TE Dsk BescheidBeschwerde 2019/1/2 DSB-D123.627/0003-DSB/2018

GZ: DSB-D123.627/0003-DSB/2018 vom 2.1.2019

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Walter A*** (Beschwerdeführer) vom 17. Oktober 2018 gegen N***travel (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft und Verletzung der Bedingungen für die Rechtmäßigkeit der Einwilligung wie folgt:

1.   Die Beschwerde wegen Verletzung im Recht auf Auskunft wird abgewiesen.

2.   Die Beschwerde wegen einer Verletzung der Rechtmäßigkeit der Einwilligung wird zurückgewiesen.

3.   Die Beschwerde betreffend die behauptete Verletzung der Informationspflicht wird abgewiesen.

Rechtsgrundlagen: § 13 Abs. 3, § 13 Abs. 8, § 38a, § 73 Abs. 1 Allgemeines Verwaltungsverfahrensgesetz 1991 – AVG, BGBl. 51/1991, idgF., § 24 Abs. 2, § 24 Abs. 6 und 10 Datenschutzgesetz – DSG, BGBl. 165/1999, idgF.; Art. 15, Art. 56 Abs. 1, Art. 77 Abs. 1 Datenschutz-Grundverordnung (DSGVO), L119 S.1, idgF;

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

Mit verfahrenseinleitender Eingabe vom 17. Oktober 2018 führte der Beschwerdeführer aus, unerwünschte Werbung vom „Unternehmen N***travel“ zu erhalten und, dass dies keinesfalls rechtens wäre, da er nie seine Einwilligung abgegeben habe Werbemails zu erhalten.

Mit folgender Eingabe vom 15. November 2018 führte der Beschwerdeführer aus, er habe eine E-Mail erhalten wonach innerhalb der Unternehmensgruppe, welcher die bezeichnete Beschwerdegegnerin angehöre eine Datenübertragung stattgefunden hätte und, dass er nicht einsehe, warum er innerhalb von zwei Wochen (wie in dem Schreiben gefordert), der Datenübertragung widersprechen müsse.

Mit Erledigung GZ: DSB-D123.627/0003-DSB/2018 vom 20. November 2018 forderte die Datenschutzbehörde auf Mängel zu beheben, insbesondere die als verletzt erachteten Rechte sowie einen eindeutigen Beschwerdegegner zu bezeichnen.

Mit Eingabe vom 25. November 2018 legte der Beschwerdeführer weitere E-Mail Korrespondenz vor, darunter auch ein E-Mail vom 25. November 2018 in welchem um Auskunft ersucht wurde und führte aus, er benenne den Beschwerdegegner mit N***travel B.V. und sehe sowohl das Recht auf Auskunft gemäß Art. 15 DSGVO als auch das Recht auf Information bei Erhebung der Daten von der betroffenen Person gemäß Art. 13 DSGVO verletzt. Des Weiteren sei gegen die Bestimmungen des Art. 7 betreffend die Bedingungen für die Einwilligung verstoßen worden.

B. Sachverhaltsfeststellungen

Mit Eingabe vom 17. Oktober machte der Beschwerdeführer eine Beschwerde gegen N***travel B.V. wegen Verletzung im Recht auf Auskunft und Information geltend. Ein Auskunftsbegehren war zu diesem Zeitpunkt nicht an den Beschwerdegegner gerichtet. Der Beschwerdegegner hat Niederlassungen in mehreren Mitgliedstaaten der Europäischen Union.

Beweiswürdigung:

Beweise wurden erhoben durch die Eingaben des Beschwerdeführers sowie durch eine amtswegige Recherche auf der Homepage https://n***travel.at/datenschutzerklaerung.

C. In rechtlicher Hinsicht folgt daraus:

Zu Spruchpunkt 1.:

Der Beschwerdeführer behauptet eine Verletzung im Recht auf Auskunft ohne ein den Verfahrensgegenstand bildendes Auskunftsbegehren gestellt zu haben.

Der Gegenstand des datenschutzrechtlichen Beschwerdeverfahrens wird durch die konstituierende Beschwerde des Beschwerdeführers gebildet. Heranzuziehen ist in einem Verfahren wo formelle Mängel gemäß § 13 Abs. 3 AVG von der zuständigen Behörde zu beseitigen sind, die verfahrenseinleitende Eingabe welche ordnungsgemäß verbessert wurde.

Gegenstand des Verfahrens im ersten Spruchpunkt ist die behauptete Verletzung im Recht auf Auskunft. Zum Zeitpunkt der Beschwerdeerhebung war kein Auskunftsbegehren an den bezeichneten Beschwerdegegner gestellt worden. Art. 15 DSGVO ist konzeptionell ein antragbedürftiges Recht und bedarf a limine ein an den bezeichneten Beschwerdegegner zugegangenes Begehren.

Da lediglich behebbare Mängel überhaupt einem Auftrag gemäß § 13 Abs. 3 AVG zugänglich sind, ist bei Mängeln die einer Behebung nicht zugänglich sind das Begehren mangels Vorliegen der Beschwerdelegitimation abzuweisen. Nach der hg. Rechtsprechung zu behebbaren bzw. unbehebbaren Mängeln ist zu unterscheiden, ob im maßgeblichen Zeitpunkt der nachzuweisende Umstand fehlt (dies Falls liegt ein nicht behebbarer Mangel vor) oder ob es bloß am Nachweis des bereits bestehenden Umstandes mangelt (im letztgenannten Fall ist der Mangel behebbar; vgl. den hg. B vom 11. November 2015, Ra 2015/04/0077, mwN).

Die nachträgliche Stellung eines datenschutzrechtlichen Auskunftsbegehrens an den bezeichneten Beschwerdegegner führt nicht zur Heilung des nicht behebbaren Mangels, dass es dem Beschwerdeführer in Bezug auf den gerügten Sachverhalt im Zeitpunkt der Einbringung der Beschwerde an der Legitimation fehlte, sondern ist davon auszugehen, dass ein anderer Lebensumstand vorliegt der mit dem Prozessgegenstand nicht ident ist (maNw.: VwGH 21.12.1987, 87/10/0051).

Die Beschwerde betreffend die behauptete Verletzung im Recht auf Auskunft war spruchgemäß abzuweisen.

Zu Spruchpunkt 2.:

Der Beschwerdeführer subsumiert das Fehlen der Information über den Nachweis einer seines Erachtens notwendigen Einwilligung unter Art. 7 DSGVO:

Eine Beschwerde hat die Formerfordernisse des § 24 DSG zu erfüllen. Gemäß § 13 Abs. 3 Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG), BGBl. Nr. 51/1991 idgF. ermächtigen Mängel schriftlicher Anbringen die Behörde nicht zur Zurückweisung. Die Behörde hat vielmehr von Amts wegen unverzüglich deren Behebung zu veranlassen und kann dem Einschreiter die Behebung des Mangels innerhalb einer angemessenen Frist mit der Wirkung auftragen, dass das Anbringen nach fruchtlosem Ablauf dieser Frist zurückgewiesen wird. Wird der Mangel rechtzeitig behoben, so gilt das Anbringen als ursprünglich richtig eingebracht.

Mit Mangelbehebungsauftrag vom 20. November 2018 forderte die Datenschutzbehörde den Beschwerdeführer auf, näher bezeichnete formelle Mängel zu beheben, insbesondere die Rechte zu bezeichnen, die er als verletzt erachte.

Dieser Mangelbehebungsauftrag wurde innerhalb der gesetzten Frist betreffend Spruchpunkt 2 nicht hinreichend erfüllt, indem sich der Beschwerdeführer nicht auf ein subjektives Recht, welches durch § 1 DSG und Kapitel III DSGVO vorgegeben werden, stützte, sondern auf Art. 7 „Bedingungen für die Einwilligung“. § 24 Abs. 2 Z 2 DSG spricht von einem verletzt erachteten Recht. Die vom Beschwerdeführer genannte Bestimmung normiert kein Recht, sondern lediglich gewisse Voraussetzungen, die einen Rechtfertigungsgrund zur Datenverarbeitung bilden können. Aus der genannten Bestimmung lassen sich per se keine subjektiven Recht ableiten, weswegen schon nach dem Wortlaut des § 24 Abs. 2 Z 2 DSG die Voraussetzung, dass das als verletzt erachtete Recht bezeichnet werden muss nicht erfüllt ist.

Die Beschwerde betreffend eine Verletzung im Recht gemäß Art. 7 DSGVO war daher gemäß § 13 Abs. 3 AVG spruchgemäß zurückzuweisen.

Zu Spruchpunkt 3.:

Der Beschwerdegegner bezeichnete die N***travel B.V. als verfahrensgegenständlichen Beschwerdegegner.

Ungeachtet der Korrespondenz, aus welcher sich für den Beschwerdeführer schon ergeben hätte müssen, dass die N***travel B.V. nicht für die Datenverarbeitung verantwortlich im Sinne des Art. 24 DSGVO und damit auch nicht der nach § 24 Abs. 2 Z. 2 DSG zu bezeichnende Beschwerdegegner ist, ergibt sich schon aus der Datenschutzerklärung von N***travel, dass N***travel B.V. nicht Verantwortlicher für die gerügte Verletzung der Informationspflichten ist: „C*** Ltd. ist ein britisches Unternehmen mit Hauptsitz in London und ist Betreiber der Website „n***travel.at““.

Der Verwaltungsgerichtshof vertritt in seiner, auch hier einschlägigen Rechtsprechung zum DSG 2000, dass die behauptete Rechtsverletzung dem Rechtsträger zurechenbar sein muss (Erkenntnis vom 26. Juni 2018, Ra 2017/04/0032). Bei der Beurteilung von Parteianbringen ist grundsätzlich der Inhalt des Anbringens maßgeblich (Erkenntnis des VwGH vom 10. Februar 1998, 97/04/0231), eine amtswegige „Umdeutung“ kommt demnach nicht infrage.

Es war daher auch ein Ermittlungsverfahren ob eine alleinige Zuständigkeit der österreichischen Datenschutzbehörde, oder eine federführende Zuständigkeit einer anderen Aufsichtsbehörde besteht nicht einzuleiten sondern spruchgemäß abzuweisen.