[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
B E S C H E I D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Dr. BLAHA, Dr. KOTSCHY, Mag. MAITZ-STRASSNIG und Mag. ZIMMER sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 10. Juli 2009 folgenden Beschluss gefasst:
S p r u c h
Über die Beschwerde der Dr. Hannelore S*** in Y*** (Beschwerdeführerin), vertreten durch Dr. H*** Partner OG Rechtsanwälte in Y***, vom 14. Jänner 2009, gegen die A*** Institut Gesellschaft für *** mbH. in B*** (Beschwerdegegnerin), vertreten durch Dr. Peter M***, Rechtsanwalt in B***, wegen Verletzung im Recht auf Auskunft wird entschieden:
- Die B e s c h w e r d e wird a b g e w i e s e n.
Rechtsgrundlagen: § 1 Abs. 1 und 2, § 31 Abs. 2 Datenschutzgesetz 2000 - DSG 2000, BGBl. I Nr. 165/1999 idgF.
B e g r ü n d u n g:
A. Vorbringen der Parteien
1. Die Beschwerdeführerin behauptete, rechtsanwaltlich vertreten, mit undatiertem Schreiben, ha. eingelangt am 14. Jänner 2009, eine Verletzung im Recht auf Auskunft durch die Beschwerdegegnerin dadurch, dass sie auf ihr Auskunftsbegehren vom 27. Oktober 2008 (gestellt aufgrund eines Schreibens der Beschwerdegegnerin vom 16. Oktober 2008, womit ihr widerrechtliche Abfalllagerungen bei einer Altstoffsammelinsel vorgeworfen wurde) innerhalb der gesetzlichen Frist nicht reagiert habe. Es wird der Antrag gestellt, ein Beschwerdeverfahren einzuleiten.
2. Die damit konfrontierte Beschwerdegegnerin gab zunächst, ebenfalls rechtsanwaltlich vertreten, im Schreiben vom 19. März 2009 unter Beilage zahlreicher ärztlicher Schreiben eine Begründung dafür, warum man sich nicht mit den datenschutzrechtlichen Voraussetzungen beschäftigt habe. Man möge von einer Bestrafung absehen und mit einer Ermahnung vorgehen.
3. Mit dem Wesen des Auskunftsrechts in einem Telefonat am 27. März 2009 vertraut gemacht, übermittelte die Beschwerdegegnerin das auch an die Beschwerdeführerin übersandte Auskunftsschreiben vom 1. April 2009.
4. Im Parteiengehör bemängelte die Beschwerdeführerin, dass aus dem Auskunftsschreiben nicht hervorgehe, wer tatsächlich die Datenanwendung betreibe. Es werde lediglich dargelegt, dass der Bezirksabfallverband der Gemeinden des Bezirkes B*** Auftraggeber der Beschwerdegegnerin sein solle. Außerdem ergebe sich nicht aus der Auskunft: welche Überwachungsprotokolle und gegebenenfalls Videoauswertungen in diesem Zusammenhang von der Beschwerdegegnerin gemacht worden seien bzw. ob entsprechende Daten über die Beschwerdeführerin automationsunterstützt gespeichert werden (der lange Zeitraum zwischen 8. August 2008 [behauptetes Verhalten der Beschwerdeführerin] und 16. Oktober 2008 [Schreiben der Beschwerdegegnerin] lege dies nahe). Es fehlten Angaben über die Aufbewahrungsdauer der Daten bzw. darüber, welche weiteren Datenanwendungen die Beschwerdegegnerin betreibe (der formularmäßig Aufbau des Schreibens vom 16. Oktober 2008 lege zumindest eine weitere Datenanwendung nahe). Ebenso fehlten Angaben über die Weitergabe der Daten an Dritte. Das Recht auf Auskunftserteilung sei daher noch immer verletzt. Dieses Schreiben sei auch direkt an die Beschwerdegegnerin gegangen.
5. Mit Schreiben vom 6. Mai 2009 übermittelte die Beschwerdegegnerin eine Stellungnahme an die Beschwerdeführerin vom selben Tag, welche die Auskunft ergänze.
6. Im Parteiengehör dazu wird angegeben, dass sich aus diesem Schreiben der Beschwerdegegnerin ergebe, dass Videofilme über 24 Stunden aufgenommen würden, ohne dass bei Vorabkontrollpflicht eine Registrierung beim Datenverarbeitungsregister vorliege. Dies sei ein Eingriff in das Grundrecht auf Datenschutz. Das Auskunftsbegehren habe auch Standardanwendungen umfasst – darüber sei bis dato keine Aufklärung erfolgt. Es wird der Antrag auf Feststellung gestellt, dass die Beschwerdegegnerin das Recht auf Auskunft nach § 26 DSG 2000 verletzt hat.
B. Beschwerdegegenstand
Auf Grund des Vorbringens der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Frage ist, ob sie durch die Beschwerdegegnerin in ihrem Recht auf Auskunft aufgrund ihres Auskunftsbegehrens vom 16. Oktober 2008 verletzt wurde (Feststellung).
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:
Die Beschwerdeführerin erhielt ein mit 16. Oktober 2008 datiertes Schreiben mit folgendem wesentlichen Inhalt (Fettdruck im Original):
„…
[Beschwerdegegnerin] führt die Überwachung der ASI (Altstoffsammelinsel) in *** durch.
Durch ein Aufsichtsorgan wurde am 08.08.2009 um 15.00 im Rahmen einer routinemäßigen Kontrolle der Sammelstelle festgestellt, dass widerrechtliche Ablagerungen erfolgt sind.
Die Überwachungsprotokolle und Videoauswertungen haben ergeben, dass die Ablagerungen durch den Lenker des KFZ BMW: [Kennzeichen] verursacht wurden.
Widerrechtliche Ablagerungen sind: Ablagerungen neben Container, falsche Trennung, Ablagerungen von Haus-, Sperr- oder Sondermüll usw.
Vergehen: Karton vor Container gelagert.
Sie haben nunmehr die Möglichkeit, die Angelegenheit außerbehördlich zu bereinigen, indem Sie die erhöhte Gebühr (pauschalierter Aufwandersatz) in der Höhe von 35,00€ mittels beigeschlossenen Zahlschein binnen 14 Tage (Datum des Poststempels) ohne Abzug zur Einzahlung bringen.
Sollte der pauschalierte Kostenersatz nicht innerhalb dieser Frist beglichen sein, wird die Angelegenheit zur Weiterverfolgung an die zuständige Behörde weitergeleitet. …“
Die Beschwerdeführerin stellte, rechtsanwaltlich vertreten, am 27. Oktober 2008 ein Auskunftsbegehren an die Beschwerdegegnerin mit folgendem wesentlichen Inhalt (Nummerierung durch die Datenschutzkommission):
„…
Aufgrund der Tatsache, dass Sie selber angeben, dass „Überwachungsprotokolle und Videoauswertungen“ gemacht wurden und Sie damit auf die Person meiner Mandantin kommen, muss davon ausgegangen werden, dass die Daten gespeichert werden und Sie personenbezogene Daten einer Person in dieser Datenanwendung sowie etwaig in anderen von Ihrem Unternehmen betriebenen Datenanwendungen gespeichert haben.
1. Entsprechend des § 23 Abs. 1 DSG ersuche ich um Mitteilung, welches Standardanwendungen Sie betreiben.
Entsprechend der Bestimmung des § 26 DSG ersuche ich um Beantwortung nachstehender Fragen:
2. In welcher Art sind die zu meiner Person gespeicherten Daten und was ist der genaue Dateninhalt?
3. Woher stammen diese Daten?
4. Wofür werden bzw. wurden diese Daten verwendet und aufgrund welcher Rechtsgrundlagen erfolgt diese Verwendung?
5. Welche Genehmigungen der Datenschutzkommission liegen für diese Datenanwendungen, insbesondere die Datenanwendung zur Überwachung vor?
Hier ersuche ich um genaue Angabe der Geschäftszahl des Bescheides.
7. Ich erstrecke dieses Ansuchen auch auf allfällige weitere Datenanwendungen, die direkt oder indirekt z.B.: über Schlüsselbegriffe, die mit der fraglichen Anwendung verbunden sind oder verbunden werden können.
Zur Erfüllung meiner Mitwirkungspflicht gemäß § 26 Abs. 2 DSG lege ich zur Identifikation eine Kopie meines Rechtsanwaltsausweises bei.
Falls Sie Zweifel an meiner Identität haben, ersuche ich, Ihre Auskunft eingeschrieben, eigenhändig und mit Rückschein an meine Kanzleiadresse zustellen zu lassen. Auch durch diese Maßnahme ist die in § 26 Abs. 1 DSG 2000 geforderte Identitätsprüfung erfüllt.
Ich ersuche diese Anfrage binnen
8 Wochen
Schriftlich, kostenlos und in allgemein verständlicher Form zu erfüllen.
…
Hochachtungsvoll
Dr. Adalbert H***“
Beweiswürdigung: Diese Feststellungen ergeben sich aus den jeweiligen Schreiben selbst, die Beilage zur Beschwerde waren.
D. In rechtlicher Hinsicht folgt daraus:
1. anzuwendende Rechtsvorschriften
Die Verfassungsbestimmung des § 1 DSG 2000 lautet:
„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;
2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.
(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.
(5) Gegen Rechtsträger, die in Formen des Privatrechts eingerichtet sind, ist, soweit sie nicht in Vollziehung der Gesetze tätig werden, das Grundrecht auf Datenschutz mit Ausnahme des Rechtes auf Auskunft auf dem Zivilrechtsweg geltend zu machen. In allen übrigen Fällen ist die Datenschutzkommission zur Entscheidung zuständig, es sei denn, daß Akte der Gesetzgebung oder der Gerichtsbarkeit betroffen sind.“
§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Er lautet hier wesentlich wie folgt:
„Auskunftsrecht
§ 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.
(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.
Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit
2. der Sicherung der Einsatzbereitschaft des Bundesheeres oder
5. der Vorbeugung, Verhinderung oder Verfolgung von Straftaten
ergeben. Die Zulässigkeit der Auskunftsverweigerung aus den Gründen der Z 1 bis 5 unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission gemäß § 31 Abs. 4.
(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.
(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.
(5) In jenen Bereichen der Vollziehung, die mit der Wahrnehmung der in Abs. 2 Z 1 bis 5 bezeichneten Aufgaben betraut sind, ist, soweit dies zum Schutz jener öffentlichen Interessen notwendig ist, die eine Auskunftsverweigerung erfordert, folgendermaßen vorzugehen: Es ist in allen Fällen, in welchen keine Auskunft erteilt wird - also auch weil tatsächlich keine Daten verwendet werden -, anstelle einer inhaltlichen Begründung der Hinweis zu geben, daß keine der Auskunftspflicht unterliegenden Daten über den Betroffenen verwendet werden. Die Zulässigkeit dieser Vorgangsweise unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission nach § 31 Abs. 4.
(6) Die Auskunft ist unentgeltlich zu erteilen, wenn sie den aktuellen Datenbestand einer Datenanwendung betrifft und wenn der Betroffene im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber zum selben Aufgabengebiet gestellt hat. In allen anderen Fällen kann ein pauschalierter Kostenersatz von 18,89 Euro verlangt werden, von dem wegen tatsächlich erwachsender höherer Kosten abgewichen werden darf. Ein etwa geleisteter Kostenersatz ist ungeachtet allfälliger Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.
(7) Ab dem Zeitpunkt der Kenntnis von einem Auskunftsverlangen darf der Auftraggeber Daten über den Betroffenen innerhalb eines Zeitraums von vier Monaten und im Falle der Erhebung einer Beschwerde gemäß § 31 an die Datenschutzkommission bis zum rechtskräftigen Abschluß des Verfahrens nicht vernichten.
…“
2. rechtliche Schlussfolgerungen
Die Beschwerdeführerin moniert, die Beschwerdegegnerin hätte ihr Auskunftsbegehren vom 16. Oktober 2008 – auch während des Verfahrens vor der Datenschutzkommission – nicht vollständig beantwortet. Inwieweit sie weiters die fehlende Registrierung einer Datenanwendung zum Zeitpunkt der Ermittlung der Daten bemängelt, ist ihr einerseits entgegen zu halten, dass dies nicht Gegenstand eines Verfahrens wegen behaupteter Verletzung im Recht auf Auskunft sein kann und andererseits, dass sie als (auch nur mögliche) Betroffene einer Datenverarbeitung kein subjektives Recht auf die Einhaltung der Meldepflichten gemäß §§ 17ff DSG 2000 hat (vgl. den Bescheid vom 29. September 2006, GZ K121.138/0019-DSK/2006).
Voraussetzung einer möglichen Verletzung im Recht auf Auskunft eines Betroffenen ist das Vorliegen eines rechtsgültigen Auskunftsbegehrens durch diesen Betroffenen, das den Auftraggeber zu einer entsprechenden (Negativ )Auskunft verpflichtet.
Das DSG 2000 verlangt für ein gültiges Auskunftsbegehren ein schriftliches Verlangen und einen Identitätsnachweis. Die Datenschutzkommission vertritt zum Kriterium des Identitätsnachweises die Auffassung, dass die Kopie eines Lichtbildausweises ein geeignetes Mittel darstellt, nicht aber die eigenhändige Zusendung (vgl. dazu auch die bestätigende Auffassung des Verwaltungsgerichtshof, Erkenntnis vom 9. September 2008, Zl. 2004/06/0221).
Liegt einem Begehren kein solcher Identitätsnachweis bei, wäre der Auftraggeber zumindest nach § 6 Abs. 1 Z 1 DSG 2000 (Grundsatz von Treu und Glauben) zu einer Reaktion auf das Auskunftsbegehren verpflichtet. Diese Verpflichtung kann – wiewohl nach Einschaltung der Datenschutzkommission der Auftraggeber eine Reaktion gezeigt hat – im hier vorliegenden besonderen Fall unterbleiben, da es sich einerseits um das Auskunftsschreiben einer rechtsanwaltlich vertretenen Person handelt, welchem keine Vollmacht an den Rechtsanwalt angeschlossen war. Auch hat sich der Rechtsvertreter nicht auf eine Vollmacht berufen (was im Übrigen gemäß § 8 Abs. 1 RAO auch nur vor Gerichten und Behörden den urkundlichen Nachweis der Bevollmächtigung ersetzen würde, nicht aber gegenüber einem Unternehmen wie der Beschwerdegegnerin).
Darüber hinaus wird zwar in einer Passage des Schreibens auf die Mandantin (Beschwerdeführerin) Bezug genommen, sämtliche Fragen mit Bezug auf § 26 DSG (gemeint: DSG 2000) wurden aber in dem mit „Dr. Adalbert H***“ (Rechtsanwalt der vertretenden Sozietät) gezeichneten Schreiben in der „Ich-Form“ gestellt. Dem Auskunftsbegehren lag zur Identifikation die Kopie des Rechtsanwaltsausweises des Dr. H*** bei. Ein Identitätsnachweis der Beschwerdeführerin selbst oder eine Vollmacht der Beschwerdeführerin an den Rechtsvertreter waren dem Auskunftsbegehren nicht beigefügt.
Zusammengefasst liegt damit im vorliegenden Fall kein Auskunftsbegehren der Beschwerdeführerin vor, auf das der – im Übrigen rechtsunkundige – Auftraggeber zu reagieren verpflichtet gewesen wäre. Eine Verpflichtung des rechtsunkundigen Auftraggebers, den einschreitenden Rechtsanwalt über die Erfordernisse eines Auskunftsbegehrens im Namen der Beschwerdeführerin zu belehren, kann unter diesen Umständen nicht ernsthaft angenommen werden. Die Beschwerdeführerin konnte daher nicht im Recht auf Auskunft verletzt werden. Es erübrigt sich daher, inhaltlich auf die Auskunftsschreiben der Beschwerdegegnerin näher einzugehen. Es war daher spruchgemäß zu entscheiden.
Rückverweise
