Entscheidende Behörde

Datenschutzkommission

Entscheidungsdatum

25.05.2012

Geschäftszahl

K121.791/0008-DSK/2012

Text

[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I DB E S C H E römisch eins D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. SOUHRADA-KIRCHMAYER, Mag. ZIMMER, Dr. ROSENMAYR-KLEMENZ und Dr. HEISSENBERGER sowie der Schriftführerin Mag. HAJICEK in ihrer Sitzung vom 25. Mai 2012 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des Dr. Josef H*** (Beschwerdeführer) aus Wien vom 8. Dezember 2011 gegen die Pensionsversicherungsanstalt (Beschwerdegegnerin, im Folgenden kurz auch: PVA) wegen Verletzung im Recht auf Auskunft in Folge unvollständiger Beantwortung seines Auskunftsbegehrens vom 11. Juni 2011 wird entschieden:

1. 1.Ziffer eins
   Die Beschwerde wird hinsichtlich des Antrags, „dem Antragsgegner aufzutragen, eine vollständige und gesetzeskonforme Auskunft gemäß § 26 DSG 2000 zu erteilen (insbesondere inkl. der im Auskunftsbegehren verlangten Übermittlungen) bzw. zu begründen, warum zum Antrag zum Nachkauf von Pensionsversicherungszeiten und der Pensionsberechnung keinerlei Daten beim Antragsgegner vorhanden sein sollen“, z u r ü c k g e w i e s e n.Die Beschwerde wird hinsichtlich des Antrags, „dem Antragsgegner aufzutragen, eine vollständige und gesetzeskonforme Auskunft gemäß Paragraph 26, DSG 2000 zu erteilen (insbesondere inkl. der im Auskunftsbegehren verlangten Übermittlungen) bzw. zu begründen, warum zum Antrag zum Nachkauf von Pensionsversicherungszeiten und der Pensionsberechnung keinerlei Daten beim Antragsgegner vorhanden sein sollen“, z u r ü c k g e w i e s e n.

1. 2.Ziffer 2
   Der Beschwerde wird teilweise F o l g e g e g e b e n und f e s t g e s t e l l t, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, dass sie

   1. a.Litera a
      keine hinreichende Auskunft über Empfänger oder Empfängerkreise von Übermittlungen, insbesondere hinsichtlich der Teilnahme am Informationsverbundsystem „SV-DB Österreichische Sozialversicherungs-Datenbank“ erteilt hat und
   2. b.Litera b
      keine Auskunft betreffend automatisierte Einzelentscheidungen erteilt hat.

Rechtsgrundlagen: §§ 1 Abs. 3 Z 1, 4 Z 13, 26 Abs. 1 und 4, 31 Abs. 1 und 7 sowie 49 Abs. 3 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, iVm § 31 Abs. 4 Z 3 lit a) des Allgemeinen Sozialversicherungsgesetzes (ASVG), BGBl. Nr. 189/1955 idgF.Rechtsgrundlagen: Paragraphen eins, Absatz 3, Ziffer eins,, 4 Ziffer 13,, 26 Absatz eins und 4, 31 Absatz eins und 7 sowie 49 Absatz 3, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF, in Verbindung mit Paragraph 31, Absatz 4, Ziffer 3, Litera a,) des Allgemeinen Sozialversicherungsgesetzes (ASVG), Bundesgesetzblatt Nr. 189 aus 1955, idgF.

B e g r ü n d u n g:

A. Vorbringen der Parteien

Der Beschwerdeführer behauptet in seiner mit 8. Dezember 2011 datierten und am selben Tag per Telefax bei der Datenschutzkommission eingelangten Beschwerde eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin ihre am 28. Juli 2011 erteilte mangelhafte Auskunft noch nicht hinsichtlich der Pensionszeiten und der verwendeten bereichsspezifischen Personenkennzeichen (bPk) ergänzt habe.

Die Beschwerdegegnerin brachte mit Stellungnahme vom 2. Jänner 2012 (unter Vorlage von Kopien der entsprechenden Schreiben) vor, dem Beschwerdeführer mit Schreiben vom 16. August 2012 vollständig und korrekt Auskunft erteilt zu haben. Diese Auskunft habe auch die vom Beschwerdeführer erwähnten „Pensionszeiten“ in Form eines „verdichteten Versicherungsverlaufs“ umfasst. Soweit der Beschwerdeführer in seinem Auskunftsersuchen Auskunft über „die Höhe des Pensionsanspruchs zum gegenwärtigen Zeitpunkt“ begehrt habe, handle es sich nicht um ein Auskunftsbegehren gemäß § 26 DSG 2000, sondern einen Antrag auf Durchführung einer Pensionsvorausberechnung, der zuständigkeitshalber an die Sozialversicherungsanstalt der gewerblichen Wirtschaft (kurz: SVA) abgetreten und worüber der Beschwerdeführer im Schreiben vom 16. August 2011 auch entsprechend informiert worden sei. Hinsichtlich der bPk habe die Auskunft inhaltlich nichts umfasst, da in den Datenanwendungen der Beschwerdegegnerin solche nicht verwendet würden.Die Beschwerdegegnerin brachte mit Stellungnahme vom 2. Jänner 2012 (unter Vorlage von Kopien der entsprechenden Schreiben) vor, dem Beschwerdeführer mit Schreiben vom 16. August 2012 vollständig und korrekt Auskunft erteilt zu haben. Diese Auskunft habe auch die vom Beschwerdeführer erwähnten „Pensionszeiten“ in Form eines „verdichteten Versicherungsverlaufs“ umfasst. Soweit der Beschwerdeführer in seinem Auskunftsersuchen Auskunft über „die Höhe des Pensionsanspruchs zum gegenwärtigen Zeitpunkt“ begehrt habe, handle es sich nicht um ein Auskunftsbegehren gemäß Paragraph 26, DSG 2000, sondern einen Antrag auf Durchführung einer Pensionsvorausberechnung, der zuständigkeitshalber an die Sozialversicherungsanstalt der gewerblichen Wirtschaft (kurz: SVA) abgetreten und worüber der Beschwerdeführer im Schreiben vom 16. August 2011 auch entsprechend informiert worden sei. Hinsichtlich der bPk habe die Auskunft inhaltlich nichts umfasst, da in den Datenanwendungen der Beschwerdegegnerin solche nicht verwendet würden.

Der Beschwerdeführer brachte nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens vor, tatsächlich bereits im Dezember 2010 einen Antrag auf Nachkauf von Versicherungszeiten bei der Beschwerdegegnerin eingebracht zu haben. Er gehe davon aus, dass zur Erledigung dieses Antrags Daten betreffend seine Pensionsansprüche errechnet worden seien, daher bestreite er das Vorbringen, dass die Beschwerdegegnerin aus Gründen der Zuständigkeit keine solchen Daten verarbeite. Er habe von der Weiterleitung des entsprechenden Antrags an die SVA erst im laufenden Verfahren Kenntnis erlangt. Inzwischen habe er im Jänner 2012 ein Schreiben der SVA betreffend Pensionsberechnung erhalten. Der Beschwerdeführer formulierte folgenden Antrag: „Es wird der Antrag aufrecht erhalten, dem Antragsgegner aufzutragen, eine vollständige und gesetzeskonforme Auskunft gemäß § 26 DSG 2000 zu erteilen (insbesondere inkl. der im Auskunftsbegehren verlangten Übermittlungen) bzw. zu begründen, warum zum Antrag zum Nachkauf von Pensionsversicherungszeiten und der Pensionsberechnung keinerlei Daten beim Antragsgegner vorhanden sein sollen.“Der Beschwerdeführer brachte nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens vor, tatsächlich bereits im Dezember 2010 einen Antrag auf Nachkauf von Versicherungszeiten bei der Beschwerdegegnerin eingebracht zu haben. Er gehe davon aus, dass zur Erledigung dieses Antrags Daten betreffend seine Pensionsansprüche errechnet worden seien, daher bestreite er das Vorbringen, dass die Beschwerdegegnerin aus Gründen der Zuständigkeit keine solchen Daten verarbeite. Er habe von der Weiterleitung des entsprechenden Antrags an die SVA erst im laufenden Verfahren Kenntnis erlangt. Inzwischen habe er im Jänner 2012 ein Schreiben der SVA betreffend Pensionsberechnung erhalten. Der Beschwerdeführer formulierte folgenden Antrag: „Es wird der Antrag aufrecht erhalten, dem Antragsgegner aufzutragen, eine vollständige und gesetzeskonforme Auskunft gemäß Paragraph 26, DSG 2000 zu erteilen (insbesondere inkl. der im Auskunftsbegehren verlangten Übermittlungen) bzw. zu begründen, warum zum Antrag zum Nachkauf von Pensionsversicherungszeiten und der Pensionsberechnung keinerlei Daten beim Antragsgegner vorhanden sein sollen.“

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob das Auskunftsbegehren des Beschwerdeführers vom 12. Juni 2011 gesetzmäßig beantwortet worden ist.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Der Beschwerdeführer richtete am 12. Juni 2011 ein mit 11. Juni 2011 datiertes Auskunftsbegehren an die Beschwerdegegnerin.

Dieses hatte auszugsweise folgenden verfahrensrelevanten Inhalt:

„Ich ersuche Sie unter Hinweis auf §§ 1, 23, 26, 50 und 50e DSG 2000 sowie alle weiteren anwendbaren datenschutzrechtlichen Bestimmungen um Beantwortung der folgenden Fragen:„Ich ersuche Sie unter Hinweis auf Paragraphen eins,, 23, 26, 50 und 50e DSG 2000 sowie alle weiteren anwendbaren datenschutzrechtlichen Bestimmungen um Beantwortung der folgenden Fragen:

• -Strichaufzählung
  Welcher Art sind die Daten, die Sie über mich speichern?
• -Strichaufzählung
  Welchen Inhalt haben diese Daten, woher stammen sie, wozu werden sie verwendet, an wen wurden sie übermittelt? Insbesondere auch die Höhe des Pensionsanspruches zum gegenwärtigen Zeitpunkt.
• -Strichaufzählung
  Zu welchem Zweck werden die Datenanwendungen betrieben?
• -Strichaufzählung
  Aufgrund welcher Vertrags- bzw. Rechtsgrundlage werden die Daten verwendet?

Sie werden ersucht, auch alle anfallenden Daten zu beauskunften, die sich in anderen Dateien befinden, jedoch über Schlüssel-, Such- und Referenzbegriffe mit meinen personenbezogenen Daten direkt oder indirekt verknüpft werden können (§ 4 DSG 2000).Sie werden ersucht, auch alle anfallenden Daten zu beauskunften, die sich in anderen Dateien befinden, jedoch über Schlüssel-, Such- und Referenzbegriffe mit meinen personenbezogenen Daten direkt oder indirekt verknüpft werden können (Paragraph 4, DSG 2000).

Werden die Daten nach § 10 DSG verarbeitet, ersuche ich um die zusätzliche Angabe von Name und Anschrift Ihres Dienstleisters.Werden die Daten nach Paragraph 10, DSG verarbeitet, ersuche ich um die zusätzliche Angabe von Name und Anschrift Ihres Dienstleisters.

Wenn Sie Daten im internationalen Datenverkehr verarbeiten, ersuche ich Sie unter Hinweis auf die §§ 12-13 DSG 2000, die Geschäftszahl der Genehmigung durch die Datenschutzkommission anzugeben.Wenn Sie Daten im internationalen Datenverkehr verarbeiten, ersuche ich Sie unter Hinweis auf die Paragraphen 12 -, 13, DSG 2000, die Geschäftszahl der Genehmigung durch die Datenschutzkommission anzugeben.

[x] Als gesetzlich vorgeschriebenen Beitrag zur Mitarbeit, stelle ich das Auskunftsbegehren in folgender Funktion:

[x] Versicherter

[…]

Soweit Sie Daten in automatisierter Form ermitteln (berechnen), die rechtliche Folgen haben können oder die Ihre Entscheidung zur Erbringung oder Nicht-Erbringung von Leistungen gegen meine Person beeinflussen können, wird gemäß § 49 Abs 3 DSG 2000 beantragt das Zustandekommen der automatisierten Ermittlung (Berechnungsmethode) und des logischen Ablaufs der automatisierten Entscheidungsfindung zu beauskunften. Dies bezieht sich insbesondere auf Bewertungen, Einschätzungen und Ratings, die geeignet sind meine beruflichen Leistungsfähigkeit, meine Kreditwürdigkeit, meine Zuverlässigkeit oder mein Verhaltens zu bewerten.Soweit Sie Daten in automatisierter Form ermitteln (berechnen), die rechtliche Folgen haben können oder die Ihre Entscheidung zur Erbringung oder Nicht-Erbringung von Leistungen gegen meine Person beeinflussen können, wird gemäß Paragraph 49, Absatz 3, DSG 2000 beantragt das Zustandekommen der automatisierten Ermittlung (Berechnungsmethode) und des logischen Ablaufs der automatisierten Entscheidungsfindung zu beauskunften. Dies bezieht sich insbesondere auf Bewertungen, Einschätzungen und Ratings, die geeignet sind meine beruflichen Leistungsfähigkeit, meine Kreditwürdigkeit, meine Zuverlässigkeit oder mein Verhaltens zu bewerten.

Gemäß § 26 DSG 2000 hat die Auskunft binnen acht Wochen schriftlich, kostenlos und in allgemein verständlicher Form zu erfolgen.“Gemäß Paragraph 26, DSG 2000 hat die Auskunft binnen acht Wochen schriftlich, kostenlos und in allgemein verständlicher Form zu erfolgen.“

Der Beschwerdeführer stellte am 10. Dezember 2010 bei der Beschwerdegegnerin einen Antrag auf Berechnung der derzeitigen Höhe seiner voraussichtlichen Alterspension verbunden mit einem Antrag auf Nachkauf von Versicherungszeiten (Schulzeiten). Da für den Beschwerdeführer derzeit die SVA als Sozialversicherungsträger zuständig ist, wurde dieses Anbringen der SVA abgetreten und der Beschwerdeführer mit Schreiben vom 16. August 2011 auch entsprechend informiert. Mit diesem Schreiben (RSa-Brief, Aktenzeichen H***/*3*4 *3*5*8, Briefzeichen Mag.*/*a) vom 16. August 2011 erteilte die Beschwerdegegnerin dem Beschwerdeführer auch eine datenschutzrechtliche Auskunft. Die Übermittlung dieses Schreibens (Zustellung an den Beschwerdeführer) ist unbestritten. Diese Auskunft bestand aus einem Begleitschreiben sowie inhaltlich aus einem „Auskunftsblatt § 26 DSG 2000“ sowie zwei Beilagen, nämlich 1. unverdichtete Basisdaten (Versicherungsverhältnisse, Beitragsgrundlagen und Dienstgeber, zeitlich geordnet) und 2. Verdichteter Versicherungsverlauf (erworbene Versicherungsmonate, Beitragsmonate, Ersatzmonate), beide betreffend das Sozialversicherungsverhältnis des Beschwerdeführers. Im „Auskunftsblatt § 26 DSG 2000“ ist unter „Leistungsdaten1“ festgehalten, dass der Beschwerdeführer per „Antragsdatum 10.12.2010“ die Leistung „Pensionsvorausberechnung, Nachkauf Schulzeiten“ beantragt hat. Der umfangreiche Inhalt der Auskunft, von dessen Wiedergabe im Übrigen abgesehen wird, kann den unter GZ: DSK-K121.791/0001-DSK/2012 einliegenden Kopien entnommen werden. Daten zur Höhe einer zukünftigen Alterspension des Beschwerdeführers scheinen darin nicht auf. Auf das Begehren nach § 49 Abs. 3 DSG 2000 wurde nicht eingegangen.Der Beschwerdeführer stellte am 10. Dezember 2010 bei der Beschwerdegegnerin einen Antrag auf Berechnung der derzeitigen Höhe seiner voraussichtlichen Alterspension verbunden mit einem Antrag auf Nachkauf von Versicherungszeiten (Schulzeiten). Da für den Beschwerdeführer derzeit die SVA als Sozialversicherungsträger zuständig ist, wurde dieses Anbringen der SVA abgetreten und der Beschwerdeführer mit Schreiben vom 16. August 2011 auch entsprechend informiert. Mit diesem Schreiben (RSa-Brief, Aktenzeichen H***/*3*4 *3*5*8, Briefzeichen Mag.*/*a) vom 16. August 2011 erteilte die Beschwerdegegnerin dem Beschwerdeführer auch eine datenschutzrechtliche Auskunft. Die Übermittlung dieses Schreibens (Zustellung an den Beschwerdeführer) ist unbestritten. Diese Auskunft bestand aus einem Begleitschreiben sowie inhaltlich aus einem „Auskunftsblatt Paragraph 26, DSG 2000“ sowie zwei Beilagen, nämlich 1. unverdichtete Basisdaten (Versicherungsverhältnisse, Beitragsgrundlagen und Dienstgeber, zeitlich geordnet) und 2. Verdichteter Versicherungsverlauf (erworbene Versicherungsmonate, Beitragsmonate, Ersatzmonate), beide betreffend das Sozialversicherungsverhältnis des Beschwerdeführers. Im „Auskunftsblatt Paragraph 26, DSG 2000“ ist unter „Leistungsdaten1“ festgehalten, dass der Beschwerdeführer per „Antragsdatum 10.12.2010“ die Leistung „Pensionsvorausberechnung, Nachkauf Schulzeiten“ beantragt hat. Der umfangreiche Inhalt der Auskunft, von dessen Wiedergabe im Übrigen abgesehen wird, kann den unter GZ: DSK-K121.791/0001-DSK/2012 einliegenden Kopien entnommen werden. Daten zur Höhe einer zukünftigen Alterspension des Beschwerdeführers scheinen darin nicht auf. Auf das Begehren nach Paragraph 49, Absatz 3, DSG 2000 wurde nicht eingegangen.

Hinsichtlich der Übermittlung von Daten des Beschwerdeführers enthält die Auskunft („Auskunftsblatt § 26 DSG 2000“) folgenden Satz:Hinsichtlich der Übermittlung von Daten des Beschwerdeführers enthält die Auskunft („Auskunftsblatt Paragraph 26, DSG 2000“) folgenden Satz:

„Ihr Name ihre Adresse und ihre Versicherungsnummer wurden im Zuge einer Abfrage beim zuständigen Arbeitsmarktservice zum Zweck der Erhebung allfällig vorliegender Zeiten der Arbeitslosigkeit übermittelt.“

Die Beschwerdegegnerin ist Teilnehmerin (teilnehmender datenschutzrechtlicher Auftraggeber) am vom Hauptverband der österreichischen Sozialversicherungsträger betriebenen Informationsverbundsystem mit der Bezeichnung „SV-DB Österreichische Sozialversicherungs-Datenbank“.

Beweiswürdigung: Diese Feststellungen beruhen auf den zitierten Urkunden (Auskunftsbegehren vom 11. Juni 2011, Beilage zur Beschwerde vom 8. Dezember 2011;

Auskunftsschreiben der Beschwerdegegnerin samt Beilagen vom 16. August 2011, Aktenzeichen H***/*3*4 *3*5*8, Briefzeichen Mag.*/*a, Beilagen zur Stellungnahme der Beschwerdegegnerin vom 2. Jänner 2012, Aktenzeichen H***/*3*4 *3*5*8, Briefzeichen Mag.*/*b) sowie auf dem öffentlich zugänglichen Datenverarbeitungsregister (DVR). Hinsichtlich der Frage des Antrags auf Pensionsnachkauf und Pensionsvorausberechnung wird der glaubwürdigen Stellungnahme der Beschwerdegegnerin (in Verbindung mit den Beilagen zum Auskunftsschreiben, wo ein Antrag auf diese „Leistung“ erwähnt wird) gefolgt.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmung § 1 Abs. 1 bis 3 Z 1 DSG 2000 lautet samt Überschrift:Die Verfassungsbestimmung Paragraph eins, Absatz eins bis 3 Ziffer eins, DSG 2000 lautet samt Überschrift:

„Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins, (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. 1.Ziffer eins
   das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;“

§ 4 Z 13 DSG 2000 lautet samt Überschrift:Paragraph 4, Ziffer 13, DSG 2000 lautet samt Überschrift:

„Definitionen

§ 4. Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:Paragraph 4, Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:

[…]

1. 13.Ziffer 13
   „Informationsverbundsystem“: die gemeinsame Verarbeitung von Daten in einer Datenanwendung durch mehrere Auftraggeber und die gemeinsame Benützung der Daten in der Art, daß jeder Auftraggeber auch auf jene Daten im System Zugriff hat, die von den anderen Auftraggebern dem System zur Verfügung gestellt wurden;“

§ 26 Abs. 1 und 4 DSG 2000 lautet samt Überschrift:Paragraph 26, Absatz eins und 4 DSG 2000 lautet samt Überschrift:

„Auskunftsrecht

§ 26. (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.Paragraph 26, (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) […] (3)

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Absatz 3, mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“

§ 31 Abs. 1 und 7 DSG 2000 lautet samt Überschrift:Paragraph 31, Absatz eins und 7 DSG 2000 lautet samt Überschrift:

„Beschwerde an die Datenschutzkommission

§ 31. (1) Die Datenschutzkommission erkennt über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Auskunft nach § 26 oder nach § 50 Abs. 1 dritter Satz oder in ihrem Recht auf Darlegung einer automatisierten Einzelentscheidung nach § 49 Abs. 3 verletzt zu sein, soweit sich das Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) nicht auf die Verwendung von Daten für Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit bezieht.Paragraph 31, (1) Die Datenschutzkommission erkennt über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Auskunft nach Paragraph 26, oder nach Paragraph 50, Absatz eins, dritter Satz oder in ihrem Recht auf Darlegung einer automatisierten Einzelentscheidung nach Paragraph 49, Absatz 3, verletzt zu sein, soweit sich das Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) nicht auf die Verwendung von Daten für Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit bezieht.

(2) […] (6)

(7) Soweit sich eine Beschwerde nach Abs. 1 oder 2 als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung im Recht auf Auskunft (Abs. 1) einem Auftraggeber des privaten Bereichs zuzurechnen, so ist diesem auf Antrag zusätzlich die – allenfalls erneute – Reaktion auf das Auskunftsbegehren nach § 26 Abs. 4, 5 oder 10 in jenem Umfang aufzutragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.“(7) Soweit sich eine Beschwerde nach Absatz eins, oder 2 als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung im Recht auf Auskunft (Absatz eins,) einem Auftraggeber des privaten Bereichs zuzurechnen, so ist diesem auf Antrag zusätzlich die – allenfalls erneute – Reaktion auf das Auskunftsbegehren nach Paragraph 26, Absatz 4,, 5 oder 10 in jenem Umfang aufzutragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.“

§ 49 Abs. 3 DSG 2000 lautet samt Überschrift:Paragraph 49, Absatz 3, DSG 2000 lautet samt Überschrift:

„Automatisierte Einzelentscheidungen

§ 49. (1) […] (2)Paragraph 49, (1) […] (2)

(3) Dem Betroffenen ist bei automatisierten Einzelentscheidungen auf Antrag der logische Ablauf der automatisierten Entscheidungsfindung in allgemein verständlicher Form darzulegen. § 26 Abs. 2 bis 10 gilt sinngemäß.“(3) Dem Betroffenen ist bei automatisierten Einzelentscheidungen auf Antrag der logische Ablauf der automatisierten Entscheidungsfindung in allgemein verständlicher Form darzulegen. Paragraph 26, Absatz 2 bis 10 gilt sinngemäß.“

§ 31 Abs. 1, 4., 11 und 12 ASVG lautet samt Überschrift:Paragraph 31, Absatz eins,, 4., 11 und 12 ASVG lautet samt Überschrift:

„Hauptverband der österreichischen

Sozialversicherungsträger

§ 31. (1) Die in den §§ 23 bis 25 bezeichneten Versicherungsträger und die Träger der im § 2 Abs. 2 bezeichneten Sonderversicherungen werden zum Hauptverband der österreichischen Sozialversicherungsträger (im folgenden kurz Hauptverband genannt) zusammengefaßt.Paragraph 31, (1) Die in den Paragraphen 23 bis 25 bezeichneten Versicherungsträger und die Träger der im Paragraph 2, Absatz 2, bezeichneten Sonderversicherungen werden zum Hauptverband der österreichischen Sozialversicherungsträger (im folgenden kurz Hauptverband genannt) zusammengefaßt.

(2) Dem Hauptverband obliegt […]

(4) Zu den zentralen Dienstleistungen im Sinne des Abs. 2 Z 2 gehören:(4) Zu den zentralen Dienstleistungen im Sinne des Absatz 2, Ziffer 2, gehören:

1. 1.Ziffer eins
   die Vergabe von einheitlichen Versicherungsnummern und deren Verknüpfung mit dem entsprechenden bereichsspezifischen Personenkennzeichen (§ 9 des E-Government-Gesetzes, BGBl. I Nr. 10/2004) zur Verwaltung personenbezogener Daten im Rahmen der der Sozialversicherung gesetzlich übertragenen Aufgaben;die Vergabe von einheitlichen Versicherungsnummern und deren Verknüpfung mit dem entsprechenden bereichsspezifischen Personenkennzeichen (Paragraph 9, des E-Government-Gesetzes, Bundesgesetzblatt Teil eins, Nr. 10 aus 2004,) zur Verwaltung personenbezogener Daten im Rahmen der der Sozialversicherung gesetzlich übertragenen Aufgaben;
2. 2.Ziffer 2
   die Besorgung der Statistik der Sozialversicherung sowie der Statistik der Pflegevorsorge im übertragenen Wirkungsbereich sowohl nach den im Einvernehmen mit der Bundesministerin für Gesundheit und Frauen zu erlassenden Weisungen des Bundesministers für Arbeit, Gesundheit und Soziales als auch insoweit, als dies zur Erfüllung der gesetzlichen Aufgaben des Hauptverbandes notwendig ist; in diesem Zusammenhang Aufbau und Führung einer Statistikdatenbank mit Hilfe der elektronischen Datenverarbeitung;

                 3.              

   1. a.Litera a
      die Errichtung und Führung einer zentralen Anlage zur Aufbewahrung und Verarbeitung der für die Versicherung bzw. den Leistungsbezug und das Pflegegeld bedeutsamen Daten aller nach den Vorschriften dieses oder eines anderen Bundesgesetzes versicherten Personen sowie Leistungsbezieher einschließlich der Leistungsbezieher nach den Landespflegegeldgesetzen, wobei dann, wenn hievon für das Pflegegeld bedeutsame Daten verwendet werden, dies im übertragenen Wirkungsbereich nach den Weisungen des Bundesministers für Arbeit, Soziales und Konsumentenschutz zu geschehen hat;
   2. b.Litera b
      aufgrund der in dieser Anlage enthaltenen Daten nach Maßgabe der technischen Möglichkeiten auf automationsunterstütztem Weg die Erfüllung der ausdrücklich gesetzlich geregelten Pflichten der Versicherungsträger zur Auskunftserteilung; [...]

(11) Die Versicherungsträger dürfen bei ihren Datenanwendungen andere Versicherungsträger, den Hauptverband und die Abgabenbehörden des Bundes als Dienstleister im Sinne des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999, in Anspruch nehmen. Auch der Hauptverband darf Versicherungsträger als Dienstleister in Anspruch nehmen. Der Hauptverband ist in jenen Fällen, in denen er auf Grund gesetzlicher Bestimmungen für die Versicherungsträger tätig wird, jedenfalls Dienstleister nach § 4 Z 5 des Datenschutzgesetzes 2000 in Verbindung mit den §§ 10 und 11 des Datenschutzgesetzes 2000. Der Hauptverband und die Versicherungsträger haften nicht für Nachteile, die bei der Erfüllung ihrer Auskunftspflichten im Sinne des Abs. 4 Z 3 lit. b auf Grund von Unvollständigkeiten oder Unrichtigkeiten der in ihren Anlagen enthaltenen Daten entstehen.(11) Die Versicherungsträger dürfen bei ihren Datenanwendungen andere Versicherungsträger, den Hauptverband und die Abgabenbehörden des Bundes als Dienstleister im Sinne des Datenschutzgesetzes 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, in Anspruch nehmen. Auch der Hauptverband darf Versicherungsträger als Dienstleister in Anspruch nehmen. Der Hauptverband ist in jenen Fällen, in denen er auf Grund gesetzlicher Bestimmungen für die Versicherungsträger tätig wird, jedenfalls Dienstleister nach Paragraph 4, Ziffer 5, des Datenschutzgesetzes 2000 in Verbindung mit den Paragraphen 10 und 11 des Datenschutzgesetzes 2000. Der Hauptverband und die Versicherungsträger haften nicht für Nachteile, die bei der Erfüllung ihrer Auskunftspflichten im Sinne des Absatz 4, Ziffer 3, Litera b, auf Grund von Unvollständigkeiten oder Unrichtigkeiten der in ihren Anlagen enthaltenen Daten entstehen.

(12) Der Hauptverband ist verpflichtet, eine Datenschutzverordnung für alle Sozialversicherungsträger zu erlassen und im Internet zu veröffentlichen.“

2. rechtliche Schlussfolgerungen

a) kein Anspruch auf einen Leistungsbescheid

Wie aus § 31 Abs. 7 DSG 2000 zu folgern ist, hat die Datenschutzkommission in Beschwerdesachen gemäß § 31 Abs. 1 DSG 2000 mit Ausnahme von Angelegenheiten, die das Recht auf Auskunft gegenüber Auftraggebern des privaten Bereichs betreffen, durch Feststellungsbescheid zu entscheiden. Die faktische Umsetzung der Rechtsansicht der Datenschutzkommission wird durch die besondere Bindungswirkung gemäß § 40 Abs. 4 DSG 2000 gewährleistet.Wie aus Paragraph 31, Absatz 7, DSG 2000 zu folgern ist, hat die Datenschutzkommission in Beschwerdesachen gemäß Paragraph 31, Absatz eins, DSG 2000 mit Ausnahme von Angelegenheiten, die das Recht auf Auskunft gegenüber Auftraggebern des privaten Bereichs betreffen, durch Feststellungsbescheid zu entscheiden. Die faktische Umsetzung der Rechtsansicht der Datenschutzkommission wird durch die besondere Bindungswirkung gemäß Paragraph 40, Absatz 4, DSG 2000 gewährleistet.

Die Beschwerdegegnerin ist als Sozialversicherungsträger eine auf gesetzlicher Grundlage bestehende juristische Person öffentlichen Rechts (vgl. § 25 Abs.1 Z 1 lit a und Z 2 lit a iVm § 32 Abs. 1 ASVG), somit ein datenschutzrechtlicher Auftraggeber des öffentlichen Bereichs.Die Beschwerdegegnerin ist als Sozialversicherungsträger eine auf gesetzlicher Grundlage bestehende juristische Person öffentlichen Rechts vergleiche Paragraph 25, Absatz , Ziffer eins, Litera a und Ziffer 2, Litera a, in Verbindung mit Paragraph 32, Absatz eins, ASVG), somit ein datenschutzrechtlicher Auftraggeber des öffentlichen Bereichs.

Die Beschwerde war daher, soweit der gestellte Antrag auf Erlassung eines Leistungsbescheids (Auftrag an die Beschwerdegegnerin) lautet, als unzulässig zurückzuweisen.

b) in der Sache selbst

b) a) Auskunft über Ergebnis einer Pensionsvorausberechnung

Soweit der Beschwerdeführer die Nichterteilung einer Auskunft betreffend Vorausberechnung einer für ihn in Zukunft anfallenden gesetzlichen Alterspension rügt, ist er auf Folgendes zu verweisen:

Das datenschutzrechtliche Auskunftsrecht gemäß § 26 Abs 1 DSG 2000 ist ein Auskunftsrecht über formale Tatsachen, nämlich „die zu dieser Person (= der Auskunftswerber, hier: der Beschwerdeführer) oder Personengemeinschaft verarbeiteten Daten“.Das datenschutzrechtliche Auskunftsrecht gemäß Paragraph 26, Absatz eins, DSG 2000 ist ein Auskunftsrecht über formale Tatsachen, nämlich „die zu dieser Person (= der Auskunftswerber, hier: der Beschwerdeführer) oder Personengemeinschaft verarbeiteten Daten“.

Die Beschwerdegegnerin war daher nicht verpflichtet, die Daten dahingehend zu vervollständigen, dass sie im Zuge der Bearbeitung des Auskunftsbegehrens vom 11. Juni 2011 auch die vom Beschwerdeführer schon früher beantragte Pensionsvorausberechnung durchführte.

Selbst wenn eine solche Berechnung auf Grundlage verarbeiteter Daten möglich sein sollte, fällt sie nicht unter das datenschutzrechtliche Auskunftsrecht, solange das Ergebnis der Berechnung nicht im Zeitpunkt des Einlangens des Auskunftsbegehrens bereits gespeichert und jederzeit abrufbar vorliegt. Dies war hier nicht der Fall.

Ob dem Beschwerdeführer ein Anspruch auf Durchführung einer solchen Berechnung zusteht, und welcher Sozialversicherungsträger dafür zuständig ist, fällt ebenfalls nicht in den Bereich der Anwendung der §§ 1 Abs. 3 Z 1 und 26 Abs. 1 DSG 2000. Auch auf die zuletzt ausdrücklich begehrte Auskunft über die Gründe für die verzögerte Pensionsvorausberechnung hat der Beschwerdeführer, gestützt auf das von der Datenschutzkommission anzuwendende Recht, keinen Anspruch.Ob dem Beschwerdeführer ein Anspruch auf Durchführung einer solchen Berechnung zusteht, und welcher Sozialversicherungsträger dafür zuständig ist, fällt ebenfalls nicht in den Bereich der Anwendung der Paragraphen eins, Absatz 3, Ziffer eins und 26 Absatz eins, DSG 2000. Auch auf die zuletzt ausdrücklich begehrte Auskunft über die Gründe für die verzögerte Pensionsvorausberechnung hat der Beschwerdeführer, gestützt auf das von der Datenschutzkommission anzuwendende Recht, keinen Anspruch.

Die Beschwerdegegnerin hat den Beschwerdeführer durch die Nichterteilung einer Auskunft über die Höhe seiner zukünftigen gesetzlichen Alterspension daher nicht im Recht auf Auskunft über eigene Daten verletzt.

b) b) Auskunft über Übermittlungen

Die gemäß § 31 Abs. 4 Z 3 lit a) und Abs. 11 ASVG mit Hilfe des Dienstleisters und Betreibers „Hauptverband der österreichischen Sozialversicherungsträger“ geführten Datenanwendungen bilden das im Datenverarbeitungsregister eingetragene Informationsverbundsystem mit der Bezeichnung „SV-DB Österreichische Sozialversicherungs-Datenbank“, an dem die Beschwerdegegnerin teilnimmt.Die gemäß Paragraph 31, Absatz 4, Ziffer 3, Litera a,) und Absatz 11, ASVG mit Hilfe des Dienstleisters und Betreibers „Hauptverband der österreichischen Sozialversicherungsträger“ geführten Datenanwendungen bilden das im Datenverarbeitungsregister eingetragene Informationsverbundsystem mit der Bezeichnung „SV-DB Österreichische Sozialversicherungs-Datenbank“, an dem die Beschwerdegegnerin teilnimmt.

Informationsverbundsysteme (IVS) gemäß § 4 Z 13 DSG 2000 dienen wesensgemäß dem erleichterten und beschleunigten Informationsaustausch zwischen Auftraggebern, die gleiche oder ähnliche Zwecke bei der Datenverwendung verfolgen (zwecks Vermeidung von doppelten Personendatensätzen/Stammdatensätzen, gleichzeitiger Aktualisierung von für alle/mehrere Teilnehmer relevanten Daten und dgl. mehr). Erlaubte Zugriffe auf gemeinsam genutzte Datenbestände stellen Übermittlungen im datenschutzrechtlichen Sinne dar.Informationsverbundsysteme (IVS) gemäß Paragraph 4, Ziffer 13, DSG 2000 dienen wesensgemäß dem erleichterten und beschleunigten Informationsaustausch zwischen Auftraggebern, die gleiche oder ähnliche Zwecke bei der Datenverwendung verfolgen (zwecks Vermeidung von doppelten Personendatensätzen/Stammdatensätzen, gleichzeitiger Aktualisierung von für alle/mehrere Teilnehmer relevanten Daten und dgl. mehr). Erlaubte Zugriffe auf gemeinsam genutzte Datenbestände stellen Übermittlungen im datenschutzrechtlichen Sinne dar.

Da ein Auftraggeber bei Erteilung einer datenschutzrechtlichen Auskunft gemäß § 26 Abs. 1 DSG 2000 verpflichtet ist, Empfänger oder Empfängerkreise von Übermittlungen offenzulegen, wäre die Beschwerdegegnerin daher als Mindestmaß auch verpflichtet gewesen, die Teilnahme an einem Informationsverbundsystem offenzulegen (die Empfängerkreise lassen sich bei registrierten IVS aus der Registereintragung der Teilnehmer ersehen).Da ein Auftraggeber bei Erteilung einer datenschutzrechtlichen Auskunft gemäß Paragraph 26, Absatz eins, DSG 2000 verpflichtet ist, Empfänger oder Empfängerkreise von Übermittlungen offenzulegen, wäre die Beschwerdegegnerin daher als Mindestmaß auch verpflichtet gewesen, die Teilnahme an einem Informationsverbundsystem offenzulegen (die Empfängerkreise lassen sich bei registrierten IVS aus der Registereintragung der Teilnehmer ersehen).

Dadurch, dass die Beschwerdegegnerin dies unterlassen hat, hat sie den Beschwerdeführer im Recht auf Auskunft verletzt.

b) c) Auskunft über automatisierte Einzelentscheidungen

Das Auskunftsbegehren vom 11. Juni 2011 enthielt ein ausdrückliches spezielles Auskunftsbegehren gemäß § 49 Abs. 3 DSG 2000. Auf dieses Anbringen ist die Beschwerdegegnerin in keiner Weise, weder materiell-beantwortend noch formalablehnend, eingegangen. Dies stellte keine gesetzmäßige Reaktion auf ein derartiges Auskunftsbegehren dar.Das Auskunftsbegehren vom 11. Juni 2011 enthielt ein ausdrückliches spezielles Auskunftsbegehren gemäß Paragraph 49, Absatz 3, DSG 2000. Auf dieses Anbringen ist die Beschwerdegegnerin in keiner Weise, weder materiell-beantwortend noch formalablehnend, eingegangen. Dies stellte keine gesetzmäßige Reaktion auf ein derartiges Auskunftsbegehren dar.

Dadurch, dass die Beschwerdegegnerin dies unterlassen hat, hat sie den Beschwerdeführer im Recht auf Auskunft verletzt.

b) d) Auskunft über bereichsspezifische Personenkennzeichen

Zur Frage der bereichsspezifischen Personenkennzeichen ist unstrittig, dass diese von der Beschwerdegegnerin nicht verwendet werden, was vom Beschwerdeführer (nach Parteiengehör) auch nicht bestritten wurde.

Es waren daher die spruchgemäßen Feststellungen zu treffen, die Beschwerde jedoch im Übrigen abzuweisen.