Source: https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=ff5bb777-2181-41c1-990d-dc9cbe9dddb8&Position=1&Abfrage=Dsk&Entscheidungsart=Undefined&Organ=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=01.01.1990&BisDatum=04.07.2019&Norm=&ImRisSeitVonDatum=&ImRisSeitBisDatum=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=DSB&Dokumentnummer=DSBT_20160310_DSB_D122_322_0001_DSB_2016_00
Timestamp: 2019-10-24 03:03:00+00:00

Document:
RIS - DSB-D122.322/0001-DSB/201... - Entscheidungstext - Datenschutzbehörde
Entscheidungstext DSB-D122.322/0001-DSB/201...
RL 95/46/EG Art15 Abs1
GZ: DSB -D122.322/0001- DSB /2016 vom 10.3.2016
1. Der Beschwerdeführer behauptet in seiner vom 3. Februar 2015 (Text) bzw. 11. März 2015 (Signaturdatum) datierenden und am 11. März 2015 per E-Mail bei der Datenschutzbehörde eingelangten Beschwerde eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin sein Auskunftsverlangen vom 17. Jänner 2015 durch Schreiben (E-Mail) vom 10. März 2015, demnach verspätet, offensichtlich unvollständig und widersprüchlich beantwortet habe. Die Beschwerdegegnerin sei von mehreren Auftraggebern als Datenquelle angeführt worden. Da er mit der Beschwerdegegnerin zuvor keine Geschäftsbeziehungen gepflogen hatte, habe er ein Auskunftsverlangen an diese gerichtet. Die erteilte Auskunft enthalte, obwohl in einer Fußnote angekündigt, keine „Anmerkungen zur voraussichtlichen Richtigkeit“ der Daten. Dies beziehe sich auf Hochrechnungen, die den gespeicherten Daten (etwa zur Häufigkeit von Umzügen) teilweise zu Grunde liegen würden. Seine Adressdaten seien vermutlich unvollständig beauskunftet worden, welche Vermutung sich darauf stütze, dass die Y*** Ges.m.b.H. (siehe Beschwerdeverfahren Zl. DSB -D122.**1) die Beschwerdegegnerin als Datenquelle angegeben und dabei noch eine (ältere, nicht mehr aktuelle) Adresse in Ä*** gespeichert habe. Gleiches gelte sinngemäß für die Speicherung seines Geburtsdatums durch die C*** Ges.m.b.H. (siehe Beschwerdeverfahren Zl. DSB -D122.**2). Er finde es weiter „verwunderlich“, dass die Beschwerdegegnerin seinen vollen Vornamen und seinen akademischen Titel speichere, die er im geschäftlichen und privaten Verkehr nirgends angegeben habe. Er gehe daher davon aus, dass die Beschwerdegegnerin nur eine Teilauskunft (nach dem Prinzip der „Salami-Taktik“) erteilt habe. Die Auskunft enthalte weiters errechnete Daten und „Wahrscheinlichkeitswerte“, etwa zu seiner Stellung im Haushalt, seinem Jahreseinkommen, der Art des Gebäudes, in dem er wohne und zu Werten und Einstellungen die er vertrete (so werde er als „Digitaler Individualist“ bezeichnet). Es fehlten aber Erklärungen zur Bedeutung dieser Werte, wobei er sich darauf stütze, sich in seinem Auskunftsverlangen auch auf die Logik jedweder Berechnung (§ 49 Abs. 3 DSG 2000) bezogen zu haben. Die Beschwerdegegnerin habe es weiters unterlassen, „sinnvolle Angaben zur Herkunft der Daten“ zu machen. Dies entgegen dem Gesetz und dem Branchenstandard, welche beide die Führung entsprechender Protokolldaten vorschreiben würden. Dies sei nicht glaubwürdig und „als Versuch der Verschleierung zu qualifizieren“. Bei der Auskunft zu den Empfängern der Daten habe sich die Beschwerdegegnerin „nicht nur vollkommen inhaltsbefreit sondern auch nachweislich falsch“ auf allgemeine Branchenangaben beschränkt und dabei etwa die nachweisliche Datenübermittlung an Kreditauskunfteien nicht erwähnt. Die Angaben zum Zweck der Datenverwendung würden fehlen, die Angaben zu den Rechtsgrundlagen (Beschränkung auf das Gewerbe des Adressverlags) seien angesichts der durchgeführten „Hochrechnungen“ unklar. Der Beschwerdeführer beantragte, die von ihm behauptete Rechtsverletzung (durch Bescheid) festzustellen.
3. Nach Kenntnisnahme von der ergänzenden Auskunftserteilung vom 9. April 2015 gewährte die Datenschutzbehörde dem Beschwerdeführer Parteiengehör gemäß § 31 Abs. 8 DSG 2000 (GZ: DSB -D122.322/0004- DSB /2015 vom 14. April 2015). Der Beschwerdeführer brachte nun in seiner Stellungnahme vom 22. April 2015 folgende Gründe für das Weiterbestehen seiner Beschwer (inhaltlich mangelhafte Auskunftserteilung) in den wesentlichen Punkten vor: Die Beschwerdegegnerin habe über die Frage der „voraussichtlichen Richtigkeit“ bestimmter Daten und insbesondere die nach den Umzugsdaten unzureichend beantwortet. Das Vorbringen, die Beschwerdegegnerin habe sein Auskunftsverlangen dazu benützt, Daten zu aktualisieren, sei „geradezu empörend“. Die Angaben seien überdies falsch, da die C*** (ähnliches gelte für die Y***) schon am 29.1.2015 seinen vollständigen Vornamen und seinen akademischen Grad gespeichert und sich zur Herkunft der Daten auf die Beschwerdegegnerin berufen hatte. Die Angaben der Beschwerdegegnerin zur gebotenen Protokollierung von Datenverarbeitungsvorgängen und damit zur Nachvollziehbarkeit von Herkunft und Übermittlung der Daten, seien, was das Argument der Unzumutbarkeit angehe, „grotesk“. Das Gesetz ordne eine Protokollierung nach dem „Stand der Technik“ an, und es sei „wohl unbestritten“, dass es technisch kein Problem bereite, „entsprechende Metadaten anzulegen“. Andernfalls sei eine „ordentliche Datenbankführung unmöglich“. Anderslautende Entscheidungen der früheren DSK seien vor dem Hintergrund einer inzwischen massiv veränderten Technik zu sehen. Er verfüge über Quellen (bei „namhaften Konkurrenten“ der Beschwerdegegnerin), die er aber nicht nennen könne, die ihm diese Ansicht bestätigt hätten. Es könne weiters nicht sein, dass die hohe Zahl der nach Angaben der Beschwerdegegnerin verarbeiteten Datensätze als Argument für eine Herabsetzung der Sorgfaltsmaßstäbe herangezogen werde, während dies, insbesondere bei einem „Datenhändler“ (Anführungszeichen im Original), eigentlich Anlass für „hohe Schutzmaßnahmen“ und strenge Auskunftspflichten sein müsste. Protokolldaten seien Teil des zu beauskunftenden Datenbestandes. Die Beschwerdegegnerin argumentiere außerdem insoweit widersprüchlich, als sie angeblich keine Daten zu Übermittlungsempfängern ohne unzumutbaren Aufwand abrufen könne, zu bestimmten Übermittlungsempfängern aber doch Angaben gemacht habe. Es fehlten außerdem Angaben zur Herkunft der Daten, da diese nicht einfach „ermittelt“ (Anführungszeichen im Original) worden seien sondern aus konkreten, anzugebenden Quellen (z.B. Grundbuch, ZMR, Telefonanrufe) stammen müssten. Betreffend die Beauskunftung der Entscheidungslogik brachte der Beschwerdeführer vor, die Beschwerdegegnerin habe als Auskunft einfach eine „Kopie eines Werbetexts“ für „**Peer-Groups“ vorgebracht. Es fehle an Angaben, wie der seiner Person zugeschriebene Wert „digitaler Individualist“ zustande komme oder sein Einkommen errechnet worden sei. Der Beschwerdeführer beantragte, den Sachverhalt weiter zu ermitteln, einen Augenschein durchzuführen und die tatsächliche Datenverwendung durch die Beschwerdegegnerin festzustellen.
5. Die Datenschutzbehörde nahm in weiterer Folge am 11. Juni 2015 in den Geschäftsräumen der Beschwerdegegnerin in **** V*** eine Einschau vor (Niederschrift zu GZ: DSB -D122.322/0006- DSB /2015, Dauer der Amtshandlung: 2 ¾ Stunden).
6. Nach beidseitigem Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens (GZ: DSB -D122.322/0009- DSB /2015 vom 17. Juli 2015) brachte der Beschwerdeführer in seiner Stellungnahme vom 31. Juli 2015 Folgendes vor: Zunächst rügte er, die Einschau der Datenschutzbehörde habe sich auf die Verwendung des „Terminal-Programms“ der Beschwerdegegnerin beschränkt und damit keine „absolute Sicherheit über den tatsächlichen Datenbestand in den Systemen“ geben können. Die Beschwerdegegnerin habe jedenfalls, soviel sei durch Niederschrift und Beilagen klargeworden, „bei ihrer Auskunft nicht den vollen Dateninhalt zur Verfügung gestellt“ (Unterstreichung im Original). Im Bereich „**Peer-Groups“ scheine die Beschwerdegegnerin alle Dateninhalte offengelegt zu haben. Dies seien aber nur „Rohdaten“, die Beschwerdegegnerin habe jedoch nicht offengelegt, wie die Logik der Berechnung laute, was die Datenbasis bilde und wie die Daten gewichtet würden. Auch sei es ihm auf Grundlage der erteilten Auskunft nicht möglich, die Rechtmäßigkeit dieser Datenverarbeitungsvorgänge zu beurteilen. Daher habe sie jedenfalls sein Auskunftsrecht gemäß § 26 und § 49 Abs. 3 DSG 2000 verletzt. Die Angaben zu den Rechtsgrundlagen der Datenverwendung betrachte er als ausreichend und vermutlich rechtmäßig. Dies gelte nicht für die Frage der Auskunft zur Datenherkunft und zu den Übermittlungsempfängern. Der Begriff des „unverhältnismäßigen Aufwands“, den die Beschwerdegegnerin heranziehe, um die Unterlassung der genauen Protokollierung der Verwendungsvorgänge rechtfertigen zu können, kommen im DSG 2000 nicht vor. Es stelle sich weiters die Frage, ob die Beschwerdegegnerin sich ihrer Pflichten zur Auskunftserteilung dadurch entziehen könne, dass sie die Daten „möglichst zerstreut und unsortiert“ speichere. Dabei sei auch hinsichtlich der früheren Rechtsprechung, auf die sich die Beschwerdegegnerin berufen habe, zu beachten, dass diese „nicht mehr relevant“ sei, da § 26 Abs. 1 DSG 2000 durch den Entfall des Worts „verfügbaren“ gemäß DSG-Novelle 2010, BGBl. I Nr. 133/2009, strenger gefasst worden sei. Hier sei im Zweifel der Wortlaut maßgeblich. Angesichts der von der Beschwerdegegnerin selbst ins Treffen geführten enorm großen Datenmengen (angeblich „so groß, dass sie einer Kontrolle nicht mehr zugänglich ist“) sei eine gemäß § 14 Abs. 2 Z 7 DSG 2000 angemessene Protokollierung der Datenverwendung geboten. Diese müsste die volle Herkunft der Daten dokumentieren, daher sei auch in diesem Umfang Auskunft zu erteilen. Gleiches gelte sinngemäß für die Datenempfänger, wobei die Beschwerdegegnerin selbst die Auskunft über die Empfängerkreise nachweislich zu eng gefasst habe, da „Kreditauskunfteien und Adresshändler“ nicht angegeben worden seien. Die Beschwerdegegnerin erkläre hier überdies nicht, warum sie einzelne Datenempfänger angebe, bei anderen aber keine Auskunft erteile. Die Frage des Zwecks der Datenverwendung sei hinreichend geklärt worden. Weiteres Vorbringen des Beschwerdeführers bezieht sich auf die Frage der Rechtmäßigkeit der Datenverwendung und wird daher nicht wiedergegeben.
Beweiswürdigung: Diese Feststellungen beruhen in der Hauptsache auf dem Ergebnis der Einschau der Datenschutzbehörde in den Geschäftsräumen der Beschwerdegegnerin am 11. Juni 2015, Niederschrift GZ: DSB -D122.322/0006- DSB /2015, sowie auf glaubwürdigen Angaben der Beschwerdegegnerin selbst und amtsbekannten Tatsachen. Die Datenschutzbehörde ist der Anregung des Beschwerdeführers, die Datenanwendungen der Beschwerdegegnerin einer noch genaueren Prüfung (sinngemäß ohne Verwendung des „Terminal-Programms“ der Beschwerdegegnerin) zu unterziehen, um „absolute Sicherheit über den tatsächlichen Datenbestand“ zu gewinnen, nicht gefolgt. Der Beschwerdeführer hat nicht ausreichend dargelegt, welche Erkenntnisse dadurch zu gewinnen wären. Auch mit dem Hinweis auf „Quellen“, also mögliche Zeugen, bei Konkurrenten der Beschwerdegegnerin, deren Namen der Beschwerdeführer aber nicht nennen dürfe, ist für die Sache des Beschwerdeführers nichts zu gewinnen. Nach Ansicht der Datenschutzbehörde sind die entscheidungswesentlichen Fragen geklärt worden. Die Feststellung des gesamten „tatsächlichen Datenbestands“ (gemeint wohl: zur Person des Beschwerdeführers) war nicht Gegenstand des Verfahrens, weil in diesem Fall die Gewährung von Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens bereits das Ergebnis einer möglicherweise gemäß § 31 Abs. 7 DSG 2000 zu ergänzenden datenschutzrechtlichen Auskunftserteilung vorwegnehmen und eine behördliche Entscheidung (die eine Leistungserbringung durch den datenschutzrechtlich verantwortlichen Auftraggeber zum Ziel hat, vgl. hierzu das Erkenntnis des BVwG vom 17.11.2015, W214 2014069-1, RIS, und die darin zitierte Rspr des VwGH) nahezu ad absurdum führen würde. Eine solche Beweisaufnahme mag nach Ansicht des Beschwerdeführers für diesen ganz allgemein von Interesse sein, doch decken überdies die gesetzlichen Befugnisse der Datenschutzbehörde gemäß §§ 30 f DSG 2000 die Durchführung eines sogenannten Erkundungsbeweises (ein Beweis nach dem Motto: Schauen wir mal, was wir vielleicht finden!) nicht (zur regelmäßigen Unzulässigkeit des Erkundungsbeweises im AVG-Verfahren, vgl. allgemein die ständig Rspr des VwGH, etwa E 14.11.1984, VwSlg 11584 A/1984, und E 11.12.2002, 2001/03/0057, letzteres betreffend eine verlangte Beweisaufnahme zur Funktionsfähigkeit eines technischen Kontrollgeräts).
22. Das Auskunftsrecht ist ein anlassunabhängiges, subjektives Kontrollrecht (Bescheid der früheren Datenschutzkommission [DSK] vom 14.9.2012, K121.830/0008-DSK/2012, RIS), das auf Feststellung eines sachverhaltsmäßigen Ist-Zustandes gerichtet ist. Der datenschutzrechtlich Verantwortliche (Auftraggeber) hat dabei dem Betroffenen auch unrichtige oder rechtswidrig verwendete Daten offenzulegen (vgl. § 26 Abs. 7 und § 52 Abs 1 Z 4 DSG 2000). Umgekehrt ist das Beschwerdeverfahren gemäß § 31 Abs. 1 DSG 2000 jedoch (siehe oben, Rz 21) nicht der prozessuale Weg, um das Recht auf Richtigstellung bzw. Löschung oder eine Verletzung im Recht auf Geheimhaltung geltend zu machen oder Pflichtenverletzungen eines datenschutzrechtlich Verantwortlichen zu rügen. Ausführungen zur allgemeinen Rechtmäßigkeit der Datenverwendung durch die Beschwerdegegnerin, zur Rechtmäßigkeit bestimmter Verwendungsvorgänge und zu Protokollierungspflichten, etc., gehen daher ins Leere. Der Beschwerdeführer ist hierzu auf das von ihm initiierte Kontroll- und Ombudsmannverfahren gemäß § 30 Abs. 1 DSG zu verweisen (Zl. DSB -D215.****). Auf die damit im Zusammenhang stehenden Fragen wird daher in weiterer Folge nicht näher eingegangen.
Auskunft, Inhaltsmängel Adressverlag, Direktmarketing, Umfang des Auskunftsrechts, Marketingklassifikationen, automatisierte Einzelentscheidung
ECLI:AT: DSB :2016: DSB .D122.322.0001. DSB.2016
DSBT_20160310_DSB_D122_322_0001_DSB_2016_00

References: § 31
 § 26
 § 49
 § 26
 § 14
 § 31
 § 26
 § 52
 § 31
 § 30