noyb reichte eine DSGVO-Beschwerde gegen den in Wien ansässigen Adressverlag AZ Direct Österreich GmbH ein. Das dem Bertelsmann-Konzern zugehörige Unternehmen hatte sich geweigert, Auskunft über die Herkunft und Empfänger der verarbeiteten Daten zu geben. Verblüffend war die Begründung: Der Adressverlag wisse nicht, woher die Daten kommen. Sich das zu merken, wäre zu aufwendig. Dennoch werden tagein, tagaus Daten erhoben und an Werbetreibende verkauft. An wen genau, wird wiederum verschwiegen.
Download: Beschwerde bei der österreichischen Datenschutzbehörde
Daten angeblich unbekannter Herkunft und frei erfundene Gesetze. Der Betroffene hatte eine Datenauskunft nach Artikel 15 DSGVO bei AZ Direct angefordert. Dabei fragte er auch, woher der Adressverlag seine Daten habe und an wen sie verkauft worden waren. AZ Direct gab an, unter anderem (ehemalige) Wohnadressen des Betroffenen gespeichert zu haben. Wie der Adressverlag zu diesen Daten gelangt sei, wisse er aber selber nicht. Es sei nur dokumentiert, dass eine der Adressen „aufgrund eines Umzuges“ ermittelt wurde.
Genauere Informationen zur Herkunft der Daten gab es nicht – obwohl die DSGVO das explizit verlangt. AZ Direct meinte lediglich, dass „sämtliche Daten laufend durch eigene Recherchen am aktuellsten Stand gehalten werden“. „Gesonderte Aufzeichnungen über die jeweilige konkrete Herkunft“ führe man aber nicht.
Marco Blocher, Datenschutzjurist bei noyb: „Die Aussagen von AZ Direct sind absurd. Der Handel mit Adressdaten zu Werbezwecken Dritter ist das Kerngeschäft dieses Unternehmens. Da muss man doch wissen, woher die Daten kommen. Das hat noch nicht mal unmittelbar mit Datenschutz zu tun, sondern liegt schon im eigenen Interesse eines Adresshändlers. Ein Vergleich: Ein Supermarktbetreiber muss auch wissen, woher das in der Feinkostabteilung feilgebotene Fleisch, die Milchprodukte im Kühlregal oder das Brot in der Backwarenabteilung kommen.“
AZ Direct begründet die vermeintliche Ahnungslosigkeit mit einem Verweis auf nicht existente Gesetzesbestimmungen: Konkrete Aufzeichnungen über die Datenherkunft würden einen „übermäßigen Aufwand im Sinne des DSG bedeuten“. Bemerkenswert, da weder das DSG (Österreichisches Datenschutzgesetz) noch die DSGVO eine derartige Ausnahme vorsehen. Sie ist eine freie Erfindung des Adressverlages, der trotz Nachfrage darauf beharrt, über keine Aufzeichnungen zur Datenherkunft zu verfügen.
Marco Blocher: „AZ Direct untersteht der datenschutzrechtlichen Rechenschaftspflicht und muss zu jedem Zeitpunkt nachweisen können, dass die Regeln der DSGVO eingehalten werden. Wie soll das gelingen, wenn man keine Ahnung haben will, woher die Daten kommen? Dann kann man einer betroffenen Person niemals eine DSGVO-konforme Auskunft geben – geschweige denn sicherstellen, dass die Daten inhaltlich überhaupt richtig sind. Entweder AZ Direct hält bewusst Informationen zur Datenherkunft zurück, oder man hat dort ein massives, strukturelles Problem, das deren ganzes Geschäftsmodell DSGVO-widrig macht. In jedem Fall besteht Erklärungsbedarf. Eine erfundene Gesetzesbestimmung vermag daran nichts zu ändern.“
Auch die Datenempfänger sind geheim. Nicht nur das Woher sondern auch das Wohin der Daten bleibt im Dunkeln. Nach der DSGVO ist bei einer Datenauskunft auch anzugeben, wer die Empfänger der Daten waren. Auch hier hüllt sich AZ Direct in Schweigen und nennt nur mögliche Empfängerkategorien, weigert sich aber zu sagen, an wen genau welche Daten übermittelt wurden.
Marco Blocher: „Bei den Datenquellen gibt man an, nichts zu wissen, bei den Empfängern will man nichts sagen. Im Endeffekt wird der Betroffene für dumm verkauft. Die Daten sind wie von Zauberhand beim Adressverlag gelandet und könnten an irgendwen weitergegeben worden sein. Mehr Info gibt es nicht. Ein Betroffener soll jedoch nachvollziehen können, wo seine Daten unterwegs sind, um sich gegen unerwünschte Verarbeitungen wehren zu können. AZ Direct macht den Adresshandel zu Werbezwecken zur Blackbox. Das ist inakzeptabel.“
noyb setzt sich für nachvollziehbare Datenverarbeitungen ein. Wie auch schon bei noybs Beschwerden gegen Streamingdienste wie Netflix, Amazon Prime oder YouTube geht es bei der Beschwerde gegen AZ Direct letztlich um Transparenz – eines der Prinzipien der DSGVO. Um diese zu gewährleisten hat eine betroffene Person Anspruch auf eine kostenfreie Datenauskunft. In der Praxis stößt man dabei jedoch noch oft gegen Wände.
Marco Blocher: „Ein Auskunftsbegehren soll einer betroffenen Person ermöglichen, die Rechtmäßigkeit einer Datenverarbeitung zu überprüfen. Legt sich ein Unternehmen jedoch quer und erteilt keine oder nur eine unvollständige Auskunft, ist das oft nicht möglich. Es bleibt nur der Weg zur zuständigen Datenschutzbehörde, um eine DSGVO-konforme Auskunft zu erzwingen. Im gegenständlichen Fall hoffen wir, dass die Behörde von ihren umfassenden Befugnissen Gebrauch macht und den Fall genau untersucht. Gerade in Branchen, deren Kerngeschäft der Datenhandel ist, darf systematische Intransparenz nicht geduldet werden.“
