GZ: DSB-D122.995/0003-DSB/2018 vom 13.12.2018
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Dieter A*** (Beschwerdeführer) vom 8.6.2018 gegen N*** Mobilfunk GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Löschung wie folgt:
1. Der Beschwerde wird stattgegeben und festgestellt , dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzte, indem sie dessen personenbezogene Daten (Verkehrsdaten iSd § 92 Abs. 3 Z 4 TKG 2003) über einen zulässigen Zeitraum hinaus verarbeitete und entgegen seinem Antrag nicht löschte.
2. Der Beschwerdegegnerin wird aufgetragen , innerhalb einer Frist von 2 Wochen bei sonstiger Exekution, die Verkehrsdaten des Beschwerdeführers zu löschen oder zu anonymisieren.
Rechtsgrundlagen : §§ 24 Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 92 Abs. 3 Z 4 und 99 des Telekommunikationsgesetzes 2003 (TKG 2003), BGBl I Nr. 70/2003 idgF; Art. 5 Abs. 1 lit. e, Art. 17, Art. 58 Abs. 2 lit. d und Art. 77 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 S. 1.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. In seiner Beschwerde vom 8.6.2018 behauptete der Beschwerdeführer eine Verletzung im Recht auf Löschung und brachte im Wesentlichen vor, er habe mit der Beschwerdegegnerin einen Mobilfunkvertrag abgeschlossen. Seinem Rechtsverständnis zufolge, dürften Verkehrsdaten gemäß § 99 TKG 2003 längstens drei Monaten gespeichert bzw. müssten sodann anonymisiert werden. Er habe der Beschwerdegegnerin am 5.6.2018 einen Antrag auf Löschung übermittelt. Konkret gehe es um die Löschung der Verkehrsdaten betreffend die Rechnungsnummern 6147068962, 6148927261 und 9327594470. Diesen Antrag auf Löschung bzw. Anonymisierung habe die Beschwerdegegnerin abgelehnt.
2. Mit Schreiben der Datenschutzbehörde vom 12.6.2018, GZ DSB-D122.995/0001-DSB/2018, wurde die Beschwerdegegnerin aufgefordert, zu der gegen sie eingebrachten Beschwerde Stellung zu nehmen.
3. Mit Stellungnahme vom 29.6.2018 brachte die Beschwerdegegnerin vor, sie verarbeite Daten im Sinne von §§ 92 ff TKG 2003. Bei der Verkehrsdatenverarbeitung werde einerseits zwischen der Verkehrsdatenverarbeitung zu Verrechnungszwecken und andererseits der Verkehrsdatenverarbeitung zu betrieblichen Zwecken unterschieden. Betreffend die Verkehrsdatenverarbeitung zu Verrechnungszwecken regle der § 99 Abs. 2 TKG 2003 jene Fälle, wann Verkehrsdaten nicht zu löschen seien. Neben der Verkehrsdatenverarbeitung zu Verrechnungszwecken sei die Verarbeitung von Verkehrsdaten für ein Mobilfunkunternehmen essentiell, um den Betrieb des Netzes und damit die Erfüllung der Serviceverträge mit Endkunden sicherstellen zu können. Das TKG 2003 enthalte hinsichtlich der betrieblichen Zwecke keine Regelung für konkrete Aufbewahrungsfristen. Vielmehr lege jeder Betreiber diese Fristen gemäß den allgemeinen Datenschutzbestimmungen selbst fest. Diese betrieblichen Zwecke seien essentiell für die Aufrechterhaltung und den Betrieb eines funktionierenden Netzes. Es werde auf den § 99 Abs. 3 TKG 2003 verwiesen. Die Beschwerdegegnerin habe die Aufbewahrungsfristen in verschiedenen unternehmensintern geführten Verfahrensverzeichnissen festgelegt und dokumentiert. Hierbei stütze man sich auf Art. 30 DSGVO. Konkret würden die Verkehrsdaten zu Verrechnungszwecken sechs Monate gespeichert werden. Diese Dauer könne mehrfach begründet werden. Zunächst hänge sie mit der Verrechnung von Endkundenverträgen zusammen. Diese werden den Endkunden in der Regel monatlich in Rechnung gestellt, sodass es im Hinblick auf die bei der Beschwerdegegnerin üblichen acht Rechnungszyklen sein könne, dass ein Datum bereits bis zu vier Wochen alt sein könne, bis es auf eine Rechnung gedruckt werde. Unter Berücksichtigung des Postlaufes für die Übermittlung an den Endkunden sowie für einen Einspruch und der dreimonatigen Einspruchsfrist gemäß § 71 Abs. 1 TKG 2003 errechne sich eine ca. 5 ½-monatige Aufbewahrungsfrist. Darüber hinaus würden Dienste von Roamingpartnern meist nicht so rasch erfolgen, sodass Verkehrsdaten zeitverschoben ausgetauscht und daher erst später verrechnet würden. Die Verrechnung von Zusammenschaltungsleistungen auf Vorleistungsebene könne bis zu drei Jahre danach erfolgen. Hierfür seien diese Verkehrsdaten ebenfalls erforderlich. Im Hinblick auf das Schlichtungsverfahren bei der Regulierungsbehörde gemäß § 71 Abs. 2 ff TKG 2003 könne es dazu kommen, dass sich eine Beschwerde auf eine Rechnung beziehe, deren Verbindungsdaten bereits mehr als drei Monate zurückliegen. Gemäß § 6 AStG habe ein Endkunde darüber hinaus die Möglichkeit, innerhalb eines Jahres ein Schlichtungsverfahren einzuleiten, sodass die Verkehrsdaten im Hinblick darauf sogar ein Jahr aufbewahrt werden müssten. Die Aufbewahrungsfrist von sechs Monaten sei auch im Hinblick auf das RoamingIV-Safeguard-Monitoring (Implementierungsverordnung der EU Kommission 2016/2286) erforderlich. Hierbei werde der Roamingaufschlag nach der sechsten Rechnung, faktisch also erst nach etwa sieben Kalendermonaten, verrechnet. Im Falle eines Einspruches müsse der Grund für die Roamingaufschläge nachvollzogen werden können.
Darüber hinaus brachte die Beschwerdegegnerin vor, der Beschwerdeführer habe im Vorfeld der Beschwerde den Verzicht auf das gesetzlich gewährte Recht hinsichtlich des Rechnungseinspruches angestrebt. Dies sei jedoch im Hinblick darauf, dass dies nicht einseitig erfolgen könne und es jedenfalls der Zustimmung des anderen Vertragspartners – sohin der Beschwerdegegnerin – bedürfe, nicht möglich.
4. Mit Schreiben der Datenschutzbehörde vom 18.7.2018, GZ DSB-D122.995/0002-DSB/2018, wurde dem Beschwerdeführer im Rahmen des Parteiengehörs die Stellungnahme der Beschwerdegegnerin übermittelt.
5. Mit Stellungnahme vom 23.7.2018 brachte der Beschwerdeführer im Wesentlichen vor, dass die Verwendung der Verkehrsdaten nach Ablauf der dreimonatigen Frist gemäß § 99 Abs. 2 TKG 2003 möglich sei, sofern eine Anonymisierung stattfinde. Ein Personenbezug sei nur im Hinblick auf die Endkundenverrechnung notwendig. Da er sich im beschwerdegegenständlichen Zeitraum nicht im Ausland aufgehalten habe, sei die Argumentation der Beschwerdegegnerin betreffend das RoamingIV-Safeguard-Monitorings nicht einschlägig. Sein Mobilfunkvertrag mit der Beschwerdegegnerin sei am 1.6.2018 beendet worden. Er beantrage weiterhin die Löschung oder Anonymisierung aller Verkehrsdaten, die sich auf Rechnungen beziehen, die ihm vor mehr als drei Monaten zugestellt worden seien.
B. Beschwerdegegenstand
Im gegenständlichen Verfahren stellt sich die Frage, ob der Beschwerdeführer dadurch in seinem Recht auf Löschung verletzt wurde, weil die Beschwerdegegnerin die ihn betreffenden Verkehrsdaten nach der in § 99 Abs. 2 TKG 2003 festgelegten Frist von drei Monaten nicht gelöscht oder anonymisiert hat.
C. Sachverhaltsfeststellungen
Die Beschwerdegegnerin betreibt einen Telekommunikationsdienst und hatte mit dem Beschwerdeführer einen Mobilfunkvertrag abgeschlossen, wobei dieser am 1.6.2018 endete.
Es liegt kein Ausnahmetatbestand nach § 99 Abs. 2 Z 1 bis 4 TKG 2003 vor.
Die Beschwerdegegnerin speichert Verkehrsdaten für einen Zeitraum von sechs Monaten.
Der Beschwerdeführer hat der Beschwerdegegnerin am 5.6.2018 einen Antrag auf Löschung der Verkehrsdaten betreffend die Rechnungsnummern 6147068962, 6148927261 und 9327594470 übermittelt, wobei die Beschwerdegegnerin den Antrag abgelehnt hat.
Der Beschwerdeführer begehrt die Löschung oder Anonymisierung aller Verkehrsdaten, die sich auf Rechnungen beziehen, die ihm vor mehr als drei Monaten zugestellt wurden.
Beweiswürdigung : Die Feststellungen beruhen auf dem insofern unstrittigen Vorbringen des Beschwerdeführers sowie der Beschwerdegegnerin.
D. In rechtlicher Hinsicht folgt daraus:
1. Die Bestimmung des § 99 TKG 2003 setzt Art. 6 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation; e-Datenschutz-RL) um (vgl. Feiel/Lehofer , Telekommunikationsgesetz 2003 [2004] 290).
Gemäß Art. 6 Abs. 4 e-Datenschutz-RL wird unterschieden zwischen Verarbeitung von Verkehrsdaten für Verrechnungszwecke (Art. 6 Abs. 2 leg. cit.) einerseits und Verarbeitung zum Zwecke der Vermarktung elektronischer Kommunikationsdienste oder zur Bereitstellung von Diensten mit Zusatznutzen (Art. 6 Abs. 3 leg. cit.) andererseits. Eine derartige Unterscheidung lässt sich auch der Begriffsbestimmung des § 92 Abs. 3 Z 4 TKG 2003 entnehmen (arg. „oder“).
2. In § 99 Abs. 2 TKG 2003 ist die Verarbeitung von Verkehrsdaten zu Verrechnungszwecken geregelt. Schon dem Gesetzeswortlaut zufolge, sind die Verkehrsdaten nach einer Frist von drei Monaten zu löschen oder zu anonymisieren, es sei denn, es liegt einer der in den Z 1 bis 4 normierten Ausnahmetatbestände vor.
3. Die Verarbeitung von Verkehrsdaten zum Zwecke der Vermarktung elektronischer Kommunikationsdienste oder zur Bereitstellung von Diensten mit Zusatznutzen (Art. 6 Abs. 3 e Datenschutz-RL) wird in § 99 Abs. 3 TKG 2003 geregelt, wobei in dieser Bestimmung auch Art. 6 Abs. 4 e-Datenschutz-RL umgesetzt wurde (vgl. nochmals Feiel/Lehofer , aaO, 290). Gemäß § 99 Abs. 3 TKG 2003 ist der Umfang der verarbeiteten Verkehrsdaten auf das unbedingt notwendige Minimum zu beschränken.
4. Wie die Datenschutzbehörde bereits in einem vergleichbaren Beschwerdeverfahren ausgesprochen hat, steht eine längere als die im Gesetz genannte Speicherdauer von drei Monaten nicht im Einklang mit Art. 5 Abs. 1 lit. e DSGVO (vgl. Bescheid der Datenschutzbehörde vom 28.5.2018, GZ DSB D216.471/0001 DSB/2018). Dieser Bestimmung nach müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Person nur so lange ermöglicht, wie es für die Zwecke, für die sie erarbeitet werden, erforderlich ist („Speicherbegrenzung“).
5. Auch im gegenständlichen Fall ist die Beschwerdegegnerin daher nur befugt, Verkehrsdaten zu Verrechnungszwecken gemäß § 99 Abs. 2 TKG 2003 für die Dauer von längstens drei Monaten bzw. bis zum Ablauf der in den Z 1 bis 4 dieser Bestimmung genannten Fristen zu speichern.
6. Der Beschwerdegegnerin ist zwar zu folgen, dass das TGK 2003 (und auch nicht die e-Datenschutz-RL) eine explizite Löschungsfrist für Verkehrsdaten zum Zwecke der Vermarktung elektronischer Kommunikationsdienste oder zur Bereitstellung von Diensten mit Zusatznutzen normiert. Angesichts der Tatsache, dass im vorliegenden Fall das Vertragsverhältnis zwischen den Verfahrensparteien unstrittig am 1.6.2018 endete, ist nicht ersichtlich, weshalb zum Zeitpunkt der nunmehrigen Entscheidung (im Dezember 2018) die Verarbeitung dieser Verkehrsdaten weiterhin erforderlich ist.
7. Da zum jetzigen Zeitpunkt jedenfalls die Frist von drei Monaten gemäß § 99 Abs. 2 TKG 2003 verstrichen ist, kein Anwendungsfall des Abs. 2 Z 1 bis 4 leg. cit. vorliegt und auch für die weitere Aufbewahrung von Verkehrsdaten zu sonstigen Zwecken keine Rechtfertigung ersichtlich ist, sind folglich sämtliche Verkehrsdaten betreffend den Beschwerdeführer zu löschen oder zu anonymisieren.
8. Für die Widerherstellung des datenschutzkonformen Zustandes war die Datenschutzbehörde daher gemäß Art. 58 Abs. 2 lit. d DSGVO iVm § 24 Abs. 5 DSG berechtigt, die Beschwerdegegnerin binnen einer gesetzten Frist spruchgemäß anzuweisen, den rechtskonformen Zustand herzustellen.
Der Beschwerde war daher spruchgemäß stattzugeben.
Rückverweise
