[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
B E S C H E I D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. KOTSCHY, Dr. BLAHA, Mag. MAITZ-STRASSNIG, Mag. ZIMMER und Dr. STAUDIGL sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 26. September 2008 folgenden Beschluss gefasst:
S p r u c h
Über die Beschwerde des Joachim T*** (Beschwerdeführer) aus H***, vertreten durch Mag. Ernst L***, Rechtsanwalt in **** H***, vom 15. April 2008 gegen die Bundespolizeidirektion Wien (Beschwerdegegnerin) wegen Verletzung im Recht auf Löschung in Folge Unterlassung der Löschung der Daten betreffend das Verfahren Zl. Kr 3**1/Z*/00 aus der den Beschwerdeführer betreffenden Karteikarte des Steckzettelindex sowie der Eintragung zu Zl. 3**1 im Protokollbuch „Kr“, jeweils des Polizeikommissariats Z***, sowie verspäteter Abgabe einer Löschungsmitteilung wird gemäß den §§ 4 Z 6 und 9, 27 Abs. 1 und 4, 31 Abs. 2 und 58 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF, entschieden:
1. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzt hat, dass sie die Eintragung im Protokollbuch nicht völlig unleserlich gemacht hat.
2. Im Übrigen wird die Beschwerde abgewiesen.
B e g r ü n d u n g:
A. Vorbringen der Parteien
Die Beschwerde schließt dem Sachverhalt nach an das rechtskräftig beendete Beschwerdeverfahren Zl. K120.846 der Datenschutzkommission an. Der Beschwerdeführer behauptete zunächst (Beschwerde vom 22. März 2008, bei der Datenschutzkommission eingegangen am 25. März 2008) eine Verletzung im Recht auf Löschung eigener Daten dadurch, dass die Beschwerdegegnerin entgegen §§ 27 Abs. 4 und 40 Abs. 4 DSG 2000 ihn nicht von der gemäß dem Bescheid der Datenschutzkommission vom 17. Dezember 2007, GZ: K120.846/0007-DSK/2007, gebotenen Löschung seiner Daten aus der ihn betreffenden Karteikarte des Steckzettelindex sowie der Eintragung zu Zl. 3**1 im Protokollbuch „Kr“, jeweils des Polizeikommissariats Z*** (einer Organisationseinheit der Beschwerdegegnerin), verständigt habe.
Nachdem die Beschwerdegegnerin eine entsprechende Verständigung (Schreiben vom 11. April 2008, AZ: P3/12**45/*/2007) nachgewiesen hatte, erweiterte der Beschwerdeführer sein Begehren mit Stellungnahme vom 23. April 2008 (Eingangsdatum der Datenschutzkommission, Schriftsatz selbst undatiert) dahingehend, dass die Beschwerdegegnerin nicht nur eine verspätete, sondern auch eine unrichtige Löschungsmitteilung abgegeben habe. Die in Kopie vorliegende Protokollbucheintragung sei nicht gelöscht, sondern nur abgedeckt worden, die Steckkarte hingegen unleserlich und der Inhalt daher nicht zu überprüfen.
Nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens brachte der Beschwerdeführer mit Stellungnahme vom 26. Juni 2008 vor, die festgestellte Überklebung der Protokollbucheintragung sei reversibel und zu durchsichtig, um als Löschung gelten zu können.
Die Beschwerdegegnerin brachte mit Stellungnahme vom 15. April 2008, GZ: P3/76**91/2008, vor, den – rechtlich bindenden – Feststellungen im Bescheid der Datenschutzkommission vom 17. Dezember 2007, GZ: K120.846/0007-DSK/2007, sei unverzüglich Rechnung getragen worden. Die den Beschwerdeführer betreffende Karteikarte der Steckzettelkartei des Polizeikommissariats Z*** sei unter Weglassung der Eintragung der Zahl des Ermittlungsverfahrens 3**1/Z*/00 neu angelegt worden. Die Eintragung zu besagter Zahl im Protokollbuch „Kr“ sei vollständig unkenntlich gemacht worden. Obwohl die Beschwerdeführerin den Standpunkt vertrete, den Betroffenen nach einem stattgebenden Bescheid der Datenschutzkommission nicht gemäß § 27 Abs.4 DSG 2000 von der erfolgten Löschung verständigen zu müssen, habe man am 11. April 2008 eine entsprechende Verständigung im Sinne des eigenen Vorbringens abgegeben. Spätestens damit sei der Beschwerdeführer nicht mehr im Recht auf Löschung verletzt.
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer a) durch die nicht oder unvollständig erfolgte Löschung seiner verfahrensgegenständlichen Daten bzw. b) durch eine verspätete und unrichtige Löschungsmitteilung in seinem Recht auf Löschung verletzt hat.
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:
Gegen den Beschwerdeführer wurde im Jahr 2000 unter der Zl. Kr 3**1/Z*/00 durch die Beschwerdegegnerin ([Bezirks- ]Polizeikommissariat Z***) ein kriminalpolizeiliches Ermittlungsverfahren (Vorerhebungen im Dienste der Strafjustiz) durchgeführt, das unter der Zl. 3**1 im Protokollbuch „Kr“ des Polizeikommissariats Z*** und zu Kr 3**1/Z*/00 auf der den Beschwerdeführer betreffenden Karteikarte (auch Steckzettel genannt) in der Indexkartei (auch Steckzettelindex genannt) dieser Dienststelle eingetragen wurde.
In Folge der in Spruch und Begründung des Bescheids der Datenschutzkommission vom 12. Dezember 2007, GZ: K120.846/0007-DSK/2007, ausgedrückten Rechtsansicht, wonach die Beschwerdegegnerin zur Löschung dieser Daten verpflichtet gewesen wäre, wurde die Karteikarte zu einem nicht näher feststellbaren Zeitpunkt Anfang 2008 unter Weglassung der Eintragung zur Zl. Kr 3**1/Z*/00 neu angelegt. Die Eintragung der Zl. 3**1 im Protokollbuch „Kr“ des Polizeikommissariats Z*** wurde (unter Ausnehmung der Zahl selbst und der Kürzel der bearbeitenden Behördenmitarbeiter) mit schwarzem Papier überklebt, dessen Ränder mit undurchsichtigem Lack überstrichen wurden. Der Text der Protokollbucheintragung ist, wenn diese vor eine Lichtquelle gehalten wird, allerdings noch sichtbar und – wenn auch mit Mühe – noch lesbar.
Dem Beschwerdeführer wurde zunächst keine Mitteilung über die erfolgte Löschung seiner Daten gemacht. Erst nach der am 25. März 2008 erfolgten (neuerlichen) Beschwerdeerhebung wurde dem Beschwerdeführer zu Handen seines rechtsfreundlichen Vertreters mit Schreiben vom 11. April 2008, AZ:
P3/12**45/*/2007, die erfolgte Löschung seiner Daten aus Protokollbuch und Indexkartei mitgeteilt.
Beweiswürdigung : Diese Feststellungen beruhen auf den aktenkundigen Ergebnissen des Beschwerdeverfahrens Zl. K120.846 der Datenschutzkommission, dem Ergebnis einer Einschaunahme durch einen Beauftragten der Datenschutzkommission beim Polizeikommissariat Z*** (Niederschrift vom 3. Juni 2008 samt Beilagen (Digitalfotos), GZ: K121.375/0007-DSK/2008) sowie auf der als Beilage zur Stellungnahme der Beschwerdegegnerin vom 15. April 2008, GZ: P3/76**91/2008, vorgelegten Kopie der zitierten Löschungsmitteilung.
D. In rechtlicher Hinsicht folgt daraus :
1. anzuwendende Rechtsvorschriften
§ 4 Z 6 DSG 2000 lautet unter der Überschrift „Definitionen“:
„ § 4 . Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:
[...]
§ 27 Abs. 1 bis 4 DSG 2000 lautet unter der Überschrift „Recht auf Richtigstellung und Löschung“:
„ § 27 . (1) Jeder Auftraggeber hat unrichtige oder entgegen den Bestimmungen dieses Bundesgesetzes verarbeitete Daten richtigzustellen oder zu löschen, und zwar
(2) Der Beweis der Richtigkeit der Daten obliegt - sofern gesetzlich nicht ausdrücklich anderes angeordnet ist - dem Auftraggeber, soweit die Daten nicht ausschließlich auf Grund von Angaben des Betroffenen ermittelt wurden.
(3) Eine Richtigstellung oder Löschung von Daten ist ausgeschlossen, soweit der Dokumentationszweck einer Datenanwendung nachträgliche Änderungen nicht zuläßt. Die erforderlichen Richtigstellungen sind diesfalls durch entsprechende zusätzliche Anmerkungen zu bewirken.
(4) Innerhalb von acht Wochen nach Einlangen eines Antrags auf Richtigstellung oder Löschung ist dem Antrag zu entsprechen und dem Betroffenen davon Mitteilung zu machen oder schriftlich zu begründen, warum die verlangte Löschung oder Richtigstellung nicht vorgenommen wird.“
§ 58 DSG 2000 lautet unter der Überschrift „Manuelle Dateien“:
„ § 58 . Soweit manuell, dh. ohne Automationsunterstützung geführte Dateien für Zwecke solcher Angelegenheiten bestehen, in denen die Zuständigkeit zur Gesetzgebung Bundessache ist, gelten sie als Datenanwendungen im Sinne des § 4 Z 7. § 17 gilt mit der Maßgabe, daß die Meldepflicht nur für solche Dateien besteht, deren Inhalt gemäß § 18 Abs. 2 der Vorabkontrolle unterliegt.“
2. rechtliche Schlussfolgerungen
a) Durchführung der Löschung
Im Beschwerdefall liegt Datenverarbeitung in manuellen Dateien (Indexkartei, Protokollbuch) gemäß §§ 4 Z 6 und 58 DSG 2000 vor. Hinsichtlich der Indexkartei bezieht sich die Beschwerde nicht auf den vorhandenen Datenbestand (die Durchführung der Löschung blieb hier zuletzt unbestritten), sondern bloß auf die Frage der Abgabe der Löschungsmitteilung durch die Beschwerdegegnerin (siehe dazu unten b).
Der Beschwerdeführer hat zunächst überhaupt bestritten, dass die Löschung der Daten durchgeführt wurde, da ihm die vorgelegten Kopien der Karteikarte bzw. der Protokollbucheintragung dafür nicht beweiskräftig genug erschienen. Nachdem die Datenschutzkommission das Ermittlungsverfahren durch Vornahme eines Augenscheins (Einschaunahme) ergänzt hatte, brachte er vor, aus der Niederschrift darüber gehe hervor, dass die Protokollbucheintragung gegen das Licht noch gelesen werden könne.
Dies ist auch durch den Augenschein belegt: Die Eintragung ist zwar nicht bei oberflächlichem Hinsehen, doch gegen das Licht gehalten, wenn auch mit Mühe, lesbar.
Das DSG 2000 enthält keinerlei Vorschriften, auf welche Weise die Löschung personenbezogener Daten zu vollziehen ist (vgl. für automationsunterstützt verarbeitete Daten noch § 3 Z 11 lit. a und b DSG (alt), das eine physische und logische Datenlöschung unterschied). Welche Methode der Löschung zum Einsatz kommen muss, ist daher nach derzeitiger Rechtslage eine durch Auslegung im Einzelfall zu entscheidende Rechtsfrage.
Aus den Begriffsbestimmungen des § 4 Z 9 DSG 2000 geht jedenfalls logisch-systematisch hervor, dass „Löschen“ nicht mit „Vernichten“ gleichzusetzen ist (- auch die europäischen Normsetzer unterscheiden in Art 2 lit b der Richtlinie 95/46/EG diese beiden Begriffe). Nach dem allgemeinen Verständnis dieser Begriffe muss eine Löschung daher nicht zu einem sofortigen, endgültigen und unwiderruflichen Datenverlust führen. Es ist bei der Beurteilung einer Datenlöschung von einem durchschnittlichen Benutzer des in Rede stehenden Datenträgers auszugehen, der übliche Methoden der Datenabfrage bzw. Informationsgewinnung zur Anwendung bringt. Für einen solchen Benutzer muss ein „Ausgeben“ der Daten (worunter bei einer manuellen Datei auch das Einsehen und Lesen zu verstehen ist) unmöglich sein. Keinesfalls aber muss eine gesetzmäßige Datenlöschung einer von einem Spezialisten mit wissenschaftlichen (forensischen) Methoden durchgeführten Suche nach Daten auf einem Datenträger standhalten.
Für den Beschwerdefall und eine manuelle Dateieintragung führen diese Erwägungen zu dem Schluss, dass das bloße Überkleben der Eintragung mit schwarzem Papier und die Versiegelung von dessen Rändern mit Klarsichtlack im vorliegenden Fall keine „Löschung“ der Daten bewirkt, da der Text gegen das Licht gehalten noch lesbar ist.
Durch die vorgenommene Art und Weise der „Entfernung“ von Daten im Protokollbuch – jene in der Indexkartei wurde nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens nicht mehr bestritten bzw. gerügt – hat die Beschwerdegegnerin daher den Beschwerdeführer in seinem Recht auf Löschung verletzt. Der Beschwerde war daher hinsichtlich der bloß abgedeckten Protokollbucheintragung stattzugeben.
b) Abgabe einer Löschungsmitteilung
Hier ist zunächst dem Beschwerdeführer beizupflichten, wenn er den Standpunkt vertritt, dass die Beschwerdegegnerin verpflichtet war, nach einer stattgebenden bescheidförmigen Entscheidung der Datenschutzkommission über sein Löschungsrecht ihm gemäß § 27 Abs. 4 DSG 2000 Mitteilung über die erfolgte Löschung zu machen, soll doch der feststellende Spruch der Datenschutzkommission gemäß § 40 Abs. 4 DSG 2000 den rechtmäßigen Zustand herstellen, wozu gehört, dass die schon früher gebotene Löschungsmitteilung nun nachgeholt wird.
Wie die Datenschutzkommission in ständiger Spruchpraxis festhält, kann allerdings ein Beschwerdeführer auch durch die Nachholung einer Löschungsmitteilung während des laufenden datenschutzrechtlichen Beschwerdeverfahrens klaglos gestellt werden. Diese Gesetzesauslegung wurde auch vom Verwaltungsgerichtshof bestätigt:
„Wenn der Gesetzgeber in § 31 Abs. 2 DSG 2000 von behaupteten Verletzungen u.a. des Rechtes auf Löschung von Daten spricht, weist diese Formulierung daraufhin, dass der Gesetzgeber damit aktuelle Verletzungen meint und nicht Verletzungen, die sich in der Vergangenheit abgespielt haben und der begehrte Zustand, u.a. die Löschung der in Frage stehenden Daten, mittlerweile eingetreten ist. Im Zusammenhalt mit dem verfassungsgesetzlich verankerten Recht auf Löschung in § 1 Abs.3 Z.2 DSG 2000 und der in § 27 Abs.1 DSG 2000 vorgesehenen Verpflichtung jedes Auftraggebers, unrichtige oder entgegen den Bestimmungen dieses Bundesgesetzes verarbeitete Daten richtig zu stellen oder zu löschen, ergibt sich auch nach den Regelungen des DSG 2000, dass eine Beschwerde gemäß § 31 Abs.2 DSG 2000 wegen Verletzung des Rechtes auf Löschung nach den Intentionen des Gesetzgebers ausschließlich zum Ziel hat, dem Beschwerdeführer erforderlichenfalls durch eine Entscheidung der Datenschutzkommission und ihre "Vollstreckung" (siehe dazu § 40 Abs. 4 DSG 2000) zur Durchsetzung des Rechtes auf Löschung zu verhelfen“ (Erkenntnis des VwGH vom 28. März 2006, Zl. 2004/06/0125).
Durch eine Feststellung der Datenschutzkommission über die Rechtmäßigkeit oder Unrechtmäßigkeit der Verspätung bei Abgabe der Löschungsmitteilung würde keine Änderung der Rechtslage mehr eintreten, da der rechtmäßige Zustand durch die während des Beschwerdeverfahrens nachgeholte Löschungsmitteilung von der Beschwerdegegnerin bereits hergestellt worden ist. § 40 Abs. 4 DSG 2000 könnte damit keine rechtschutzrelevante Wirkung mehr entfalten.
Die Beschwerde erweist sich daher hinsichtlich der Löschungsmitteilung als unbegründet.
c) sonstige Anträge
Der Beschwerdeführer beantragt weiters, jeweils die „Gesetzmäßigkeit“ des Handelns der Beschwerdegegnerin zu überprüfen und „über diese Anträge bescheidmäßig abzusprechen.“ Über ein faktisches, durch Verfahrensrecht (amtswegige Ermittlungspflicht, § 39 Abs. 2 AVG) und die gestellten Anträge bedingtes Vorgehen der Datenschutzkommission kann jedoch nicht bescheidmäßig abgesprochen werden. Vielmehr ist dieses Begehren als durch die Entscheidung über die übrigen Punkte miterledigt anzusehen.
Rückverweise
