Die DSB beschäftigte sich in einem Verfahren mit der Frage des Identitätsnachweises im Rahmen eines Auskunftsverfahrens

(DSB-D123.9001/002-DSB/2019, Bescheid vom 31.07.2019, rechtskräftig, Autor am Verfahren beteiligt)

Das Auskunftsersuchen der betroffenen Person

Die betroffene Person stellte bei einer Bausparkasse am 29.10.2018 ein Auskunftsersuchen und machte dabei Angaben über die bisherige vertragliche Beziehung. Weiters legte er eine Ausweiskopie bei und sandte das Auskunftsersuchen per Email mit PGP-Verschlüsselung.

Die Bausparkasse jedoch erklärte in einem per Einschreiben übermittelten Brief an die betroffene Person mit Datum 27.11.2018, dass die Identität nicht geklärt sei, und die betroffene Person die Möglichkeit hätte, sich zu identifizieren, nämlich

·      durch einen eigenhändig unterfertigten Brief mit Ausweiskopie

·      persönlich in einer Filiale der Bausparkasse

·      per E-Mail mit qualifizierter Signatur unter eine besonderen E-Mail-Adresse der Bausparkasse

In diesem Zusammenhang berief sich die Bausparkasse auch auf das Bankgeheimnis des § 38 BWG.

Dies wurde von der betroffenen Person als überschießende Anforderungen an die Identitätsfeststellung angesehen, und sie reichte am 10.12.2018 eine Beschwerde wegen der Verweigerung der Auskunft bei der DSB ein.

Diese Beschwerde ist nun entschieden (31.7.2019, Zustellung am 16.8.2019), und mit E-Mail vom 30.8.2019 hat die Bausparkasse auch die „Datenauskunft“ per E-Mail als ZIP-File mit Passwortschutz übermittelt.

Sehr geehrte ...,

im Anhang finden Sie die Antwort samt Anhängen auf Ihr Auskunftsbegehren vom 29.10.2018.
Die Daten sind in einem verschlüsselten Zip-Ordner enthalten.
Bitte öffnen Sie diesen mit einem gängigen Entschlüsselungsprogramm wie etwa 7-zip (https://www.7-zip.org/) oder dergleichen.
Als Passwort haben wir die von Ihnen bekanntgegebene IP Adresse aus dem Auskunftsbegehren verwendet in der Form: xx.xxx.xxx.xx
Hinweis: Bitte auch die „Punkte“ eingeben. Die erste und die vierte Gruppe bestehen aus jeweils 2 Ziffern
Wir ersuchen Sie um Bestätigung des Erhalts.
Sollten Sie Probleme beim Öffnen des Archives haben, ersuchen wir Sie um Information.

Freundliche Grüße

Es ist daher davon auszugehen, dass die Bausparkasse die Entscheidung nicht bekämpft, und diese in den nächsten Tagen rechtskräftig wird.

Der Blogbeitrag dazu und das „Rechtschutzinteresse“

Im Blog wurde dieses Verfahren bereits erörtert, und es wurde auch bekannt gegeben, dass die Beschwerde eingereicht wurde.

Nun liegt die Entscheidung in der ersten Instanz mit Datum 31.07.2019 vor, in der auch der Blogbeitrag angesprochen wurde. Die Bausparkasse hatte argumentiert, dass kein Rechtsschutzinteresse bestehe, weil es primär darum gehe Inhalte für den Blog zu generieren und Rechtsfortbildung zu betreiben.

Die DSB hat dazu festgehalten, dass Art 15 DSGVO (im Verhältnis zu § 26 DSG 2000) das Auskunftsrecht ausweitet, und eine Mitwirkungspflicht nur mehr in ErwG 63 angedeutet wird. „Generell sieht Art. 15 DSGVO keine Voraussetzungen für das Recht auf Auskunft vor“, und auch ein Rechtsschutzinteresse ist nicht notwendig.

Die Frage des Identitätsnachweises

Art 12 DSGVO normiert, dass ein Verantwortlicher den betroffenen Personen die Ausübung der Betroffenenrechte erleichtert. Aus Art 12 DSGVO regelt die „gemeinsamen Modalitäten zur Ausübung der Betroffenenrechte“ (so die DSB im Bescheid), gibt aber keine konkrete Anleitung, wie die Identifizierung der betroffenen Person bei Ausübung der Betroffenenrechte erfolgen soll.

 „Die Entstehung eines datenschutzrechtlichen Auskunftsanspruch setzt u.a. voraus, dass die Identität des Auskunftswerbers feststeht. Wenn ein Verantwortlicher glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifzieren, kann er sich weigern tätig zu werden.“ 

Bei Zweifeln an der Identität kann der Verantwortliche weitere Informationen anfordern (Art 12 Abs 6 DSGVO), die zur Bestätigung der Identität der betroffenen Person erforderlich sind.  

Der Verantwortliche soll alle vertretbaren Mittel nutzen, um den Betroffenen zu identifzieren (ErwG 64).

Zur Rechtslage nach DSG 2000 hat der VwGH bereits am 09.09.2008 entschieden:

Die Identitätsfeststellung soll Missbrauch verhindern

Es ist der belangten Behörde zu folgen, wenn sie davon ausgeht, dass die Bestimmung des § 26 DSG 2000 den klar erkennbaren Zweck hat, einem Missbrauch des Auskunftsrechts zur Informationsbeschaffung durch Dritte einen Riegel vorzuschieben. Ein Auftraggeber darf ohne Vorliegen eines Identitätsnachweises keine Daten an den Auskunftswerber - von dem er in diesem Moment nur annehmen kann, dass er tatsächlich der Betroffene ist - übermitteln, weil er sonst das Datengeheimnis gemäß § 15 Abs. 1 DSG 2000 verletzen könnte.“

Hoher Grad der Verlässlichkeit für den Identitätsnachweis

Der Nachweis der Identität hat in der Form zu erfolgen, die es dem Auftraggeber ermöglicht, die Identität des Auskunftswerbers mit der Person zu überprüfen, deren Daten Gegenstand der Auskunft sein soll. Im Hinblick auf die Zielsetzung des Gesetzes und zur Verhinderung von Missbrauch ist - wie bereits gesagt - ein hoher Grad an Verlässlichkeit hinsichtlich des Identitätsnachweises zu fordern.“

Rechtslage nach Art 15 DSGVO

Die DSB überträgt diese Anforderungen und Überlegungen auch auf die Rechtslage nach DSGVO und den Auskunftsanspruch nach Art 15 DSGVO iVm Art 12 DSGVO, macht jedoch eine Einschränkung:

Vorab kein Identitätsnachweis erforderlich

Die DSB verweist darauf, dass die in § 26 Abs 1 S 1 DSG 2000 enthaltende Anforderung, dass der Auskunftsersuchende seine „Identität in geeigneter Form nachweist“, nicht in Art 15 DSGVO übernommen wurde.

Verantwortlicher kann nicht generell Ausweis fordern:

Nur wenn ein Verantwortlicher „begründete Zweifel“ hat, dass die Identität des Auskunftsersuchenden nicht mit der Identität des „Datensubjektes“, dessen Daten er verarbeitet übereinstimmt (siehe Art 12 Abs 6 DSGVO), ist dieser gehalten, weitere Informationen anzufordern.

In der Entscheidung der DSB vom 31.7.2019 wird daher Folgendes festgehalten:

„Ein Verantwortlicher darf aber nicht generell die Vorlage eines Identitätsnachweises verlangen. Es ist immer eine Entscheidung im Einzelfall.“

Wann liegen „Zweifel an der Identität“ vor?

Die ist nach Ansicht der DSB eine Einzelfallentscheidung, die der Verantwortliche zu treffen hat. Der Verantwortliche hat sich selbst die Frage zu stellen, ob die Informationen, die ein Auskunftswerber bekannt gibt, ausreichend sind, um diesen als die Person zu identifizieren, deren Daten er verarbeitet. Wenn dies der Fall ist, dann hat der Verantwortliche keine Zweifel an der Identität und darf keine weiteren Anforderungen an die Geltendmachung des Auskunftsrechts stellen.

Im entschiedenen Fall wurden folgende Informationen mit dem Auskunftsersuchen an den Verantwortlichen übermittelt, die diesem die Identitätsfeststellung ermöglichen:

-          Ausweiskopie

-          Info über Wohnort und Geburtsdatum

-          elektronischer Versand über eine dem Unternehmen des Auskunftswerbers zugeordnete E-Mail-Adresse mit PGP-Schlüssel

-          inhaltliche Angaben zur vertraglichen Beziehung zwischen dem Auskunftswerber und dem Verantwortlichen, die nicht öffentlich verfügbar sind

Derartige Angaben reichen nach Ansicht der DSB aus, einen Auskunftswerber zu identifizieren, und daher ist der Verantwortliche gehalten, innerhalb der gesetzlichen Frist die Auskunft zu erteilen, und darf nicht generell weitere Identitätsnachweise vom Auskunftswerber (persönliches Erscheinen, eigenhändig unterfertigtes Schreiben, E-Mail mit qualifizierter Signatur) fordern.

Schlussfolgerungen:

1.      Prüfpflicht des Verantwortlichen:
Ein Verantwortlicher hat die Angaben im Auskunftsersuchen im Hinblick auf die Identität der betroffenen Person zu prüfen, und im Einzelfall zu entscheiden, ob er diese Person als diejenige Person, deren Daten er verarbeitet identifzieren kann.              

2.      Frist:
Wenn dies der Fall ist, dann ist die Auskunft fristgerecht zu erteilen, und die Monatsfrist (Art 12 Abs 3 DSGVO) beginnt mit Eingang des Auskunftsersuchens.

3.      Zusendung der Auskunft:
Die Zusendung der Auskunft in der Form, dass nur die tatsächlich betroffene Person die Auskunft über ihre Daten gem. Art 15 DSGVO auch erhält, ist mE unabhängig von der Beurteilung, ob die Identität feststeht, vorzunehmen. Es wäre zB auch möglich, die Zusendung in einem Post-Ident-Verfahren durchzuführen, sodass die Übermittlung der Auskunft an unbefugte Personen verhindert wird.

Der Autor war am Verfahren beteiligt; sobald der Bescheid von der DSB veröffentlicht ist, wird dieser mit dem Blog-Beitrag verlinkt werden.