|
|
GZ ● BKA-817.367/0002-DSR/2009 Telefon ● (+43 1) 53115/2527 FAX ● (+43 1) 53115/2702 E-MAIL ● DSRPOST@BKA.GV.AT DVR: 0000019
|
|
christian.singer@bmvit.gv.at |
|
Betrifft: Stellungnahme des Datenschutzrates
Bundesgesetz, mit dem das Postmarktgesetz erlassen und das KommAustria -Gesetz geändert werden
Der Datenschutzrat hat in seiner 188. Sitzung am 5. Juni 2009 einstimmig beschlossen, zu der im Betreff genannten Thematik folgende Stellungnahme abzugeben:
Zu Art. 1 § 27 Abs. 3 Postmarktgesetz-PMG:
Bei den Bestimmungen für die Konzessionserteilung sollte nach Ansicht des Datenschutzrates als weitere Auflage „ des Datenschutzes“ eingefügt werden.
Zu Art. 1 § 5 und § 35 Abs. 3 Postmarktgesetz-PMG:
Nach dieser Bestimmung ist jegliche Verwendung von Daten zu anderen Zwecken, insbesondere die Weitergabe von Adressdaten an Dritte, nur mit Einwilligung der betroffenen Person zulässig. Es sollte gesetzlich vorgesehen werden, dass die Zustimmung der Weitergabe ausdrücklich und im Formular sichtbar getrennt von den anderen vertraglichen Verpflichtungen erfolgen muss.
Ein anderes Problem stellt sich, dass die Zustellerinnen und Zusteller der Österreichischen Post AG bspw. nämlich nicht bloß als Mitarbeiter des Postdiensteerbringers „Post AG“ tätig sind, sondern auch als „Vertreter“ für Finanzprodukte der BAWAG PSK-Gruppe. Zum Thema „Postvertrieb“ hieß es etwa im Konzern-Geschäftsbericht dieser Gruppe für das Jahr 2003 (S. 51) „[…] Verstärkt ausgebildet und durch ein eigenes Informationsmedium unterstützt, werden die Zusteller immer stärker in den Verkauf von Finanzdienstleistungen eingebunden.“
Es liegt auf der Hand, dass Zusteller des Postdiensteerbringers „Post AG“ anhand der Absender beförderter Poststücke u.a. darin Einblick erhalten können, ob ein Postkunde bspw. in einer Kundenbeziehung zu einem Bauspar-Anbieter steht oder nicht. In letzterem Falle könnte er sich – insbesondere durch Provisionsanreize - veranlasst sehen, den Kunden gezielt in seiner zweiten Eigenschaft als (nebenberuflicher) Vertriebsagent der BAWAG PSK-Gruppe anzusprechen und auf Angebote aufmerksam zu machen oder der BAWAG PSK-Gruppe entsprechende Hinweise zu geben.
Durch den zunehmenden Rückgriff auf so genannte private Postpartner (Einzelhandel; erwähnt wurden zB auch Pfarrämter) sowie die Heranziehung von Zustellern für den Verkauf von Finanzdienstleistungsprodukten der BAWAG-PSK-Gruppe (vgl. deren Konzern-Geschäftsbericht für das Jahr 2003, S. 51) erhebt sich die Frage, ob nicht der Zweckbindungsgrundsatz und das Postgeheimnis auch begleitender organisatorischer Maßnahmen bedürfen, die über eine formalen Anordnung hinausgehen. Zu denken wäre an konkretere gesetzliche Anforderungen an die Qualität derartiger privater Einrichtungen (Diskretionszone, räumliche Abgrenzung etc.).
Zu Art. 1 § 35 Abs. 1 und 2 PMG:
Der normative Mehrwert dieser Regelung, insbesondere im Hinblick auf den allgemeinen Rechtsrahmen des DSG 2000 ist unklar. Die Erläuterungen vermögen diese Frage ebenso wenig zu klären.
Die Zulässigkeit der Verwendung personenbezogener Daten ist nach dem DSG 2000 u.a. dann gegeben, wenn Zweck und Inhalt der Datenanwendung von den rechtlichen Befugnissen (Postdiensteerbringung) des jeweiligen Auftraggebers (hier: Postdiensteanbieter) gedeckt sind und schutzwürdige Geheimhaltungsinteressen nicht vorliegen (vgl. § 7 Abs. 1 DSG 2000). Letzteres trifft insbesondere zu, wenn die Datenverwendung (hier: Handhabung bzw. Verwendung einer bestimmten Zustelladresse im Einzelfall) zur Erfüllung einer vertraglichen Verpflichtung zwischen Auftraggeber und Betroffenem (hier: Postkunde als Empfänger/Absender) erforderlich ist (vgl. § 8 Abs. 1 Z 4 iVm Abs 3 Z 4 DSG 2000).
Schon aus dem allgemeinen Rahmen des DSG 2000 kann für den gegebenen Kontext erschlossen werden, dass bspw. eine automationsunterstützte Erfassung und Erkennung von Postanschriften auf Briefen in einer automatischen Briefsortierungs- bzw. Verteilungsanlage eines Postdiensteanbieters eine datenschutzrechtlich zulässige Datenverwendung wäre. Aus dem gleichfalls zu beachtenden Löschungsgebot aus § 6 Abs. 1 Z 5 DSG 2000 ergibt sich weiters, dass eine Speicherung von solcherart erfassten und verarbeiteten Adressdaten über den Sortiervorgang hinaus unzulässig wäre. Ähnliche Überlegungen könnten in Bezug auf spezielle Zustellvorgänge (bspw. Zustellung mit Nachweis) angestellt werden.
Für darüber hinaus gehende Datenverarbeitungen (z. B systematische Erfassungen sämtlicher potentieller Adressaten einer Postzustellung, die nicht für die ordnungsgemäße Erbringung von Postdiensten notwendig wären), bestünde keine Rechtsgrundlage (arg. „Erforderlichkeitsgrundsatz aus § 6 Abs 1 Z 3 DSG 2000). Dies sollte zumindest in den Erläuterungen festgehalten werden.
Gemessen an der insofern gegebenen Reichweite der allgemeinen Datenschutzregelungen erbringt § 35 Abs. 1 PMG in seiner vorgeschlagenen Fassung soweit ersichtlich keinen wirklichen normativen Mehrwert, sondern stellt sich als Wiederholung dar. Klarzustellen wäre im Text zumindest, dass Postdiensteanbieter Adressdaten ausschließlich für eine ordnungsgemäße Zustellung von Postsendungen verwendet werden dürfen.
Zu hinterfragen ist die Regelung in § 35 Abs 1 PMG, wonach Postdiensteanbieter Adressdaten „für eine ordnungsgemäße Zustellung von Postsendungen auch an andere Anbieter von Postdiensten weitergeben dürfen“. Plausibel erscheint eine Weitergabe nämlich vordergründig nur dort, wo im Einzelfall ein Postdiensteanbieter nur einen Teil des Beförderungsweges abdeckt und aus diesem Grunde ein Poststück an einen anderen Postdiensteanbieter zur Weiterbeförderung bzw. Zustellung an den Endempfänger übergibt. Zutreffen wird dies typischerweise bei Sendungen ins Ausland. Sonstige Fälle einer Weitergabe von Kundendaten sind mit Blick auf den bereits angesprochenen Zweckbindungsgrundsatz nicht ersichtlich. In diesem Lichte erscheint die aktuell vorgeschlagene Formulierung des § 35 Abs. 1 PMG zu allgemein bzw. zu weit. Sinngemäßes kann zur analogen Zweckbindungsregelung in § 35 Abs. 2 PMG gesagt werden.
Für eine Ersatzabgabe sollte die Zustimmung der Postkunden eingeholt werden.
Für einen Nachsendeauftrag sollte der Postkunde bekanntgeben können, ob er der Weiterleitung seiner Daten an alternative Postdiensteanbieter zustimmt.
Weiters regt der Datenschutzrat einen Aufkleber für das Postfach mit der Aufschrift
„keine Ersatzzustellung“ an, falls der Postkunde gänzlich auf eine Ersatzzustellung verzichten will.
Es wäre weiters - gemäß des im DSG 2000 geforderten Postulats des gelindesten Mittels - zu prüfen, inwieweit ein Postdiensteanbieter für allfällige Kalkulationen mit anonymisierten Daten der Postkunden das Auslangen finden kann und inwieweit er überhaupt das Recht hat, detaillierte Daten der Postkunden zu verlangen.
10. Juni 2009
Für den Datenschutzrat:
Der Vorsitzende:
WÖGERBAUER
Elektronisch gefertigt