Source: https://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Dsk&Dokumentnummer=DSKTE_20130719_K210714_0016_DSK_2013_00&ResultFunctionToken=ff859ce3-22ac-4a47-b232-1931b7d0b671&Position=1&Entscheidungsart=Undefined&Organ=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=01.01.1990&BisDatum=03.02.2017&Norm=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=sozialversicherungsnummer
Timestamp: 2019-08-22 07:25:22+00:00

Document:
RIS - K210.714/0016-DSK/2013 - Entscheidungstext - Datenschutzbehörde
Entscheidungstext K210.714/0016-DSK/2013
K210.714/0016-DSK/2013
Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. SOUHRADA-KIRCHMAYER, Mag. MAITZ-STRASSNIG, Mag. ZIMMER und Dr. HEISSENBERGER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 19. Juli 2013 folgenden Beschluss gefasst:
Aus Anlass der Eingabe des Mag. Dr. L*** M*** (Einschreiter) vom 10. Jänner 2013, betreffend Anführung der Sozialversicherungsnummer auf einem Zahlschein der N*** Sozialversicherungsanstalt zur Bezahlung eines Behandlungsbeitrages ergeht gemäß § 30 Abs. 6 DSG 2000 zur Herstellung des rechtmäßigen Zustands die folgende Empfehlung an die N*** Sozialversicherungsanstalt:
Die N*** Sozialversicherungsanstalt möge auf Zahlscheinen von der Anführung der Sozialversicherungsnummer absehen.
Für die Umsetzung dieser Empfehlung wird eine Fr i s t von d r e i Mo n a t e n gesetzt.
Rechtsgrundlagen: § 1 Abs. 1 und 2, § 4 Z 1, § 30 Abs. 6 des Datenschutzgesetzes 2000 – DSG 2000, BGBl. I Nr. 165/1999 idgF.
G r ü n d e für diese E m p f e h l u n g
1. In seinen Eingaben vom 10. Jänner und 11. Februar 2013 führte der Einschreiter aus, dass er letztes Jahr mittels Post die Vorschreibung eines Behandlungsbeitrages zu einer näher genannten Rechnungsnummer von der N*** Sozialversicherungsanstalt (N***) erhalten habe. Dem Schreiben der N*** sei ein Zahlschein beigelegt gewesen, auf welchem die Sozialversicherungsnummer des Einschreiters in voller Länge aufgeschienen sei. Die N*** habe ihm im Rahmen eines Telefonates mitgeteilt, dass die Banken, wo eingezahlt werde, auch der Verschwiegenheit unterlägen und somit keine Verletzung datenschutzrechtlicher Vorschriften gegeben sei. Weiters sei ihm mitgeteilt worden, dass er die Sozialversicherungsnummer auf dem Zahlschein durchstreichen könne. Dass die Anführung der Sozialversicherungsnummer auf dem Zahlschein notwendig sei, um eine eindeutige Zuordnung zu gewährleisten, eine Rechnungsnummer jedoch unzureichend, sei für den Einschreiter nicht nachvollziehbar. Auf der Rechnungsvorschreibung seien drei Zahlen (eine achtstellig, eine zweite neunstellig und eine zwölfstellige Rechnungsnummer) angeführt, die eine problemlose Zuordnung ermöglichen sollten.
Den Eingaben vom 10. Jänner und 11. Februar 2013 beigelegt ist ein Zahlschein zur Bezahlung eines Behandlungsbeitrages in der Höhe von 10,94 Euro, wobei im Feld „Verwendungszweck“ die Sozialversicherungsnummer des Einschreiters sowie das Fälligkeitsdatum angeführt sind. Weiters wurden auf dem Zahlschein bereits der Name und die Anschrift des Einschreiters im Feld „Kontoinhaber/Auftraggeber“ durch die N*** maschinell eingefügt. Der Eingabe vom 11. Februar 2013 ist ein an den Einschreiter gerichtetes Schreiben der N*** vom 10. Dezember 2012 mit dem Betreff „Behandlungsbeitrag – Rechnung 8***; Rückstandsausweis“ beigeschlossen. In der Rubrik „Zahl“ ist die Ziffernfolge „7***,2***“ angeführt.
2. Die N*** führte über Aufforderung der Datenschutzkommission in ihren Stellungnahmen vom 31. Jänner und 29. März 2013 zusammengefasst aus, dass sie die Sozialversicherungsnummer in der gesamten Korrespondenz mit ihren Kunden und auch im Zahlungsverkehr verwende. Dies sei notwendig, um angesichts der großen Zahl der Anspruchsberechtigten eine eindeutige und verwechslungsfreie Identifikation sicherzustellen. Aufgrund von Schreibfehlern komme es nämlich des Öfteren zu Zuordnungsproblemen, weil bspw. die Zahlungsreferenz (Rechnungsnummer) nicht oder inkorrekt angeführt werde. Die zusätzliche Verwendung der Sozialversicherungsnummer ermögliche fast immer eine richtige Zuordnung und erspare im Interesse der Kunden oftmals die Versendung von Mahnungen oder gar die Einleitung von Exekutionsverfahren. Die Angabe der Sozialversicherungsnummer stelle aus Sicht der N*** das gelindeste zur Verfügung stehende Mittel dar, die sich aus einer fehlerhaften Erfassung der Zahlungsreferenz ergebenden Unannehmlichkeiten für die Kunden abzuwenden.
Die N*** verwendet die Sozialversicherungsnummer in der gesamten Korrespondenz mit ihren Kunden und auch im Zahlungsverkehr.
Auf den Zahlscheinen scheint im Feld „Verwendungszweck“ neben dem Fälligkeitsdatum auch die Sozialversicherungsnummer des Versicherten auf. Name und Anschrift des Versicherten werden durch die N*** in den Zahlschein maschinell eingefügt.
Auf den Vorschreibungen der Behandlungsbeiträge ist eine mehrstellige Rechnungsnummer angeführt.
Beweiswürdigung: Diese Feststellungen ergeben sich aus den diesbezüglich übereinstimmenden bzw. unbestrittenen Ausführungen des Einschreiters und der N*** sowie aus dem vom Einschreiter vorgelegten Zahlschein und aus dem an ihn gerichteten Schreiben der N*** vom 10. Dezember 2012.
§ 4 Z 1 DSG 2000 lautet:
1. „Daten“ („personenbezogene Daten“): Angaben über Betroffene (Z 3), deren Identität bestimmt oder bestimmbar ist; „nur indirekt personenbezogen“ sind Daten für einen Auftraggeber (Z 4), Dienstleister (Z 5) oder Empfänger einer Übermittlung (Z 12) dann, wenn der Personenbezug der Daten derart ist, daß dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;“
2.1. Die Sozialversicherungsnummer ist ein personenbezogenes Datum im Sinne des § 4 Z 1 DSG 2000, an der ein Versicherter ein schutzwürdiges Geheimhaltungsinteresse hat.
Nach der Rechtsprechung der Datenschutzkommission darf die Sozialversicherungsnummer nicht als „genereller Identifikator“ verwendet werden, d.h. in Zusammenhängen, die mit sozialversicherungsrechtlichen Sachverhalten nichts zu tun haben; eine solche Verwendung wurde von der DSK bereits wiederholt als unzulässig bezeichnet. Es wurde hingegen als nicht überschießende Datenverwendung gewertet, die Sozialversicherungsnummer dort zu verwenden, wo die eindeutige und unverwechselbare Bezeichnung des Betroffenen notwendig ist (vgl. dazu etwa den Bescheid vom 25. Februar 2009, GZ K121.422/0002-DSK/2009).
In ähnlicher Weise hat sich auch der gemäß § 41 DSG 2000 beim Bundeskanzleramt eingerichtete Datenschutzrat bereits mehrmals geäußert (vgl. dazu bspw. die Stellungnahme des Datenschutzrates zur Untersuchung von Alternativen zur Sozialversicherungsnummer in der Bildungsdokumentation vom 25. Februar 2010, abrufbar unter
www.bka.gv.at/DocView.axd?CobId=38592).
Vorliegend ist zwar unbestritten ein sozialversicherungsrechtlicher Zusammenhang gegeben, jedoch nur im Verhältnis zwischen dem Versicherten und seiner Sozialversicherung. Wird jedoch die Sozialversicherungsnummer – wie im vorliegenden Fall – auf einem Zahlschein abgedruckt, so wird dieses Datum auch den Bediensteten der die Überweisung durchführenden Bank bekannt. Diesen ist es daher möglich, in Verbindung mit dem auf dem Zahlschein angeführten Namen des Kontoinhabers den Bezug zu diesem herzustellen, weshalb der betroffene Versicherte dadurch in seinem schutzwürdigen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten gemäß § 1 Abs. 1 DSG 2000 verletzt wird. Dass die Bediensteten einer Bank selbst einer gesetzlichen Verschwiegenheitspflicht unterliegen (vgl. dazu § 38 des Bankwesengesetzes – BWG, Bankgeheimnis) ändert daran nichts, weil das Bankgeheimnis nur gegenüber Dritten gilt. Der Anspruch auf Geheimhaltung eines Versicherten gilt jedoch auch gegenüber den Bediensteten (s)einer Bank.
2.2. Die Datenschutzkommission übersieht dabei nicht, dass es angesichts der großen Anzahl der bei der N*** Versicherten zu Zuordnungsproblemen aufgrund von Schreibfehlern kommen kann. Dass dieser Problematik jedoch nur unter Zuhilfenahme der Sozialversicherungsnummer auf einem Zahlschein wirksam begegnet werden kann – wobei auch hier Schreibfehler nicht ausgeschlossen sind –, ist für die Datenschutzkommission allerdings nicht nachvollziehbar. Wie der Einschreiter schlüssig geltend macht, ist einer Zahlungsvorschreibung im Regelfall eine Rechnung mit mehrstelliger Rechnungsnummer angeschlossen. Die Rechnungsnummer, die im Übrigen – wie schon derzeit die Sozialversicherungsnummer – von der N*** auf einem Zahlschein im Feld „Verwendungszweck“ maschinell eingefügt werden könnte, sowie der Name des Versicherten, der ja von der N*** ebenfalls auf den übermittelten Zahlscheinen maschinell eingefügt wird, sollten nach Ansicht der Datenschutzkommission eine problemlose Zuordnung ermöglichen. Darüber hinaus ist darauf hinzuweisen, dass im Lichte des sich aus § 1 Abs. 2 und § 7 Abs. 3 DSG 2000 ergebenden Grundsatzes, wonach ein Eingriff in das Grundrecht auf Datenschutz jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden darf, mit der Anführung der Sozialversicherungsnummer auf der Rechnung, die im Übrigen an den Versicherten selbst adressiert ist und somit vorerst nur von diesem eingesehen werden kann, das Auslangen gefunden werden kann.
Es wird daher empfohlen, an Stelle der Sozialversicherungsnummer eine andere, dem Versicherten eindeutig zuordenbare Nummer auf Zahlscheinen zu verwenden.
2.3. Es war folglich gemäß § 30 Abs. 6 DSG 2000 zur Herstellung des rechtmäßigen Zustandes die obige Empfehlung zu erteilen. Eine Frist von drei Monaten scheint – in Anbetracht des Umstandes, dass eine Neuorganisation der Zahlungszuordnung notwendig sein wird – angemessen.
Empfehlung, Sozialversicherungsnummer, Zahlungsreferenz, Sozialversicherung, Zahlschein, Erlagschein, Behandlungsbeitrag
DSKTE_20130719_K210714_0016_DSK_2013_00

References: § 30
 § 1
 § 4
 § 30

§ 4
 § 4
 § 41
 § 1
 § 38
 § 1
 § 7
 § 30