2. Jedenfalls bis zur Offenlegung entsprechender Datenübermittlungen möge jede Übermittlung von Daten aus DAN: *4*7*19/002 unterlassen werden.

Transkript

1 GZ: DSB-D /0002-DSB/2015 vom [Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und -Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] E M P F E H L U N G Die Datenschutzbehörde spricht aus Anlass der Eingabe des Dr. Bruno L*** (Einschreiter), vertreten durch Dr. Neidhardt G***, Rechtsanwalt in **** vom 6. Juni 2014 betreffend Verwendung der Daten einer Hausverbotsliste durch den FC E**** und die FC E**** Aktiengesellschaft folgende Empfehlung aus: 1. Die FC E**** AG (DVR: *4*7*19) möge die von ihr gemeldete Datenanwendung DAN: *4*7*19/002 mit der Bezeichnung Datei zur Festlegung und Aussprache örtlicher Hausverboten und zur Festlegung von bundesweiten Stadionverboten im Hinblick auf Datenübermittlungen überprüfen und gegebenenfalls Betroffene, die zu übermittelnden Datenarten und die zugehörigen Empfängerkreise ergänzen. 2. Jedenfalls bis zur Offenlegung entsprechender Datenübermittlungen möge jede Übermittlung von Daten aus DAN: *4*7*19/002 unterlassen werden. 3. Diese Empfehlung ist hinsichtlich des Punktes 2. sofort umzusetzen. Hinsichtlich des Punktes 1. möge innerhalb eines Monats der Datenschutzbehörde Mitteilung gemacht werden, welche Datenverwendung in Zukunft vorgesehen ist. Rechtsgrundlagen: 1 Abs. 1 und 2, 6 Abs. 1 Z 1, 2 und 3, 7 Abs. 2, 17 Abs. 1, 19 Abs. 1 und 30 Abs. 1 und 6 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgf. G r ü n d e f ü r d i e s e E m p f e h l u n g A. Vorbringen der Beteiligten und Verfahrensgang Der Einschreiter hat sich, rechtsfreundlich vertreten, mit Schreiben vom 6. Juni 2014 an die Datenschutzbehörde gewandt (zusammen mit einer Beschwerde wegen Verletzung des Rechts auf Auskunft über eigene Daten; letzteres Verfahren ist am 5. Februar 2015 zu GZ: DSB-D /0002-DSB/2015 nach ergänzender Auskunftserteilung und Parteiengehör nach 31 Abs. 8 DSG 2000 durch Einstellung beendet worden). Er brachte

2 vor, durch rechtswidrige Weitergabe von Daten betreffend ein über ihn verhängtes Hausverbot an andere Spielveranstalter der Österreichischen Fußball-Bundesliga in seinem Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten verletzt worden zu sein. Das Hausverbot werde dadurch faktisch zu einem ligaweiten Stadionverbot ausgeweitet, ohne dass ihm die in der entsprechenden Regelung der Bundesliga vorgesehene Möglichkeit des Gehörs und eines Rechtsmittels (förmlicher Protest) zugekommen sei. Die FC E**** AG brachte dazu in ihrer Stellungnahme vom 30. Juli 2014 vor, die Daten des Beschwerdeführers seien als Kundendatensatz gespeichert. Diese Daten würden nicht an andere Spieleveranstalter ( Bundesliga Vereine ) weitergegeben. Es sei lediglich so, dass ein oder mehrere Fanordner die Mannschaft zu Auswärtsspielen begleiten würden. Diesen Personen seien der Einschreiter und das Faktum seines Hausverbots regelmäßig bekannt, und es werde dann der Sicherheitsdienst der Heimmannschaft bei der Einlasskontrolle auf solche Personen aufmerksam gemacht. Das Aussprechen eines Hausverbots sei dann Sache des Spielveranstalters bzw. dessen Sicherheitsdienstes. Auch hier würden anderen Vereinen der Bundesliga keine Daten zur Verfügung gestellt. Da keine Daten weitergegeben würden, bedürfe es für diese Vorgehensweise auch keiner speziellen datenschutzrechtlichen Rechtsgrundlage. Der Einschreiter hielt dem in seiner Stellungnahme vom 11. August 2014 entgegen, es existiere bei der FC E**** AG nicht nur der Kundendatensatz mit Daten des Einschreiters sondern eine Eintragung in einer Hausverbotsliste, die auch Grund und Dauer des verhängten Verbots umfasse. Der umfassende Daten- bzw. Datenverwendungsbegriff des 4 DSG 2000 würde auch auf mündliche Informationen zutreffen, die von Fanordnern an das Sicherheitspersonal anderer Vereine weitergegeben würden. Es liege daher eine unzulässige Übermittlung vor. Im Übrigen habe die FC E**** AG nach Kenntnisstand des Einschreiters wohl im Bewusstsein der Rechtswidrigkeit der bisherigen Praxis diese nunmehr geändert und gebe keine Daten mehr an andere Vereine weiter. Die Datenschutzbehörde hat ein weiteres Ermittlungsverfahren durchgeführt (insbesondere durch Beweisaufnahme in der auch für Zwecke dieses Verfahrens durchgeführten mündlichen Verhandlung vom 14. November 2014, Niederschrift samt Beilagen zu GZ DSB-D /0008-DSB/2014 und DSB-D /0004-DSB/2014, sowie durch Einsichtnahme in das von der Datenschutzbehörde geführte Datenverarbeitungsregister DVR).

3 Beide Seiten haben nach abschließendem Gehör zu den Ergebnissen des Ermittlungsverfahrens (GZ: DSB-D /0001-DSB/2015 vom 6. März 2015) keine Stellungnahme mehr abgegeben. B. Sachverhaltsfeststellungen Die Datenschutzbehörde gelangte auf Grundlage der Ergebnisse des Ermittlungsverfahrens zu folgenden Sachverhaltsfeststellungen: Der Verein FC E**** (ZVR: *0*36*8*4) entfaltet im gegebenen Zusammenhang keine relevante Tätigkeit als datenschutzrechtlicher Auftraggeber. Die FC E**** AG (FN: 2*57*1r) ist Veranstalterin von Fußballspielen im Rahmen der Österreichischen Fußball-Bundesliga, an deren Bewerben sie mit der Mannschaft des FC E**** teilnimmt. Sie übt das Hausrecht über das E***-Stadion (früher: Z***-Stadion) in N**** aus und hat auch an der Adresse **** N****, Z***-Platz *, ihren Sitz. Sie ist in diesem Zusammenhang als datenschutzrechtlich verantwortlicher Auftraggeber zu DVR: *4*7*19 seit dem 2. März 2015 (gemeldet am 29. Dezember 2014 während des bereits laufenden Verfahrens) mit folgender Datenanwendung (DAN) im DVR eingetragen: DAN: *4*7*19/002 - Datei zur Festlegung und Aussprache örtlicher Hausverboten und zur Festlegung von bundesweiten Stadionverboten Als Betroffene dieser Datenanwendung sind angegeben: Besucher von Spielen der Bundesliga, Spielen die unter Aufsicht des ÖFB stehen und jegliche Veranstaltungen der FC E**** AG in deren E***-Stadion und Akademie, über die Stadionverbote und Hausverbote verhängt wurden Zur Verarbeitung vorgesehen sind jeweils folgende Datenarten: Name Geburtsdatum Spiel, Ort und Datum des Vorfalls Fanklubzugehörigkeit Anlass des Verbotes Ende des Verbotes

4 Portraitfoto Als Empfänger von Datenübermittlungen sind (mit Rechtsgrundlage jeweils 8 Abs. 1 Z 4 DSG 2000 und alle verwendeten Datenarten) angegeben: 01 Mitarbeiter aus dem Bereich Sicherheit der FC E**** AG 02 Von der FC E**** AG beauftragtes Sicherheitsunternehmen (Ordnerdienst) Der Einschreiter ist deklarierter Fan der Fußballmannschaft FC E**** und war als Stammkunde Nr. *3*1 der FC E**** AG Inhaber einer Dauerkarte (Abonnement für die Saison 2013/2014) für das E***-Stadion und einer E**** Active ID Card für den Besuch der dortigen Osttribüne. Mit Schreiben der FC E**** AG vom 11. Februar 2014 ist über den Einschreiter bis zum 12. Februar 2016 ein Hausverbot in und auf allen Liegenschaften des FC E**** verhängt worden. Grund für das vom Vorstand der AG angeordnete Hausverbot war, dass der Einschreiter von der FC E**** AG dem von ihr nicht anerkannten oder unterstützten Fanklub E****-Stahlfront als Mitglied zugerechnet wird. Folgende Daten des Einschreiters sind in der DAN: *4*7*19/002 gespeichert: [Foto] Bruno L*** (E****-Stahlfront) Geb.datum: ** Ende: Grund: Vereinsschädigendes Verhalten Es erfolgte keine Meldung des Hausverbots an die Bundesliga (Verein Österreichische Fußball-Bundesliga, ZVR: DVR: ) oder eine entsprechende Datenübermittlung. Gegen den Einschreiter besteht kein von der Bundesliga ausgesprochenes, für alle teilnehmenden Spielveranstalter satzungsgemäß bindendes, ligaweites Stadionverbot. In der Datenanwendung der Bundesliga Datei zur Festlegung und Aussprache von bundesweiten Stadionverboten (DAN: /001) werden keine Daten des Einschreiters verarbeitet. In weiterer Folge wurde dem Einschreiter jedoch auch bei Auswärtsspielen des FC E**** (am 15. März 2014 bei einem Spiel gegen den FK W*** und am 22. März 2014 bei einem Spiel gegen den FC O***) der Eintritt in das Stadion verwehrt, nachdem Verbindungspersonen (sogenannte Fanordner ) der FC E**** AG mit Zugang zu den Daten der DAN: *4*7*19/002 (in Form einer ausgedruckten Liste) den Einschreiter bei der Einlasskontrolle identifiziert und gegenüber dem Sicherheitspersonal des jeweiligen

5 Spielveranstalters als mit Hausverbot belegte Person bezeichnet hatten. Grundlage dieser Vorgehensweise war eine Absprache zwischen den Sicherheitsverantwortlichen der FC E**** AG und jenen der jeweiligen Spielveranstalter. Beweiswürdigung: Diese Feststellungen stützen sich auf das offene DVR, die zitierten Eingaben, Urkundenvorlagen und Stellungnahmen der Beteiligten sowie die Ergebnisse der Beweisaufnahme der Datenschutzbehörde in der mündlichen Verhandlung vom 14. November 2014, Niederschrift samt Beilagen zu GZlen. DSB-D /0008-DSB/2014 und DSB-D /0004-DSB/2014, insbesondere die Aussage des Einschreiters als Partei (Beschwerdeführer im Verfahren Zl. DSB-D ) und die Zeugenaussage von Karl B***, Leiter des Spielbetriebs der FC E**** AG. Hinsichtlich des festgestellten Sachverhalts bestand nach der Verhandlung kein grundlegender Dissens mehr zwischen den Streitteilen, lediglich die rechtliche Wertung (etwa in der Frage, ob eine Übermittlung vorlag) war verschieden. Die Feststellungen betreffend die Verhängung eines Hausverbots über den Beschwerdeführer und die Gründe dafür stützen sich insbesondere auf die kontradiktorische Zeugeneinvernahme von Karl B*** sowie das Schreiben der FC E**** AG an den Einschreiter vom 11. Februar 2014 (Beilage./A zur Eingabe vom 4. Juni 2014). Die Feststellungen zur Vorgehensweise bei Auswärtsspielen stützen sich ebenfalls auf die Aussage des Zeugen B*** sowie auf die des Zeugen an den Einschreiter vom 24. April 2014 (Beilage./D zur Eingabe vom 4. Juni 2014). Die Feststellungen zum Dateninhalt der auf den Einschreiter bezüglichen Eintragung in der DAN: *4*7*19/002 stützen sich auf das vom Beschwerdeführer anlässlich seiner Einvernahme vorgelegte digitale Lichtbild der Eintragung, dessen Echtheit und Richtigkeit vom Zeugen B*** (gleichzeitig bevollmächtigter Vertreter der FC E**** AG) nicht bestritten worden ist (Beilage./E zur Niederschrift vom 14. November 2014, GZlen wie oben). C. In rechtlicher Hinsicht folgt daraus: 1. Grenzen der Zuständigkeit der Datenschutzbehörde 1.1. Die Datenschutzbehörde kann im Verfahren nach 30 DSG 2000 keine verbindliche Entscheidung über eine Verletzung des Rechts auf Geheimhaltung treffen, da es sich sowohl beim FC E**** als auch bei der FC E**** AG um Rechtsträger handelt, die in Formen des Privatrechts (Verein bzw. Aktiengesellschaft) eingerichtet sind. Sie kann nur dem verantwortlichen datenschutzrechtlichen Auftraggeber, das ist hier die FC E**** AG, durch diese Empfehlung eine bestimmte Vorgehensweise nahelegen, die ihrer Ansicht nach mögliche Rechts- oder Pflichtenverletzungen pro futuro beseitigen würden.

6 1.2. Eine bindende, der Rechtskraft fähige Entscheidung der Frage, ob die FC E**** AG den Einschreiter im Recht auf Geheimhaltung verletzt hat, könnte nur in einem gerichtlichen Verfahren nach 32 Abs. 1 DSG 2000 ergehen. 2. Gegenstand der Kontrollbefugnisse der DSB, Zulässigkeit des Hausverbots 2.1. Die für einen bestimmten Zweck verarbeiteten Daten sind nicht mit dem Sachverhalt oder dem Rechtsakt gleichzusetzen, der durch diese Daten bloß dokumentiert wird. Ebensowenig wie die Entscheidung eines Gerichts oder einer Verwaltungsbehörde (zu letzterer Frage vgl. DSB Bescheid vom , DSB-D /0002-DSB/2014, RIS) durch das Anfechten der Rechtmäßigkeit oder Richtigkeit der darüber gespeicherten Daten in Frage gestellt werden kann, kann ein privatrechtlicher Willensakt, der über die bloße Frage einer Datenverwendung hinausreicht (ein solcher wäre etwa die Anordnung, die Daten eines bestimmten Betroffenen an einen anderen Auftraggeber zu übermitteln), dadurch beseitigt werden, dass das Recht, den Akt durch Datenspeicherung zu dokumentieren, in Frage gestellt wird. Die Daten dienen in einem solchen Fall in gleicher Weise der Dokumentation, wie eine Urkunde der Dokumentation rechtlich relevanten Handelns dient. So kann beispielsweise durch die Vernichtung eines Kündigungsschreibens die Umwandlung eines zeitlich unbefristeten Dienstvertrags in ein befristetes Dienstverhältnis nicht verhindert sondern bestenfalls der Beweis des Erhalts der Erklärung erschwert werden. Umgekehrt könnte auch die Übermittlung von Daten zwecks Abmeldung des Dienstnehmers von der gesetzlichen Sozialversicherung ein mangels wirksamer Kündigung fortdauerndes Dienstverhältnis nicht beenden Für das gegenständliche Verfahren heißt das, dass das Faktum, dass die FC E**** AG den Einschreiter kraft ihres Hausrechts durch einseitige Willenserklärung vom Betreten ihrer Anlagen ausgeschlossen hat (Verhängung eines Hausverbots), feststeht und in seiner Rechtmäßigkeit von der Datenschutzbehörde nicht überprüft wird. Dies betrifft insbesondere die Frage, ob der Einschreiter durch allgemein verbotenes oder vertragswidriges Handeln Anlass zu diesem Hausverbot gegeben hat. Ein Veranstalter von Sportveranstaltungen oder ähnlichen Events ist jedenfalls grundsätzlich berechtigt, solche Verbote auszusprechen. So etwa jüngst der OGH im Beschluss vom , 4 Ob 147/13s (RIS und EvBl-LS 2014/11 = Zak 2013/807 S Zak 2013,438 = MR 2014,34 = RdW 2014/150 S RdW 2014,127 = SpuRt 2014,157/2 Heft 4 - SpuRt 2014/2 Heft 4 - Fanzone Kitzbühel): In Lehre und Rechtsprechung wurde schon mehrfach betont und ist nicht zweifelhaft, dass ein Veranstalter grundsätzlich berechtigt ist, im Rahmen seines Hausrechts andere Personen von der Veranstaltung auszuschließen oder ihren Besuch von Bedingungen abhängig zu machen. Dieses Recht steht sowohl dem Eigentümer als

7 auch einem Mieter zu, weil der Bestandnehmer für die Dauer seiner Bestandrechte allein darüber verfügen kann, wem er den Zutritt gestattet oder verwehrt, zumal ihm die Unterlassungsklage gegen jeden Störer zusteht. Das Hausrecht gewährt dem Veranstalter damit eine gegen jedermann wirksame Rechtsposition (4 Ob 26/94, 4 Ob 155/05f je mwn). Damit steht auch fest, dass die FC E**** AG gemäß 7 Abs. 1 DSG 2000 rechtlich befugt war und ist, Daten für den Zweck der effektiven Durchsetzung des über den Einschreiter verhängten Hausverbots zu verarbeiten. Diese rechtliche Befugnis zur Datenverarbeitung kann nur durch die Anfechtung des Hausverbots selbst beseitigt werden. 3. Grenzen der rechtmäßigen Datenverwendung 3.1. Wie aus dem festgestellten Sachverhalt hervorgeht, wirkt das Hausverbot, anders als ein von der Bundesliga als Organisator des Wettbewerbs ausgesprochenes Stadionverbot, an das alle Teilnehmer der Liga gebunden wären, nur innerhalb der Grenzen des Hausrechts der FC E**** AG Daraus folgt wiederum, dass eine zweckgemäße Datenverwendung nur intern beim datenschutzrechtlichen Auftraggeber FC E**** AG erfolgen darf An dieser Stelle ist die vom FC E**** AG gemeldete DAN: *4*7*19/002 näher zu prüfen. Diese sieht zwei Empfängerkreise von Übermittlungen vor. Rechtlich handelt es sich jedoch bei der Übermittlung an den Empfängerkreis Mitarbeiter aus dem Bereich Sicherheit der FC E**** AG um einen internen Verarbeitungsschritt (Abfragen der Daten durch Mitarbeiter des datenschutzrechtlichen Auftraggebers), die offengelegte Übermittlung an den Empfängerkreis Von der FC E**** AG beauftragtes Sicherheitsunternehmen (Ordnerdienst) wiederum stellt eine Überlassung gemäß 4 Z 11 DSG 2000 dar, da das Sicherheitsunternehmen im Auftrag der FC E**** AG u.a. für die Durchsetzung des ausgesprochenen Hausverbots sorgen soll. Das Handeln eines Dienstleisters ist datenschutzrechtlich ebenfalls dem Auftraggeber zuzurechnen. Ein Abfragen von Daten oder eine Datenüberlassung an einen Dienstleister unterliegen nicht der Meldepflicht ( 19 Abs. 1 DSG 2000) Damit steht fest, dass der datenschutzrechtliche Auftraggeber FC E**** AG keinerlei Datenübermittlung aus der DAN: *4*7*19/002 an andere Auftraggeber gemeldet und im DVR publiziert hat Solche Übermittlungen sind jedoch nachweislich erfolgt. Entgegen der offenkundigen Ansicht der FC E**** AG ist die Übermittlung von Daten nicht auf das automationsunterstützte, digitale, elektronische oder sonst maschinelle Übertragen von Informationen und Zeichen beschränkt (arg: jede Art der Handhabung von Daten in der

8 Definition des Verwendens von Daten, 4 Z 8 DSG 2000, Unterstreichung durch die Datenschutzbehörde). Selbst eine Geste in Richtung einer bestimmten Person, ausgeführt durch einen Fanordner mit dem allen Beteiligten bekannten, durch das Abfragen und Einsehen der Hausverbotsliste hergestellten Wissen, dass gegen eine solcherart bezeichnete Person im Heimstadion des FC E**** ein Hausverbot gilt, ist daher eine Datenübermittlung Es ist für die Datenschutzbehörde nicht zweifelhaft, dass damit vom Auftraggeber (in Übereinstimmung mit dem jeweiligen Spielveranstalter) auch der Zweck verfolgt worden ist, das über den Einschreiter verhängte Hausverbot auf andere Veranstaltungsorte auszudehnen (...wurden die Hausverbote dankenswerter Weise übernommen ; der FC E**** AG an den Einschreiter vom 24. April 2014). Durch diese Datenübermittlung ist der Einschreiter in seinem Recht auf Geheimhaltung personenbezogener Daten verletzt worden Aber selbst in dem Fall, dass der FC E**** AG die erforderliche rechtliche Befugnis zur Übermittlung von Daten aus der DAN: *4*7*19/002 direkt an andere Spielveranstalter der Bundesliga gemäß 7 Abs. 2 Z 2 DSG 2000 etwa auf Grund eines zukünftigen oder im gegenständlichen Verfahren nicht vorgebrachten und erörterten Rechtsaktes der Bundesliga zukommen sollte, hätte sie jedenfalls gemäß 17 Abs. 1 und 19 Abs. 1 Z 5 DSG 2000 eine entsprechend Meldung zwecks Eintragung in das öffentliche Datenverarbeitungsregister (DVR) erstatten müssen. Zweifelhaft ist diese Frage insbesondere angesichts der durch die Bundesliga geregelten Sanktion der Verhängung eines bundes- bzw. ligaweiten Stadionverbots, dessen Durchsetzung die DAN: /001 dient. Dem Einschreiter ist beizupflichten, wenn er vorbringt, dass die hier festgestellte Vorgehensweise einer Umgehung dieses Verfahrens dienen kann. Auch für den Fall, dass die Daten der DAN: *4*7*19/002 zwecks Erwirkung eines Stadionverbots an die Bundesliga übermittelt werden sollen, müsste eine solche Übermittlung im DVR offengelegt werden. 4. Schlussfolgerungen Dem datenschutzrechtlichen Auftraggeber FC E**** AG war daher zur Herstellung des rechtmäßigen Zustands gemäß 30 Abs. 6 DSG 2000 die obige Empfehlung zu erteilen. Die empfohlene Unterlassung kann sofort umgesetzt werden, eine Frist von einem Monat bis zu einer Entscheidung über das weitere Vorgehen (eventuell Ergänzung der DVR- Meldung) erscheint angemessen.