Die Beschwerde nach Artikel 77 DSGVO

Beschwerde gegen die CRIF GmbH Auskunftei (Art. 15 DSGVO)

Anlass der Beschwerde

Die CRIF GmbH gab in der Beantwortung der Auskunftsanfrage nach Artikel 15 DSGVO unzureichend Auskunft. Bis auf sogenannte Listendaten, die in öffentlichen Verzeichnissen ebenso einsehbar sind, blieb die CRIF GmbH allerdings die Auskunft schuldig, wie diese Daten verarbeitet werden, d.h. ob eine Bonitätsbewertung vorliegt, Angaben zur Zahlungsbereitschaft etc. pp. D.h. die CRIF GmbH blieb die tatsächlich zentralen Auskünfte zur Verarbeitung der personenbezogenen Daten, zur automatisierten Verarbeitung und Profilbildung schuldig. Nachdem die CRIF GmbH einen Hinweis darauf und die Nachforderung ausstehender Auskünfte ignorierte, wurde am 19.8.2019 Beschwerde bei der Datenschutzbehörde eingereicht.

Versäumnis der 6 Monate Frist nach §8 Abs 1 VwGVG

Die im VwGVG geregelte Frist, nach der eine Beschwerde mittels Bescheid binnen 6 Monaten zu entscheiden ist, wurde nicht eingehalten. Nachfragen blieben unbeantwortet. Der Verfahrensstand war nicht in Erfahrung zu bringen.

Säumnisbeschwerde

Obwohl die Entscheidungsfrist für die Beschwerde am 18.02.2020 abgelaufen ist, stand die Entscheidung am 22.05.2020 immer noch aus. Eine Säumnisbeschwerde wurde am 22.5.2020 bei der Datenschutzbehörde eingereicht.

Bescheid

Am 19.6.2020 erging der Bescheid der Datenschutzbehörde, in welchem festgestellt wurde, dass die CRIF GmbH das Recht auf Auskunft verletzt hat, in dem es unvollständige Auskünfte erteilte. Der CRIF GmbH wurde aufgetragen, innerhalb von vier Wochen

1. eine hinreichend klare Auskunft im Hinblick auf die Verarbeitungszwecke zu erteilen, wobei insbesondere darzulegen ist, welche konkreten Daten des Beschwerdeführers zwecks Ausübung welchen Gewerbes verarbeitet werden,
2. die geplante Speicherdauer für die an die Empfänger übermittelten Bonitätsscores („übermittelter Wert“) in der Datenbank der Beschwerdegegnerin samt den damit zusammenhängenden Informationen zu beauskunften sowie
3. aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der den Beschwerdeführer betreffenden
   Bonitätsbewertung zu geben.

CRIF GbmH legt Beschwerde gegen Entscheid zu Punkt 2c ein

Am letzten Tag der Beschwerdefrist legt die CRIF GmbH gegen diesen Bescheid zu Punkt 2c beim BVwG Beschwerde ein. Damit ist der Entscheid zur involvierten Logik, die Tragweite und die angestrebten Auswirkungen nicht rechtskräftig.

fokus.genba bemängelt unvollständige Auskunft in Bescheidentsprechung

Beschwerde gegen die CRIF GmbH Auskunftei (Art. 13f, 17 DSGVO)

Anlass der Beschwerde

Die CRIF GmbH speichert nach eigenen Angaben die Bonitätsscores  über einen Zeitraum von acht Jahren (Speicherbegrenzung). Dabei ist die Speicherung der algorithmisch errechneten, Zeitpunkt bezogenen Bonitätsscores unverhältnismäßig und verstößt gegen die Prinzipien der Zweckmäßigkeit, Datenminimierung und Speicherbegrenzung (Artikel 5 Abs. 1 lit. b, c, e), damit gegen die Löschpflicht gemäß Artikel 17 DSGVO. Ebenso verstößt die Weigerung, über Rechtsgrundlage der Speicherdauer zu informieren, gegen das Recht auf Information (Artikel 13f DSGVO) und das Prinzip der Nachvollziehbarkeit (5 Abs. 1 lit. a). 

Datenschutzbehörde zur unabhängigen, selbständigen Löschpflicht und Betroffenenrecht

Die aus Artikel 17 Abs. 1 Satz 1b lit a DSGVO abzuleitende unabhängige, selbstständige Löschpflicht des Verantwortichen, sofern keine Einwilligung oder Rechtsgrundlage für die Verarbeitung gegeben ist, sieht die Datenschutzbehörde nicht. Vielmehr vertritt sie den Standpunkt, dass es sich beim Betroffenenrecht nach Artikel 17 DSGVO um ein „antragsbedürftiges Recht” handelt, ein Antrag auf Löschung beim Verantwortlichen eine Verfahrensvoraussetzung für die Beschwerde darstellt. Die Abweisung der Beschwerde wurde angekündigt.

Abweisung der Beschwerde (Teilbescheid zur Löschpflicht)

Die Datenschutzbehörde begründet die Ablehnung der Beschwerde folgendermaßen:

[1]

Um ein Recht nach der DSGVO zu beanspruchen, bedarf es daher zunächst eines Antrages an den Verantwortlichen. Eine bestimmte Form oder Formulierung dieses Begehrens ist der DSGVO zwar nicht zu entnehmen, doch muss für den Verantwortlichen zumindest erkennbar sein, dass es sich um ein auf die DSGVO gestütztes Begehren handelt, löst doch das Einlangen des Antrages Verpflichtungen beim Verantwortlichen aus, und zwar insbesondere die in Art. 12 Abs. 3 DSGVO festgelegte Zurverfügungstellung der Informationen oder die Unterrichtung über eine Fristverlängerung innerhalb eines Monats nach Eingang des Antrages.

[2]

Wie bereits das DSG 2000 (siehe dort § 27 Abs. 1 Z 1 bzw. die diesem zugrundeliegende Richtlinie 95/46/EG) unterscheidet auch die DSGVO zwischen der objektiven Pflicht eines Verantwortlichen, Daten zu löschen, wenn keine Gründe zur (weiteren) Verarbeitung vorliegen (siehe insbesondere Art. 5 Abs. 1 lit. e iVm Art. 17 Abs. 1 DSGVO), und dem subjektiven Recht eines Betroffenen, die Löschung seiner personenbezogenen Daten zu verlangen (Art. 12 Abs. 3 iVm Art. 17 Abs. 1 DSGVO). Die Verpflichtung des Verantwortlichen, aus eigenem Daten zu löschen, begründet jedoch kein subjektives Recht des Betroffenen (vgl. noch zu § 27 DSG 2000 VwSlg. 17.215 A/2007). Daran hat sich auch durch das Ingeltungtreten der DSGVO nichts geändert (siehe dazu BVwG 15.04.2020, GZ W211 2215821-1, unter Hinweis auf VwSlg. 17.215 A/2007).

[3]

Daher kommt die Datenschutzbehörde zu forlgendem Schluß:

Das Fehlen eines Antrages auf – hier – Löschung an den Verantwortlichen stellt ein Fehlen einer wesentlichen Erfolgsvoraussetzung und damit einen nicht verbesserungsfähigen Mangel dar (siehe nochmals das Erkenntnis des BVwG vom 15.04.2020 im Hinblick auf das Recht auf Berichtigung)

Einstellung der Beschwerde (Speicherdauer)

Nachdem die CRIF GmbH die Rechtsgrundlage für die Speicherdauer von elektronischen, automatisch erstellten Bonitätsauskünften mitgeteilt hatte, war die Beschwerde gegenstandslos geworden. Die Beschwerde hatte sich darauf bezogen, dass  die CRIF GmbH zunächst die Auskunft, bzw. Information zur Rechtsgrundlage für die Speicherdauer verweigerte.

Beschwerde gegen die österreichische POST AG

Anlass der Beschwerde

Die POST AG ist einer Auskunftsanforderung nach Artikel 15 DSGVO selbst nach In­an­spruch­nahme einer zweimonatigen Verlängerung der Bearbeitungsfrist letztlich nicht nachgekommen. (Details dazu finden Sie im Beitrag Die DSGVO und die österreichische POST AG | Art. 15 DSGVO) — Folgedessen wurde bei der Datenschutzbehörde wegen Verletzung des Betroffenenrechts von Artikel 15 DSGVO nach Artikel 77 DSGVO Beschwerde eingereicht.

Zwischenbericht

Obwohl es technisch einfach zu bewerkstelligen wäre, quittiert die Datenschutzbehörde weder per E-Mail noch postalisch den Eingang der Beschwerde. Wäre diese ohne angeforderte Lesebestätigung verschickt worden, so hätte der Absender keine Gewissheit, ob die Beschwerde die Datenschutzbehörde überhaupt erreicht hat. Daher meine Empfehlung: Beschwerden an die Datenschutzbehörde mit eingeschriebenem Brief schicken. Zustellung durch Sendungsverfolgungsprotokoll dokumentieren.

Versäumnis der 3 Monatsfrist nach Artikel 78 Abs. 2 DSGVO

Die Datenschutzbehörde (DSB) hat über drei Monate zu keiner Zeit Angaben über den Stand oder das Ergebnis der gemäß Artikel 77 erhobenen Beschwerde gemacht. Es ist nicht gesichert, ob sich die DSB innerhalb dieser Frist überhaupt mit der Beschwerde befasst hatte. Entsprechend erging nach Artikel 78 Absatz 2 eine erneute Aufforderung, bevor Rechtsbehelfe in Anspruch genommen werden.

Es zeigte sich im Zusammenhang mit einer telefonischen Nachfrage, dass die Beschwerde womöglich „in Verstoß geraten” sein könnte. Zumindest konnte die DSB keinerlei Auskunft über den Bearbeitungsstand geben, nur mitteilen, dass selbst nach dreieinhalb Monaten die POST AG noch nicht einmal zur Stellungnahme bezüglich der Beschwerde aufgefordert worden war (Parteiengehör). Durch Urgenz wurde die Bearbeitung vorangetrieben und die POST AG Ende September um Stellungnahme aufgefordert. Obwohl die gesetzliche Frist im Rahmen des Parteiengehörs von zwei Wochen Mitte Oktober ablief, wurde dem Beschwerdeführer die Stellungnahme der POST AG erst Mitte Dezember übermittelt.

Versäumnis der 6 Monate Frist nach §8 Abs 1 VwGVG

Die im VwGVG geregelte Frist, nach der eine Beschwerde mittels Bescheid binnen 6 Monaten zu entscheiden ist, wurde nicht eingehalten. Nachfragen blieben unbeantwortet. Der Verfahrensstand war nicht in Erfahrung zu bringen.

Säumnisbeschwerde

Obwohl die Entscheidungsfrist für die Beschwerde am 11.12.2019 abgelaufen war, stand die Entscheidung am 14.05.2020, 11 Monate nach Eingabe der Beschwerde immer noch aus. Eine Säumnisbeschwerde wurde daher am 14.5.2020 bei der Datenschutzbehörde eingereicht.

Bescheid

Am 10.7.2020 erging der Bescheid der Datenschutzbehörde, in welchem festgestellt wurde, dass die POST AG dem Antrag auf Auskunft nach Artikel 15 DSGVO binnen einer Frist von vier Wochen nachzukommen hat. Die POST AG hat das Recht auf Auskunft des Betroffenen verletzt, indem sie seinem diesbezüglichen Antrag vom 9. Jänner 2019 nicht entsprochen hat.

POST AG legt Beschwerde beim BVwG gegen Entscheid der DSB ein

Am letzten Tag der Beschwerdefrist legt die POST AG Beschwerde gegen den Bescheid der Datenschutzbehörde (DSB) beim Bundesverwaltungsgericht (BVwG) ein. Damit ist der Entscheid der Datenschutzbehörde nicht rechtskräftig.

Beschwerde gegen World4You GmbH und Prüfantrag

World4You ist ein Hostingprovider mit Sitz in Linz. Nachdem wiederholt Nachfragen zur Sicherheit der Verarbeitung von personenbezogenen Daten unbeantwortet blieben wurde eine Artikel 15 DSGVO Auskunftsanforderung gestellt. Da diese ebenfalls unbeantwortet blieb, wurde wegen Verletzung des Betroffenenrechts auf Auskunft eine Beschwerde bei der Datenschutzbehörde eingereicht.

Unabhängig von der Beschwerde wurde ein Prüfantrag eingebracht (Art 28 Abs 3 lit b), ob World4You das durch die DSGVO geforderte Sicherheitsniveau im Umgang mit personenbezogenen Daten garantieren kann - nachdem das Unternehmen keinen SFTP oder FTPS Zugang anbietet und Server Anwender Kommunikation (Download, Upload) über das unverschlüsselte und daher allgemein einsehbare FTP Protokoll erfolgt.

Beschwerde

Die Beschwerde wurde am 30.11.2020 eingereicht. Die in der DSGVO mit Vierteljahresfrist verlangte Auskunft zum Bearbeitungsstand ist zum 26.3.2021 nicht erfolgt. Telefonisch musste die GZ in Erfahrung gebracht werden, um zum aktuellen Stand der Bearbeitung Anfragen stellen zu können. Nach einer ersten, mangelhaften Stellungnahme von World4You zur Beschwerde, wurde das Unternehmen erneut aufgefordert. Diese Aufforderung hat World4You unbeantwortet gelassen. Das Unternehmen wird von der DSB nochmals aufgefordert und darauf hingewiesen, dass es eine Mitwirkungspflicht im Rahmen des Beschwerdeverfahrens gibt. (Stand 29.3.2021)

Eine erteilte Auskunft war unvollständig, was zur Folge hatte, dass das ursprüngliche Beschwerdeverfahren eingestellt wurde und wegen mangelhafter Auskunft ein neues Beschwerdeverfahren eröffnet werden musste.

Schließlich hat World4You die angeforderte Auskunft vollständig erteilt und so konnte auch dieses Verfahren eingestellt werden.

Prüfantrag

Zum Prüfantrag gab es bislang (26.3.2021) keinerlei schriftliche Reaktion seitens der Datenschutzbehörde. Eine telefonische Nachfrage ergab, dass der Prüfantrag eingelangt und in Bearbeitung sei. Wie lange es brauche, um zu einer Entscheidung darüber zu kommen konnte man nicht sagen.

Zusammenfassung

Im Fall der Beschwerde: Bei einem einigermaßen professionellem Datenschutzmanagement bei World4You wären die entstandenen Aufwände und Kosten von zwei Beschwerdeverfahren leichtens vermeidbar gewesen.

Der Prüfantrag ist Ende April noch in Bearbeitung. Einen aktuellen Kenntnisstand dazu gibt es nicht.