Mangelhafte Kenntnis und Umsetzung der DSGVO

Die Meldungen, dass der AMS Algorithmen zur automatisierten Verarbeitung personenbezogener Daten nutzt, um mittels Profiling Klienten zu segmentieren, ist beunruhigend, insbesondere wegen der hohen Fehlerquote, die für viele Betroffene Nachteile schafft. Dem nachzugehen und zu erkunden, ab wann solches Profiling startet (z.B. erst mit Meldung der Arbeitslosgkeit), wurde ein Ansuchen nach Artikel 15 DSGVO gestellt.

Eine Auskunftsanfrage nach Artikel 15 DSGVO beantwortet das AMS mit der Übermittlung einer Information, zu der die Organisation nach Artikel 13 und 14 verpflichtet ist. Obwohl diese Information über das Recht auf Auskunft aufklärt, scheint die Sachbearbeiterin davon auszugehen, dass sich damit die Anfrage erledigt habe.

Zudem wird mitgeteilt, dass Auskunftsanfragen an eine bestimmte E-Mail Adresse (ams.datenschutz@ams.at) zu senden wären. Dabei wird übersehen, dass die DSGVO Verantwortliche verpflichtet, Betroffenenrechten nachzukommen, unabhängig auf welche Weise diese beim Verantwortlichen geltend gemacht werden. Das Auskunftsverlagen an die Stelle weiterzuleiten, die intern dafür zuständig ist, liegt in der Verantwortung des Verantwortlichen, nicht des Betroffenen.

Die letztlich übermittelten Auskünfte waren zunächst nicht vollständig. In einer weiteren Auskunft waren die Aufforderung zur Berichtigung und zur Löschung von Daten berücksichtigt. Letztlich waren die Auskunft nach Art. 15, die Berichtigung nach Art. 16 und die Löschung nach Art. 17 DSGVO  verlässlich erledigt.

Das Unternehmensserviceportal des Bundesministeriums für Digitales und Wirtschaftsstandort hat - so teilte das Ministerium über die Databox von Finanz-Online mit - personenbezogene Daten aus dem Finanzministerium in das Unternehmensserviceportal übernommen. Nachdem eine schriftliche Anfrage nach der Rechtsgrundlage für diese Übertragung trotz Erinnerung unbeantwortet blieb, wurde nach Artikel 15 DSGVO eine Auskunftsanforderung gestellt.

Das BMDW hat in seiner ersten Antwort versucht, die Auskunftsanfrage nach Art. 15 DSGVO zu blockieren, sei es durch nicht nachvollziehbare bürokratisch-legalistische und imho nicht DSGVO konforme Forderungen und einer Fristsetzung für die Erfüllung der gesetzten Vorgaben binnen sieben Tagen. Danach wollte das BMDW das Auskunftsersuchen automatisch als zurückgezogen betrachten. Dieser Umgang mit Betroffenenrechten und der DSGVO ist bedenklich. Schließlich kam das BDMW dem Auskunftsersuchen fristgerecht nach, wenngleich in der Auskunft keine Angaben zur Verarbeitung personenbezogener Daten im Unternehmensserviceportal gemacht wurden.

Einen eigenen Beitrag dazu finden Sie unter Das BMDW und die DSGVO – ein problematisches Verhältnis.

Im Zuge eines Anfragebeantwortung durch T-Mobile wurde bekannt, dass die dort verarbeiteten personenbezogenen Daten von CRIF GmbH bezogen wurden. Daher richtete ich eine Auskunftsanfrage nach Artikel 15 DSGVO an die Firma CRIF GmbH.

Die CRIF GmbH hat auf die Auskunftsanfrage innerhalb der gesetzlichen Frist geantwortet, allerdings völlig unzureichend. Da Nachforderungen insbesondere zur Verarbeitung der Listendaten im Zusammenhang mit der Kreditauskunftei unbeantwortet blieben, wurde letztlich Beschwerde gegen CRIF GmbH bei der Datenschutzbehörde eingebracht.

Zur Auskunftei CRIF GmbH empfehle ich diesen Beitrag: Die Wirtschaftsauskunftei CRIF GmbH und der Datenschutz

Im Zuge einer Anfrage bzgl. eines möglichen Sicherheitsproblems bei Huchtinschon Drei Austria (IP Address Spoofing) zeigten sich einige erstaunliche Mängel in Bezug auf Führen der Kundenhistorie. Eine eingelegt Beschwerde blieb unbeantwortet, zunächst, weil das Unternehmen per E-Mail Kundennummer, Adresse und Kundenkennwort verlangte, wobei die unverschlüsselte Übermittlung des Kundenkennworts verwehrt wurde. Obwohl das Kundenkennwort letztlich per FAX übermittelt wurde, kam es über Wochen zu keiner Beantwortung. Daher schien ein Auskunftsersuchen nach Artikel 15 DSGVO angezeigt, um Klarheit darüber zu bekommen, welche personenbezogenen Daten in der Kundenhistorie und darüber hinaus verarbeitet wurden und wie es sich mit den Aufzeichnungen der Anrufe beim Kundenservice verhält.

Der Kreditschutzverband 1870, eine Wirtschafts-Auskunftei (siehe Beitrag Auskunfteien, Schuldnerverzeichnisse und die EU DSGVO) erhebt personenbezogene Daten vielfach nicht direkt bei Betroffenen, sondern über andere, öffentlich zugänglichen Datenbanken und Daten, die von Unternehmen, Banken und anderen Gläubigern betreffend die Bonität Betroffener geliefert werden.
Gemäß Artikel 14 DSGVO müsste jeder Verantwortliche, soweit er personenbezogene Daten verarbeitet, die er nicht bei den betroffenen Personen erhebt, die betroffenen Personen darüber informieren. Es gibt begründete Zweifel, ob Auskunfteien dieser Informationspflicht nachkommen. In dieser Angelegenheit gibt es einen nicht rechtskräftigen Bescheid der Datenschutzbehörde (31.11.2018: DSB-D122.954/0010-DSB/2018), der gerichtlich anhängig ist.

Fazit: Die Erledigung der Auskunftsanforderung erfolgte freundlich, zügig binnen zweier Wochen, unkompliziert und ausführlich. In einem allgemein Teil der Informationen wurden allgemeine Informationen gegeben, wie bspw. zu Kategorien, Dauer, Profiling etc. Im spezifischen Teil wurden dann Informationen zu den verarbeiteten personenbezogenen Daten geliefert. Sofern bis auf sogenannte Listendaten keine sensiblen Informationen übermittelt werden, ist die einfache Postzustellung durchaus tolerabel. Für den Fall jedoch, dass die Auskunft sensible Daten beinhalten sollte, wäre damit die sichere Übermittlung nicht gewährleistet. Dazu wäre bspw. eine Zustellung per RSa Eigenhändig erforderlich oder per verschlüsselter elektronischer Nachricht.

Rund um den Datenskandal der POST AG, aufgedeckt durch die Recherche-Plattform Addendum habe ich nach Artikel 15 von meinem Betroffenenrecht auf Auskunft Gebrauch gemacht. Nachdem dieser Vorgang umfangreicher ist, habe ich diesen in einem eigenen Beitrag dargestellt: Die DSGVO und die österreichische POST AG | Art. 15 DSGVO

Es erfolgte eine Bestätigung, dass die Anfrage nach Art. 15 DSGVO beim Roten Kreuz eingetroffen sei und bearbeitet werde.

Die Erledigung der Anfrage erfolgte problemlos. Die Auskunft wurde umfassend gegeben und die erbetenen Kopien wurden geliefert. Der Kontakt war freundlich und zuvorkommend. Die Vereinbarung, die Unterlagen persönlich unter Vorlage eines Ausweises in der Blutzentrale Linz abzuholen, erwies sich für beide Seiten als unkomplizierter Weg der Identitätsfeststellung.

Vom WIFI OÖ erhielt ich eine E-Mail mit Geburtstagswünschen. So erfreulich Geburtstagswünsche auch sind, es stellte sich für mich die Frage, welche Daten das WIFI noch von mir verarbeitet und zu welchem Zweck bspw. mein Geburtsdatum gespeichert werden muss. Daher entschloss ich mich zu einer Anfrage nach Artikel 15 DSGVO.