VERLETZUNG DES INFORMATIONSRECHT ART. 13 DSGVO

Beim Beschwerdegegenstand ging es um die Frage, ob die Beschwerdegegnerin den Beschwerdeführer  im Informationsrecht verletzt hat, indem die Beschwerdegegnerin zwar personenbezogene Daten des Beschwerdeführers erhoben, allerdings entgegen den Bestimmungen von Art. 13 zum Zeitpunkt der Erhebung dieser Daten und auch bis zum Abschluss des Verfahrens vor der Datenschutzbehörde keine entsprechenden Informationen bereitgestellt hat.

GERICHT: Datenschutzbehörde Oesterreich
DATUM: 22.08.2019
QUELLE / URTEIL: Verletzung Informationsrecht
NORMEN:
Art. 3 Abs. 2 lit. a, Art. 5 Abs. 1 lit. a, Art. 12 Abs. 1, Abs. 2 und Abs. 3, Art. 13, Art. 27, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 1 lit. b und Abs. 2 lit. c und lit. d sowie
Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 vom 4.5.2016, S. 1; §§ 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes –DSG, BGBl. I Nr. 165/1999 idgF.

ENTSCHEID

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dr. Ludwig A*** (Beschwerdeführer), vertreten durch die A*** E*** & Partner Rechtsanwälte OG, vom 28. Jänner 2019 gegen die N***Group AG, niedergelassen in ****, Schweiz (Beschwerdegegnerin), diese im gegenständlichen Beschwerdeverfahren vertreten durch B*** und C***Rechtsanwälte und im Unionsgebiet vertreten durch die R*** Hotels GmbH, wegen Verletzung des Informationsrechts gemäß Art. 13 DSGVO wie folgt:

1. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch im Informationsrecht verletzt hat, indem diese zwar personenbezogene Daten des Beschwerdeführers erhoben, allerdings entgegen den Bestimmungen von Art. 13 DSGVO zum Zeitpunkt der Erhebung dieser Daten und auch bis zum Abschluss des Verfahrens vor der Datenschutzbehörde keine vollständigen Informationen bereitgestellt hat
2. Der Beschwerdegegnerin wird aufgetragen, dem Beschwerdeführer innerhalb einer Frist von vier Wochen bei sonstiger Exekution folgende Informationen mitzuteilen:a) hinreichend verständliche und präzise Informationen im Hinblick auf den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters, wobei insbesondere zu erläutern ist, was unter dem Begriff „Datenschutzverantwortliche“ zu verstehen ist;
   b) die konkreten Empfänger der personenbezogenen Daten und falls dies nicht möglich oder einen unverhältnismäßig hohen Aufwand darstellt, die entsprechenden Gründe dafür, jedenfalls aber präzisere Informationen im Hinblick auf die Empfängerkategorie „Geschäftspartner“;
   c) hinreichend verständliche und präzise Informationen im Hinblick auf die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
   d) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person (der Beschwerdeführer) verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte;
   e) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person (den Beschwerdeführer) und
   f) ob beabsichtigt wird, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden und bejahendenfalls Informationen über diesen anderen Zweck.
3. Die Beschwerde wird im Übrigen abgewiesen.
4. Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von vier Wochen ihre gemäß Art. 13 DSGVO mitzuteilenden Informationen („Datenschutzerklärung“) gemäß den unter Spruchpunkt 2 lit. a bis lit. f des gegenständlichen Bescheids genannten Voraussetzungen – unter Berücksichtigung der Vorgaben von Art. 12 Abs. 1 und Abs. 2 DSGVO – zu ergänzen und der Datenschutzbehörde innerhalb der genannten Frist eine Kopie der neu formulierten Informationen („Datenschutzerklärung“) zu übermitteln.