur über Umstände, die der Behörde bekannt sind, unter bestimmten Voraussetzungen Auskunft gegeben werden müsse.
Beweiswürdigung : Diese Feststellungen beruhen auf dem unbestrittenen Beschwerdevorbringen sowie den vom Beschwerdeführer vorgelegten Kopien des Auskunftsbegehrens und des Schreibens vom 3. Dezember 2004.
In rechtlicher Hinsicht folgt daraus:
1. anzuwendende Rechtsvorschriften:
§ 4 Z 9 und 12 DSG 2000 lauten unter der Überschrift „Definitionen“:
㤠4. Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:
[...]
9. „Verarbeiten von Daten“: das Ermitteln, Erfassen, Speichern, Aufbewahren, Ordnen, Vergleichen, Verändern, Verknüpfen, Vervielfältigen, Abfragen, Ausgeben, Benützen, Überlassen (Z 11), Sperren, Löschen, Vernichten oder jede andere Art der Handhabung von Daten einer Datenanwendung durch den Auftraggeber oder Dienstleister mit Ausnahme des Übermittelns (Z 12) von Daten;
[...]
12. „Übermitteln von Daten“: die Weitergabe von Daten einer Datenanwendung an andere Empfänger als den Betroffenen, den Auftraggeber oder einen Dienstleister, insbesondere auch das Veröffentlichen solcher Daten; darüber hinaus auch die Verwendung von Daten für ein anderes Aufgabengebiet des Auftraggebers;
[...]“
§ 26 Abs. 1 und 4 DSG 2000 lauten unter der Überschrift „Auskunftsrecht“:
„§ 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.
[...]
(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“
Gemäß § 2 Abs. 1 GUG (Überschrift „Grundstücksdatenbank“) ist das Hauptbuch nur durch Speicherung der Eintragungen in einer Datenbank zu führen und mit dem Grundstücksverzeichnis des Grundsteuer- oder Grenzkatasters zu verknüpfen (Grundstücksdatenbank).
2. Anwendung auf den Beschwerdefall:
Zunächst ist festzuhalten, dass Gegenstand der Auskunftsbeschwerde nur jenes Begehren sein kann, das der Beschwerdeführer zuvor an den Auftraggeber gerichtet hat. Gegenstand der behaupteten Verletzung im Auskunftsrecht ist daher der Antrag an das FA W***, Auskunft darüber zu erteilen, „welche Personen ab dem 01.01.1999 Daten im Abgabeninformationssystem des Bundes (AIS, DB4 und GDB) wann, wie oft und zu welchem Zweck abgefragt haben“.
Ein subjektives Recht auf Beantwortung eines derartigen Antrages besteht nur, soweit er sich als Auskunftsbegehren nach § 26 Abs. 1 DSG 2000 deuten lässt. § 26 Abs. 1 DSG 2000 enthält diesbezüglich nur ein Auskunftsrecht betreffend „allfällige Empfänger oder Empfängerkreise von Übermittlungen“.
Dem Beschwerdegegner ist bei seiner Rechtsansicht, dass Daten betreffend die Abfrage von Betroffenendaten innerhalb der Organisation ein und desselben Auftraggebers im Allgemeinen nicht dem Auskunftsrecht gemäß § 26 Abs. 1 DSG 2000 unterliegen, zuzustimmen. Die grundsätzliche Gleichsetzung des Begriffs „Abfragen von Daten“ mit dem Begriff „Übermittlung von Daten“ muss verneint werden: Datenabfragen durch Mitarbeiter des Auftraggebers sind keine Übermittlungen. Da gemäß § 26 Abs. 1 DSG 2000 aber nur „allfällige Empfänger und Empfängerkreise von Übermittlungen“ zu beauskunften sind, sind einzelne Vorgänge der Datenverarbeitung gemäß § 4 Z 9 DSG 2000, die durch Organwalter oder Bedienstete des Auftraggebers ausgeführt werden, wie das Abfragen, Benützen oder Ausgeben (inkl. Ausdrucken) von Daten, nicht Gegenstand der Pflicht zur Auskunftserteilung an den Betroffenen (Bescheid vom 20. August 2002, GZ: K120.800/010-DSK/2002, veröffentlicht im Rechtsinformationssystem des Bundes – RIS unter http://www.ris.bka.gv.at/dsk/).
Was das Abfragen von Daten durch Dritte, insbesondere etwa andere Finanzämter betrifft, läge hier jedoch eine Übermittlung vor, die nach Maßgabe des § 14 Abs. 3 DSG 2000 zu beauskunften wäre: Sofern zugreifende Personen für „Dritte“, also insbesondere für andere Auftraggeber innerhalb der Finanzverwaltung, tätig wurden, unterliegt die Bekanntgabe der Identität des Dritten – nicht jedoch die Bekanntgabe der Identität des abfragenden Organwalters – dem Auskunftsrecht nach § 26 Abs. 1 DSG 2000.
Wie schon in der Entscheidung der DSK GZ K120.964/002-DSK/2005 ausgeführt, kann die Pflicht zur Bekanntgabe von Dritten als Übermittlungsempfängern nicht mit dem Hinweis auf das Vorliegen bloß sequentieller Protokollierung erfolgreich verneint werden:
„Das vom Ausschussbericht behauptete Privileg für zeitlich sequentiell gespeicherte Protokolldaten kann daher, soweit ein solches Protokollierungssystem überhaupt noch eingesetzt wird, nur für Auftraggeber-interne Zugriffe beansprucht werden, nicht aber für Zugriffe, die erkennbar Übermittlungen darstellen; für diese setzt § 14 Abs. 3 ausdrücklich ein anderes Regime fest (Die bezogene Bemerkung im Ausschussbericht kann daher nur im Hinblick auf eine Konstellation besondere Wirkung entfalten, in der die Frage gestellt wird, ob ein interner Zugriff, also der Zugriff durch einen Organwalter des Auftraggebers, unberechtigt war; zur Frage der Auskunftsverpflichtung über die Auftraggeber-interne Datenbenützung vgl. etwa auch die Entscheidung der Datenschutzkommission vom 23. Mai 2003, GZ K120.840/007- DSK/2003).“
Das vom Beschwerdegegner weiters unter Berufung auf das Auskunftspflichtgesetz 1987 verwendete Argument, dass „Auskunft“ nur über der Behörde bekannte Umstände, nicht aber über solche Umstände gegeben werden müsste, die von ihr erst durch umfangreiche Recherchen in Erfahrung gebracht werden könnten, hat im gegenständlichen, das Auskunftsrechts nach dem DSG 2000 betreffenden Verfahren, keine Anwendbarkeit.
Die vom Beschwerdegegner gegebene Begründung für eine Verweigerung der Auskunftserteilung kann somit hinsichtlich von Übermittlungen an Dritte nicht als rechtmäßig anerkannt werden, weshalb die Auskunftserteilung diesbezüglich aufzutragen war.
Die Festsetzung einer 8-wöchigen Leistungsfrist ist deshalb angemessen, weil nach den Ausführungen des Beschwerdegegners offenbar nur sequentiell durchsuchbare Protokolldatenbestände geprüft werden müssen, um die angeordnete Auskunft erteilen zu können.
Im Hinblick darauf, dass der Auskunftsanspruch (auch) Protokolldaten im Sinne des § 14 DSG 2000 betreffen wird, muss die für Protokolldaten geltende Aufbewahrungspflicht von drei Jahren berücksichtigt werden. Der Leistungsauftrag betrifft daher nur die in diesem Zeitraum angefallenen Protokolldaten.
Betreffend die Frage der Kostentragung für den mit der Auskunft verbundenen Aufwand wird der Beschwerdegegner bei der Auskunftserteilung dem Beschwerdeführer darzulegen haben, inwieweit das Auskunftsbegehren einen aktuellen Datenbestand im Sinne des § 26 Abs. 6 DSG 2000 betrifft.
Hinsichtlich der Grundstücksdatenbank (GDB) ist festzuhalten, dass es sich dabei gemäß § 2 Abs. 1 GUG um einen Teil des Grundbuchs und damit keinesfalls um eine Datenanwendung handelt, hinsichtlich derer der Beschwerdegegner als Auftraggeber anzusehen ist. Schon deshalb besteht daher kein Recht auf Auskunft aus der GDB gegenüber dem Beschwerdegegner.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
