Die Beschwerde nach Artikel 77 DSGVO
In Österreich können Betroffene in Folge des Datenschutz-Anpassungsgesetzes 2018 bei Verletzung ihrer durch die DSGVO geschützten Rechte nur Beschwerde bei der Datenschutzbehörde einlegen – unabhängig davon, dass privatrechtliche Klagen auf Schadensersatz vor Gericht eingebracht werden können, sollte die Verletzung der Rechte Betroffener nachweisbaren Schaden verursacht haben.
In diesem Beitrag werden exemplarisch Beschwerden dokumentiert, die bei der Österreichischen Datenschutzbehörde eingebracht wurden.
Beschwerde gegen die österreichische POST AG
Anlass der Beschwerde
Die POST AG ist einer Auskunftsanforderung nach Artikel 15 DSGVO selbst nach Inanspruchnahme einer zweimonatigen Verlängerung der Bearbeitungsfrist letztlich nicht nachgekommen. (Details dazu finden Sie im Beitrag Die DSGVO und die österreichische POST AG | Art. 15 DSGVO
) — Folgedessen wurde bei der Datenschutzbehörde wegen Verletzung des Betroffenenrechts von Artikel 15 DSGVO nach Artikel 77 DSGVO Beschwerde eingereicht.
Zwischenbericht
Obwohl es technisch einfach zu bewerkstelligen wäre, quittiert die Datenschutzbehörde weder per E-Mail noch postalisch den Eingang der Beschwerde. Wäre diese ohne angeforderte Lesebestätigung verschickt worden, so hätte der Absender keine Gewissheit, ob die Beschwerde die Datenschutzbehörde überhaupt erreicht hat.
Die Datenschutzbehörde (DSB) hat über drei Monate zu keiner Zeit Angaben über den Stand oder das Ergebnis der gemäß Artikel 77 erhobenen Beschwerde gemacht. Es ist nicht gesichert, ob sich die DSB innerhalb dieser Frist überhaupt mit der Beschwerde befasst hatte. Entsprechend erging nach Artikel 78 Absatz 2 eine erneute Aufforderung, bevor Rechtsbehelfe in Anspruch genommen werden.
Es zeigte sich im Zusammenhang mit einer Nachfrage, dass die Beschwerde womöglich „in Verstoß geraten” sein könnte. Zumindest konnte die DSB keinerlei Auskunft über den Bearbeitungsstand geben, nur mitteilen, dass selbst nach dreieinhalb Monaten die POST AG noch nicht einmal zur Stellungnahme bezüglich der Beschwerde aufgefordert worden war. Durch Urgenz wurde die Bearbeitung vorangetrieben und die POST AG Ende September um Stellungnahme aufgefordert. Obwohl die gesetzliche Frist im Rahmen des Parteiengehörs von zwei Wochen Mitte Oktober ablief, wurde dem Beschwerdeführer bis Mitte November diese nicht zur Kenntnis gebracht. Trotz Nachfrage zum Verfahrensstand gibt es seitens der DSB keine Auskunft.
Der Verlauf der Beschwerde
| # | Datum | Von | Betreff / Inhalt | Bemerkung |
|---|---|---|---|---|
| 1 | 11.6.2019 | fokus.genba | Beschwerde eingereicht per signierter E-Mail | angeforderte Lesebestätigung 11.6.2019 |
| 2 | 12.9.2009 | fokus.genba | E-Mail mit Hinweis, dass die in Artikel 78 Absatz 2 vorgegebenen Frist von drei Monaten, innerhalb der sich die Aufsichtsbehörde mit einer Beschwerde zu befassen hat oder die betroffene Person über den Stand oder das Ergebnis der gemäß Artikel 77 erhobenen Beschwerde in Kenntnis zu setzen hat. Die Datenschutzbehörde wird um Stellungnahme und Auskunft zum Rechtsbehelf geben. |
|
| 3 | 14.9.2019 | fokus.genba | Einschreiben mit der Bitte um Auskunft zum Stand der Befassung mit der Beschwerde und zu möglichem Rechtsbehelf | Das Einschreiben war erforderlich geworden, nachdem auf die Zusendung des E-Mails eine angeforderte Lesebestätigung ausblieb |
| 4 | 23.9.2019 | fokus.genba Telefonische Nachfrage |
Es wurde zwar eine GZ vergeben und eine Sachbearbeiterin zugewiesen. Darüber hinaus konnte keine Auskunft zum Stand der Bearbeitung gegeben werden. Nach dreieinhalb Monaten seitdem die Beschwerde ergangen ist, ließ sich nur so viel in Erfahrung bringen, dass die POST AG offenbar noch nicht einmal zu Stellungnahme aufgefordert wurde. |
|
| 5 | 2.10.2019 | DSB, per EMail |
Mitteilung, verfasst am 30.9.2019, dass die Beschwerde vom 11. Juni 2019 der POST AG zur Stellungsnahme übermittelt wurde |
„ Mitteilung gemäß § 24 Abs. 7 DSG über den Stand des Verfahrens ” - deutlich später als durch die DSGVO (Artikel 78) vorgegeben. |
| 6 | 8.10.2019 | POST AG |
Bittet um Übermittlung des Geburtsdatum des Betroffenen zur Identifizierung |
|
| 7 | 8.10.2019 | fokus.genba an POST AG |
Hinweis, dass (1) anders als nach DSG2000 gem. DSGVO ein Identitätsnachweis im Zusammenhang mit dem Auskunftsersuchen nicht erforderlich ist. Eine Identitätsfeststellung muss bei berechtigten Zweifeln bei der Erteilung der Auskunft, d.h. Übergabe der Kopien der Daten erfolgen. Durch postalische Zustellung via eigenhändig zu Übernehmen und mit Übernahmenschein kann der Identitätsnachweis zweifelsfrei erfolgen. (2) ein Geburtsdatum keinen wirklichen Nachweis einer Identität erbringen kann. (3) Das Prinzip der Datensparsamkeit nach Artikel 5 Absatz 1 lit c steht gegen eine - unbegründete - Überlassung von weiteren Daten. |
|
| 8 | 18.10.2019 | fokus.genba an DSB |
E-Mail Nachfrage zum Verfahrensstand, da die Frist zur Stellungnahme für die Post abgelaufen sein dürfte und bislang keinerlei Nachrichten seitens der POST AG bzw. der DSB eingelangt sind. |
Zwischenbericht: Bis 21.11.2019 keinerlei Antwort oder Reaktion auf E-Mail erhalten |
| 9 | 09.12.2019 | DSB |
Übermittlung der Stellungnahme der POST AG vom 4.11.2019, mit Hinweis zur Möglichkeit der Stellungnahme binnen zweier Wochen. Die POST AG argumentiert im Wesentlichen, dass ohne die Angabe des Geburtsdatums die Identifizierung der personenbezogenen Daten nicht möglich sei. |
per E-Mail Fristenlauf ist nicht nachvollziehbar. Wenn die DSB der POST AG spätestens mit 30.9. die Aufforderung zur Stellungnahme zur Beschwerde übermittelte, die Frist für Parteiengehört zwei Wochen beträgt, wie kann dann die POST AG erst mit 4.11. ihre Stellungnahme verfassen? Üblicherweise verbindet sich mit Fristversäumnis die Anerkennung der Beschwerde. |
Beschwerde gegen die CRIF GmbH Auskunftei
Anlass der Beschwerde
Die CRIF GmbH gab in der Beantwortung der Auskunftsanfrage nach Artikel 15 DSGVO unzureichend Auskunft. Bis auf sogenannte Listendaten, die in öffentlichen Verzeichnissen ebenso einsehbar sind, blieb die CRIF GmbH allerdings die Auskunft schuldig, wie diese Daten verarbeitet werden, d.h. ob eine Bonitätsbewertung vorliegt, Angaben zur Zahlungsbereitschaft etc. pp. D.h. die CRIF GmbH blieb die tatsächlich zentralen Auskünfte zur Verarbeitung der personenbezogenen Daten, zur automatisierten Verarbeitung und Profilbildung schuldig. Nachdem die CRIF GmbH einen Hinweis darauf und die Nachforderung ausstehender Auskünfte ignorierte, wurde am 19.8.2019 Beschwerde bei der Datenschutzbehörde eingereicht.
Der Verlauf der Beschwerde
| # | Datum | Von | Betreff / Inhalt | Bemerkung |
|---|---|---|---|---|
| 1 | 18.8.2019 | fokus.genba | Beschwerde eingereicht per signierter E-Mail | |
| 2 | 14.9.2019 | fokus.genba Einschreiben | Einschreiben mit der Bitte um Auskunft zum Stand der Befassung mit der Beschwerde und zu möglichem Rechtsbehelf | Im selben Schreiben, in welchem auch um Auskunft zur Beschwerde gegen die POST AG gebeten wurde. |
| 3 | 23.9.2019 | fokus.genba Telefonische Nachfrage | Telefonische Auskunft: Der Beschwerde wurde eine GZ zugewiesen. Der Sachbearbeiter der Beschwerde teilt mit, dass die CRIF GmbH am 19.9.2019 aufgefordert wurde, binnen zweier Wochen zur Beschwerde eine Stellungnahme abzugeben. | |
| 4 | 7.10.2019 | CRIF GmbH an DSB, per EMail in CC | Übermittlung der Stellungnahme der CRIF GmbH zur Beschwerde. CRIF fordert DSB auf, die Beschwerde zurückzuweisen. | |
| 5 | 16.10.2019 | fokus.genba an DSB | Erwiderung zur Stellungnahme mit ausführlicher Begründung | in CC an CRIF GmbH Lesebestätigung durch DSB |
| 6 | 23.10.2019 | DSB per E-Mail | Ohne auf die Erwiderung zur Stellungnahme der CRIF GmbH einzugehen oder diese auch nur zu erwähnen, wird, wie es im Betreff heißt: "Ergebnisse des Ermittlungsverfahrens, Parteiengehör: Mitteil über den Verfahrensstand" mitgeteilt, dass die Beschwerdegegnerin die Beschwerde als gegenstandslos betrachtet. Der Beschwerdeführer wird aufgefordert, innert einer Frist von zwei Wochen zu begründen, warum die „behauptete Rechtsverletzung (Auskunft) zumindest teilweise nach wie vor als nicht beseitigt” erachtet wird. | |
| 7 | 24.10.2019 | fokus.genba an DSB per E-Mail & Einschreiben | Nachdem die Erwiderung zur Stellungnahme der CRIF GmbH offenbar in der DSB in Verstoß geraten, jedenfalls nicht zur Kenntnis genommen wurde, folgte erneute Übermittlung der Begründung vom 16.10.2019, warum die Beschwerde weiterhin aufrecht erhalten wird, nachdem die Auskunft der CRIF GmbH weiterhin mangelhaft und unvollständig ist. | Verunsichert, ob die E-Mail wiederum in Verstoß geraten könnte, wurde der Inhalt auch per Einschreiben an die DSB geschickt. So gibt es einem gerichtsfesten Beleg für die Zustellung. |
| 8 | 15.11.2019 | fokus.genba an DSB | Per E-Mail wird folgende Recherche mitgeteilt. Die CRIF GmbH hatte in ihrer Nachbesserung zur ersten Auskunft angeführt, dass sie zwei Mal eine Bonitätsauskunft an die UNIQA AG erteilte. Auf Nachfrage bei der UNIQA AG, ebenfalls basierend auf Art 15 DSGVO, gab das Unternehmen bekannt, dass es zu keinem Zeitpunkt Bonitätsauskünfte bei der CRIF GmbH anfragte. Dieses Auskunft wurde auf meine Bitte hin und unter Verweis auf ein laufendes Ermittlungsverfahren bei der DSB im Zuge einer Beschwerde nochmals geprüft, mit demselben Ergebnis. Dies wurde, samt E-Mail Korrespondenz im Anhang an die DSB übermittelt. |
Wenn die CRIF GmbH Bonitätsauskünfte anführt, die offenbar nicht angefragt waren, stellt sich die Frage, ob hier nicht ein Eintragsirrtum vorliegt. Durch die mangelhafte und unvollständige und wie sich nun zeigt offenbar auch fehlerhafte Auskunft, ist fokus.genba allerdings nicht in der Lage, konkret Berichtigungen oder Löschungen gem. DSGVO zu verlangen, da dazu die Informationen fehlen. Lesebestätigung 19.11.2019 |
Empfehlungen an die Datenschutzbehörde
Aus den Erfahrungen lassen sich einige Empfehlungen ableiten, die der Datenschutzbehörde zur Umsetzung nahegelegt werden. Das wäre nicht nur der Bürgerorientierung geschuldet, sondern auch einer Verbesserung sogenannter User Experience im Verfahren.
Minimale Anforderungen
- Bestätigung einer eingegangenen Beschwerde samt Hinweis zur weiteren Bearbeitung und zu den erwartbaren Zeitläufen
- Mitteilung welcher Sachbearbeiter, beziehungsweise welche Sachbearbeiterin den Vorgang unter welcher GZ bearbeitet sowie
- Information über die weiteren Schritte im Zuge der Bearbeitung der Beschwerde, samt Rechtshinweise auch bzgl. Rechtsbehelfe
- Effektives und effizientes Dokumentenmanagement, um zu vermeiden, dass eingelangte Unterlagen verspätet Sachbearbeiter*innen zur Verfügung stehen und so bei behördlichen Schreiben nicht berücksichtigt werden.
2 Kommentare
(4.5)
Kommentar von: Swordfish Besucher
Danke. Und ich dachte schon, dass sich nur bei mir die Dinge spießen und in die Länge ziehen. Interessant wäre es zu erfahren, ob andere bei Beschwerden speziell gegen die Post ähnliche Erfahrungen gemacht haben, ob es da vielleicht sogar Unterschiede gibt bei der Behandlung von Beschwerden je nachdem, gegen wen sie sich richtet. Da braucht es deutlich mehr Transparenz. So, und deshalb nur 4 Sterne, bleibt es doch eher zufällig und kann nicht wirklich etwas über die Arbeitsweise der Datenschutzberhörde aussagen.
Kommentar von: Sarah Binder Besucher
Also zunächst einmal vielen Dank für diese Initiative, Ihre Erfahrungen zu veröffentlichen. Das sollten mehr tun. Was mich interessieren würde. Sie schreiben, dass sich die Aufsichtsbehörde - aus welchen Gründen auch immer - mit Ihrer Beschwerde zur POST AG nicht so recht beschäftigt hat und die 3monatige Frist nach DSG-VO untätig verstreichen ließ. Was kann man da tun? Welche rechtlichen Möglichkeiten gibt es? Kann man die Beschwerde damit gleich vor das Bundesverwaltungsgericht bringen oder gibt es nur den Weg ohnehin wirkungsloser Säumigkeitsbeschwerden? Da wäre ich für eine Auskunft sehr dankbar. LG, Sarah Binder
Formular wird geladen...