Jusletter IT

Das Auskunftsrecht ist das in § 1 Abs. 3 Z 1 Datenschutzgesetz 2000 (DSG 2000)¹ und in den §§ 26 ff. DSG 2000 näher ausgestaltete Recht jeder Person, Auskunft darüber zu erhalten, welche Daten über sie verarbeitet werden, wozu diese verwendet werden, woher sie stammen und wohin sie übermittelt werden. Neben dem Recht auf Löschung, Richtigstellung und Widerspruch ist das Auskunftsrecht ein Begleitrecht zum verfassungsgesetzlichen verankerten Grundrecht auf Geheimhaltung der eine Person betreffende personenbezogenen Daten.²

Das Auskunftsbegehren gemäß § 26 DSG 2000 ist die aktive Möglichkeit für jede Person, Informationen über die Datenverwendung zu erhalten und ist damit der erste wichtige Schritt, Rechte wahren zu können. Erst wenn jemand weiß, welche Daten überhaupt verarbeitet werden, können andere Betroffenenrechte wie das Recht auf Widerspruch, Löschung oder Richtigstellung entsprechend ausgeübt werden. Ein datenschutzrechtliches Auskunftsbegehren zu stellen, ist also ein legitimes Recht jeder betroffenen Person.³ Dennoch können einem Auskunftsbegehren Grenzen gesetzt sein. Der Inhalt einer Auskunft ist inhaltlich im Gesetz determiniert und stellt kein individuell ausgestaltbares Fragerecht des Betroffenen dar.⁴ Der Auskunftswerber hat am Auskunftsbegehren über Befragung in dem ihm zumutbaren Ausmass mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.⁵

Die Art und Weise, wie jemand ein Auskunftsbegehren stellt und in der Folge am Auskunftsverfahren mitwirkt oder auch die Mitarbeit verweigert, kann für denjenigen, der eine rechtskonforme Auskunft erteilen muss, problematisch sein. Tatsächlich zeigt sich aus der praktischen Erfahrung, dass Auskunftsbegehren oft auch aus dem Beweggrund gestellt werden, weil jemand aus einem bestimmten Grund verärgert ist, und an einer datenschutzrechtlichen Nebenfront seinen Unmut auslassen möchte. So sind Kunden verärgert über den Service des Unternehmens, die eigenen Mitarbeiter fühlen sich ungerecht behandelt, oder Mitbewerber auf dem Markt möchten testen, ob der Konkurrent in der Lage ist, ein Auskunftsbegehren ordnungsgemäß zu erteilen. Um bei einer Auskunftserteilung den Aufwand und allenfalls negative Folgen in Grenzen halten zu können, sind einige wichtige Punkte zu beachten, die nachfolgend erläutert werden.⁶

Zur Erteilung einer Auskunft ist grundsätzlich der Auftraggeber einer Datenanwendung verpflichtet.⁷ Gerade in einem Konzern mit einer komplexen Struktur kann sich die Frage, wer tatsächlich Auftraggeber und damit der tatsächlich Auskunftspflichtige ist, schwierig gestalten. Daten werden oft nicht nur von einem Unternehmen verwendet, sondern werden an die Muttergesellschaft übermittelt, oder von einem anderen im Konzernverbund tätigen Unternehmen ebenfalls verwendet Es ist daher ratsam, nicht nur die Datenverwendung im eigenen Unternehmen zu kennen, sondern auch einen Überblick darüber zu haben, wie die Datenflüsse konzernintern ausgestaltet sind, und vor allem wie diese rechtlich in der datenschutzrechtlichen Rollenverteilung zu qualifizieren sind.

Wesentlich im Zusammenhang damit ist die Frage, ob das eigene Unternehmen, oder ein anderes Unternehmen im allenfalls vorhandenen Konzernverbund Auftraggeber ist. Langt das Auskunftsbegehren zuerst bei einem Dienstleister ein, und lässt dieses erkennen, dass der Auskunftswerber ihn irrtümlich für den Auftraggeber der von ihm betriebenen Datenanwendung hält, hat der Dienstleister gemäß § 26 Abs. 10 DSG 2000 das Auskunftsbegehren unverzüglich an den Auftraggeber weiterzuleiten und dem Auskunftswerber mitzuteilen, dass in seinem Auftrag keine Daten verwendet werden. Der Auftraggeber hat innerhalb von acht Wochen ab Einlangen des Auskunftsbegehrens beim Dienstleister dem Auskunftswerber die verlangte Auskunft zu erteilen, oder schriftlich zu begründen, warum er sie nicht oder nicht vollständig erteilen kann. Diesbezüglich sollte der Dienstleister entsprechend instruiert und vertraglich verpflichtet werden, bei einlangenden Auskunftsbegehren, welche den Auftraggeber betreffen, nicht nur das Auskunftsbegehren unverzüglich weiterzuleiten, sondern auch die Informationen bereitzustellen, die notwendig sind, um die Auskunft erteilen zu können. Den Auftraggeber trifft überdies eine Erkundigungspflicht beim Dienstleister, auch wenn dieser angewiesen wurde, Daten nach Abschluss der Arbeit zu vernichten oder zurück zu geben.⁸

Formal ist für die Zulässigkeit eines Auskunftsbegehrens die Erfüllung von zwei Formvorschriften notwendig:

• Schriftlichkeit des Auskunftsbegehrens oder Mündlichkeit mit Zustimmung des Auftraggebers,
• Identitätsnachweis des Betroffenen in geeigneter Form (siehe Näheres dazu in Punkt 4).

Gemäß § 26 Abs. 1 DSG 2000 ist ein Auskunftsbegehren schriftlich zu stellen, wobei nach den Entscheidungen der Datenschutzkommission und des Verwaltungsgerichtshofes auch Auskunftsbegehren per Fax oder E-Mail zulässig sind.⁹ Ein mündlich gestelltes Begehren ist nur mit Zustimmung des Auskunftspflichtigen möglich.¹⁰ Sollte ein mündliches Auskunftsbegehren vom Unternehmen akzeptiert werden, empfiehlt es sich, ein solches entsprechend zu protokollieren, um Missverständnisse hinsichtlich des Umfanges des Auskunftsbegehrens zu vermeiden.¹¹ Es empfiehlt sich außerdem, im Hinblick auf die Einhaltung der achtwöchigen Frist zur Beantwortung eines Auskunftsbegehrens das Datum des Einlangens zu dokumentieren und die nachfolgenden Bearbeitungsschritte einem definierten Ablauf zu unterziehen. So kann etwa durch die Zurverfügungstellung einer eindeutigen Post- oder E-Mail-Adresse des Unternehmens der Auskunftswerber an eine bestimmte Ansprechperson verwiesen werden. Diese kann das eingelangte Ersuchen dann gezielt bearbeiten. Für den Ablauf der Bearbeitung empfiehlt es sich, notwendige Musterschreiben vorzubereiten, wie etwa das Ersuchen um Nachreichung eines Identitätsnachweises.¹² Es muss nach Einlangen eines Auskunftsbegehrens nicht nur erhoben werden, welche Daten zu einer bestimmten Person verarbeitet werden, sondern es muss auch ein entsprechendes Antwortschreiben mit der verlangten Auskunft verfasst werden und fristgerecht, d.h. spätestens mit dem letzten Tag der Frist, abgeschickt werden. Auch für die Auskunftserteilung können zweckmäßige Vorlagen vorbereitet werden.

Je nach Grad der Aufarbeitung und des Kenntnisstands über die Datenverarbeitung, sowie der Transparenz der Datenverwendung im Unternehmen kann sich die Bearbeitung eines Auskunftsbegehrens als sehr zeit- und kostenintensiv, sowie mit hohem Personalaufwand verbunden, gestalten. Ein Unternehmen ist verpflichtet, durch interne Organisation ein Auskunftsbegehren erfüllen zu können.¹³ Besteht also z.B. keine Dokumentation über die Datenverarbeitung, Kenntnis über das Vorliegen von Standard- oder Musteranwendungen, oder sind keine aktuellen Meldungen von Datenanwendungen beim Datenverarbeitungsregister registriert, auf die man zurückgreifen kann, so kann allein die Einholung der notwendigen Informationen im gesamten Unternehmen die komplette Dauer der Frist in Anspruch nehmen. Es ist daher empfehlenswert, neben den Voraussetzungen für eine rechtskonforme Auskunftserteilung, auch über die Datenverwendung im Unternehmen Bescheid zu wissen.

Ein nicht unwesentlicher Aspekt ist die Frage, ob ein eingelangtes Ersuchen um Auskunft überhaupt ein Auskunftsbegehren gemäß § 26 DSG 2000 darstellt. Nur ein solches kann Rechtsfolgen bei nicht- oder nur unvollständig erteilter Auskunft auslösen. Bei der Anfrage muss zumindest ein als «Begehren» gemäß § 26 Abs. 1 DSG 2000 erkennbares Anbringen eines Betroffenen vorliegen.¹⁴

Ab Kenntnis eines Auskunftsbegehrens dürfen die Daten über den Betroffenen, der ein Auskunftsbegehren gestellt hat, innerhalb eines Zeitraumes von vier Monaten und im Falle der Erhebung einer Beschwerde bei der Datenschutzkommission bis zum rechtskräftigen Abschluss des Verfahrens nicht mehr gelöscht werden. Kombiniert ein Betroffener ein Auskunftsbegehren allerdings gleichzeitig mit einem Löschungsbegehren, ist die Löschung der Daten vor Ablauf der Frist zulässig.¹⁵

Werden zum Auskunftswerber keine personenbezogenen Daten verarbeitet, ist es nicht zulässig, eine Anfrage einfach unbeantwortet zu lassen, sondern es ist eine sogenannte Negativauskunft zu erteilen. D.h. dem Auskunftswerber ist fristgerecht mitzuteilen, dass keine Daten über ihn verarbeitet werden.¹⁶

Das Auskunftsrecht ist als Nebenrecht des verfassungsrechtlich geschützten Datenschutzrechtes ein höchstpersönliches Recht. Demzufolge darf die Auskunft auch nur derjenigen Person gegeben werden, die von der Datenverarbeitung betroffen ist. Die Auskunftserteilung an die falsche Person hätte die Verletzung des Grundrechtes der betroffenen Person zur Folge. Der Auskunftswerber hat an der Feststellung der Identität mitzuwirken und zum Nachweis seiner Berechtigung einen Identitätsnachweis zu erbringen. Der Nachweis der Identität ist neben dem Schriftlichkeitsgebot eine der Voraussetzungen, um ein Ersuchen um Auskunft als datenschutzrechtliches Auskunftsbegehren zu qualifizieren. Fehlt ein solcher Nachweis, muss der Auskunftswerber zum Nachweis seiner Identität aufgefordert werden. Erst mit Einlangen eines ausreichenden Nachweises beginnt dann die achtwöchige Frist zur Erteilung der Auskunft zu laufen.¹⁷

Taugliches Mittel zum Nachweis der Identität ist eine Kopie eines Reisepasses oder Personalausweises.¹⁸ Sollten Zweifel an der Echtheit des Nachweises bestehen, müssen weitere Informationen angefordert werden. Die in einigen im Internet auffindbaren Mustern für Auskunftsbegehren angeführte Möglichkeit, die Identität durch Zusendung eines eingeschriebenen Briefes prüfen zu lassen und somit die Identitätsprüfung einen Dritten durchführen zu lassen, ist abzulehnen. Es muss bereits bei Auskunftserteilung für den Auskunftspflichtigen eindeutig sein, wem er die Auskunft erteilt. Eine nach Absendung erfolgende Prüfung der Identität durch einen Dritten, hier die Post, erfüllt nicht die Voraussetzung, um eine rechtsgültige Auskunft erteilen zu können.¹⁹

Eine erteilte Auskunft hat folgende Punkte in allgemein verständlicher Form²⁰ zu enthalten:

• verarbeitete Daten,
• Informationen über ihre Herkunft,
• allfällige Empfänger oder Empfängerkreise von Übermittlungen,
• den Zweck der Datenverwendung,
• die Rechtsgrundlagen,
• auf Verlangen des Betroffenen auch Namen und Adressen von Dienstleistern, falls diese mit der Verarbeitung seiner Daten beauftragt sind.

Der häufigste Fehler bei der Auskunft zu den verarbeiteten Daten ist es, die Auskunft auf die bloße Nennung der Datenart zu beschränken. Tatsächlich hat die Auskunft nicht zu lauten: «Verarbeitet wird Ihr Name», sondern es muss der konkrete Name genannt werden: z.B. «Johann Müller». Genauso verhält es sich auch mit allen anderen Datenarten. Wird dies unterlassen, ist die Auskunft nicht rechtsgültig erteilt.

Die Auskunft hat den aktuellen Datenbestand zu umfassen. Damit ist jener Datenbestand gemeint, der quasi «auf Knopfdruck» im Direktzugriff steht, oder der den letztgültigen Datenbestand darstellt.²¹

Umfasst das Auskunftsbegehren nicht nur den aktuellen Datenbestand, sondern ist dem Auskunftsbegehren zu entnehmen, dass der Auskunftswerber den gesamten, somit historischen, Datenbestand²² beauskunftet haben möchte, sind dem Auskunftswerber rechtzeitig die tatsächlich erwachsenden Kosten unverzüglich bekannt zu geben.²³ Die dabei anfallenden Kosten können sich z.B. aus den anteiligen EDV-Kosten oder Lohn- und Gehaltskosten des Mitarbeiters zusammensetzen, der für das Heraussuchen der Informationen, Anfertigen von Kopien und Verfassen der Auskunft abgestellt werden muss.²⁴ Hinsichtlich der Informationen über die Herkunft der Daten müssen diese beauskunftet werden, soweit sie verfügbar sind.²⁵

Die Unterscheidung, wann individuelle Empfänger (also konkrete Empfänger, wie z.B. ein bestimmtes Unternehmen), und wann nur Empfängerkreise (also Gruppen von Empfängern, wie z.B. Banken, Gerichte, etc.) zu nennen sind, ist dem Gesetz nicht zu entnehmen.²⁶ Der Judikatur ist zu entnehmen, dass Übermittlungen jeweils so konkret zu beauskunften sind, dass der Betroffene seine Berichtigungs- und Löschungsrechte sowohl gegenüber der Quelle, als auch gegenüber Übermittlungsempfängern durchsetzen kann.²⁷

Der Zweck der Datenverwendung sollte sich bereits aus der Bezeichnung der Datenanwendung ergeben, muss aber gegebenenfalls vom Auftraggeber zum besseren Verständnis näher beschrieben werden.²⁸ Die Rechtsgrundlage kann sich etwa aus den Statuten oder der Gewerbeberechtigung ergeben.²⁹ Aus der Angabe von Zweck und Rechtsgrundlagen in Verbindung mit den tatsächlich verwendeten Daten, soll es für den Betroffenen möglich sein, die rechtliche Zulässigkeit der Datenverwendung zu prüfen.³⁰

Eine deutliche Grenze bei der Auskunftserteilung gibt es für Dokumente, die nur in Papierform vorhanden sind. Nach ständiger Rechtsprechung erstreckt sich das Auskunftsrecht nach § 26 DSG 2000 nicht auf Papierakten.³¹ Anders kann es sich bei gespeicherter E-Mail-Korrespondenz mit dem Betroffenen verhalten, da es sich bei diesen um automationsunterstützt verarbeitete Daten mit Bezug auf den Betroffenen handelt.³²

Weitere Einschränkungen des Auskunftsrechtes können sich durch das Gesetz selbst in § 26 Abs. 2 DSG 2000 ergeben: Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Auskunftswerbers aus besonderen Gründen notwendig ist, oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen vorliegen.³³ Werden etwa Geheimhaltungsinteressen, wie Geschäfts- oder Betriebsgeheimnisse geltend gemacht, sind diese näher zu begründen und nicht pauschal einzuwenden.³⁴ Ob eine solche Auskunftsverweigerung zulässig ist, unterliegt der Kontrolle der Datenschutzkommission, sowie einem allfälligen Beschwerdeverfahren.

Auskunft über Dienstleister in Form der Nennung von Namen und Adresse der Dienstleisters muss nur gegeben werden, wenn der Auskunftswerber dies verlangt. Generell ergeben sich Grenzen des Auskunftsanspruches aus der Bedeutung des Rechtsschutzinteresses eines Betroffenen. Nicht beauskunftet werden müssen etwa Vorgänge über eine Datenverwendung, für den Betroffenen ohnehin jederzeit einsehbare Daten, oder Darstellungen der Daten in einer bestimmten Form.³⁵

Stellt die Auskunftserteilung einen ungerechtfertigten und unverhältnismäßigen Aufwand für das Unternehmen dar, in dem der Auskunftswerber z.B. nicht bekannt gibt, in welcher der Datenanwendungen er vorkommt, oder warum er glaubt, der Auftraggeber verarbeite Daten über ihn, kann der Auskunftspflichtige von der Mitwirkungsobliegenheit des Betroffenen Gebrauch machen. Je nach Unternehmen und Situation hat der Auskunftswerber dann durch zusätzliche Informationen wie die Bekanntgabe früherer Adressen, Kopien von Schriftstücken, die Eingrenzung von Zeiträumen, Bekanntgabe von Kundennummern oder dergleichen, an der Auskunft mitzuwirken und sein Recht glaubhaft zu machen.³⁶

Ein Auskunftsbegehren ist nur einmal im Jahr kostenlos zu erteilen.³⁷ Stellt ein Auskunftswerber mehrmals in einem Kalenderjahr ein Auskunftsbegehren, ist vom Auskunftswerber ein pauschaler Betrag in der Höhe von jeweils EUR 18,89 oder die tatsächlich erwachsenen höheren Kosten zu leisten. In diesem Fall sind dem Auskunftswerber rechtzeitig diese Kosten bekannt zu geben und ist eine angemessene Frist zur Zahlung zu setzen. Außerdem muss der Auskunftswerber darauf hingewiesen werden, dass im Falle der Zahlungsverweigerung die Auskunft aus dem Grunde des § 26 Abs. 4 DSG 2000 nicht erteilt werden kann.³⁸ Verzichtet der Auskunftswerber auf eine Zahlung, oder verweigert der Auskunftswerber Informationen in einem Ausmaß, das einer Verweigerung gleichzuhalten ist, kann von einer Auskunftserteilung abgesehen werden.³⁹ Ein geleisteter Kostenersatz ist allerdings ungeachtet allfälliger Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.

Als lex specialis zum Auskunftsbegehren gemäß § 26 DSG 2000 ist für die Videoüberwachung das Auskunftsrecht in § 50e DSG 2000 geregelt. Abweichend vom § 26 Abs. 1 DSG 2000 ist dem Auskunftswerber, nachdem dieser den Zeitraum, in dem er möglicherweise von der Überwachung betroffen war und den Ort möglichst genau benannt und seine Identität in geeigneter Weise nachgewiesen hat, Auskunft über die zu seiner Person verarbeiteten Daten durch Übersendung einer Kopie der zu seiner Person verarbeiteten Daten in einem üblichen technischen Format zu gewähren. Alternativ kann der Auskunftswerber eine Einsichtnahme auf Lesegeräten des Auftraggebers verlangen, wobei ihm auch in diesem Fall die Ausfolgung einer Kopie zusteht. Die übrigen Bestandteile der Auskunft (verfügbare Informationen über die Herkunft, Empfänger oder Empfängerkreise von Übermittlungen, Zweck, Rechtsgrundlagen sowie allenfalls Dienstleister) sind auch im Fall der Überwachung schriftlich zu erteilen, wenn nicht der Auskunftswerber einer mündlichen Auskunftserteilung zustimmt.⁴⁰ Eine Ausnahme sieht das Gesetz in § 50e DSG 2000 für die Echtzeitüberwachung vor. Eine Mitteilung der Aufzeichnungen wäre hier auch gar nicht möglich. Die Erteilung einer Auskunft stellt den Betreiber einer Videoüberwachung vor zahlreiche Probleme. So ist die Erteilung einer rechtskonformen Auskunft durch Herstellung einer Kopie und verbaler Beschreibung sonstiger Informationen unter Schutz der Interessen anderer betroffener Personen in den Bilddaten praktisch nur unter großem Aufwand denkbar.⁴¹

Nach der Judikatur der Datenschutzkommission verneinte diese ein Auskunftsrecht ohne Vorliegen einer Auswertung im Anlassfall. Es würden mangels einer Auswertung der Bilddaten nur sogenannte indirekt personenbezogene Daten vorliegen, bei welchen ein Auskunftsrecht im Gesetz ausgeschlossen sei. Die Datenschutzkommission wich in ihrer Judikaturlinie nach Inkrafttreten der Datenschutznovelle 2010⁴², welche erstmals eine gesetzliche Regelung explizit für den Bereich Videoüberwachung enthielt, nicht ab.⁴³ Sei das Videomaterial nicht innerhalb von 72 Stunden – der in § 50b Abs. 2 DSG 2000 gesetzlich vorgesehenen zulässigen Speicherdauer für aufgezeichnete Daten – aufgrund eines Anlassfalles ausgewertet worden, bestünde kein Auskunftsrecht. Die Entscheidung der Datenschutzkommission wurde beim Verwaltungsgerichtshof angefochten, eine Entscheidung darüber steht noch aus.⁴⁴ Die Entscheidungen der Datenschutzkommission zum Auskunftsrecht bei Videoüberwachung wurden mehrfach kritisch beurteilt, da sie in der Praxis ein Auskunftsrecht eines Betroffenen praktisch ausschließen und sich diese Einschränkung aus dem Gesetz nicht interpretieren lässt.⁴⁵

Für ein Informationsverbundsystem⁴⁶ ist in § 50 Abs. 1 DSG 2000 vorgesehen, dass unbeschadet des Rechts auf Auskunft gemäß § 26 DSG 2000 der Betreiber jedem Betroffenen auf Antrag binnen zwölf Wochen alle Auskünfte zu geben hat, die notwendig sind, um den für die Verarbeitung seiner Daten im System verantwortlichen Auftraggeber festzustellen.

Bei automatisierten Einzelentscheidungen, also solchen, bei denen eine automationsunterstützte Verarbeitung von Daten zum Zweck der Bewertung einzelner Aspekte einer Person ergeht, wie beispielsweise die berufliche Leistungsfähigkeit, die Kreditwürdigkeit, die Zuverlässigkeit oder das Verhalten, ist dem Auskunftswerber gemäß § 49 Abs. 3 DSG 2000 auf Antrag der logische Ablauf der automatisierten Entscheidungsfindung in allgemein verständlicher Form darzulegen.

Ein Arbeitnehmer hat, wie jeder andere Betroffene auch, ein Auskunftsrecht über die verarbeiteten Daten.⁴⁷ Zu beachten ist in diesem Zusammenhang, dass das Auskunftsrecht gemäß § 26 DSG 2000 nur dem einzelnen Arbeitnehmer als Betroffenen, nicht aber dem Betriebsrat zusteht.⁴⁸ Bereits vor Beginn eines Arbeitsverhältnisses kann ein Unternehmen zum Auftraggeber werden, nämlich dann, wenn es Daten von Stellenbewerber verarbeitet, und zwar auch dann, wenn das Bewerbungsverfahren über ein externes Recruiting-Unternehmen läuft.⁴⁹ Auskunftsbegehren von ehemaligen oder aktuellen Mitarbeitern können sich in der Praxis als besonders unangenehm erweisen, da die Mitarbeiter aufgrund der Arbeit im Unternehmen meist bereits über eine präzise Kenntnis der Datenverwendung verfügen, und sie gezielte Fragen stellen, die für das Unternehmen unangenehme Folgen haben können. Es empfiehlt sich daher, diese Auskunftsbegehren mit besonderer Umsicht zu behandeln und alle Möglichkeiten bei der Bearbeitung von Auskunftsbegehren auszuschöpfen.

Bei Verletzung des Rechtes auf Auskunft steht dem Betroffenen derzeit die Beschwerde an die Datenschutzkommission offen.⁵⁰ Ab 1. Januar 2014 ist die zuständige Behörde die neu errichtete Datenschutzbehörde⁵¹, nachdem die Datenschutzkommission im Zuge der Verwaltungsgerichtsbarkeits-Novelle 2012⁵² mit 31. Dezember 2013 aufgelöst wird. Erweist sich die Beschwerde als berechtigt, ist ihr Folge zu geben und wird die Verletzung des Rechtes festgestellt. Dem Unternehmen wird die Reaktion auf das Auskunftsbegehren in jenem Umfang aufgetragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Holt der Beschwerdegegner, in diesem Fall das Unternehmen, dem eine falsch oder unvollständig erteilte Auskunft vorgeworfen wird, bis zum Abschluss des Verfahrens die Auskunft nach, kann er dadurch die behauptete Rechtsverletzung beseitigen.⁵³

Wer Daten entgegen § 26 DSG 2000 nicht fristgerecht beauskunftet, begeht eine Verwaltungsübertretung, welche mit bis zu EUR 500,00 zu ahnden ist. Wer Daten entgegen einem rechtskräftigen Urteil oder Bescheid nicht beauskunftet, begeht eine Verwaltungsübertretung, welche mit bis zu EUR 25.000,00 zu ahnden ist. Ebenfalls mit EUR 25.000,00 Strafe ist zu ahnden, wer Daten gemäß § 26 Abs. 7 DSG 2000 vorsätzlich löscht, d.h. Daten bei Kenntnis eines Auskunftsbegehrens, oder bis zum rechtskräftigen Abschluss eines Verfahrens vor der Datenschutzkommission, vernichtet.

Im Unternehmen einlangende Auskunftsbegehren gemäß § 26 DSG 2000 sollten stets sorgfältig bearbeitet werden. Dazu ist es empfehlenswert den Ablauf der Bearbeitung bereits vorausschauend in Form einer schrittweisen Prozessbeschreibung festzulegen. Ratsam ist die Festlegung einer verantwortlichen Stelle, welche die Auskunftsbegehren bearbeitet, die Schulung der mit der Auskunftserteilung beschäftigten Mitarbeiter, sowie die Erstellung zweckmäßiger Musterschreiben.

Begleitend sollte die Datenverwendung im Unternehmen ausreichend genau dokumentiert sein, um eine fristgerechte und vollständige Auskunft effizient und ohne Fristversäumis erteilen zu können. Einem überschießenden Auskunftsverlangen kann durch Inanspruchnahme der Mitwirkungsobliegenheit des Betroffenen und entsprechende Bekanntgabe der tatsächlich erwachsenden Kosten für den Betroffenen entgegengetreten werden.

---

 

Mag. iur. Renate Riedl, LL.M. ist Rechtsanwaltsanwärterin bei Preslmayr Rechtsanwälte OG in Wien.