VwGH: Auskunftsrecht nach § 26 DSG 2000 und Pflichten des Dienstleisters gem § 11 DSG 2000
Die Auskunftsverpflichtung als Auftraggeber iSd § 4 Z 4 DSG 2000 nach § 26 Abs 1 DSG erstreckt sich auch auf die durch den Dienstleister gem § 4 Z 5 DSG 2000 im Rahmen des Auftrags verarbeiteten Daten
§ 26 DSG 2000, § 4 DSG 2000, § 11 DSG 2000
GZ 2008/17/0096, 15.11.2012
VwGH: Der belangten Behörde ist grundsätzlich dahin gehend zu folgen, dass die Bf hinsichtlich der Berechnung der sog "Scoring-Werte" als Auftraggeberin iSd § 4 Z 4 DSG 2000 anzusehen ist.
Auf Grund der Löschungsverpflichtung nach § 97 Abs 2 TKG 2003 kann die Auskunftsverpflichtung nach § 26 Abs 1 DSG 2000 sich nicht auf die von der Bf in der Vergangenheit verarbeiteten Daten beziehen.
Wenn jedoch die Bf als Auftraggeberin iSd § 4 Z 4 DSG 2000 hinsichtlich der gegenständlich erfolgten Datenverarbeitung anzusehen ist, trifft es zu, dass sich ihre Auskunftsverpflichtung als Auftraggeber iSd § 4 Z 4 DSG 2000 nach § 26 Abs 1 DSG auch auf die durch den Dienstleister gem § 4 Z 5 DSG 2000 (die D GmbH) im Rahmen des Auftrags verarbeiteten Daten erstreckt.
Dem Einwand der Bf, die Auftraggebereigenschaft sei mit der Löschung der Daten nach § 97 Abs 2 TKG 2003 auf die D GmbH übergegangen, ist Folgendes entgegenzuhalten:
§ 4 Z 4 letzter Satz DSG 2000 setzte in der hier anwendbaren Fassung (vor der Novelle des Jahres 2010) dafür, dass der mit der Herstellung des Werkes Betraute als datenschutzrechtlicher Auftraggeber gilt, voraus, dass "dem Auftragnehmer anlässlich der Auftragserteilung die Verarbeitung der überlassenen Daten ausdrücklich untersagt" wurde oder aber "der Auftragnehmer die Entscheidung über die Art und Weise der Verwendung, insbesondere die Vornahme einer Verarbeitung der überlassenen Daten, auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gem § 6 Abs 4 eigenverantwortlich zu treffen" habe. Die Vorschrift kommt daher dann nicht zur Anwendung, wenn die Entscheidung über die Verwendung der Daten vom (zivilrechtlichen) Auftraggeber getroffen wird (vgl auch die nunmehrige Fassung des § 4 Z 4 DSG 2000, "wenn der mit der Herstellung eines Werkes beauftragte Dienstleister (Z 5) die Entscheidung trifft, zu diesem Zweck Daten (Z 8) zu verwenden"). Im vorliegenden Zusammenhang wurde jedoch der Algorithmus, nach dem die "Scoring-Werte" berechnet wurden, von der Bf vorgegeben. Damit wurde auch die Entscheidung getroffen, welche Daten für die Berechnung erforderlich waren. § 4 Z 4 letzter Satz DSG 2000 ist daher im gegebenen Zusammenhang nicht einschlägig.
Im Übrigen würde bei einer Anwendbarkeit des § 4 Z 4 letzter Satz DSG 2000 die Auftraggeberstellung der D GmbH nicht erst mit der Löschung der Daten nach § 97 Abs 2 TKG 2003 durch die Bf entstehen, sondern die D GmbH hätte dann, wenn sie eigenständig hätte entscheiden können, welche Daten sie heranzieht, von Anfang an insofern die Auftraggeberstellung gehabt.
Der Gesetzgeber hat in § 11 Abs 1 Z 5 DSG 2000 die Verpflichtung des Dienstleisters normiert, dem Auftraggeber "nach Beendigung der Dienstleistung" alle Verarbeitungsergebnisse und die Daten ("die Unterlagen, die Daten enthalten") entweder zu übergeben, in dessen Auftrag weiter aufzubewahren oder zu vernichten. Diese Verpflichtung besteht nach dem Einleitungssatz des § 11 Abs 1 DSG 2000 "unabhängig von allfälligen vertraglichen Vereinbarungen". Gem § 11 Abs 1 Z 6 DSG 2000 trifft den Dienstleister die Verpflichtung, dem Auftraggeber jene Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der unter den Z 1 bis 5 genannten Verpflichtungen notwendig sind (vgl auch § 10 Abs 1 DSG 2000).
Gem § 11 Abs 2 DSG 2000 sind Vereinbarungen zwischen dem Auftraggeber und dem Dienstleister über die nähere Ausgestaltung der in Abs 1 genannten Pflichten, also auch der Rückgabe- bzw Vernichtungspflicht, soweit nicht ein Vertrag über die Aufbewahrung besteht, "zum Zweck der Beweissicherung schriftlich festzuhalten".
Aus den genannten Vorschriften kann iZm der hier schlagend gewordenen Verpflichtung, auch Auskunft über allenfalls beim Dienstleister (noch) vorhandene Daten über die Mitbeteiligten zu erteilen, geschlossen werden, dass den Auftraggeber jedenfalls eine Erkundigungspflicht hinsichtlich solcher Daten trifft und er die ihm vom Dienstleister übermittelten Informationen an die Auskunftswerber weiterzuleiten hat.
Auch wenn die D GmbH nach § 11 Abs 1 Z 5 DSG 2000 zur Vernichtung jener "Verarbeitungsergebnisse" und "Unterlagen, die Daten enthalten" verpflichtet war, die nicht an die Bf "übergeben" wurden, bestand für den Fall der rechtswidrigen Nichterfüllung durch den Dienstleister dieser Verpflichtung die Auskunftspflicht hinsichtlich solcher Daten für die Bf.
