[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
B E S C H E I D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. KOTSCHY, Mag. MAITZ-STRASSNIG, Mag. HEILEGGER und Dr. STAUDIGL sowie der Schriftführerin Mag. FRITZ in ihrer Sitzung vom 05. Juni 2009 folgenden Beschluss gefasst:
S p r u c h
Über die Beschwerde des Mag. Arthur H*** (Beschwerdeführer) aus T*** im G***tal vom 15. Dezember 2008 gegen die K**** Mobilfunk Ges.m.b.H. (Beschwerdegegnerin) aus Wien wegen Verletzung im Recht auf Auskunft über eigene Daten in Folge Erteilung einer inhaltlich mangelhaften (unvollständigen) Auskunft mit Schreiben vom 3. November 2008 wird entschieden:
Rechtsgrundlagen : §§ 1 Abs. 3 Z 1, 26 Abs. 1 bis 4 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, iVm §§ 92 Abs. 1 Z 4 und 100 Abs. 1 und 3 des Telekommunikationsgesetzes 2003 (TKG 2003), BGBl. I Nr. 70/2003 idgF.
B e g r ü n d u n g:
A. Vorbringen der Parteien
In diesem Beschwerdeverfahren, das an das mit Einstellung in Folge impliziter Zurückziehung beendete Beschwerdeverfahren Zl. K121.450 der Datenschutzkommission (Parteien gleich, Sachgegenstand: Nichterteilung einer Auskunft) anschließt, behauptet der Beschwerdeführer in seiner Stellungnahme vom 15. Dezember 2008 (die als neue Beschwerde gewertet worden ist) eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin ihn betreffende Daten zu einer Reihe von Datenarten („etwa in Billing-, CRM-, Support- und ähnlichen DV-Systemen“) verarbeite, die nicht in der erteilten Auskunft aufscheinen würden. Schon auf Grund der Verspätung der erteilten Auskunft, jedenfalls aber in Folge Unvollständigkeit der Auskunft sei er in seinem Recht auf Auskunft verletzt.
Die Beschwerdegegnerin brachte mit Stellungnahme vom 16. Jänner 2009 vor, die Auskunftserteilung sei nunmehr nochmals überprüft und für vollständig befunden worden. Es seien keine Datensätze gefunden worden, „welche dem Kunden nicht schon vorher übermittelt wurden.“ Der E-Mail-Verkehr zwischen dem Beschwerdeführer und der Beschwerdegegnerin (Hintergrund u.a. dafür sei ein von der Beschwerdegegnerin bescheinigter Rechtsstreit um eine Vertragskündigung, in dem ein Schlichtungsverfahren vor der Rundfunk- und Telekom Regulierungs-Ges.m.b.H. [kurz: RTR] stattgefunden hat) sei nicht nochmals beauskunftet worden, da es sinngemäß keinen Sinn mache, dem Beschwerdeführer seine eigenen Schreiben und die von der Beschwerdegegnerin gesendeten Antworten nochmals vorzulegen. Es würden CRM-Daten (Anmerkung: CRM = Customer Relations Management, etwa: Kundenbetreuung) verarbeitet, diese umfassten jedoch „lediglich“ das Faktum, dass der Beschwerdeführer seine letzte Bestellung im Onlineshop abgegeben habe. Weiters gäbe es ein so genanntes „Datawarehouse“, in welchem alle Verkehrsdaten enthalten seien, allerdings ohne Verknüpfung mit anderen personenbezogenen Daten wie Stammdaten. Grundsätzlich dürften diese Daten nicht gespeichert werden, eine gesetzlich vorgesehene Ausnahme sei jedoch die Entgeltverrechnung. Dem Kunden dürfe aus den Verkehrsdaten im Nachhinein nur ein Einzelentgeltnachweis gemäß § 100 Abs. 3 TKG 2003 mit verkürzt dargestellten Rufnummern erstellt und übermittelt werden. Eine „Bekanntgabe der Billingdaten, also sämtlicher Verbindungsdaten“, wäre eine Umgehung der fernmelderechtlichen Beschränkungen der §§ 92 ff TKG 2003. Die auf Grundlage dieser Daten erstellten Rechnungen seien, ähnlich wie im Fall der E-Mails, nicht nochmals übermittelt worden, da sie dem Beschwerdeführer bereits in Folge der Übermittlung bekannt seien. Weiters gebe es zwei Akten betreffend datenschutzrechtliche und RTR-Verfahren zwischen den Parteien. Zuletzt sei gespeichert, dass nach Beendigung des Schlichtungsverfahrens bei der RTR ein Betrag von 22 Euro aus einer Rechnung vom 29. August 2008 wieder fällig sei.
Der Beschwerdeführer hat nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens keine weitere Stellungnahme abgegeben.
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin in ihrem Schreiben vom 3. November 2009 dem Beschwerdeführer gesetzmäßig nach § 26 Abs. 1 DSG 2000 Auskunft über dessen eigene Daten erteilt hat.
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:
Am 10. August 2009 richtete der Beschwerdeführer (per E-Mail) ein Auskunftsbegehren mit folgendem Inhalt an die Beschwerdegegnerin:
„Betreff: Re: Änderung unserer Allgemeinen Geschäftsbedingungen [Fallnummer: C13***453]
[…]
Im uebrigen begehre ich von Ihnen Auskunft nach § 26 DSG zu allen meine Person betreffenden Daten welche Sie unter DVR 093**32 verarbeiten.“
Auf dieses Auskunftsbegehren hin erhielt der Beschwerdeführer zunächst keine Antwort, sodass er am 8. Oktober 2008 (Posteingang 9. Oktober 2008) eine Beschwerde gemäß § 31 Abs. 1 DSG 2000 an die Datenschutzkommission richtete (Verfahren Zl. K121.450).
Am 3. November 2008 erteilte die Beschwerdegegnerin dem Beschwerdeführer mittels Einschreibbrief eine datenschutzrechtliche Auskunft. Nach längeren Ausführungen zur Frage der Identitätsprüfung und zu den Rechtsgrundlagen der Datenverarbeitung werden folgende Angaben zum Dateninhalt gemacht:
„Zu Ihrer Person sind folgende Daten gespeichert:
Vertragsname: Mag. Arthur H***
Geburtsdatum: 1*.0*.197*
Vertragsanschrift: Am **** *3, *22* T***, G***tal
Vertragsart: Privatkunde
Kundennummer: 78***32**
Rufnummer: 0***/*340*32
Erste Aktivierung: 13.0*.200*
Tarif: *** Bonus 1 Plus
Status: aktiv“
Als Herkunft der Daten wird „Bekanntgabe bei Vertragsabschluss“ angegeben, als Zweck der Datenverwendung die „Erbringung von Kommunikationsdienstleistungen“. Rechtsgrundlagen seien diverse Gewerbeberechtigungen. Stammdaten würden an die A*** Telekom AG als Dienstleister zwecks Führung eines Teilnehmerverzeichnisses weitergeleitet (überlassen). Stammdaten im Sinne des TKG 2003 würden längstens sieben Jahre nach Abwicklung der Ansprüche aus dem Vertragsverhältnis gelöscht, Verkehrsdaten sechs Monate nach Rechnungslegung. Letztendlich wurde die DVR-Nummer der Beschwerdegegnerin (DVR: 093**32) bekanntgegeben.
Beweiswürdigung : Diese Feststellungen beruhen auf dem Inhalt der Verwaltungsakten der Datenschutzkommission zur Zl. K121.450, insbesondere dem Inhalt der zitierten Urkunden, vorrangig des Auskunftsschreibens der Beschwerdegegnerin vom 3. November 2008 (einliegend auch als Kopie bei den Beilagen zu GZ: K121.488/0001-DSK/2008).
Weiters verarbeitet die Beschwerdegegnerin Daten zur Kundenbeziehung mit dem Beschwerdeführer (zumindest zu Online-Bestellungen von Waren und Dienstleistungen), zu fälligen und offenen Rechnungen. In einem als „Datawarehouse“ bezeichneten Speichersystem werden Verkehrsdaten (von und zu einer Rufnummer hergestellte Sprachtelefonie- und sonstige Datenverbindungen) zumindest sechs Monate gespeichert.
Beweiswürdigung : Diese Feststellungen beruhen auf dem eigenen und glaubwürdigen Vorbringen der Beschwerdegegnerin in der Stellungnahme vom 16. Jänner 2009.
D. In rechtlicher Hinsicht folgt daraus :
1. anzuwendende Rechtsvorschriften
Die Verfassungsbestimmung § 1 Abs. 3 Z 1 lautet unter der Überschrift „Grundrecht auf Datenschutz“:
„ § 1 . (1) [...]
(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;“
§ 26 Abs. 1, 2, 3, 4, 6 und 7 DSG 2000 lautet unter der Überschrift „Auskunftsrecht“:
„ § 26 . (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.
(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen. Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit
(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.
(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.
(5) [...]
(6) Die Auskunft ist unentgeltlich zu erteilen, wenn sie den aktuellen Datenbestand einer Datenanwendung betrifft und wenn der Betroffene im laufenden Jahr noch kein Auskunftsersuchen an den Auftraggeber zum selben Aufgabengebiet gestellt hat. In allen anderen Fällen kann ein pauschalierter Kostenersatz von 18,89 Euro verlangt werden, von dem wegen tatsächlich erwachsender höherer Kosten abgewichen werden darf. Ein etwa geleisteter Kostenersatz ist ungeachtet allfälliger Schadenersatzansprüche zurückzuerstatten, wenn Daten rechtswidrig verwendet wurden oder wenn die Auskunft sonst zu einer Richtigstellung geführt hat.
(7) Ab dem Zeitpunkt der Kenntnis von einem Auskunftsverlangen darf der Auftraggeber Daten über den Betroffenen innerhalb eines Zeitraums von vier Monaten und im Falle der Erhebung einer Beschwerde gemäß § 31 an die Datenschutzkommission bis zum rechtskräftigen Abschluß des Verfahrens nicht vernichten.“
§ 92 Abs. 1 TKG 2003 lautet unter der Überschrift „Allgemeines“:
„ § 92 . (1) Soweit dieses Bundesgesetz nicht anderes bestimmt, sind auf die in diesem Bundesgesetz geregelten Sachverhalte die Bestimmungen des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999, anzuwenden.
(2) [...]
(3) In diesem Abschnitt bezeichnet unbeschadet des § 3 der Begriff
[...]
§ 96 TKG 2003 lautet unter der Überschrift „Datenschutz – Allgemeines“:
„ § 96 . (1) Stammdaten, Verkehrsdaten, Standortdaten und Inhaltsdaten dürfen nur für Zwecke der Besorgung eines Kommunikationsdienstes ermittelt oder verarbeitet werden.
(2) Die Übermittlung von im Abs. 1 genannten Daten darf nur erfolgen, soweit das für die Erbringung jenes Kommunikationsdienstes, für den diese Daten ermittelt und verarbeitet worden sind, durch den Betreiber erforderlich ist. Die Verwendung der Daten zum Zweck der Vermarktung von Kommunikationsdiensten oder der Bereitstellung von Diensten mit Zusatznutzen sowie sonstige Übermittlungen dürfen nur auf Grund einer jederzeit widerrufbaren Zustimmung der Betroffenen erfolgen. Diese Verwendung ist auf das erforderliche Maß und den zur Vermarktung erforderlichen Zeitraum zu beschränken. Die Anbieter dürfen die Bereitstellung ihrer Dienste nicht von einer solchen Zustimmung abhängig machen.
(3) Der Anbieter ist verpflichtet, den Teilnehmer oder Benutzer darüber zu informieren, welche personenbezogenen Daten er ermitteln, verarbeiten und übermitteln wird, auf welcher Rechtsgrundlage und für welche Zwecke dies erfolgt und für wie lange die Daten gespeichert werden. Diese Information hat auch auf das Recht hinzuweisen, die Verarbeitung zu verweigern. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung oder Erleichterung der Übertragung einer Nachricht über ein Kommunikationsnetz ist oder, soweit dies unbedingt erforderlich ist, um einen vom Teilnehmer oder Benutzer ausdrücklich gewünschten Dienst zur Verfügung zu stellen. Der Teilnehmer ist auch über die Nutzungsmöglichkeiten auf Grund der in elektronischen Fassungen der Verzeichnisse eingebetteten Suchfunktionen zu informieren. Diese Information hat in geeigneter Form, insbesondere im Rahmen Allgemeiner Geschäftsbedingungen und spätestens bei Beginn der Rechtsbeziehungen zu erfolgen. Das Auskunftsrecht nach dem Datenschutzgesetz bleibt unberührt.
Die §§ 99 und 100 TKG 2003 lauten samt Überschriften:
„ Verkehrsdaten
§ 99 . (1) Verkehrsdaten dürfen außer in den gesetzlich geregelten Fällen nicht gespeichert werden und sind vom Betreiber nach Beendigung der Verbindung unverzüglich zu löschen oder zu anonymisieren.
(2) Sofern dies für Zwecke der Verrechnung von Entgelten, einschließlich der Entgelte für Zusammenschaltungen, erforderlich ist, hat der Betreiber Verkehrsdaten bis zum Ablauf jener Frist zu speichern, innerhalb derer die Rechnung rechtlich angefochten werden oder der Anspruch auf Zahlung geltend gemacht werden kann. Diese Daten sind im Streitfall der entscheidenden Einrichtung sowie der Schlichtungsstelle unverkürzt zur Verfügung zu stellen. Wird ein Verfahren über die Höhe der Entgelte eingeleitet, dürfen die Daten bis zur endgültigen Entscheidung über die Höhe der Entgelte nicht gelöscht werden. Der Umfang der gespeicherten Verkehrsdaten ist auf das unbedingt notwendige Minimum zu beschränken.
(3) Die Verarbeitung von Verkehrsdaten darf nur durch solche Personen erfolgen, die für die Entgeltverrechnung oder Verkehrsabwicklung, Behebung von Störungen, Kundenanfragen, Betrugsermittlung oder Vermarktung der Kommunikationsdienste oder für die Bereitstellung von Diensten mit Zusatznutzen zuständig sind oder die von diesen Personen beauftragt wurden. Der Umfang der verwendeten Verkehrsdaten ist auf das unbedingt notwendige Minimum zu beschränken.
(4) Dem Betreiber ist es außer in den gesetzlich besonders geregelten Fällen untersagt, einen Teilnehmeranschluss über die Zwecke der Verrechnung hinaus nach den von diesem Anschluss aus angerufenen Teilnehmernummern auszuwerten. Mit Zustimmung des Teilnehmers darf der Betreiber die Daten zur Vermarktung für Zwecke der eigenen Telekommunikationsdienste oder für die Bereitstellung von Diensten mit Zusatznutzen verwenden.
Entgeltnachweis
§ 100 . (1) Die Teilnehmerentgelte sind in Form eines Einzelentgeltnachweises darzustellen, sofern der Teilnehmer dem nicht widerspricht. Dem Teilnehmer ist die Wahlmöglichkeit einzuräumen, den Einzelentgeltnachweis auf Verlangen entgeltfrei in Papierform zu erhalten. Der Entgeltnachweis hat einen Hinweis auf die Möglichkeit der Überprüfung der Entgelte sowie eine aktuelle Kontaktmöglichkeit zu dem den Entgeltnachweis versendenden Betreiber zu enthalten.
(2) Die Regulierungsbehörde kann mit Verordnung den Detaillierungsgrad und die Form der Bereitstellung des Entgeltnachweises festlegen. Sie hat dabei auf die Art des Teilnehmerverhältnisses und des Dienstes, die technischen Möglichkeiten, auf den Schutz personenbezogener Daten sowie darauf Bedacht zu nehmen, dass Teilnehmer ihre Ausgaben steuern können und Erbringer von Mehrwertdiensten identifiziert sind.
(3) Bei der Erstellung eines Entgeltnachweises dürfen nur jene Daten verarbeitet werden, die dafür unbedingt erforderlich sind. Die passiven Teilnehmernummern oder sonstigen Angaben zur Identifizierung eines Empfängers einer Nachricht dürfen im Einzelentgeltnachweis nur in verkürzter Form ausgewiesen werden, es sei denn, die Tarifierung einer Verbindung lässt sich nur aus der unverkürzten Teilnehmernummer ableiten oder der Teilnehmer hat schriftlich erklärt, dass er alle bestehenden Mitbenutzer des Anschlusses darüber informiert hat und künftige Mitbenutzer informieren wird. Allfällige weitere arbeitsrechtliche Beschränkungen bleiben unberührt. Anrufe oder sonstige Verbindungen, für die keine Entgeltpflicht entsteht, sowie Anrufe bei oder Verbindungen mit Notrufdiensten dürfen nicht ausgewiesen werden.
(4) Für das Löschen der Daten eines Entgeltnachweises gelten dieselben Fristen wie für das Löschen von Verkehrsdaten.“
2. rechtliche Schlussfolgerungen
a) Allgemeines
Zunächst ist die Fragestellung nach zwei Punkten zu unterteilen: Zum einen in die Frage der Verkehrs- bzw. Verbindungsdaten („Billing“-Daten, Inhalt des „Datawarehouse“ der Beschwerdegegnerin) und die Frage, ob aus diesem Datenbestand, soweit ein Personenbezug herstellbar ist, dem Betroffenen Auskunft zu erteilen ist, oder ob fernmelderechtliche Spezialbestimmungen dem entgegenstehen. Zum anderen in die Frage sonstiger Datenspeicherungen wie E-Mail-Inhalts-, Kundenbetreuungs- und Forderungsdaten.
b) den Beschwerdeführer betreffende Verkehrsdaten
Die Beschwerdegegnerin wendet hier mit Recht ein, dass das Fernmelderecht gemäß §§ 92 Abs. 1 iVm 100 Abs. 1 TKG 2003 dem Betroffenen nur ein auf den Erhalt eines Einzelentgeltnachweises eingeschränktes Recht einräumt, über gespeicherte Verkehrsdaten Auskunft zu erhalten. Im Sinne der oben zitierten Rechtsvorschriften geht diese Beschränkung als Spezialvorschrift (lex specialis) dem allgemeinen Auskunftsrecht gemäß § 26 DSG 2000 vor. Der Sinn dieser Rechtsvorschrift besteht darin, dass es dem Betreiber (als datenschutzrechtlichem Auftraggeber) insbesondere im Nachhinein mit vertretbarem Aufwand nicht möglich ist, festzustellen, ob die Daten einer bestimmten Verbindung sich auf den Teilnehmer oder etwaige Mitbenutzer des Anschlusses beziehen (vgl. § 100 Abs. 3 TKG 2003).
Durch die im Beschwerdeverfahren bekräftigte Weigerung der Beschwerdegegnerin, Auskunft über Verkehrsdaten zu erteilen, ist der Beschwerdeführer daher nicht in seinem Recht auf Auskunft verletzt worden.
c) sonstige Daten
Die Auskunftserteilung vom 3. November 2008 war auf Auskunft über den Inhalt der Stammdaten des Beschwerdeführers gemäß § 92 Abs. 3 Z 3 TKG 2003 beschränkt. Das Auskunftsbegehren selbst war jedoch viel weiter gefasst, wobei auf andere als Verkehrsdaten im engeren Sinne des TKG 2003 keine spezifisch fernmelderechtlichen Auskunftsbeschränkungen Anwendung finden.
Die Beschwerdegegnerin hat im Ermittlungsverfahren selbst zugestanden, E-Mails mit Bezug auf den Beschwerdeführer, Forderungsdaten und so genannte CRM-Daten zu speichern, allerdings letztere mit der Einschränkung, es werde „lediglich“ gespeichert, „dass der Betroffene seine letzte Bestellung im Onlineshop abgegeben hat.“ Was auch immer in diesem Zusammenhang als „CRM-Daten“ gespeichert wird, ist personenbezogen und wäre gegenüber dem Beschwerdeführer gesetzmäßig zu beauskunften gewesen. Gleiches gilt für die von der Beschwerdegegnerin zugestandenen Daten zu Zahlungsrückständen des Beschwerdeführers. Hinsichtlich der E-Mails ist zu sagen, dass diese dem Beschwerdeführer zwar in seiner Eigenschaft als Teilnehmer der entsprechenden wechselseitigen Korrespondenz bekannt sein dürften, es sich aber dennoch um automationsunterstützt verarbeitete Daten mit Bezug auf den Beschwerdeführer handelt, die nach dem Wortlaut der anzuwendenden Rechtsvorschriften nicht vom Auskunftsrecht ausgenommen sind (anders etwa eine Korrespondenz für rein persönliche oder familiäre Zwecke, vgl. dazu den Bescheid der Datenschutzkommission vom 24. Oktober 2007, GZ: K121.273/0016- DSK/2007, RIS).
Somit hat die Beschwerdegegnerin den Beschwerdeführer dadurch, dass sie ihm keine vollständige Auskunft im Sinne des § 26 Abs. 1 DSG 2000 erteilt hat, in seinem Recht auf Auskunft verletzt. Es war daher spruchgemäß ein vollstreckbarer Leistungsauftrag unter Setzung einer angemessenen Frist (§ 59 Abs. 2 AVG) zu erlassen.
Rückverweise
