[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
B E S C H E I D
Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KÖNIG, Mag. HUTTERER, Mag. MAITZ-STRASSNIG, Mag. HEILEGGER und Dr. HEISSENBERGER sowie der Schriftführerin Mag. HAJICEK in ihrer Sitzung vom 3. August 2012 folgenden Beschluss gefasst:
S p r u c h
Über die Beschwerde des Leon H*** in Wien (Beschwerdeführer) vom 9. Februar 2012 (ha. eingelangt am 10. Februar 2012), gegen die Y*** AG in Wien (Beschwerdegegnerin), vertreten durch die J***Rechtsanwälte GmbH, wegen Verletzung im Recht auf Auskunft (Unvollständigkeit) wird entschieden:
Rechtsgrundlagen: § 1 Abs. 3 Z 1, § 26 und § 31 Abs. 1 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF, iVm § 92 Abs.1, Abs. 3 Z 4 und § 100 Abs. 1 und 3 Telekommunikationsgesetz 2003 (TKG), BGBl I Nr 70/2003.
B e g r ü n d u n g :
A. Verfahrensgang und Vorbringen der Parteien
1. Der Beschwerdeführer behauptet eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin auf sein Auskunftsbegehren vom 28. November 2011 nur unvollständig reagiert hätte. Es würden Daten zur Bonität, zu Vertragsverhältnissen der Vergangenheit, zu anderen Verträgen als den den Anlass für das Auskunftsbegehren bildenden „X** Kombi“, zu Dienstleistern, zu Daten im Zusammenhang mit Kontakten mit dem Callcenter (Hotline von X**; glaublich Kundennummer, Anliegen, Gesprächsinhalt und eventuelle Veranlassungen) sowie betreffend das Zustandekommen der automatisierten Ermittlung und dem logischen Ablauf der automatisierten Einzelentscheidungen fehlen.
Die Datenschutzkommission möge der Beschwerdegegnerin daher durch Bescheid auftragen, binnen einer angemessenen Frist die begehrte Auskunft zu erteilen, richtig zu stellen bzw. zu ergänzen.
2. Die mit den Vorwürfen konfrontierte Beschwerdegegnerin ergänzte, anwaltlich vertreten, die Auskunft mit Schreiben vom 7. März 2012.
3. Im dazu gewährten Parteiengehör monierte der Beschwerdeführer , die Auskunft enthalte auch weiterhin keine Rechnungs-, Verbindungs- und Bonitätsdaten. Zur im Auskunftsschreiben vom 7. März 2012 erwähnten Konkursausbuchung sei der Datenbestand nicht bekannt gegeben worden. Auch die Daten zu weiteren Vertragsverhältnissen würden in der Auskunft fehlen. Überdies sei die erteilte Auskunft nicht allgemein verständlich, da die übermittelten Beilagen seitenweise aus unverständlichen, anscheinend firmeninternen Codierungen mit teilweise abgeschnittenen Zeilen bzw. Inhalten bestünden. Es werde allgemein der Eindruck erweckt, möglichst wenige Daten beauskunften zu wollen.
4. Erneut zur Stellungnahme aufgefordert, ergänzte die Beschwerdegegnerin ihre Auskunft mit Schreiben vom 23. April 2012 erneut.
5. Im dazu gewährten Parteiengehör gab der Beschwerdeführer binnen offener Frist (die Zustellung ist durch Hinterlegung am 3. Mai 2012 ausgewiesen) keine Stellungnahme ab.
B. Beschwerdegegenstand
Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin auf das Auskunftsbegehren des Beschwerdeführers vom 28. November 2011 im Rahmen des Beschwerdevorbringens rechtmäßig iSd DSG 2000 reagiert hat.
C. Sachverhaltsfeststellungen
Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:
Der Beschwerdeführer stellte am 28. November 2011 per Mail an die Adresse service@y***.com folgendes Auskunftsbegehren:
„Sehr geehrte Damen! Sehr geehrte Herren!
Sie führen personenbezogene Datenverarbeitung(en) und Datenanwendungen. Ich ersuche Sie unter Hinweis auf § 1 DSG 2000 und alle weiteren anwendbaren Bestimmungen des DG 2000 um Beantwortung der folgenden Fragen:
Sie werden ersucht, auch alle anfallenden Daten zu beauskunften, die sich in anderen Dateien befinden, jedoch über Schlüssel-, Such- und Referenzbegriffe mit meinen personenbezogenen Daten direkt oder indirekt verknüpft werden können (§ 4 DSG 2000).
Werden die Daten nach § 10 DSG 2000 verarbeitet, ersuche ich um die zusätzliche Angabe von Name und Anschrift Ihres Dienstleisters.
Wenn Sie Daten im internationalen Datenverkehr verarbeiten, ersuche ich Sie unter Hinweis auf die §§ 12-13 DSG 2000, die Geschäftszahl der Genehmigung durch die Datenschutzkommission anzugeben.
* Ich kenne Ihre DVR-Nummer nicht und bitte Sie um Bekanntgabe der Nummer.
* Sollten Sie an meiner Mitarbeit nach § 26 DSG 2000 interessiert sein, so bitte ich Sie um eine Liste Ihrer Verarbeitungen. Ich kenne diese nämlich nicht.
* Als gesetzlich vorgeschriebenen Beitrag zu Mitarbeit, stelle ich das Auskunftsbegehren als Kunde (Nr. *****) von dem Sie aus mir unbekannten Gründen eine „Kaution“ verlangt haben. Die Bekanntgabe meines Geburtsdatums und meiner Adresse sowie der Nachweis meiner Identität ist bereits mit vorhergehender Korrespondenz erfolgt.
Zum Nachweis meiner Identität möchte ich Sie darauf hinweisen, daß Sie Ihre Auskunft mit ‘RSa‘ oder ‘eingeschrieben, eigenhändig mit Rückschein‘ zustellen lassen können. Die Post überprüft dann die Identität. Weitere Zweifel an der Identität sind können nicht bestehen, da die von Ihnen angegebene Kundennummer eindeutig sein muss.
Soweit Sie Daten in automatisierter Form ermitteln (berechnen), die rechtliche Folgen haben können oder die Ihre Entscheidung zur Erbringung oder Nicht-Erbringung von Leistungen gegen meine Person beeinflussen können, wird gemäß §49 Abs 3 DSG 2000 beantragt das Zustandekommen der automatisierten Ermittlung (Berechnungsmethode) und des logischen Ablaufs der automatisierten Entscheidungsfindung zu beauskunften. Dies bezieht sich insbesondere auf Bewertungen, Einschätzungen und Ratings, die geeignet sind meine beruflichen Leistungsfähigkeit, meine Kreditwürdigkeit, meine Zuverlässigkeit oder mein Verhaltens zu bewerten.
Gemäß § 26 DSG 2000 hat die Auskunft binnen acht Wochen schriftlich, kostenlos und in allgemein verständlicher Form zu erfolgen.
...“
Die Beschwerdegegnerin beantwortete dieses Begehren zunächst per Schreiben vom 15. Dezember 2011 wie folgt:
„Sehr geehrter Herr H***,
in Beantwortung Ihres Mails dürfen wir Sie informieren, dass wir als Netzbetreiber an die gesetzlichen Bestimmungen des Datenschutzgesetzes (DSG) 2000 sowie des Telekommunikationsgesetzes (TKG) 2003 gebunden sind.
Nachfolgend erlauben wir uns Sie über – Art der Daten und deren Behandlung – zu informieren.
Gemäß § 96 TKG 2003 dürfen Stammdaten, Verkehrsdaten, Standortdaten und Inhaltsdaten nur für Zwecke der Besorgung eines Kommunikationsdienstes ermittelt oder verarbeitet werden.
Stammdaten – personenbezogene Daten – dürfen gemäß § 92 TKG 2003 iVm unseren Allgemeinen Geschäftsbedingungen (ABG) nur für die Begründung, die Abwicklung, Änderung oder Beendigung der Rechtsbeziehungen zwischen dem Benutzer und dem Anbieter von Telekommunikationsdienstleistungen oder zur Erstellung und Herausgabe von Teilnehmerverzeichnissen erforderlich, gespeichert werden.
Stammdaten sind Familien- und Vorname, Geburtsdatum, akademischer Grad, Adresse, Teilnehmernummer, Bankverbindung, Kontaktinformationen, Informationen über Art und Inhalt des Vertragsverhältnisses und Bonität.
Gemäß § 97 TKG 2003 dürfen Stammdaten nur für Zwecke des Abschlusses, der Durchführung, Änderung oder Beendigung der Rechtsbeziehung (Vertrages) mit dem Teilnehmer, der Verrechnung der Entgelte, der Erstellung von Teilnehmerverzeichnissen und für die Erteilung von Auskünften an Notrufträger ermittelt und verarbeitet werden.
Stammdaten sind nach Beendigung der Rechtsbeziehung mit dem Teilnehmer zu löschen. Ausnahmen sind zulässig, wenn diese Daten noch benötigt werden, um Entgelte zu verrechnen oder einzubringen, Beschwerden zu bearbeiten oder sonstige gesetzliche Verpflichtungen zu erfüllen.
Verkehrsdaten sind gemäß § 92 TKG 2003 iVm unseren AGB, Daten, die zum Zwecke der Weiterleitung einer Nachricht an ein Kommunikationsnetz oder zum Zwecke der Fakturierung dieses Vorganges verarbeitet werden; diese sind aktive und passive Teilnehmernummern, Anschrift des Teilnehmers, Art des Endgerätes, Zeitpunkt und Dauer der Verbindung, übermittelte Datenmenge, andere Zahlungsinformationen, wie die Bankverbindung, Ratenzahlung, Sperre, Kündigung, Portierung des Anschlusses sowie allfällige Mahnung.
Gemäß § 99 TKG 2003 dürfen Verkehrsdaten grundsätzlich nicht gespeichert werden und sind vom Betreiber unverzüglich zu löschen oder zu anonymisieren. Der Betreiber hat jedoch das Recht, sofern dies für Zwecke der Verrechnung von Entgelten, einschließlich der Entgelte für Zusammenschaltungen, erforderlich ist, die Verkehrsdaten bis zum Ablauf jener Frist zu speichern, innerhalb derer die Rechnung rechtlich angefochten werden oder der Anspruch auf Zahlung geltend gemacht werden kann. Wird ein Verfahren über die Höhe der Entgelte eingeleitet, dürfen die Daten bis zur endgültigen Entscheidung nicht gelöscht werden.
Verkehrsdaten dürfen gemäß § 96 TKG 2003 iVm unseren AGB mit Zustimmung des Teilnehmers zur Vermarktung für Zwecke der eigenen Telekommunikationsdienste verwendet werden.
In diesem Zusammenhang erteilt der Kunde gemäß unseren AGB seine jederzeit wiederrufbare Zustimmung zur Verwendung der Stamm- und Verkehrsdaten zur bedarfsgerechten Angebotslegung, Servicierung und zur Bereitstellung von Diensten mit Zusatznutzen sowie zur Unterbreitung persönlicher Handy- sowie Produkt- und Serviceangebote durch Y*** AG auch mittels SMS/MMS, E-Mail und Telefon sowie eine Übermittlung an die Konzernunternehmen und zum Zwecke der Einmeldung von Bonitätsdaten.
Standortdaten , sind gemäß § 92 TKG 2003, Daten, die in einem Kommunikationsnetz verarbeitet werden und die den geografischen Standort der Telekommunikationseinrichtung eines Nutzers eines öffentlichen Kommunikationsdienstes angeben.
Gemäß § 102 TKG 2003 dürfen andere Standortdaten als Verkehrsdaten nur verarbeitet werden wenn sie anonymisiert werden oder die Benutzer oder Teilnehmer eine jederzeit widerrufbare Einwilligung gegeben haben.
Inhaltsdaten sind gemäß § 92 TKG 2003, Inhalte übertragener Nachrichten und dürfen gemäß § 101 TKG 2003 nur für die Leistungserfüllung notwendige Dauer gespeichert werden. Die Löschung der gespeicherten Inhaltsdaten erfolgt, sofern der Kunde die Möglichkeit hat, grundsätzlich vorher von diesem selbst bzw. nach Leistungserfüllung durch Y*** AG automatisch.
Folgende Daten sind zu Ihrer Person gespeichert:
[Es folgt eine Aufstellung der Datenarten und Daten zur Person des Beschwerdeführers.]
Herkunft der Daten
Die Daten haben wir durch Bekanntgabe bei Vertragsabschluss und für das Erbringen unserer Dienste erhalten.
Zweck der Datenverwendung
Die ermittelten Daten werden von Y*** AG zum Zweck der Erbringung von Telekommunikationsdienstleistungen verarbeitet.
Rechtsgrundlagen
Die Rechtsgrundlagen für die Verarbeitung Ihrer Daten durch uns sind Gewerbeberechtigungen für: Content Providing, Dienstleistungen in der automatischen Datenverarbeitung und IT, Handelsgewerbe und Handelsagenten und den Betrieb eines Call-Centers.
DVR-Nummer
Unsere DVR-Nummer lautet: ******
Überlassung von Daten (Dienstleister)
Insoweit Y*** AG Dienstleister in Anspruch nimmt, werden nur für das Erbringen der Dienstleistung erforderliche Daten dem jeweiligen Dienstleister überlassen, die dieser nach Erbringung des Werks unverzüglich zu löschen hat.
Löschung von Daten
Gemäß DSG 2000, TKG 2003 iVm unseren AGB werden Stammdaten im Sinne der gesetzlichen Bestimmungen spätestens zehn Jahre nach Abwicklung aller aus dem Vertragsverhältnis stammenden Ansprüche gelöscht.
In diesem Zusammenhang dürfen wir auch auf die gesetzlichen Vorschriften des § 132 Bundesabgabenverordnung und § 212 Unternehmensgesetzbuch verweisen.
Verkehrsdaten werden im Sinne der gesetzlichen Bestimmungen binnen sechs Monaten nach Bezahlung der entsprechenden Entgelte gelöscht.
Im Falle von Einwendungen gegen die in Rechnung gestellte Entgeltforderungen werden die Daten binnen sechs Monaten nach Vorliegen einer rechtskräftigen Entscheidung gelöscht.
Wir hoffen, Ihre Anfrage zur Zufriedenheit beantwortet zu haben und verbleiben
...“
Nach Beschwerdeerhebung ergänzte die Beschwerdegegnerin, rechtsanwaltlich vertreten, die Auskunft mit Schreiben vom 7. März 2012 wie folgt:
„Sehr geehrter Herr H***!
In obiger Angelegenheit wurden wir von der Y*** Aktiengesellschaft beauftragt, aufgrund der an unsere Mandantin gerichtete Beschwerde vom 9. Februar 2012, mit der Sie eine Verletzung um Rechteauskunft (Unvollständigkeit) behaupten, Auskunft zu erteilen wie folgt:
ad 1. und 6. (Bezug erfolgt auf die von Ihnen angeführten Beschwerdepunkte in der Beschwerde vom 9. Februar 2012):
Sie führen an, es sei von Ihnen eine Kaution in Höhe von EUR 250,00 verlangt worden und unsere Mandantin würde offensichtlich über Bonitätsdaten verfügen, die nicht beauskunftet worden seien. Dazu ist festzuhalten, dass die von Ihnen einverlangte Sicherheitsleistung in Höhe von EUR 250,00 vereinbarungsgemäß eingefordert wurde (vgl. etwa AGB ***). Eine Bonitätsabfrage hinsichtlich Sie betreffende personenbezogene Daten erfolgte nicht, unserer Mandantin war aufgrund der damaligen Geschäftsbeziehung mit Ihnen bekannt, dass ein Konkursverfahren gegen Sie anhängig war, weswegen unsere Mandantin eine Konkursausbuchung in Höhe von EUR 1.325,05 veranlassen musste (zu Kunden Nr. ***).
ad 2.:
Die Adresse *** ist als Versandanschrift (Stammdaten) gespeichert. Weitere Adressen sind nicht vermerkt.
ad 3.:
In Ergänzung zur bereits mit Schreiben vom 15. Dezember 2011 erteilten Auskunft (personenbezogene Daten – Speicherung) sind folgende Daten gespeichert:
[Es folgt eine Aufstellung der Datenarten und Daten zur Person des Beschwerdeführers.]
Zur Erläuterung wird darauf verwiesen, dass aufgrund einer irrtümlichen Dateneingabe (Ziffernsturz beim Namen) anlässlich der Beauskunftung vom 15. Dezember 2011 obiger Datensatz nicht beauskunftet werden konnte. Aufgrund einer nochmaligen Überprüfung konnte der Datensatz aufgefunden und entsprechend korrigiert werden (statt *** richtig H***).
Daraus ergibt sich ein weiteres Vertragsverhältnis mit unserer Mandantin.
ad 4.:
[Hier folgt eine Aufstellung von Filialen der Beschwerdegegnerin samt Anschrift]
Mit freundlichen Grüßen
...“
Diesem Auskunftsbegehren waren angeschlossen Auszüge aus den Datenanwendungen „***“ und „***“ zu verschiedenen Kundennummern.
Mit Schreiben vom 23. April 2012 ergänzte die Beschwerdegegnerin die Auskunft erneut wie folgt:
„Sehr geehrter Herr H***!
In dieser Angelegenheit teilte uns die Datenschutzkommission zu DSK-K121.819/0012-DSK/2012 mit Schreiben vom 28. März 2012 mit, dass gemäß Ihrer mit übermittelten E-Mail-Nachricht die von unserer Mandantin erteilte Auskunft unvollständig bzw. unverständlich sein soll.
Namens und Auftrags unserer Mandantin nehmen wir Stellung wie folgt:
1. Zu Ihrer Behauptung, wonach weder Rechnungs-, noch Verbindungsdaten, geschweige denn Bonitätsdaten übermittelten worden wären.
Dazu ist festzuhalten, dass der Übermittlung von Verkehrsdaten das TKG 2003 entgegensteht. Gemäß der hier anzuwendenden Bestimmung des § 92 Abs. 1 Z. 3 sind Verkehrsdaten als Daten zu qualifizieren, die zum Zwecke der Weiterleitung einer Nachricht an ein Kommunikationsnetz oder zum Zwecke der Fakturierung dieses Vorgangs verarbeitet werden. Im Sinne der hier zu Geltung und Anwendung gelangenden Bestimmungen des § 92 Abs. 1 iVm § 100 Abs. 1 TKG 2003 hat der jeweilige Betroffene ausschließlich (und nicht mehr) das Recht auf Erhalt eines Einzelentgeltnachweises, der über gespeicherte Verkehrsdaten Auskunft gibt. Diese Beschränkung geht als Spezialvorschrift dem allgemeinen Auskunftsrecht gemäß § 26 DSG 2000 vor. Außer in diesen engen gesetzlich geregelten Fällen dürfen gemäß § 99 TKG 2003 Verkehrsdaten grundsätzlich nicht gespeichert werden und sind daher vom Betreiber unverzüglich zu löschen oder zu anonymisieren . Die Löschung der Daten erfolgt gemäß den gesetzlichen Bestimmungen in Verbindung mit den AGB unserer Mandantin. Unabhängig davon erfolgt die Löschung der Vorratsdaten gemäß § 102a TKG 2003 nach sechs Monaten.
Verbindungsdaten stellen eine Auswertung von Verkehrs-, Inhalts- und Standortdaten gemäß § 94 TKG 2003 iVm §§ 134 Z. 2 und 135 Z. 2 StPO, sohin eine Überwachung des Fernmeldeverkehrs dar und kann ausschließlich durch die zuständige Staatsanwaltschaft angeordnet werden.
Allfällig noch vorhandene Verbindungsdaten können daher nicht zu Verfügung gestellt werden, da dies eine Umgehung der §§ 92 ff TKG 2003 darstellen würde und wie oben erwähnt diese als lex specialis gegenüber § 26 DSG 2000 den Vorzug zu geben ist.
Unsere Mandantin ist jedoch gerne dazu bereit, Ihnen gemäß § 6 Abs. 2 EEN-V sowie § 100 Abs. 3 TKG 2003 und unter der Voraussetzung einer schriftlichen Erklärung, dass alle beteiligten und künftigen Mitbenutzer des Anschlusses darüber informiert werden, für einen zukünftigen Abrechnungszeitraum nicht anonymisierte Einzelverbindungsnachweise zur Verfügung zu stellen.
Zur endgültigen Klarstellung wird nochmals darauf hingewiesen, dass es unserer Mandantin auf Grund der rechtlichen Vorgaben des TKG 2003 nicht erlaubt ist, die von Ihnen gewünschten Verbindungsdaten (sofern noch überhaupt vorhanden) zu übermitteln.
Bezüglich der Bonitätsdaten ist auszuführen, dass grundsätzlich bei Vertragsabschluss zu Gläubigerschutzzwecken durch unsere Mandantin eine Bonitätsabfrage bei den dafür zuständigen Stellen erfolgt. Wie Sie bereits unserem Schreiben vom 7. März 2012 entnehmen können, erfolgte jedoch in Ihrem Fall keine Bonitätsabfrage , da festgestellt wurde, dass wegen eines Konkurses Ihrerseits EUR 1.325,05 aus dem ehemaligen Vertragsverhältnis (KDNr. ***) ausgebucht werden mussten. Im Sinne der AGB unserer Mandantin wurden infolge bei neuem Vertragsabschluss von Ihnen eine Sicherheitsleistung bzw. Kaution in Höhe von EUR 250,00 verlangt. Auch wenn es in Ihrem Fall zu einer Bonitätsabfrage gekommen wäre, ist darauf hinzuweisen, dass unsere Mandantin keine Aufzeichnungen samt entsprechenden personenbezogenen Daten bezüglich der Bonität ihrer Kunden führt.
Zu Ihrer sehr allgemein gehaltenen Anfrage von „Rechnungsdaten“ ist auszuführen, dass Sie sämtliche Rechnungen und die damit im Zusammenhang stehenden personenbezogenen Daten bereits übermittelt erhielten. Sofern Sie insofern um Ihnen noch nicht bekannte (?) Rechnungsdaten ersuchen bzw. um nochmalige Übermittlung der Ihnen bereits bekannten Rechnungsdaten, so wird um entsprechende Konkretisierung ersucht.
2. Bezüglich Ihres Auskunftsbegehrens für das Vertragsverhältnis mit der Kundenummer *** liegen unserer Mandantin folgende Daten vor:
[Es folgt eine Aufstellung der Datenarten und Daten zur Person des Beschwerdeführers.]
3. Zu Ihrer Behauptung, dass die bisher erteilte Auskunft bzw. die übermittelten Beilagen allgemein unverständlich wären.
Dazu ist zu erwähnen, dass der an Sie übermittelte Auftrag zur Rufnummernmitnahme (Beilage ./A) Ihren Bestellauftrag in elektronischer Form darstellt. Aus diesem können die Stammdaten (VN, NM, Geburtsdatum, Anschrift, Kontonummer, Kundennummer, Rufnummer, Erreichbarkeitsnummer), Tarif, Art und Vertriebsnummer gewonnen werden. Dies entspricht somit den von Ihnen unterzeichneten Vertragsunterlagen. Zum besseren Verständnis wurden die Vertragsunterlagen diesem Schreiben anbei gegeben.
Bezüglich der von Ihnen angesprochen firmeninternen Codierung ist festzuhalten, dass diese lediglich für die elektronische Verarbeitung erforderlichen Arbeitsschritte zweckdienlich sind. Die zu diesen Codes erfolgten Arbeitsschritte sind in den Spalten „MEMO_SYSTEM_TXT“ und „MEMO_MANUAL_TXT“ näher und allgemein verständlich ausgeführt.
Zur besseren Lesbarkeit wurden die bereits an Sie übermittelten Unterlagen in Excel-Tabellen zusammengefasst. Entnehmen Sie diese ebenfalls anbei.
Mit freundlichen Grüßen
...“
Diesem Schreiben waren angeschlossen der bezogene Portierungsauftrag samt Bestätigung von *** sowie eine detailliertere Aufstellung der Kontakte zu den Kundennummern *** (enthaltend neben Datum und Uhrzeit [SYS_CREATION_DATE, MEMO_DATE] den Inhalt des Vorgangs, einerseits automatisiert durch das System [MEMO_SYSTEM_TXT], andererseits händisch durch einen Mitarbeiter [MEMO_MANUAL_TXT] erstellt).
Beweiswürdigung: Diese Feststellungen ergeben sich aus den jeweiligen Schreiben und den Beilagen selbst und sind unbestritten. Die Herkunft der Callcenterkorrespondenz zu den angeführten Kundennummern ist der Datenschutzkommission aus K121.659 amtsbekannt.
D. In rechtlicher Hinsicht folgt daraus:
1. anzuwendende Rechtsvorschriften
Die Verfassungsbestimmung des § 1 DSG 2000 lautet auszugsweise:
„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;
2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.
…“
§ 26 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 1 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Auskunft über eigene Daten. Er lautet hier wesentlich wie folgt:
„Auskunftsrecht
§ 26. (1) Ein Auftraggeber hat jeder Person oder Personengemeinschaft, die dies schriftlich verlangt und ihre Identität in geeigneter Form nachweist, Auskunft über die zu dieser Person oder Personengemeinschaft verarbeiteten Daten zu geben. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen eines Betroffenen sind auch Namen und Adressen von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Wenn zur Person des Auskunftswerbers keine Daten vorhanden sind, genügt die Bekanntgabe dieses Umstandes (Negativauskunft). Mit Zustimmung des Auskunftswerbers kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.
(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Auskunftswerbers aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen.
Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit
1. des Schutzes der verfassungsmäßigen Einrichtungen der Republik Österreich oder
ergeben. Die Zulässigkeit der Auskunftsverweigerung aus den Gründen der Z 1 bis 5 unterliegt der Kontrolle durch die Datenschutzkommission nach § 30 Abs. 3 und dem besonderen Beschwerdeverfahren vor der Datenschutzkommission gemäß § 31 Abs. 4.
(3) Der Auskunftswerber hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.
(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Auskunftswerber am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.
…“
§ 92 Abs. 1 und Abs. 3 Z 4 TKG lautet:
„Kommunikationsgeheimnis, Datenschutz
Allgemeines
§ 92. (1) Die Bestimmungen dieses Abschnitts gelten für die Verarbeitung und Übermittlung von personenbezogenen Daten in Verbindung mit der Bereitstellung öffentlicher Kommunikationsdienste in öffentlichen Kommunikationsnetzen einschließlich öffentlicher Kommunikationsnetze, die Datenerfassungs- und Identifizierungsgeräte unterstützen. Soweit dieses Bundesgesetz nicht anderes bestimmt, sind auf die in diesem Bundesgesetz geregelten Sachverhalte die Bestimmungen des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999, anzuwenden.
...
(3) ...
4. “Verkehrsdaten” Daten, die zum Zwecke der Weiterleitung einer Nachricht an ein Kommunikationsnetz oder zum Zwecke der Fakturierung dieses Vorgangs verarbeitet werden;
…“
§ 100 Abs. 1 und Abs. 3 TKG lautet:
„Entgeltnachweis
§ 100. (1) Die Teilnehmerentgelte sind in Form eines Einzelentgeltnachweises darzustellen. Die Teilnehmer sind berechtigt, Rechnungen ohne Einzelentgeltnachweis zu erhalten. Bei Vertragsabschluss muss der Teilnehmer zwischen einer Rechnung in elektronischer oder Papierform wählen können. Die Möglichkeit des Teilnehmers, eine unentgeltliche Rechnung in Papierform zu erhalten, darf vertraglich nicht ausgeschlossen werden. Wird der Entgeltnachweis in elektronischer Form zur Verfügung gestellt, muss es dem Teilnehmer möglich sein, den Einzelentgeltnachweis auf gesondertes Verlangen entgeltfrei in Papierform übermittelt zu erhalten. Der Entgeltnachweis hat einen Hinweis auf die Möglichkeit der Überprüfung der Entgelte sowie eine aktuelle Kontaktmöglichkeit zu dem den Entgeltnachweis versendenden Betreiber zu enthalten.
...
(3) Bei der Erstellung eines Entgeltnachweises dürfen nur jene Daten verarbeitet werden, die dafür unbedingt erforderlich sind. Die passiven Teilnehmernummern oder sonstigen Angaben zur Identifizierung eines Empfängers einer Nachricht dürfen im Einzelentgeltnachweis nur in verkürzter Form ausgewiesen werden, es sei denn, die Tarifierung einer Verbindung lässt sich nur aus der unverkürzten Teilnehmernummer ableiten oder der Teilnehmer hat schriftlich erklärt, dass er alle bestehenden Mitbenutzer des Anschlusses darüber informiert hat und künftige Mitbenutzer informieren wird. Allfällige weitere arbeitsrechtliche Beschränkungen bleiben unberührt. Anrufe oder sonstige Verbindungen, für die keine Entgeltpflicht entsteht, sowie Anrufe bei oder Verbindungen mit Notrufdiensten dürfen nicht ausgewiesen werden.
…“
2. Rechtliche Schlussfolgerungen:
Die Beschwerdegegnerin hat auf das Auskunftsbegehren des Beschwerdeführers vom 28. November 2011 sowie auf die darauffolgenden Beschwerden wegen Unvollständigkeit der Auskunft mit mehreren Schreiben, teils rechtsanwaltlich vertreten, reagiert. Die Gesamtschau dieser Schreiben bildet im Entscheidungszeitpunkt die Auskunft der Beschwerdegegnerin, die sich an den gesetzlichen Vorgaben und den zuletzt in der Stellungnahme vom 26. März 2012 behaupteten Mängeln des Beschwerdeführers zu messen hat.
a. Keine Auskunft zu Rechnungs- und Verbindungsdaten
Der Beschwerdeführer sieht sich zunächst dadurch in seinem Recht auf Auskunft verletzt, dass ihm die Beschwerdegegnerin keine Auskunft zu Rechnungs- und Verbindungsdaten erteilt habe. Damit macht er im Ergebnis geltend, die Beschwerdegegnerin hätte ihm keine Auskunft zu Verkehrsdaten gemäß § 92 Abs. 3 Z 4 TKG gegeben. Wie die Datenschutzkommission allerdings bereits ausgesprochen hat, räumt das Fernmelderecht gemäß §§ 92 Abs. 1 iVm 100 Abs. 1 TKG 2003 dem Betroffenen nur ein auf den Erhalt eines Einzelentgeltnachweises eingeschränktes Recht ein, über gespeicherte Verkehrsdaten Auskunft zu erhalten. Im Sinne der oben zitierten Rechtsvorschriften geht diese Beschränkung als Spezialvorschrift (lex specialis) dem allgemeinen Auskunftsrecht gemäß § 26 DSG 2000 vor. Der Sinn dieser Rechtsvorschrift besteht darin, dass es dem Betreiber (als datenschutzrechtlichem Auftraggeber) insbesondere im Nachhinein mit vertretbarem Aufwand nicht möglich ist, festzustellen, ob die Daten einer bestimmten Verbindung sich auf den Teilnehmer oder etwaige Mitbenutzer des Anschlusses beziehen (vgl. § 100 Abs. 3 TKG 2003) (vgl. den Bescheid vom 5. Juni 2009, GZ K121.488/0007-DSK/2009).
Der Beschwerdeführer ist daher durch die Weigerung der Beschwerdegegnerin, Auskunft über Verkehrsdaten zu erteilen, nicht in seinem Recht auf Auskunft verletzt worden.
Dazu wird in der Auskunft vom 23. April 2012 klargestellt, dass eine Bonitätsabfrage betreffend die Person des Beschwerdeführers nicht erfolgt ist und zur Konkursausbuchung das betreffende Vertragsverhältnis (Kundennummer ***) transparent gemacht. Eine Unvollständigkeit oder Unverständlichkeit dieser Auskunft hat der Beschwerdeführer im Parteiengehör nicht mehr geltend gemacht und ist auch für die Datenschutzkommission nicht ersichtlich. Eine Verletzung des Beschwerdeführers im Recht auf Auskunft ist daher auch in diesem Punkt nicht gegeben.
Der Beschwerdeführer moniert im Schreiben vom 26. März 2012 in Replik auf die Auskunft vom 7. März 2012 auch, ein Vertragsverhältnis zur Beschwerdegegnerin sei bisher überhaupt nicht beauskunftet worden.
Die Beschwerdegegnerin hat diesbezüglich in ihrer Auskunft vom 23. April 2012 die zur Person des Beschwerdeführers zur Kundennummer *** vorliegenden (Stamm )Daten bekannt gegeben. Auch zu dieser Auskunft hat der Beschwerdeführer im Parteiengehör nicht Stellung genommen, sodass die Datenschutzkommission davon ausgehen muss, dass dieses Vertragsverhältnis gemeint ist und an der Vollständigkeit keine Zweifel bestehen. Auch insoweit liegt daher keine Verletzung im Recht auf Auskunft vor.
d. Unverständlichkeit der Auskunft
Schließlich moniert der Beschwerdeführer die Unverständlichkeit der Beilagen zum Auskunftsschreiben vom 7. März 2012 durch Verwendung von firmeninternen Codierungen „mit teilweise abgeschnittenen Zeilen bzw. Inhalten“.
Als Reaktion darauf hat die Beschwerdegegnerin die Daten aus den Datenanwendungen „***“ und „***“ in Excel-Tabellen aufbereitet und verständlich dargestellt. Es ist nunmehr zu den einzelnen Kundennummern nachvollziehbar, wann ein Kundenkontakt erfolgt ist und welche Inhalte dazu seitens des Systems bzw. von Mitarbeitern erzeugt wurden. Im Parteiengehör gab der Beschwerdeführer dazu keine Stellungnahme mehr ab. Die ursprünglich vorhandene Unverständlichkeit der Auskunft und die daraus resultierende Verletzung im Recht auf Auskunft wurde somit mit den Beilagen zum Auskunftsschreiben vom 23. April 2012 beseitigt.
Die Beschwerde war daher insgesamt als unbegründet abzuweisen.
Rückverweise
