Datenschutzbehörde

GZ: DSB-D123.495/0007-DSB/2018 vom 5.2.2019

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Herrn DI Walter A*** (Beschwerdeführer) vom 17. September 2018 gegen die N***Reisen GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Löschung wie folgt:

1.   Die Beschwerde wird abgewiesen.

Rechtsgrundlagen: § 1 Abs. 1 und Abs. 3, § 4 Abs. 1, § 24 Abs. 1, § 24 Abs. 6 Datenschutzgesetz – DSG, BGBl. 165/1999 idgF, Art. 6 Abs. 1 lit. d), Art. 6 Abs. 4, Art. 17 Abs. 1 lit. b) Datenschutz-Grundverordnung – DSGVO L 119, S.1. : Paragraph eins, Absatz eins und Absatz 3,, Paragraph 4, Absatz eins,, Paragraph 24, Absatz eins,, Paragraph 24, Absatz 6, Datenschutzgesetz – DSG, Bundesgesetzblatt 165 aus 1999, idgF, Artikel 6, Absatz eins, Litera d,), Artikel 6, Absatz 4,, Artikel 17, Absatz eins, Litera b,) Datenschutz-Grundverordnung – DSGVO L 119, S.1.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1.) Mit verfahrenseinleitender Eingabe vom 17. September 2018 rügte der Beschwerdeführer eine Verletzung im Grundrecht auf Datenschutz. Er führte dazu aus, dass die Beschwerdegegnerin ihm am 1. September 2018 eine Postendung mit einem Katalog und am 6. September 2018 eine Werbemail zugesandt hätte, obwohl er mit formloser E-Mail vom 1. Juni 2018 die Löschung seiner Daten bei der Beschwerdegegnerin verlangt habe.

2.) Mit Erledigung vom 28. September 2018, GZ: DSB-D123.495/0001-DSB/2018, forderte die Datenschutzbehörde die Beschwerdegegnerin auf, zu den Vorwürden des Beschwerdeführers Stellung zu nehmen.

3.) Mit Eingabe vom 25. Oktober 2018 nahm die Beschwerdegegnerin durch ihren ausgewiesenen Vertreter Stellung: Richtig sei, dass die Beschwerdegegnerin Anfang Juni 2018 eine Mail betreffend die Datenschutz-Grundverordnung ausgeschickt habe und dass von der Mailadresse des Beschwerdeführers geantwortet worden sei. Mittels postalischem Schreiben vom 12. Juni 2018 habe die Beschwerdegegnerin mitgeteilt, dass sie zur Identifizierung des Beschwerdeführers einen Identitätsnachweis benötige. Danach habe man die Beschwerde vor der Datenschutzbehörde erhalten. Die Beschwerdegegnerin habe für die zur Ausübung des höchstpersönlichen Löschrechts notwendige Identifizierung zu sorgen und könne auf andere Weise die Identität nicht festgestellt werden. Die Beschwerde sei deshalb verfrüht bzw. unberechtigt ergangen. Unabhängig davon komme eine Löschungsrecht nur dann infrage, wenn kein Grund zur Verarbeitung bestehen oder dieser nachträglich wegfallen würde. Diese Voraussetzungen seien im Falle des Beschwerdeführers jedoch nicht erfüllt, da eine separate Aufbewahrungspflicht, welche sich aus der Bundes-Abgabenordnung ergäbe, bestünde, zumal die letzte Abrechnung vom Ende 2017 datiere. Nichtsdestoweniger habe die Beschwerdegegnerin die Verarbeitung der Daten eingeschränkt und derart gekennzeichnet, dass eine Verarbeitung über das erforderliche Maß nicht hinausgehen könne. Dieser Umstand sei dem Beschwerdeführer mit Schreiben vom 24. Oktober 2018 auch mitgeteilt worden.

4.) Mit Erledigung vom 12. November 2018, GZ: DSB-D123.495/0006-DSB/2018, räumte die Datenschutzbehörde dem Beschwerdeführer Parteiengehör ein.

5.) Mit Eingabe vom 26. November 2018 nahm der Beschwerdeführer Stellung und führte aus, dass er das Schreiben mit dem er zur eindeutigen Identifizierung aufgefordert worden sei, bis heute nicht erhalten habe. Darüber hinaus sei nicht nachvollziehbar warum dieser Brief nicht eingeschrieben verschickt worden sei, oder parallel via E-Mail. Zudem sei es sehr interessant, dass mittels formloser E-Mail nachgefragt worden sei, ob eine Löschung gewünscht werde, aber nichts über das weitere Prozedere mitgeteilt werde. Der Beschwerdeführer könne durchaus nachvollziehen, dass nicht alle Daten zu löschen wären, jedoch habe er nie der Verarbeitung der Daten zu Werbezwecken zugestimmt.

B. Beschwerdegegenstand

Beschwerdegegenstand ist die Frage, ob die Daten zu Unrecht zu Werbezwecken verwendet werden.

C. Sachverhaltsfeststellungen

Der Beschwerdeführer meldete sich mit Schreiben vom 8. November 2017 zu einem Sprachaufenthalt in Edinburgh an. Die Beschwerdegegnerin veranstaltete den Sprachaufenthalt in der Zeit vom 5. April 2018 bis zum 12. April 2018. Eine Zustimmung zur Datenverarbeitung zu Werbezwecken wurde nicht gegeben.

Am 1. Juni 2018 ersuchte die Beschwerdegegnerin im Zusammenhang mit dem Inkraft-Treten der Datenschutz-Grundverordnung um Zustimmung zur Datenverarbeitung zu Werbezwecken.

Der Beschwerdeführer verlangte mit E-Mail vom 1. Juni 2018 die Löschung seiner Daten.

Die Beschwerdegegnerin verlangte mit Schreiben vom 12. Juni 2018 zur eindeutigen Identifizierung des Beschwerdeführers einen Identitätsnachweis um dem Begehren auf Löschung nachkommen zu können. Ob das Schreiben an den Beschwerdeführer zugegangen ist, konnte nicht festgestellt werden. Der Beschwerdeführer antwortete nicht auf die Nachricht der Beschwerdegegnerin.

Die Beschwerdegegnerin übermittelte am 1. September 2018 eine Postendung mit einem Katalog und am 6. September 2018 eine Werbemail an den Beschwerdeführer.

Am 17. September 2018 erhob der Beschwerdeführer Beschwerde bei der Datenschutzbehörde betreffend die Verletzung des Grundrechts auf Datenschutz gemäß § 1 Datenschutzgesetz – DSG. Am 17. September 2018 erhob der Beschwerdeführer Beschwerde bei der Datenschutzbehörde betreffend die Verletzung des Grundrechts auf Datenschutz gemäß Paragraph eins, Datenschutzgesetz – DSG.

Während des Verfahrens vor der Datenschutzbehörde informierte die Beschwerdegegnerin mit Einschreiben vom 24. Oktober 2018 den Beschwerdeführer darüber, dass die Daten nicht mehr zu Werbezwecken verarbeitet werden.

Die Daten werden zum Zwecke der Aufbewahrungspflicht weiterhin verarbeitet.

Beweiswürdigung:

Die Feststellung betreffend die Zustimmung zur Datenverarbeitung beruht auf der richtigen und echten Urkunde über die Anmeldung zur Sprachreise – beigebracht durch den Beschwerdeführer.

Die Feststellung betreffend die E-Mail zur Einwilligung in die Datenverarbeitung beruht auf den übereinstimmenden Vorbringen und den Beweisanboten der beiden Parteien.

Die Feststellung betreffend das Schreiben zum Identitätsnachweis beruht auf dem Vorbringen der Beschwerdegegnerin, die das zugrundeliegende Schreiben vom 12. Juni 2018 im Verfahren beibrachte. Der Beschwerdeführer bestritt die Zustellung, erhielt aber nach eigenen Angaben und nachgewiesener Zustellung gleich adressierte Sendungen. Da das Schreiben allerdings ohne Zustellnachweis verschickt wurde, kann nicht festgestellt werden, ob die Zustellung tatsächlich zum damaligen Zeitpunkt erfolgte.

Die restlichen Feststellungen sind soweit unstrittig und beruhen auf den einhelligen Eingaben der Beschwerde-Parteien.

D. In rechtlicher Hinsicht folgt daraus:

Zum geltend gemachten Recht:

In der verfahrenseinleitenden Eingabe bezeichnet der Beschwerdeführer, ohne dies näher zu definieren, das Grundrecht auf Datenschutz als verletztes Recht und führt dazu aus, er habe unerwünschte Werbung erhalten. Der Beschwerdegegnerin übermittelte er ein Begehren, in welchem er ausführte, die Beschwerdegegnerin möge seine Daten löschen. Später im Verfahren, mit Eingabe vom 26. November 2018, führt der Beschwerdegegner aus, dass er mit einer partiellen „Löschung“ zufrieden sei, indem er ausführte, er hätte es schon verstanden, dass nicht alle Daten gelöscht werden könnten, wegen spezieller Aufbewahrungsfristen.

Nach stRsp des VwGH sind Parteienerklärungen (also auch Anbringen [Walter/Kolonovits/Muzak/Stöger9 Rz 152]) im Verfahren ausschließlich nach ihrem objektiven Erklärungswert auszulegen (vgl auch VwGH 6. 11. 2006, 2006/09/0094; m.w.N.). Entscheidend ist, wie die Erklärung (vgl VwGH 28. 7. 2000, 94/09/0308 uA) unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszwecks und der Aktenlage objektiv verstanden werden muss (VwGH 24. 1. 1994, 93/10/0192; 6. 11. 2001, 97/18/0160; 19. 1. 2011, 2009/08/0058; vgl auch VfSlg 17.082/2003). Weist ein Anbringen einen undeutlichen Inhalt auf, so hat die Behörde nach der Rsp des VwGH durch Herbeiführung einer entsprechenden Erklärung (VwSlg 11.625 A/1984 verst Sen) den wahren Willen des Einschreiters festzustellen (VwGH 20. 2. 1998, 96/15/0127; 28. 7. 2000, 94/09/0308; 19. 1. 2011, 2009/08/0058), diesen also zu einer Präzisierung aufzufordern (VwGH 26. 2. 1991, 90/04/0277; 19. 11. 1998, 98/19/0132; 3. 10. 2013, 2012/06/0185; VfSlg 14.965/1997) bzw zum Inhalt einzuvernehmen (VwGH 30. 4. 1999, 95/21/0931; 30. 6. 2004, 2004/04/0014; 28. 6. 2010, 2008/10/0002; Schopf, Recht 191; vgl auch Wessely, Eckpunkte 208 f). Rz 152]) im Verfahren ausschließlich nach ihrem objektiven Erklärungswert auszulegen vergleiche auch VwGH 6. 11. 2006, 2006/09/0094; m.w.N.). Entscheidend ist, wie die Erklärung vergleiche VwGH 28. 7. 2000, 94/09/0308 uA) unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszwecks und der Aktenlage objektiv verstanden werden muss (VwGH 24. 1. 1994, 93/10/0192; 6. 11. 2001, 97/18/0160; 19. 1. 2011, 2009/08/0058; vergleiche auch VfSlg 17.082/2003). Weist ein Anbringen einen undeutlichen Inhalt auf, so hat die Behörde nach der Rsp des VwGH durch Herbeiführung einer entsprechenden Erklärung (VwSlg 11.625 A/1984 verst Sen) den wahren Willen des Einschreiters festzustellen (VwGH 20. 2. 1998, 96/15/0127; 28. 7. 2000, 94/09/0308; 19. 1. 2011, 2009/08/0058), diesen also zu einer Präzisierung aufzufordern (VwGH 26. 2. 1991, 90/04/0277; 19. 11. 1998, 98/19/0132; 3. 10. 2013, 2012/06/0185; VfSlg 14.965/1997) bzw zum Inhalt einzuvernehmen (VwGH 30. 4. 1999, 95/21/0931; 30. 6. 2004, 2004/04/0014; 28. 6. 2010, 2008/10/0002; Schopf, Recht 191; vergleiche auch Wessely, Eckpunkte 208 f).

Gegenständlich konnte davon ausgegangen werden, dass, auch wenn der Beschwerdeführer dies nicht ausdrücklich so bezeichnete, er – obwohl er seine Eingabe unter § 1 DSG und nicht unter die datenschutzrechtliche Löschung gemäß Art. 17 DSGVO subsumierte – primär eine „partielle“ Löschung seiner personenbezogenen Daten wünschte. Er führte nämlich aus, dass es ihm um die Verarbeitung zu Werbezwecken ginge und nicht darum, dass die Beschwerdegegnerin – womöglich andere berechtigte Interessen an der weiteren Verarbeitung der Daten hat. Demnach konnte das Verfahren ohne Verbesserungsauftrag fortgeführt werden. Gegenständlich konnte davon ausgegangen werden, dass, auch wenn der Beschwerdeführer dies nicht ausdrücklich so bezeichnete, er – obwohl er seine Eingabe unter Paragraph eins, DSG und nicht unter die datenschutzrechtliche Löschung gemäß Artikel 17, DSGVO subsumierte – primär eine „partielle“ Löschung seiner personenbezogenen Daten wünschte. Er führte nämlich aus, dass es ihm um die Verarbeitung zu Werbezwecken ginge und nicht darum, dass die Beschwerdegegnerin – womöglich andere berechtigte Interessen an der weiteren Verarbeitung der Daten hat. Demnach konnte das Verfahren ohne Verbesserungsauftrag fortgeführt werden.

Zur Möglichkeit der Feststellung einer Rechtsverletzung:

Nach der Rechtsprechungspraxis der Datenschutzbehörde zu § 1 Abs. 3 und § 4 Abs. 1 DSG sind als Durchführungsnormen des Art. 2 Datenschutzgesetz zu Art. 1 Datenschutzgesetz nach eindeutiger gesetzlicher Anordnung die Normen der Datenschutz-Grundverordnung zu sehen. Demnach sind für die Geltendmachung der subjektiven Rechtsverletzung im Grundrecht auf Datenschutz gemäß § 1 DSG die Normen der Datenschutzgrundverordnung relevant, im konkreten Fall Art. 17 Abs. 1 lit. d) DSGVO.Nach der Rechtsprechungspraxis der Datenschutzbehörde zu Paragraph eins, Absatz 3 und Paragraph 4, Absatz eins, DSG sind als Durchführungsnormen des Artikel 2, Datenschutzgesetz zu Artikel eins, Datenschutzgesetz nach eindeutiger gesetzlicher Anordnung die Normen der Datenschutz-Grundverordnung zu sehen. Demnach sind für die Geltendmachung der subjektiven Rechtsverletzung im Grundrecht auf Datenschutz gemäß Paragraph eins, DSG die Normen der Datenschutzgrundverordnung relevant, im konkreten Fall Artikel 17, Absatz eins, Litera d,) DSGVO.

Der Beschwerdeführer hat nachgewiesen, dass er niemals eine Zustimmung zur Datenverarbeitung zu Werbezwecken gegeben hat. Außer Streit steht jedoch auch, dass die Beschwerdegegnerin die Daten zur Durchführung der Sprachreise nach Edinburgh rechtmäßig ermittelt und verarbeitetet hat.

In der Folge hat die Beschwerdegegnerin die Daten zu Werbezwecken verwendet und hat am 1. September 2018 eine Postendung mit einem Katalog und am 6. September 2018 eine Werbemail an den Beschwerdeführer übermittelt. Die Daten wurden also ohne Einwilligung im Sinne des Art. 6 Abs. 1 lit. a) DSGVO zu einem anderen als dem ursprünglich erhobenen Zweck verwendet und ist betreffend die Verarbeitung zu Werbezwecken auch nicht durch einen anderen Rechtfertigungsgrund gedeckt. Die Beschwerdegegnerin hätte demnach annehmen müssen, dass sie für die Verarbeitung eine (nicht vorhandene) Einwilligung gebraucht hätte. In der Folge hat die Beschwerdegegnerin die Daten zu Werbezwecken verwendet und hat am 1. September 2018 eine Postendung mit einem Katalog und am 6. September 2018 eine Werbemail an den Beschwerdeführer übermittelt. Die Daten wurden also ohne Einwilligung im Sinne des Artikel 6, Absatz eins, Litera a,) DSGVO zu einem anderen als dem ursprünglich erhobenen Zweck verwendet und ist betreffend die Verarbeitung zu Werbezwecken auch nicht durch einen anderen Rechtfertigungsgrund gedeckt. Die Beschwerdegegnerin hätte demnach annehmen müssen, dass sie für die Verarbeitung eine (nicht vorhandene) Einwilligung gebraucht hätte.

Im weiteren Verfahren stellte die Beschwerdegegnerin mit Nachricht vom 24. Oktober 2018 klar, dass die Daten mittels Vermerk zur Verarbeitung zu Werbezwecken gesperrt wurden und eingeschränkt auf die Zwecke der ursprünglich – unbestritten – rechtmäßigen Datenverarbeitung beschränkt wurden.

Obwohl, wie bereits zuvor ausgeführt, der Beschwerdeführer von einer Verletzung im Recht auf Löschung ausging und ein Vermerk, mit dem die Daten nicht zur Verarbeitung zu einem bestimmten Zweck (Werbung) herangezogen werden grundsätzlich keine Löschung im Sinne des Art. 17 DSGVO ist (s. dazu Obwohl, wie bereits zuvor ausgeführt, der Beschwerdeführer von einer Verletzung im Recht auf Löschung ausging und ein Vermerk, mit dem die Daten nicht zur Verarbeitung zu einem bestimmten Zweck (Werbung) herangezogen werden grundsätzlich keine Löschung im Sinne des Artikel 17, DSGVO ist (s. dazu Ehmann/Selmayr Datenschutzgrundverordnung2, Kamann/Braun zu Art. 17 Rz. 35), ist der Beschwerdeführer im gegenständlichen Fall so gestellt, als ob tatsächlich gelöscht wurde:, Kamann/Braun zu Artikel 17, Rz. 35), ist der Beschwerdeführer im gegenständlichen Fall so gestellt, als ob tatsächlich gelöscht wurde:

Da die Adressdaten des Beschwerdeführers auch weiterhin aus berechtigtem Interesse bzw. aufgrund gesetzlicher Anordnung berechtigter Weise verarbeitet werden müssen, kommt eine physische Löschung nicht in Betracht, sondern muss dafür Sorge getragen werden, dass die Verarbeitung zum Zweck der Versendung von Werbung nicht mehr möglich ist. Die Beschwerdegegnerin hat einen entsprechenden Vermerk gesetzt.

Die Datenschutzbehörde geht in ihrer Rechtsprechung davon aus, dass bei Rechtsverletzungen im Zusammenhang mit dem Recht auf Löschung, diese bis zum Ende des Verfahrens erster Instanz weiterhin bestehen muss. § 24 Abs. 6 DSG normiert die Möglichkeit der Einstellung des Verfahrens, wenn die Folgen der Rechtsverletzung noch während des Verfahrens beseitigt werden. Eine Feststellung der vergangenen Rechtsverletzung im Recht auf Löschung kommt nicht infrage (vgl. dazu DSB, B 27.08.2014, DSB-D121.876/0005-DSB/2014). Die Datenschutzbehörde hat dazu ausgesprochen, dass im Falle der Aufrechterhaltung der Beschwerde der Antrag abzuweisen ist. (Die Datenschutzbehörde geht in ihrer Rechtsprechung davon aus, dass bei Rechtsverletzungen im Zusammenhang mit dem Recht auf Löschung, diese bis zum Ende des Verfahrens erster Instanz weiterhin bestehen muss. Paragraph 24, Absatz 6, DSG normiert die Möglichkeit der Einstellung des Verfahrens, wenn die Folgen der Rechtsverletzung noch während des Verfahrens beseitigt werden. Eine Feststellung der vergangenen Rechtsverletzung im Recht auf Löschung kommt nicht infrage vergleiche dazu DSB, B 27.08.2014, DSB-D121.876/0005-DSB/2014). Die Datenschutzbehörde hat dazu ausgesprochen, dass im Falle der Aufrechterhaltung der Beschwerde der Antrag abzuweisen ist. (Gantschacher/Jelinek/Schmidl/Spanberger, Datenschutzgesetz, Suda zu § 24 16) ff.) Datenschutzgesetz, Suda zu Paragraph 24, 16) ff.)

Der Beschwerdeführer ist durch die Setzung des Vermerks so gestellt, als wäre dem Antrag des Beschwerdeführers schon ursprünglich gefolgt worden.

Die Beschwerde war spruchgemäß abzuweisen.