TE Dsk BescheidBeschwerde 2016/2/8 DSB-D122.304/0012-DSB/2015

GZ: DSB-D122.304/0012-DSB/2015 vom 8.2.2016

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Mag. Walter A*** (Beschwerdeführer) aus **** E***stadt vom 3. Februar 2015 gegen die N*** Gesellschaft m.b.H. (Beschwerdegegnerin) aus **** E***stadt, vertreten durch Dr. Heinrich B***, Rechtsanwalt in **** E***stadt, wegen Verletzung im Recht auf Auskunft in Folge inhaltlich mangelhafter datenschutzrechtlicher Auskunftserteilung im Schreiben vom 13. Jänner 2015 (samt späteren Ergänzungen vom 3. Februar und 8. September 2015) wie folgt:

Rechtsgrundlagen: § 1 Abs. 3 Z 1, § 26 Abs. 2 und 4, § 31 Abs. 1 und 3 und § 49 Abs. 3 des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Paragraph eins, Absatz 3, Ziffer eins,, Paragraph 26, Absatz 2 und 4, Paragraph 31, Absatz eins und 3 und Paragraph 49, Absatz 3, des Datenschutzgesetzes 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

Der Beschwerdeführer behauptet in seiner vom 3. Februar 2015 datierenden und am selben Tag per E-Mail bei der Datenschutzbehörde eingelangten Beschwerde eine Verletzung im Recht auf Auskunft über eigene Daten dadurch, dass die Beschwerdegegnerin sein Auskunftsverlangen (gestützt auf § 26 und § 49 DSG 2000) vom 3. Jänner 2015 mit Schreiben vom 13. Jänner 2015 unvollständig und damit inhaltlich mangelhaft beantwortet habe. Anlass des Auskunftsverlangens sei eine Bonitätsprüfung durch die Beschwerdegegnerin im Auftrag des Dienstes „Pay***Secure“ gewesen. Die von der Beschwerdegegnerin verarbeiteten Adressdaten in E***stadt (eine Adresse) und L***stadt (zwei Adressen) seien in Bezug auf die L***stadter Adressen objektiv falsch. Die Angaben zur Datenherkunft, den Datenempfängern und zur Rechtsgrundlage seien mangelhaft weil nur „vage“. Am 14. Jänner 2015 habe der Beschwerdeführer versucht, eine telefonische Ergänzung der erteilten Auskunft zu erhalten. Dabei sei ihm von einem Mitarbeiter der Beschwerdegegnerin erklärt worden, die Adressdaten stammten aus dem Zentralen Melderegister (ZMR) oder von Adressverlagen. Die Beschwerdegegnerin betreibe weiters kein „Scoring“ sondern übermittle nur „Rohdaten“ an ihre Kunden. Neben den Adressdaten bestünden diese aus Meldungen von Inkassobüros und Publikationen der Gerichte, wobei betreffend den Beschwerdeführer nur Adressdaten vorlägen. Am 23. Jänner 2015 habe die Beschwerdegegnerin ihre Auskunft per E-Mail dahingehend ergänzt, dass als Quelle der Adressdaten die O***-Address Ges.m.b.H. offengelegt und die Behauptung aufgestellt worden sei, die Adressdaten des Beschwerdeführers seien auch „im Internet veröffentlicht“. Die Beschwerdegegnerin habe als Rechtsgrundlage ihrer Datenverwendung nunmehr § 152 GewO angegeben, welche Bestimmung aber keine entsprechende Berechtigung verleihe. Er habe die Beschwerdegegnerin daraufhin nochmals um telefonische Kontaktaufnahme ersucht, und sei am 26. Jänner 2015 von einem Mitarbeiter der dortigen Rechtsabteilung zurückgerufen worden. Dieser habe sich „konfrontativ“ verhalten und habe etwa darauf bestanden, dass nur negative und für den Betroffenen relevante Bonitätsdaten zu beauskunften seien. Die von Adressverlagen stammenden Adressdaten (über 9 Millionen Datensätze, was allein nach Ansicht des Beschwerdeführers die Rechtmäßigkeit der Quellen in Frage stelle) würden mit Hilfe des ZMR bloß verifiziert. Nähere Informationen, zur Herkunft von Daten „aus dem Internet“ seien ihm verweigert worden. Die Beschwerdegegnerin habe sich weiters darauf berufen, dass nähere Auskünfte zu den – vorliegenden aber angeblich nicht abrufbaren – Protokolldaten der Pay***Secure-Bonitätsprüfung im Hinblick auf das Datenschutzgrundrecht der Datenempfänger nicht möglich seien. Im Gegensatz zum ersten Telefongespräch habe dieser Gesprächspartner angegeben, dass die Beschwerdegegnerin sehr wohl eine „Bonitätsbewertung“ vornehme, allerdings sei sie dabei nur Dienstleisterin der anfragenden Unternehmen und als solche nicht zur Auskunft verpflichtet. Aus einer dem Beschwerdeführer durch die Pay***Secure GmbH erteilten Auskunft gehe ein „H***-Score Score“ von „563“ und die Bewertung „approved“ hervor. Sein Geburtsdatum sei dort unrichtig mit *2. **** 1986 und sein Vorname mit „W.“ abgekürzt gespeichert worden. Rechtlich führte der Beschwerdeführer aus, die angegebenen Inhaltsdaten seien im Vergleich mit der Auskunft der Pay***Secure unklar und, insbesondere die Bonitätsdaten betreffend, widersprüchlich. Betreffend letztere fehle auch die gestützt auf § 49 DSG 2000 verlangte Auskunft über die Logik der automatisierten Entscheidungsfindung. Die Auskunft zur Herkunft der Daten sei unvollständig, weil weder die „O***-Address GmbH“ klar identifiziert worden sei (es gebe sowohl in Österreich als auch in Deutschland so firmierende Tochtergesellschaften des V***-Konzerns), noch Angaben zu den angeblich „60 Inkassopartnern“ und den verwendeten öffentlichen Quellen (im Internet) gemacht worden seien. Die Angaben zu den Empfängern der Daten seien „extrem vage“. Der Beschwerdeführer vertrete den Standpunkt, dass Datenübermittlungen gemäß § 14 Abs. 2 Z 7 DSG 2000 zu protokollieren seien, daher über die genauen Empfänger und nicht nur über allgemeine Empfängerkreise wie „die kreditgebende Wirtschaft“ Auskunft zu erteilen sei. Auch der Inhalt der ihm bekannten Übermittlung an die Pay***Secure GmbH sei durch die Beschwerdegegnerin nicht widerspruchsfrei offengelegt worden. Ebenso seien der Zweck und die Rechtsgrundlagen der Datenverwendung nicht so dargelegt worden, dass es ihm möglich werde, die Rechtmäßigkeit der Datenverwendung zu beurteilen. Und nicht zuletzt sei die Beschwerdegegnerin im Fall, dass ihr Handeln als datenschutzrechtliche Dienstleistungserbringung zu werten sei, ihrer Pflicht gemäß § 26 Abs. 10 DSG 2000 nicht nachgekommen, ihre Auftraggeber zu benennen. Jedenfalls habe die Beschwerdegegnerin sein Auskunftsverlangen nicht gesetzmäßig beantwortet. Der Beschwerdeführer stellte abschließend an die Datenschutzbehörde den Antrag, die von ihm behauptete Rechtsverletzung bescheidmäßig festzustellen.Der Beschwerdeführer behauptet in seiner vom 3. Februar 2015 datierenden und am selben Tag per E-Mail bei der Datenschutzbehörde eingelangten Beschwerde eine Verletzung im Recht auf Auskunft über eigene Daten dadurch, dass die Beschwerdegegnerin sein Auskunftsverlangen (gestützt auf Paragraph 26 und Paragraph 49, DSG 2000) vom 3. Jänner 2015 mit Schreiben vom 13. Jänner 2015 unvollständig und damit inhaltlich mangelhaft beantwortet habe. Anlass des Auskunftsverlangens sei eine Bonitätsprüfung durch die Beschwerdegegnerin im Auftrag des Dienstes „Pay***Secure“ gewesen. Die von der Beschwerdegegnerin verarbeiteten Adressdaten in E***stadt (eine Adresse) und L***stadt (zwei Adressen) seien in Bezug auf die L***stadter Adressen objektiv falsch. Die Angaben zur Datenherkunft, den Datenempfängern und zur Rechtsgrundlage seien mangelhaft weil nur „vage“. Am 14. Jänner 2015 habe der Beschwerdeführer versucht, eine telefonische Ergänzung der erteilten Auskunft zu erhalten. Dabei sei ihm von einem Mitarbeiter der Beschwerdegegnerin erklärt worden, die Adressdaten stammten aus dem Zentralen Melderegister (ZMR) oder von Adressverlagen. Die Beschwerdegegnerin betreibe weiters kein „Scoring“ sondern übermittle nur „Rohdaten“ an ihre Kunden. Neben den Adressdaten bestünden diese aus Meldungen von Inkassobüros und Publikationen der Gerichte, wobei betreffend den Beschwerdeführer nur Adressdaten vorlägen. Am 23. Jänner 2015 habe die Beschwerdegegnerin ihre Auskunft per E-Mail dahingehend ergänzt, dass als Quelle der Adressdaten die O***-Address Ges.m.b.H. offengelegt und die Behauptung aufgestellt worden sei, die Adressdaten des Beschwerdeführers seien auch „im Internet veröffentlicht“. Die Beschwerdegegnerin habe als Rechtsgrundlage ihrer Datenverwendung nunmehr Paragraph 152, GewO angegeben, welche Bestimmung aber keine entsprechende Berechtigung verleihe. Er habe die Beschwerdegegnerin daraufhin nochmals um telefonische Kontaktaufnahme ersucht, und sei am 26. Jänner 2015 von einem Mitarbeiter der dortigen Rechtsabteilung zurückgerufen worden. Dieser habe sich „konfrontativ“ verhalten und habe etwa darauf bestanden, dass nur negative und für den Betroffenen relevante Bonitätsdaten zu beauskunften seien. Die von Adressverlagen stammenden Adressdaten (über 9 Millionen Datensätze, was allein nach Ansicht des Beschwerdeführers die Rechtmäßigkeit der Quellen in Frage stelle) würden mit Hilfe des ZMR bloß verifiziert. Nähere Informationen, zur Herkunft von Daten „aus dem Internet“ seien ihm verweigert worden. Die Beschwerdegegnerin habe sich weiters darauf berufen, dass nähere Auskünfte zu den – vorliegenden aber angeblich nicht abrufbaren – Protokolldaten der Pay***Secure-Bonitätsprüfung im Hinblick auf das Datenschutzgrundrecht der Datenempfänger nicht möglich seien. Im Gegensatz zum ersten Telefongespräch habe dieser Gesprächspartner angegeben, dass die Beschwerdegegnerin sehr wohl eine „Bonitätsbewertung“ vornehme, allerdings sei sie dabei nur Dienstleisterin der anfragenden Unternehmen und als solche nicht zur Auskunft verpflichtet. Aus einer dem Beschwerdeführer durch die Pay***Secure GmbH erteilten Auskunft gehe ein „H***-Score Score“ von „563“ und die Bewertung „approved“ hervor. Sein Geburtsdatum sei dort unrichtig mit *2. **** 1986 und sein Vorname mit „W.“ abgekürzt gespeichert worden. Rechtlich führte der Beschwerdeführer aus, die angegebenen Inhaltsdaten seien im Vergleich mit der Auskunft der Pay***Secure unklar und, insbesondere die Bonitätsdaten betreffend, widersprüchlich. Betreffend letztere fehle auch die gestützt auf Paragraph 49, DSG 2000 verlangte Auskunft über die Logik der automatisierten Entscheidungsfindung. Die Auskunft zur Herkunft der Daten sei unvollständig, weil weder die „O***-Address GmbH“ klar identifiziert worden sei (es gebe sowohl in Österreich als auch in Deutschland so firmierende Tochtergesellschaften des V***-Konzerns), noch Angaben zu den angeblich „60 Inkassopartnern“ und den verwendeten öffentlichen Quellen (im Internet) gemacht worden seien. Die Angaben zu den Empfängern der Daten seien „extrem vage“. Der Beschwerdeführer vertrete den Standpunkt, dass Datenübermittlungen gemäß Paragraph 14, Absatz 2, Ziffer 7, DSG 2000 zu protokollieren seien, daher über die genauen Empfänger und nicht nur über allgemeine Empfängerkreise wie „die kreditgebende Wirtschaft“ Auskunft zu erteilen sei. Auch der Inhalt der ihm bekannten Übermittlung an die Pay***Secure GmbH sei durch die Beschwerdegegnerin nicht widerspruchsfrei offengelegt worden. Ebenso seien der Zweck und die Rechtsgrundlagen der Datenverwendung nicht so dargelegt worden, dass es ihm möglich werde, die Rechtmäßigkeit der Datenverwendung zu beurteilen. Und nicht zuletzt sei die Beschwerdegegnerin im Fall, dass ihr Handeln als datenschutzrechtliche Dienstleistungserbringung zu werten sei, ihrer Pflicht gemäß Paragraph 26, Absatz 10, DSG 2000 nicht nachgekommen, ihre Auftraggeber zu benennen. Jedenfalls habe die Beschwerdegegnerin sein Auskunftsverlangen nicht gesetzmäßig beantwortet. Der Beschwerdeführer stellte abschließend an die Datenschutzbehörde den Antrag, die von ihm behauptete Rechtsverletzung bescheidmäßig festzustellen.

Die Beschwerdegegnerin hält dem nach Aufforderung durch die Datenschutzbehörde in ihrer Stellungnahme vom 19. Februar 2015 Folgendes entgegen: Aus ihrer Sicht sei das Auskunftsverlangen (mit den Ergänzungen) vollständig und damit dem Gesetz entsprechend beantwortet worden. Hinsichtlich der Quellen der Daten sei niemals behauptet worden, (Melde-) Daten aus dem ZMR ermittelt zu haben. Das ZMR werde nur in begründeten Fällen zwecks Überprüfung von Geburtsdatum oder Adresse eines Betroffenen abgefragt. Die Beschwerdegegnerin sei von einem Kunden der H***-Score GmbH (Deutschland), nämlich der Pay***Secure GmbH, als Dienstleisterin zur Berechnung eines Scoring-Wertes herangezogen worden. Dieser Wert sei bei der Beschwerdegegnerin nur im Bestand der gemäß § 14 Abs. 2 Z 7 und Abs. 4 DSG 2000 verwendeten Protokolldaten vorhanden, werde jedoch nicht als dem Beschwerdeführer zugeordnetes Datum verarbeitet und auch nicht an Datenempfänger (Kunden der Beschwerdegegnerin) übermittelt. Die Beschwerdegegnerin stütze ihre Tätigkeit auf die bestehende Gewerbeberechtigung und § 7 Abs. 1 iVm § 8 Abs. 1 Z 4 DSG 2000. Grundsätzlich seien nur die schriftlich erteilten Auskünfte maßgebend, für bei Telefongesprächen entstandene Missverständnisse ersuche man um Verständnis. Unter einem legte die Beschwerdegegnerin die Kopie einer dem Beschwerdeführer am 3. Februar 2015 übermittelten ergänzenden Auskunft vor, die die Übermittlungsempfänger der Daten des Beschwerdeführers einzeln aufliste.Die Beschwerdegegnerin hält dem nach Aufforderung durch die Datenschutzbehörde in ihrer Stellungnahme vom 19. Februar 2015 Folgendes entgegen: Aus ihrer Sicht sei das Auskunftsverlangen (mit den Ergänzungen) vollständig und damit dem Gesetz entsprechend beantwortet worden. Hinsichtlich der Quellen der Daten sei niemals behauptet worden, (Melde-) Daten aus dem ZMR ermittelt zu haben. Das ZMR werde nur in begründeten Fällen zwecks Überprüfung von Geburtsdatum oder Adresse eines Betroffenen abgefragt. Die Beschwerdegegnerin sei von einem Kunden der H***-Score GmbH (Deutschland), nämlich der Pay***Secure GmbH, als Dienstleisterin zur Berechnung eines Scoring-Wertes herangezogen worden. Dieser Wert sei bei der Beschwerdegegnerin nur im Bestand der gemäß Paragraph 14, Absatz 2, Ziffer 7 und Absatz 4, DSG 2000 verwendeten Protokolldaten vorhanden, werde jedoch nicht als dem Beschwerdeführer zugeordnetes Datum verarbeitet und auch nicht an Datenempfänger (Kunden der Beschwerdegegnerin) übermittelt. Die Beschwerdegegnerin stütze ihre Tätigkeit auf die bestehende Gewerbeberechtigung und Paragraph 7, Absatz eins, in Verbindung mit Paragraph 8, Absatz eins, Ziffer 4, DSG 2000. Grundsätzlich seien nur die schriftlich erteilten Auskünfte maßgebend, für bei Telefongesprächen entstandene Missverständnisse ersuche man um Verständnis. Unter einem legte die Beschwerdegegnerin die Kopie einer dem Beschwerdeführer am 3. Februar 2015 übermittelten ergänzenden Auskunft vor, die die Übermittlungsempfänger der Daten des Beschwerdeführers einzeln aufliste.

Die Datenschutzbehörde erteilte daraufhin dem Beschwerdeführer mit Schreiben vom 20. Februar 2015, GZ: DSB-D122.304/0002-DSB/2015, Parteiengehör gemäß § 31 Abs. 8 DSG 2000 wegen zu vermutender Klaglosstellung.Die Datenschutzbehörde erteilte daraufhin dem Beschwerdeführer mit Schreiben vom 20. Februar 2015, GZ: DSB-D122.304/0002-DSB/2015, Parteiengehör gemäß Paragraph 31, Absatz 8, DSG 2000 wegen zu vermutender Klaglosstellung.

Der Beschwerdeführer brachte daraufhin in seiner Stellungnahme vom 9. März 2015 in Bezug auf das Weiterbestehen einer Beschwer Folgendes vor: Die Stellungnahme der Beschwerdegegnerin decke nur einen Teilbereich seiner Beschwerdepunkte ab. „Ohne auf die Rechtmäßigkeit der Datenverarbeitung durch die N*** einzugehen“, führte er aus, die Beschwerde erkläre nicht, wie die Zuordnung der Daten der Pay***Secure zu seinen Daten möglich sein sollte. Dafür, dass die Pay***Secure datenschutzrechtlicher Auftraggeber wäre, würden keine Beweise vorgelegt. Auch die Rolle der H***-Score Deutschland sei „unklar“. Hierzu verwies er abermals auf die Pflicht des datenschutzrechtlichen Dienstleisters gemäß § 26 Abs. 10 DSG 2000, ein bei ihm eingegangenes Auskunftsverlangen weiterzuleiten. Die am 3. Februar 2015 von der Beschwerdegegnerin übermittelte Liste der Übermittlungsempfänger sei „offensichtlich unvollständig“, da ihm Mitarbeiter der Beschwerdegegnerin am Telefon sogar die genaue Uhrzeit der jeweiligen Übermittlungen genannt hätten. Diese Zeitpunkte seien im Schreiben wiederum nicht beauskunftet worden. Die Angaben der Beschwerdegegnerin zur Quelle der Adressdaten könnten nicht stimmen, da die als Quelle angegebene I***-Address Direktmarketing Ges.m.b.H. ihm gegenüber angegeben habe, seine ehemalige Adresse in L***stadt (Z****-Straße 2*, **** L***stadt) nie gespeichert gehabt zu haben. Umgekehrt habe die I***-Address Direktmarketing Ges.m.b.H. angegeben (Ausdrucke eines entsprechenden E-Mail-Wechsels waren der Stellungnahme angeschlossen), zwei Adressen an die Beschwerdegegnerin übermittelt zu haben, für die die Beschwerdegegnerin die O***-Address Ges.m.b.H. als Quelle genannt habe. Die Angaben der Beschwerdegegnerin seien daher widersprüchlich und damit generell unglaubwürdig. Er erwarte unter Hinweis auf die im Verwaltungsverfahren geltende „Offizialmaxime“ eine gründliche Überprüfung des für das Ermittlungsverfahren relevanten Sachverhalts. Der Beschwerdeführer brachte daraufhin in seiner Stellungnahme vom 9. März 2015 in Bezug auf das Weiterbestehen einer Beschwer Folgendes vor: Die Stellungnahme der Beschwerdegegnerin decke nur einen Teilbereich seiner Beschwerdepunkte ab. „Ohne auf die Rechtmäßigkeit der Datenverarbeitung durch die N*** einzugehen“, führte er aus, die Beschwerde erkläre nicht, wie die Zuordnung der Daten der Pay***Secure zu seinen Daten möglich sein sollte. Dafür, dass die Pay***Secure datenschutzrechtlicher Auftraggeber wäre, würden keine Beweise vorgelegt. Auch die Rolle der H***-Score Deutschland sei „unklar“. Hierzu verwies er abermals auf die Pflicht des datenschutzrechtlichen Dienstleisters gemäß Paragraph 26, Absatz 10, DSG 2000, ein bei ihm eingegangenes Auskunftsverlangen weiterzuleiten. Die am 3. Februar 2015 von der Beschwerdegegnerin übermittelte Liste der Übermittlungsempfänger sei „offensichtlich unvollständig“, da ihm Mitarbeiter der Beschwerdegegnerin am Telefon sogar die genaue Uhrzeit der jeweiligen Übermittlungen genannt hätten. Diese Zeitpunkte seien im Schreiben wiederum nicht beauskunftet worden. Die Angaben der Beschwerdegegnerin zur Quelle der Adressdaten könnten nicht stimmen, da die als Quelle angegebene I***-Address Direktmarketing Ges.m.b.H. ihm gegenüber angegeben habe, seine ehemalige Adresse in L***stadt (Z****-Straße 2*, **** L***stadt) nie gespeichert gehabt zu haben. Umgekehrt habe die I***-Address Direktmarketing Ges.m.b.H. angegeben (Ausdrucke eines entsprechenden E-Mail-Wechsels waren der Stellungnahme angeschlossen), zwei Adressen an die Beschwerdegegnerin übermittelt zu haben, für die die Beschwerdegegnerin die O***-Address Ges.m.b.H. als Quelle genannt habe. Die Angaben der Beschwerdegegnerin seien daher widersprüchlich und damit generell unglaubwürdig. Er erwarte unter Hinweis auf die im Verwaltungsverfahren geltende „Offizialmaxime“ eine gründliche Überprüfung des für das Ermittlungsverfahren relevanten Sachverhalts.

Die Beschwerdegegnerin hielt dem in ihrer Stellungnahme vom 20. März 2015 Folgendes entgegen: Die Beschwerdegegnerin weise jeden Vorwurf rechtswidrigen Verhaltens oder einer Verletzung subjektiver Rechte des Beschwerdeführers zurück. Es sei gesetzmäßig Auskunft erteilt worden. Das Vorgehen des Beschwerdeführers sei hinsichtlich der „Lauterbarkeit“ seiner Motive in Frage zu stellen und wäre möglicherweise unter „Schikane“ zu subsumieren. Es werde daher mangels bestehender Beschwer die Einstellung des Verfahrens beantragt. Es sei betreffend den Beschwerdeführer und den Auftrag der Firma Pay***Secure keine automatisierte Entscheidungsfindung erfolgt, da es im Ermessen der Pay***Secure gelegen sei, über einen Geschäftsabschluss zu entscheiden. Aber selbst wenn eine automatisierte Entscheidungsfindung vorliege, müsste diese nur soweit offengelegt werden, als damit nicht in eigene Rechte oder Rechte Dritter unverhältnismäßig eingegriffen würde. Die Entscheidungslogik werde hier als schützenswertes Geschäftsgeheimnis der Beschwerdegegnerin bzw. der Pay***Secure geltend gemacht. Die Datenbank der Beschwerdegegnerin umfasse nur Adressdaten und Zahlungserfahrungsdaten der Betroffenen. Scorewerte oder ähnliche Berechnungen, die nach Vorgaben der Kunden erfolgten, würden nicht gespeichert. Hinsichtlich der Quelle der Adressdaten bleibe die Beschwerdegegnerin bei ihren Angaben.

Die Datenschutzbehörde führte am 9. April 2015 in den Geschäftsräumen der Beschwerdegegnerin eine datenschutzrechtliche Einschau durch (Niederschrift zu GZ: DSB-D122.304/0007-DSB/2015), in der die Beschwerdegegnerin zusätzlich durch Rechtsanwalt Dr. Heinrich B*** vertreten worden ist.

Nach Parteiengehör zu den Ergebnissen der Einschau brachte der Beschwerdeführer in seiner Stellungnahme vom 2. August 2015 vor, die Beschwerdegegnerin habe sich wiederum in Widersprüche betreffend die Auftraggeberschaft für Scoring-Werte verwickelt. Die Angaben, die auf eine Dienstleisterrolle schließen lassen würden, seien als reine Schutzbehauptungen zu qualifizieren, durch die sich die Beschwerdegegnerin „ihrer Pflichten als Auftraggeber zu entledigen“ suche. Die Pay***Secure bzw. H***-Score Deutschland hätten die Beschwerdegegnerin ihm gegenüber (entsprechende Schreiben seien bereits vorgelegt worden) nicht als Dienstleister sondern als „Datenquelle“ bzw. „verantwortliche Stelle“ (= Auftraggeber im Sinne des deutschen BDSG) ausgewiesen. Es sei auch unwahrscheinlich, dass die Beschwerdegegnerin Scoring-Werte nur errechne und sie nach Weitergabe an den Auftraggeber selbst lösche. Eine entsprechende Tätigkeit („Auskunft über kredit- und bonitätsrelevante Verhältnisse“) lasse sich auch aus dem Stand des DVR (DVR: *4*1*46) ableiten, da ansonsten die DVR-Meldung fehlerhaft wäre. Selbst wenn man Kunden wie Pay***Secure bzw. H***-Score Deutschland als Auftraggeber werte, so sei die Beschwerdegegnerin zumindest „gemeinsame Auftraggeberin“ gemäß § 4 Z 4 DSG 2000 mit diesen. Im Übrigen sei durch die Einschau über das „Kunden-Interface“ der Beschwerdegegnerin der Datenbestand zwar klarer geworden, es bestehe aber noch immer keine Sicherheit über den „tatsächlichen Datenbestand im System“. Insbesondere seien bestimmte ihm bekannte Abfragen nicht ausgewiesen, und lasse sich aus den ermittelten Daten kein System für den Ablauf automatisierter Entscheidungsfindung erschließen, über das die Beschwerdegegnerin gemäß § 49 Abs. 3 DSG 2000 Auskunft erteilen müsse. Die Beschwerdegegnerin habe weiters laut Ergebnis der Einschau nachweislich fünf bestimmte Datenquellen bisher nicht offengelegt und dadurch sein Auskunftsrecht verletzt. Weiters scheine die Beschwerdegegnerin dadurch, dass zwei Datenempfänger, über die am 3. Februar 2015 noch Auskunft erteilt worden sei, bei der Einschau nicht gefunden wurden, gegen § 26 Abs. 7 DSG 2000 verstoßen zu haben. Der Beschwerdeführer machte weiters ein umfassendes (mehrseitiges) Vorbringen zur Rechtmäßigkeit der Verarbeitung von „Positivdaten“ und „Negativdaten“ durch die Beschwerdegegnerin als Wirtschaftsauskunftei. Nach Parteiengehör zu den Ergebnissen der Einschau brachte der Beschwerdeführer in seiner Stellungnahme vom 2. August 2015 vor, die Beschwerdegegnerin habe sich wiederum in Widersprüche betreffend die Auftraggeberschaft für Scoring-Werte verwickelt. Die Angaben, die auf eine Dienstleisterrolle schließen lassen würden, seien als reine Schutzbehauptungen zu qualifizieren, durch die sich die Beschwerdegegnerin „ihrer Pflichten als Auftraggeber zu entledigen“ suche. Die Pay***Secure bzw. H***-Score Deutschland hätten die Beschwerdegegnerin ihm gegenüber (entsprechende Schreiben seien bereits vorgelegt worden) nicht als Dienstleister sondern als „Datenquelle“ bzw. „verantwortliche Stelle“ (= Auftraggeber im Sinne des deutschen BDSG) ausgewiesen. Es sei auch unwahrscheinlich, dass die Beschwerdegegnerin Scoring-Werte nur errechne und sie nach Weitergabe an den Auftraggeber selbst lösche. Eine entsprechende Tätigkeit („Auskunft über kredit- und bonitätsrelevante Verhältnisse“) lasse sich auch aus dem Stand des DVR (DVR: *4*1*46) ableiten, da ansonsten die DVR-Meldung fehlerhaft wäre. Selbst wenn man Kunden wie Pay***Secure bzw. H***-Score Deutschland als Auftraggeber werte, so sei die Beschwerdegegnerin zumindest „gemeinsame Auftraggeberin“ gemäß Paragraph 4, Ziffer 4, DSG 2000 mit diesen. Im Übrigen sei durch die Einschau über das „Kunden-Interface“ der Beschwerdegegnerin der Datenbestand zwar klarer geworden, es bestehe aber noch immer keine Sicherheit über den „tatsächlichen Datenbestand im System“. Insbesondere seien bestimmte ihm bekannte Abfragen nicht ausgewiesen, und lasse sich aus den ermittelten Daten kein System für den Ablauf automatisierter Entscheidungsfindung erschließen, über das die Beschwerdegegnerin gemäß Paragraph 49, Absatz 3, DSG 2000 Auskunft erteilen müsse. Die Beschwerdegegnerin habe weiters laut Ergebnis der Einschau nachweislich fünf bestimmte Datenquellen bisher nicht offengelegt und dadurch sein Auskunftsrecht verletzt. Weiters scheine die Beschwerdegegnerin dadurch, dass zwei Datenempfänger, über die am 3. Februar 2015 noch Auskunft erteilt worden sei, bei der Einschau nicht gefunden wurden, gegen Paragraph 26, Absatz 7, DSG 2000 verstoßen zu haben. Der Beschwerdeführer machte weiters ein umfassendes (mehrseitiges) Vorbringen zur Rechtmäßigkeit der Verarbeitung von „Positivdaten“ und „Negativdaten“ durch die Beschwerdegegnerin als Wirtschaftsauskunftei.

Am 6. August 2015 legte der Beschwerdeführer der Datenschutzbehörde ergänzend eine E-Mail der B***-Mobilfunk Austria Ges.m.b.H. vom selben Tage vor, in der jeder Auftrag und jede Ermächtigung an die Beschwerdegegnerin zur Speicherung von Stammdaten der Kunden der B***-Mobilfunk Austria Ges.m.b.H. in Abrede bestellt wird.

Nach Parteiengehör zu den Ergebnissen der Einschau und der ergänzenden Urkundenvorlage des Beschwerdeführers brachte die Beschwerdegegnerin in ihrer Stellungnahme vom 8. September 2015 vor: Selbst wenn die Beschwerdegegnerin manche Datensätze erst im Verfahren vor der Datenschutzbehörde offengelegt habe, sei der Beschwerdeführer jedenfalls nach Kenntnisnahme von den Verfahrensergebnissen diesbezüglich klaglos gestellt. Inhalt einer datenschutzrechtlichen Auskunft müssten die verarbeiteten Daten, deren Herkunft und deren Empfänger sein. Die Beschwerdegegnerin könne mit den Beweismitteln gemäß § 46 AVG nicht unter Beweis stellen, dass sie etwa keine Einkommensdaten des Beschwerdeführers speichere, daher müssten entsprechende „Mutmaßungen eines Branchenfremden“ bei der Beweiswürdigung außer Betracht bleiben. Alle Abfragemöglichkeiten im System der Beschwerdegegnerin, wie es bei der Einschau offengelegt worden sei, würden auf denselben Datenbestand (der DAN: *4*1*46/001) zugreifen. Bei einer Bonitätsprüfung entsprechend einer vom Kunden erstellten „Scorekarte“ würde ein Ergebnis errechnet und an den Kunden gesendet. Das Ergebnis selbst würde aber nicht bei der Beschwerdegegnerin gespeichert sondern nur als Abfrage entsprechend § 14 Abs. 2 Z 7 DSG 2000 und § 132 BAO protokolliert. Die Diskrepanzen zwischen beauskunfteten und bei der Einschau angeführten Übermittlungen seien auf den unvollständigen Inhalt der Niederschrift über die Einschau zurückzuführen. Die Beschwerdeführerin machte weiters geltend, dass die „Scorekarte“ (als Programm) wie auch die Datenbank der Beschwerdegegnerin urheberrechtlich geschützte geistige Schöpfungen (Datenbankwerke) seien. Ihre Offenlegung würde Geschäftsgeheimnisse verletzen und könne daher gemäß § 26 Abs. 1 und 4 DSG 2000 nicht verlangt werden. Zur Frage der automatisierten Entscheidungsfindung machte die Beschwerdegegnerin geltend, dass sie laut ihren Allgemeinen Geschäftsbedingungen ihren Kunden mit dem Ergebnis einer Bonitätsprüfung nur eine Entscheidungshilfe zur Verfügung stelle. Dies folge dem Grundgedanken des Datenschutzrechts, dass Menschen nicht durch Computerprogramme bewertet werden sollten. Es liege daher keine automatisierte Entscheidungsfindung vor. Die Beschwerdegegnerin ging weiters auch auf die Ausführungen des Beschwerdeführers zur Rechtmäßigkeit der Verarbeitung von „Positivdaten“ und „Negativdaten“ ein und brachte dazu u.a. vor, dass die Rechtmäßigkeit der Datenverwendung nicht im Verfahren nach § 31 Abs. 1 DSG 2000 zur prüfen sei, und die Frage der Rechtmäßigkeit der Gewerbeausübung überhaupt nicht in die Zuständigkeit der Datenschutzbehörde falle. Unter einem legte die Beschwerdegegnerin der Datenschutzbehörde die Kopie einer weiteren ergänzenden Auskunftserteilung vom selben Tage vor.Nach Parteiengehör zu den Ergebnissen der Einschau und der ergänzenden Urkundenvorlage des Beschwerdeführers brachte die Beschwerdegegnerin in ihrer Stellungnahme vom 8. September 2015 vor: Selbst wenn die Beschwerdegegnerin manche Datensätze erst im Verfahren vor der Datenschutzbehörde offengelegt habe, sei der Beschwerdeführer jedenfalls nach Kenntnisnahme von den Verfahrensergebnissen diesbezüglich klaglos gestellt. Inhalt einer datenschutzrechtlichen Auskunft müssten die verarbeiteten Daten, deren Herkunft und deren Empfänger sein. Die Beschwerdegegnerin könne mit den Beweismitteln gemäß Paragraph 46, AVG nicht unter Beweis stellen, dass sie etwa keine Einkommensdaten des Beschwerdeführers speichere, daher müssten entsprechende „Mutmaßungen eines Branchenfremden“ bei der Beweiswürdigung außer Betracht bleiben. Alle Abfragemöglichkeiten im System der Beschwerdegegnerin, wie es bei der Einschau offengelegt worden sei, würden auf denselben Datenbestand (der DAN: *4*1*46/001) zugreifen. Bei einer Bonitätsprüfung entsprechend einer vom Kunden erstellten „Scorekarte“ würde ein Ergebnis errechnet und an den Kunden gesendet. Das Ergebnis selbst würde aber nicht bei der Beschwerdegegnerin gespeichert sondern nur als Abfrage entsprechend Paragraph 14, Absatz 2, Ziffer 7, DSG 2000 und Paragraph 132, BAO protokolliert. Die Diskrepanzen zwischen beauskunfteten und bei der Einschau angeführten Übermittlungen seien auf den unvollständigen Inhalt der Niederschrift über die Einschau zurückzuführen. Die Beschwerdeführerin machte weiters geltend, dass die „Scorekarte“ (als Programm) wie auch die Datenbank der Beschwerdegegnerin urheberrechtlich geschützte geistige Schöpfungen (Datenbankwerke) seien. Ihre Offenlegung würde Geschäftsgeheimnisse verletzen und könne daher gemäß Paragraph 26, Absatz eins und 4 DSG 2000 nicht verlangt werden. Zur Frage der automatisierten Entscheidungsfindung machte die Beschwerdegegnerin geltend, dass sie laut ihren Allgemeinen Geschäftsbedingungen ihren Kunden mit dem Ergebnis einer Bonitätsprüfung nur eine Entscheidungshilfe zur Verfügung stelle. Dies folge dem Grundgedanken des Datenschutzrechts, dass Menschen nicht durch Computerprogramme bewertet werden sollten. Es liege daher keine automatisierte Entscheidungsfindung vor. Die Beschwerdegegnerin ging weiters auch auf die Ausführungen des Beschwerdeführers zur Rechtmäßigkeit der Verarbeitung von „Positivdaten“ und „Negativdaten“ ein und brachte dazu u.a. vor, dass die Rechtmäßigkeit der Datenverwendung nicht im Verfahren nach Paragraph 31, Absatz eins, DSG 2000 zur prüfen sei, und die Frage der Rechtmäßigkeit der Gewerbeausübung überhaupt nicht in die Zuständigkeit der Datenschutzbehörde falle. Unter einem legte die Beschwerdegegnerin der Datenschutzbehörde die Kopie einer weiteren ergänzenden Auskunftserteilung vom selben Tage vor.

Auf Letzteres hin erteilte die Datenschutzbehörde dem Beschwerdeführer zu diesem weiteren Verfahrensergebnis nochmals Parteiengehör (Schreiben vom 25. September 2015, GZ: DSB-D122.304/0011-DSB/2015).

Daraufhin gab der Beschwerdeführer am 12. Oktober 2015 folgende abschließende Stellungnahme ab:

Die Beschwerdegegnerin vermische Fragen der Zulässigkeit der Datenverwendung mit Fragen der Auskunftserteilung. Es sei nicht der Zweck des § 31 Abs. 8 DSG 2000, der Beschwerdegegnerin die „Immunisierung“ einer mangelhaften Auskunftserteilung dadurch zu ermöglichen, dass jeweils nach Feststellung nicht beauskunfteter Informationen durch die Behörde die entsprechende Auskunft nachzuholen. Zum Vorbringen der Beschwerdegegnerin, dass gewisse Daten nur als Protokolldaten vorlägen, brachte der Beschwerdeführer vor, solche Protokolldaten seien ebenfalls personenbezogene Daten und als solche zu beauskunften. Das Gesetz (DSG 2000) enthalte weiters keine Bestimmung, die urheberrechtlich geschützte Werke und Geschäftsgeheimnisse explizit von der Auskunftserteilung ausnehmen würden. Er würde sich im Übrigen auf Wunsch der Beschwerdegegnerin auch verpflichten, solche Auskünfte geheim zu halten. Zu § 49 DSG 2000 brachte der Beschwerdeführer vor, die Bonitätsbeurteilung durch die Beschwerdegegnerin sei inhaltlich mit der Entscheidung über den Geschäftsabschluss beim Kunden gleichzusetzen. Die AGBs der Beschwerdegegnerin, die die Entscheidung formal dem Kunden zuschreiben würden, könnten an dieser Tatsache nichts ändern. Daher sei die Berechnung der Beschwerdegegnerin eine Entscheidung mit rechtlichen Folgen für den Betroffenen. Daher müsse die Beschwerdegegnerin auch gemäß § 49 Abs. 3 DSG 2000 Auskunft erteilen. Die Beschwerdegegnerin vermische Fragen der Zulässigkeit der Datenverwendung mit Fragen der Auskunftserteilung. Es sei nicht der Zweck des Paragraph 31, Absatz 8, DSG 2000, der Beschwerdegegnerin die „Immunisierung“ einer mangelhaften Auskunftserteilung dadurch zu ermöglichen, dass jeweils nach Feststellung nicht beauskunfteter Informationen durch die Behörde die entsprechende Auskunft nachzuholen. Zum Vorbringen der Beschwerdegegnerin, dass gewisse Daten nur als Protokolldaten vorlägen, brachte der Beschwerdeführer vor, solche Protokolldaten seien ebenfalls personenbezogene Daten und als solche zu beauskunften. Das Gesetz (DSG 2000) enthalte weiters keine Bestimmung, die urheberrechtlich geschützte Werke und Geschäftsgeheimnisse explizit von der Auskunftserteilung ausnehmen würden. Er würde sich im Übrigen auf Wunsch der Beschwerdegegnerin auch verpflichten, solche Auskünfte geheim zu halten. Zu Paragraph 49, DSG 2000 brachte der Beschwerdeführer vor, die Bonitätsbeurteilung durch die Beschwerdegegnerin sei inhaltlich mit der Entscheidung über den Geschäftsabschluss beim Kunden gleichzusetzen. Die AGBs der Beschwerdegegnerin, die die Entscheidung formal dem Kunden zuschreiben würden, könnten an dieser Tatsache nichts ändern. Daher sei die Berechnung der Beschwerdegegnerin eine Entscheidung mit rechtlichen Folgen für den Betroffenen. Daher müsse die Beschwerdegegnerin auch gemäß Paragraph 49, Absatz 3, DSG 2000 Auskunft erteilen.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin dem Beschwerdeführer gemäß § 26 Abs. 1 und 4 DSG 2000 über dessen eigene Daten und gemäß § 49 Abs. 3 DSG 2000 über den logischen Ablauf automatisierter Entscheidungsfindungen gesetzmäßig Auskunft erteilt hat. Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin dem Beschwerdeführer gemäß Paragraph 26, Absatz eins und 4 DSG 2000 über dessen eigene Daten und gemäß Paragraph 49, Absatz 3, DSG 2000 über den logischen Ablauf automatisierter Entscheidungsfindungen gesetzmäßig Auskunft erteilt hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Die als Gesellschaft mit beschränkter Haftung organisierte Beschwerdegegnerin betreibt als Unternehmen die freien Gewerbe der Auskunftei über Kreditverhältnisse (§ 152 GewO 1994) und des Adressverlags und Direktmarketingunternehmens (§ 151 GewO 1994). Sie ist als datenschutzrechtliche Auftraggeberin zu DVR: *4*1*46 im von der Datenschutzbehörde geführten Datenverarbeitungsregister (DVR) eingetragen. Die als Gesellschaft mit beschränkter Haftung organisierte Beschwerdegegnerin betreibt als Unternehmen die freien Gewerbe der Auskunftei über Kreditverhältnisse (Paragraph 152, GewO 1994) und des Adressverlags und Direktmarketingunternehmens (Paragraph 151, GewO 1994). Sie ist als datenschutzrechtliche Auftraggeberin zu DVR: *4*1*46 im von der Datenschutzbehörde geführten Datenverarbeitungsregister (DVR) eingetragen.

Beweiswürdigung: Diese Feststellungen beruhen auf bei der Datenschutzbehörde amtsbekannten und beiderseits unbestrittenen Tatsachen.

Der Beschwerdeführer richtete am 3. Jänner 2015 das folgende Auskunftsverlangen an die Beschwerdegegnerin (Layout nur annähernd wiedergegeben):

„Datenauskunft nach RL 95/46/EG bzw dem national anwendbaren Gesetz

Guten Tag!

Ich hätte gerne umgehend volle Auskunft (Datenbestand, Quellen, Übermittlungsempfänger, Zweckbeschreibung, Entscheidungen, Logik der Entscheidungen, etc) über die von mir gespeicherten Daten. Der Identitätsnachweis erfolgt über digitale Signatur (siehe unten).

Weiter Informationen:

Namen:   Mag. Walter A***

(weiter: „Walter A***“ und „W. A***“)

Geburtsdatum:  *3. **** 1986

Anschrift:  M***straße *5/3/**, **** E***stadt, Österreich

(zuvor: C***-gasse *6, **** L***stadt, Österreich)

Weitere Kontaktdaten / Identifier:

w.a***@aon.at, *5*4*3@unet.univie.ac.at sowie E-Mail-Adressen mit der Endung *@ma***.com und *@a***.org. Weiter die Telefonnummern +43 6** *6*3*0*1, 06** *6*3*0*1, +43 *** 7*4*22 und/oder 0*** 7*4*22“

Dieses Auskunftsverlangen ist der Beschwerdegegnerin am selben Tag zugekommen. Die Beschwerdegegnerin verlangte vom Beschwerdeführer (Schreiben vom 6. Jänner 2015) zunächst die Kopie eines amtlichen Lichtbildausweises als Identitätsnachweis und erteilte in weiterer Folge mit Schreiben vom 13. Jänner 2015 folgende datenschutzrechtliche Auskunft (Wiedergabe als Faksimile/farbige Bilddatei des vorgelegten PDF):

[Anmerkung Bearbeiter: Das hier im Original als Faksimile wiedergegebene Schreiben kann für Zwecke der Rechtsdokumentation nicht mit vertretbarem Aufwand pseudonymisiert wiedergegeben werden. Zusammengefasst erteilte die Beschwerdegegnerin Auskunft zum Namen, zum Geburtsdatum und zu drei gespeicherten Adressdatensätzen des Beschwerdeführers in E***stadt und L***stadt.]

Nachdem der Beschwerdeführer telefonisch und per E-Mail die Vollständigkeit der Auskunftserteilung gerügt und Ergänzungen verlangt hatte, erhielt er am 23. Jänner 2015 folgendes E-Mail (Wiedergabe als Faksimile/farbige Bilddatei des vorgelegten PDF):

[Anmerkung Bearbeiter: Das hier im Original als Faksimile wiedergegebene Schreiben kann für Zwecke der Rechtsdokumentation nicht mit vertretbarem Aufwand pseudonymisiert wiedergegeben werden. Zusammengefasst erteilte die Beschwerdegegnerin Auskunft, dass sie zur Ausübung der Gewerbe der Kreditauskunftei und des Adressverlags berechtigt sei, aber keine „Bewertung der Kreditwürdigkeit ihrer Person“ vorgenommen worden sei. Die N*** Ges.m.b.H. übermittle ihren Kunden, etwa der Pay***Secure, lediglich Daten und Informationen zu deren Verwendung im Rahmen von geschäftlichen Entscheidungen. Auf die „Dateneingabe“ durch diese Kunden habe man keinen Einfluss. Als Quellen der Adressdaten wurden die Adressverlage O***-Address Ges.m.b.H. und I***-Address Direktmarketing Ges.m.b.H. angegeben.]

Beweiswürdigung: Diese Feststellungen beruhen auf den oben wiedergegebenen bzw. zitierten Urkunden, deren Kopien der Beschwerdeführer als Beilagen der Beschwerde vom 3. Februar 2015 angeschlossen hat (ESt in GZ: DSB-D122.304/0001-DSB/2015). Die Echtheit und inhaltliche Richtigkeit dieser Schreiben ist beidseitig unbestritten, auch der nicht exakt inhaltlich wiedergegebene telefonische und E-Mail-Verkehr zwischen den Parteien hat unbestritten stattgefunden.

Annähernd parallel erhielt der Beschwerdeführer von der Pay***Secure GmbH, Berlin, und der H***-Score GmbH, München, datenschutzrechtliche Auskünfte, von denen die H***-Score GmbH vom 23. Jänner 2015 angibt, dass die von der Beschwerdegegnerin als „Datenquelle“ stammenden Daten Name, Adresse sowie ein „Score“ von „563“ in eine den Beschwerdeführer betreffende Bonitätsauskunft für die Pay***Secure GmbH einbezogen wurden. Die Pay***Secure GmbH speichert diesbezüglich laut ihrer Auskunft das Datum: „H***-Score Score: APPROVED“

Beweiswürdigung: Diese Feststellungen beruhen auf den zitierten Urkunden, deren Kopien der Beschwerdeführer ebenfalls als Beilagen der Beschwerde vom 3. Februar 2015 angeschlossen hat (ESt in GZ: DSB-D122.304/0001-DSB/2015). Die Beschwerdegegnerin hat sich zur inhaltlichen Richtigkeit der Auskünfte der Pay***Secure GmbH und der H***-Score GmbH nicht geäußert, da jedoch weder eine Bestreitung dieser Richtigkeit noch anders lautende Verfahrensergebnisse vorliegen, konnte der Urkundeninhalt der Sachverhaltsfeststellung zu Grunde gelegt werden.

Nachdem, trotz Aufforderung per E-Mail durch den Beschwerdeführer, keine weitere Auskunft von der Beschwerdegegnerin einlangte, brachte dieser am 3. Februar 2015, 19:02 Uhr, per E-Mail die gegenständliche Beschwerde wegen Verletzung des Auskunftsrechts bei der Datenschutzbehörde ein.

Beweiswürdigung: Diese Feststellungen beruhen auf bei der Datenschutzbehörde aktenkundigen und beiderseits unbestrittenen Tatsachen.

Kurz darauf erreichte den Beschwerdeführer folgendes Schreiben der Beschwerdegegnerin:

[Anmerkung Bearbeiter: Das hier im Original als Faksimile wiedergegebene Schreiben kann für Zwecke der Rechtsdokumentation nicht mit vertretbarem Aufwand pseudonymisiert wiedergegeben werden. Zusammengefasst erteilte die Beschwerdegegnerin Auskunft, dass neun aufgezählte Unternehmen, darunter die Pay***Secure GmbH und die B***-Mobilfunk Austria Ges.m.b.H., Übermittlungsempfänger von Daten des Beschwerdeführers waren. Die Beschwerdegegnerin bekräftigte weiters, dass „zu keiner Zeit Zahlungserfahrungen zu ihrer Person“ gespeichert waren oder übermittelt wurden.]

Während des laufenden Beschwerdeverfahrens ist die an den Beschwerdeführer erteilte Auskunft schließlich ein drittes Mal durch folgendes Schreiben vom 8. September 2015 ergänzt worden:

[Anmerkung Bearbeiter: Das hier im Original als Faksimile wiedergegebene Schreiben kann für Zwecke der Rechtsdokumentation nicht mit vertretbarem Aufwand pseudonymisiert wiedergegeben werden. Zusammengefasst erteilte die Beschwerdegegnerin Auskunft über 18 Fälle von den Beschwerdeführer betreffenden „Credit Checks“ seit März 2004 im Auftrag ihrer Kunden und deren Ergebnisse („Scores“) sowie über alle Fälle der Bestätigung (des Abgleichs) der betreffend den Beschwerdeführer gespeicherten Adressdaten.]

Die Beschwerdegegnerin führt im Auftrag ihrer Kunden Bonitätsprüfungen von Verbrauchern durch, deren Ergebnis in einem errechneten Scorewert ausgedrückt wird. Die entsprechende Datenanwendung wird bei der Beschwerdegegnerin intern als „Onlinekreditsystem (auch: Online-Referencing & Score-System)“ (kurz: **ORSS) bezeichnet. Am 1. Jänner 2015 führte die Beschwerdegegnerin über Vermittlung der deutschen H***-Score GmbH unter der Produktbezeichnung „CreditCheck Consumer“ im **ORSS eine Bonitätsprüfung des Beschwerdeführers für die Pay***Secure GmbH, Berlin, durch. Dabei wurden von der Pay***Secure GmbH festgelegte Spezifikationen (sogenannte Scorekarte mit der Bezeichnung „B2C CreditCheck – Pay***Secure V3“) zur Anwendung gebracht. Das Ergebnis der automationsunterstützten Bonitätsberechnung in Form eines „Personen Scores“ von 100 und eines „Total Scores“ von 563 wurde an die H***-Score GmbH und die Pay***Secure GmbH übermittelt und bei der Beschwerdegegnerin mit den Namens- und Adressdaten des Beschwerdeführers verknüpft gespeichert. Die H***-Score GmbH führte auf dieser Basis eine weitere Bonitätsbeurteilung durch, die darauf lautete, dass der Finanzierungswunsch des Beschwerdeführers (Lastschriftzahlung für eine Onlinebestellung) durch die Pay***Secure GmbH genehmigt werden könnte („H***-Score Score: APPROVED“).

Beweiswürdigung: Diese Feststellungen beruhen einerseits auf dem Ergebnis der Einschau der Datenschutzbehörde in die Datenanwendungen der Beschwerdegegnerin (Niederschrift vom 9. April 2015, GZ: DSB-D122.304/0007-DSB/2015), insbesondere die Beilage./I, sowie auf den bereits zitierten Kopien der Auskunftsschreiben der Pay***Secure GmbH und der H***-Score GmbH, die der Beschwerdeführer als Beilagen der Beschwerde vom 3. Februar 2015 angeschlossen hat (ESt in GZ: DSB-D122.304/0001-DSB/2015). Aus der Beilage./I geht als Ergebnis der Einschau klar hervor, dass die Beschwerdegegnerin eine den Beschwerdeführer betreffende Bonitätsprüfung vorgenommen hat (anders die Behauptungen des Rechtsbeistandes der Beschwerdegegnerin noch in der Niederschrift über die Einschau) und das Ergebnis der durchgeführten Bonitätsprüfung sehr wohl und entgegen ihren Behauptungen (Stellungnahme vom 19. Februar 2015) personenbezogen und nicht bloß als „Protokolldaten“ speichert. Die Daten waren in einer augenscheinlich für einen Benutzer mit durchschnittlichen EDV-Kenntnissen bestimmten Darstellung bei einer Suche mit dem Namen des Beschwerdeführers als Suchparameter abrufbar und verfügbar und mussten nicht erst als Rohdaten aus einer typischerweise nicht-personenbezogen sondern sequenziell dargestellten Auflistung von Verarbeitungsvorgängen gefiltert und interpretiert werden. Die Behauptungen der Beschwerdegegnerin, keine Bonitätsbewertung des Beschwerdeführers vorgenommen zu haben, was wohl bereits als rechtliche Interpretation des tatsächlichen Geschehens zu verstehen ist, und die Ergebnisse von Bonitätsprüfungen nicht personenbezogen zu verarbeiten, mussten daher sachverhaltsmäßig als widerlegt angesehen werden.

Betreffend die Adressdaten des Beschwerdeführers, die die Beschwerdegegnerin verarbeitet, und deren tatsächliche oder potenzielle Quellen – die Beschwerdegegnerin unterscheidet in den Prozessen ihrer Datenanwendungen nicht zwischen Übermittlung von Datensätzen und dem Abgleich mit den Datensätzen anderer datenschutzrechtlicher Auftraggeber – hat die Einschau folgendes ergeben:

[Anmerkung Bearbeiter: Das hier im Original als Faksimile wiedergegebene Schreiben kann für Zwecke der Rechtsdokumentation nicht mit vertretbarem Aufwand pseudonymisiert wiedergegeben werden. Zusammengefasst wird tabellarisch die Verarbeitung der entsprechenden Daten dargestellt.]

Betreffend den Beschwerdeführer werden von der Beschwerdegegnerin keine sogenannten Zahlungserfahrungsdaten (etwa von dritter Seite gemeldete Inkassofälle) verarbeitet.

Beweiswürdigung: Diese Feststellungen beruhen einerseits auf dem Ergebnis der Einschau der Datenschutzbehörde in die Datenanwendungen der Beschwerdegegnerin (Niederschrift vom 9. April 2015, GZ: DSB-D122.304/0007-DSB/2015), insbesondere der Beilage./III, andererseits auf der Kopie des ergänzenden Auskunftsschreibens vom 8. September 2015 samt Beilagen, das die Beschwerdegegnerin der Datenschutzbehörde als Beilage zu ihrer Stellungnahme vom 8. September 2015 vorgelegt hat. Der Beschwerdeführer hat zwar die im Verlauf des Verfahrens erfolgte ergänzende Auskunftserteilung durch die Beschwerdegegnerin als „Salamitaktik“ gerügt, gegen die inhaltliche Vollständigkeit der betreffend die Datenherkunft erteilten Auskunft jedoch nichts mehr vorgebracht, sodass die Datenschutzbehörde davon ausgehen kann, dass die Auskunft in diesem Punkt vollständig war. Betreffend Zahlungserfahrungsdaten konnten bei der Einschau keine solchen gefunden werden und hat der Beschwerdeführer kein gegenteiliges Vorbringen gemacht, sodass der Darstellung der Beschwerdegegnerin gefolgt werden konnte.

D. In rechtlicher Hinsicht folgt daraus:

Allgemeines, Gegenstand des Verfahrens

Auskunft zu Bonitätsdaten, Auftraggeberschaft der Beschwerdegegnerin

„Da die Entscheidung, ob und wie Bonitätsdaten für ein Scoring-System verwendet werden, von den Kunden der Beschwerdegegnerin getroffen wird, trifft diese die Verantwortung für die Art und Weise der Verarbeitung und die Angemessenheit des Systems. Der logische Ablauf muss deshalb so gesehen werden, dass von der Beschwerdegegnerin alle erforderlichen Daten an das Scoring-System (und damit an seinen Eigentümer) übermittelt werden. Die Unternehmen, die Eigentümer eines Scoring-Systems sind, werden ab dem Augenblick, in dem die Rohdaten in das Scoring-System eingespeist werden, zu Auftraggebern im Sinne des Datenschutzgesetzes. Die Errechnung des Scoring-Wertes kann nun vom Eigentümer des Systems selbst durchgeführt werden oder als Dienstleistung in Auftrag gegeben werden. Im vorliegenden Fall wurde die Beschwerdegegnerin mit der Errechnung von Scoring–Werten beauftragt. Solange der Kunde der Beschwerdegegnerin das System vorgibt, nach dem die Errechnung vorzunehmen ist, ist der Kunde Auftraggeber dieser Datenverarbeitung, wobei ihm freilich – logisch vorgelagert – die Beschwerdegegnerin die notwendigen Bonitätsdaten übermittelt hat“ (DSK, Bescheid vom 14.9.2007, K121.292/0011-DSK/2007, RIS; die inhaltliche Behandlung einer gegen diesen Bescheid erhobenen Beschwerde ist, ergänzend zu den Angaben im RIS, vom VfGH mit Beschluss vom 22.9.2009, B 1994/07, abgelehnt worden, der VwGH hat die an ihn abgetretene Beschwerde mit Erkenntnis vom 11.12.2009, 2009/17/0223, abgewiesen).

Auskunft zur Datenherkunft und zu Übermittlungen

Auskunft betreffend automatisierte Einzelentscheidungen

Sonstige Auskunftserteilung

Zusammenfassung