TE Vwgh Erkenntnis 2005/12/19 2005/06/0062

Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Giendl und die Hofräte Dr. Bernegger, Dr. Waldstätten, Dr. Bayjones und Dr. Pfiel als Richter, im Beisein der Schriftführerin Mag. Fritz, über die Beschwerde des HG in G, vertreten durch Dr. Herbert Fink, Rechtsanwalt in Innsbruck, Kaiser-Josefstraße 13, gegen den Bescheid der Datenschutzkommission vom 8. Oktober 2004, Zl. K120.889/0010- DSK/2004, betreffend Ansprüche nach dem Datenschutzgesetz 2000, zu Recht erkannt:

Die Beschwerde wird als unbegründet abgewiesen.

Der Beschwerdeführer hat dem Bund Aufwendungen in der Höhe von EUR 381,90 binnen zwei Wochen bei sonstiger Exekution zu ersetzen.

Mit dem an die Bezirkshauptmannschaft L (kurz: BH) gerichteten Antrag vom 23. Juni 2003 begehrte der Beschwerdeführer sämtliche zu seiner Person automationsunterstützt oder konventionell verarbeitete Daten im Zusammenhang mit einer bestimmten Art von strafbaren Handlungen zu löschen und sowohl die Empfänger der Daten als auch den Beschwerdeführer zu verständigen.

Mit Erledigung vom 11. Juli 2003 übermittelte die BH diesen Antrag dem Gendarmerieposten B (kurz: GP) "mit dem Ersuchen um entsprechende Veranlassung gegen Rückschluss", wovon sie (mit einer Ausfertigung dieser Erledigung) auch den Beschwerdeführer verständigte.

Mit Eingabe vom 7. September 2003 (bei der belangten Behörde eingelangt am 10. September 2003) erhob der Beschwerdeführer Beschwerde an die belangte Behörde und brachte vor, ihm sei bloß diese Erledigung vom 11. Juli 2003 zugekommen; eine Mitteilung im Sinne des § 27 Abs. 4 DSG 2000 über die Löschung oder Nichtlöschung der Daten sei nicht erfolgt. Er beantragte,

a) die Gesetzmäßigkeit der Unterlassung der Mitteilung gemäß § 27 Abs. 4 DSG 2000 zu überprüfen,

b) festzustellen, dass er durch die Nichtvornahme der Mitteilung nach dieser Gesetzesstelle in seinem Recht auf Erhalt einer solchen Mitteilung verletzt worden sei, und

c) der BH mit Bescheid diese Mitteilung aufzutragen.

Mit Schriftsätzen vom 5. Juni und 16. Juli 2004 modifizierte der Beschwerdeführer sein Begehren und beantragte nun,

a) die Gesetzmäßigkeit der Unterlassung der Mitteilung gemäß § 27 Abs. 4 DSG 2000 innerhalb der vorgeschriebenen Frist von acht Wochen zu überprüfen,

b) festzustellen, dass er durch die Nichtvornahme dieser Mitteilung innerhalb der vorgeschriebenen Frist von acht Wochen in seinem Recht auf Erhalt einer solchen Mitteilung innerhalb dieser Frist ab Stellung seines Begehrens verletzt worden sei,

c) hinsichtlich der begehrten Löschung der konventionell verarbeiteten Daten der BH mit Bescheid die Mitteilung gemäß dieser Gesetzesstelle aufzutragen.

Mit dem angefochtenen Bescheid hat die belangte Behörde die Beschwerde abgewiesen. Zusammengefasst führte sie begründend aus, nach zwei Anzeigen des GP wegen des Verdachtes bestimmter strafbarer Handlungen seien personenbezogene Daten des Beschwerdeführers verarbeitet worden.

Auf Grund des Löschungsbegehrens des Beschwerdeführers vom 23. Juni 2003 habe die BH dem Beschwerdeführer eine Abschrift ihres Schreibens an den GP vom 11. Juli 2003 übermittelt, die am 15. Juli in der Kanzlei des Vertreters des Beschwerdeführers einlangte. Im Verfahren vor der belangten Behörde habe die BH ihrer Stellungnahme vom 23. Oktober 2003 ein Schreiben des GP vom 8. Oktober 2003 beigelegt, in welchem dieser mitgeteilt habe, dass dem Antrag des Beschwerdeführers entsprochen und die verarbeiteten Daten gelöscht worden seien. Auch dieses Schreiben sei von der BH dem Beschwerdeführer zu Handen seines Vertreters in Kopie am 9. Oktober 2003 übermittelt worden. In einer weiteren Stellungnahme vom 19. April 2004 habe die BH ein weiteres Schreiben des GP vorgelegt, worin dieser bekanntgegeben habe, dass die Daten des Beschwerdeführers im Strafregister (was nicht beschwerdegegenständlich sei) sowie in den EKIS-Datenanwendungen Personeninformation, Kriminalpolizeilicher Aktenindex (KPA) und Erkennungsdienstliche Evidenz (EDE) gespeichert gewesen seien. Die auf Grund des Antrages des Beschwerdeführers im Wege der "DASTA Stmk" veranlasste Löschung der fraglichen strafrechtlichen Tatbestände sei von der DASTA Stmk in der Personeninformation, im Kriminalpolizeilichen Aktenindex und in der Erkennungsdienstlichen Evidenz auch tatsächlich durchgeführt worden.

Weiters habe sich ergeben, dass beim GP seit Jahren keine Index- oder Steckzettelkartei mehr geführt werde. "Papierakten" betreffend den Beschwerdeführer hinsichtlich der fraglichen Vorfälle existierten nicht mehr; diese Akten seien bereits ausgeschieden worden. Auch ansonsten seien beim GP keine schriftlichen Aufzeichnungen betreffend den Beschwerdeführer vorhanden.

Nach Wiedergabe des § 27 DSG 2000 führte die belangte Behörde aus, Abs. 4 dieser Bestimmung verpflichte den Auftraggeber einer Datenanwendung dazu, die Löschung der Daten durchzuführen und dem Betroffenen davon Mitteilung zu machen. § 27 Abs. 4 DSG 2000 enthalte allerdings keine besonderen Formvorschriften, an die der Auftraggeber bei der Benachrichtigung des Betroffenen gebunden wäre; es genüge vielmehr jedes Schriftstück, aus dem hervorgehe, dass dem Antrag auf Löschung entsprochen werde. So sei es nicht erforderlich, dass der Auftraggeber dem Betroffenen nach erfolgter Löschung eine förmliche Löschungsbestätigung vorlege, sondern es reiche eine formlose Mitteilung dahingehend aus, dass die Daten des Betroffenen gelöscht würden. Deshalb entspreche auch bereits eine Information des Auftraggebers, mit welcher der Betroffene von der Veranlassung der Löschung in Kenntnis gesetzt werde, den Anforderungen des § 27 Abs. 4 DSG 2000. Eine solche Mitteilung sei dem Beschwerdeführer unbestritten zugekommen, weshalb er insofern nicht in seinen Rechten nach § 27 DSG 2000 verletzt worden sei.

Was die Unterlassung der Verständigung von der Löschung nicht automationsgestützt verarbeiteter Daten betreffe, sei darauf zu verweisen, dass ein behördenüblicher Papierakt weder eine automationsgestützt geführte Datenanwendung noch eine manuelle Datei darstelle, sodass kein Löschungsanspruch nach § 27 DSG 2000 bestehe. Damit gebe es auch keine Pflicht des Auftraggebers nach Abs. 4 dieser Gesetzesstelle, den Betroffenen von der Vornahme oder Nichtvornahme einer Löschung zu verständigen.

Die Indexkartei hingegen sei eine manuelle Datei; da sie aber dem "inneren Dienst" der Gendarmerie zuzurechnen sei, könne insofern nur das Landes- oder das Bezirksgendarmeriekommando datenschutzrechtlicher Auftraggeber sein (wurde näher ausgeführt). Da die Verpflichtung zur Verständigung gemäß § 27 Abs. 4 DSG nur den Auftraggeber einer Datenanwendung treffe, die BH allerdings nicht Auftraggeber hinsichtlich der Indexkartei sei, habe der Beschwerdeführer seine Beschwerde gegen einen unzuständigen Auftraggeber gerichtet.

Dagegen richtet sich die vorliegende Beschwerde wegen inhaltlicher Rechtswidrigkeit.

Die belangte Behörde hat die Akten des Verwaltungsverfahrens vorgelegt und in einer Gegenschrift die kostenpflichtige Abweisung der Beschwerde beantragt.

Der Verwaltungsgerichtshof hat erwogen:

Im Beschwerdefall ist das Datenschutzgesetz 2000, BGBl I Nr. 165/1999 (DSG 2000), in der Fasssung BGBl I Nr. 136/2001, anzuwenden.

§ 4 DSG 2000 enthält Definitionen.

In Z 4 wird "Auftraggeber'' wie folgt definiert (die bezogene Z 9 betrifft den Begriff "Verwenden von Daten"):

"natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten für einen bestimmten Zweck zu verarbeiten (Z 9), und zwar unabhängig davon, ob sie die Verarbeitung selbst durchführen oder hiezu einen anderen heranziehen. Als Auftraggeber gelten die genannten Personen, Personengemeinschaften und Einrichtungen auch dann, wenn sie einem anderen Daten zur Herstellung eines von ihnen aufgetragenen Werkes überlassen und der Auftragnehmer die Entscheidung trifft, diese Daten zu verarbeiten. Wurde jedoch dem Auftragnehmer anlässlich der Auftragserteilung die Verarbeitung der überlassenen Daten ausdrücklich untersagt oder hat der Auftragnehmer die Entscheidung über die Art und Weise der Verwendung, insbesondere die Vornahme einer Verarbeitung der überlassenen Daten, auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß § 6 Abs. 4 eigenverantwortlich zu treffen, so gilt der mit der Herstellung des Werkes Betraute als datenschutzrechtlicher Auftraggeber;"

§ 27 Abs. 1 und 4 DSG 2000 lautet:

"(1) Jeder Auftraggeber hat unrichtige oder entgegen den Bestimmungen dieses Bundesgesetzes verarbeitete Daten richtigzustellen oder zu löschen, und zwar

1. aus eigenem, sobald ihm die Unrichtigkeit von Daten oder die Unzulässigkeit ihrer Verarbeitung bekannt geworden ist, oder

2. auf begründeten Antrag des Betroffenen.

Der Pflicht zur Richtigstellung nach Z 1 unterliegen nur solche Daten, deren Richtigkeit für den Zweck der Datenanwendung von Bedeutung ist. Die Unvollständigkeit verwendeter Daten bewirkt nur dann einen Berichtigungsanspruch, wenn sich aus der Unvollständigkeit im Hinblick auf den Zweck der Datenanwendung die Unrichtigkeit der Gesamtinformation ergibt. Sobald Daten für den Zweck der Datenanwendung nicht mehr benötigt werden, gelten sie als unzulässig verarbeitete Daten und sind zu löschen, es sei denn, dass ihre Archivierung rechtlich zulässig ist und dass der Zugang zu diesen Daten besonders geschützt ist. Die Weiterverwendung von Daten für einen anderen Zweck ist nur zulässig, wenn eine Übermittlung der Daten für diesen Zweck zulässig ist; die Zulässigkeit der Weiterverwendung für wissenschaftliche oder statistische Zwecke ergibt sich aus den §§ 46 und 47

(2) ...

(3) ...

(4) Innerhalb von acht Wochen nach Einlangen eines Antrags auf Richtigstellung oder Löschung ist dem Antrag zu entsprechen und dem Betroffenen davon Mitteilung zu machen oder schriftlich zu begründen, warum die verlangte Löschung oder Richtigstellung nicht vorgenommen wird."

Im Beschwerdefall ist weiters das Sicherheitspolizeigesetz (SPG), BGBl. Nr. 566/1991, in der Fassung BGBl. I Nr. 104/2002, anzuwenden.

§ 51 SPG lautet:

"§ 51. (1) Die Sicherheitsbehörden haben beim Verwenden (Verarbeiten und Übermitteln) personenbezogener Daten die Verhältnismäßigkeit (§ 29) zu beachten. Beim Verwenden sensibler und strafrechtlich relevanter Daten haben sie angemessene Vorkehrungen zur Wahrung der Geheimhaltungsinteressen der Betroffenen zu treffen."

(2) Sofern nicht ausdrücklich Anderes angeordnet wird, finden auf das Verwenden personenbezogener Daten die Bestimmungen des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999, Anwendung."

Die §§ 57 - 59 SPG treffen nähere Bestimmungen zur Zentralen Informationssammlung.

§ 63 SPG lautet:

"Pflicht zur Richtigstellung oder Löschung

§ 63 (1) Wird festgestellt, dass unrichtige oder entgegen den Bestimmungen dieses Bundesgesetzes ermittelte Daten aufbewahrt werden, so ist unverzüglich eine Richtigstellung oder Löschung vorzunehmen. Desgleichen sind personenbezogene Daten zu löschen, sobald sie für die Erfüllung der Aufgabe, für die sie verwendet worden sind, nicht mehr benötigt werden, es sei denn, für ihre Löschung wäre eine besondere Regelung getroffen worden.

(2) Die Sicherheitsbehörden haben automationsunterstützt verarbeitete personenbezogene Daten, die sechs Jahre unverändert geblieben sind, daraufhin zu überprüfen, ob diese nicht gemäß Abs. 1 richtig zu stellen oder zu löschen sind. Für Daten, die in der Zentralen Informationssammlung verarbeitet werden, gelten die §§ 58 und 59."

Der Beschwerdeführer erachtet sich gemäß dem ausgeführten Beschwerdepunkt durch den angefochtenen Bescheid in seinem Recht auf Mitteilung von der Löschung personenbezogener Daten gemäß § 27 Abs. 4 DSG 2000 sowie in seinem Recht auf schriftliche Begründung, warum die verlangte Löschung nicht vorgenommen wurde, durch Unterlassung der Mitteilung der Löschung bzw. durch Unterlassung der Mitteilung, weshalb die verlangte Löschung nicht vorgenommen wurde, verletzt.

Betreffend die automationsgestützt verarbeiteten Daten macht der Beschwerdeführer geltend, das Schreiben der BH vom 11. Juli 2003, mit welchem diese den GP "um entsprechende Veranlassung" ersucht habe, sei im Sinne des § 27 Abs. 4 DSG 2000 unzureichend. Diese Mitteilung habe jedenfalls in Form eines Schreibens zu erfolgen, welches vom Auftraggeber stamme und direkt an den Betroffenen gerichtet sei. Die bloße Übersendung eines an eine andere Stelle gerichteten Schreibens genüge nicht den Erfordernissen dieser Gesetzesstelle.

Damit ist der Beschwerdeführer jedenfalls im Ergebnis im Recht. Zwar könnte durchaus eine entsprechende Verständigung durch Übermittlung der Durchschrift eines Schreibens an eine dritte Stelle erfolgen. Allerdings genügt es nach § 27 Abs. 4 DSG 2000 nicht, innerhalb der Achtwochenfrist die Löschung in Auftrag zu geben oder auch bloß dem Betroffenen zu verheißen, weil damit unklar bleibt, ob dem Ersuchen tatsächlich entsprochen werden wird; vielmehr ist bei einer in Aussicht genommenen positiven Erledigung (dieser Fall ist hier von Bedeutung) nach dem maßgeblichen Wortlaut dieser Gesetzesstelle dem Antrag zu entsprechen, das heißt, es sind die Daten richtig zu stellen oder zu löschen und es ist darüber hinaus dem Betroffenen davon (also von der erfolgten Richtigstellung oder Löschung) Mitteilung zu machen. Dies erfolgte im Beschwerdefall aber nicht. Das Schreiben der BH vom 11. Juli 2003 war demnach nach dem zuvor Gesagten unzureichend im Sinne des § 27 Abs. 4 DSG 2000; ausreichend wäre aber gewesen, den Beschwerdeführer zusätzlich zu diesem Schreiben durch eine entsprechende fristgerechte Vollzugsmeldung des GP zu verständigen (und sei es beispielsweise auch mit einer Durchschrift einer an die BH gerichteten Vollzugsmeldung), was aber unterblieb. Die Auffassung der belangten Behörde, das Schreiben vom 11. Juli 2003 sei als ausreichende Mitteilung im Sinne des § 27 Abs. 4 DSG 2000 anzusehen, erweist sich somit als objektiv rechtswidrig.

Damit ist für den Beschwerdeführer aber noch nichts gewonnen, weil die angestrebte Löschung der automationsgestützt verarbeiteten Daten unbestritten erfolgte und er auch, wenngleich erst im Zuge des Verfahrens vor der belangten Behörde, hievon verständigt wurde. Daraus folgt, dass er durch den angefochtenen Bescheid insofern (hinsichtlich automationsgestützt verarbeiteter Daten) nicht im geltend gemachten Beschwerdepunkt verletzt wurde.

Zur Unterlassung der Verständigung von der Löschung nicht automationsgestützt verarbeiteter Daten bringt der Beschwerdeführer zusammengefasst vor, Daten, die nicht mehr vorhanden seien, könnten nicht gelöscht werden, womit auch eine Verständigung von einer erfolgten Löschung nicht möglich sei. Er habe jedoch Anspruch auf eine schriftliche Mitteilung, in welcher zu begründen gewesen wäre, weshalb die verlangte Löschung nicht vorgenommen werde. Darauf habe er auch dann Anspruch, wenn die Löschung aus dem Grund der Unzuständigkeit nicht vorgenommen werde. Dagegen habe die BH aber verstoßen.

Dem ist Folgendes zu entgegnen:

Die Pflicht gemäß § 27 Abs. 4 DSG 2000 trifft den Auftraggeber, und zwar den im konkreten Fall "zuständigen" Auftraggeber (eine Stelle, die im konkreten Fall nicht Auftraggeber ist, wenngleich möglicherweise in anderen Fällen, ist somit nicht "der Auftraggeber" im Sinne des § 27 Abs. 4 DSG 2000).

Der Beschwerdeführer verfolgte mit seiner Beschwerde an die belangte Behörde unter anderem das Ziel, die Vernichtung der beim GP befindlichen "Papierakten" (auch "Kopienakten", das sind die Zweitschriften der Anzeige) zu erwirken. Wie im hg. Erkenntnis vom 21. Oktober 2004, Zl. 2004/06/0086, näher ausgeführt wurde, kommt ein solcher Löschungsanspruch nur dann in Betracht, wenn es sich beim fraglichen "Papierakt" (bzw. "Kopienakt") um eine "manuelle Datei" im Sinne des § 1 Abs. 3 bzw. des § 58 DSG 2000 handelt.

Die belangte Behörde hat dies im angefochtenen Bescheid verneint. Der Verwaltungsgerichtshof hat im zuvor genannten Erkenntnis vom 21. Oktober 2004 zu dieser Frage eingehend Stellung genommen (und in jenem Beschwerdefall den Standpunkt der belangten Behörde bestätigt). Generell kann davon ausgegangen werden, dass solche "konventionellen Papierakten" mangels entsprechender Strukturierung bzw. "Organisationsgrades" (siehe dazu die im genannten Vorerkenntnis dargelegten Kriterien) typischerweise keine manuelle Datei im Sinne des § 1 Abs. 3 in Verbindung mit § 58 DSG 2000 darstellen. Unter besonderen Umständen mag sich freilich Gegenteiliges ergeben, dafür gibt es im Beschwerdefall aber keinerlei Hinweise (und Derartiges wird auch nicht behauptet, wobei im Beschwerdefall das praktische Problem hinzukäme, dass diese Akten bereits vernichtet wurden, somit nicht eingesehen werden könnten).

Ein Löschungsanspruch gemäß § 27 Abs. 4 DSG 2000 bestand demnach im vorliegenden Fall nicht, und damit auch keine Mitteilungspflicht.

Dass hinsichtlich der Indexkarte (die dem "inneren Dienst" zuzuordnen ist) die BH nicht Auftraggeber ist, wurde im hg. Erkenntnis vom 13. Dezember 2004, Zl. 2004/06/0018, auf das gemäß § 43 Abs. 2 VwGG verwiesen wird, näher dargelegt. Damit war auch die hier belangte BH nicht Auftraggeber im Sinne des § 27 Abs. 4 DSG 2000.

Damit hat die belangte Behörde zutreffend den vom Beschwerdeführer behaupteten Verständigungsanspruch verneint.

Die Beschwerde war daher gemäß § 42 Abs. 1 VwGG als unbegründet abzuweisen.

Die Kostenentscheidung beruht auf den §§ 47 ff VwGG in Verbindung mit der Verordnung BGBl. II Nr. 333/2003.

Wien, am 19. Dezember 2005