GZ: DSB-D124.024/0008-DSB/2019 vom 11.02.2020
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Anton A*** (Beschwerdeführer) vom 11.1.2019 gegen die N*** Mobilfunk GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Löschung wie folgt:
1. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzt hat, indem sie personenbezogene Daten des Beschwerdeführers, die älter als sieben Jahre sind, über einen zulässigen Zeitraum hinaus verarbeitete;
2. der Beschwerdegegnerin wird aufgetragen , innerhalb einer Frist von 4 Wochen bei sonstiger Exekution, personenbezogene Daten des Beschwerdeführers gemäß Spruchpunkt 1 zu löschen oder zu anonymisieren;
3. im Übrigen wird die Beschwerde abgewiesen .
Rechtsgrundlagen : §§ 24 Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 92 Abs. 3 Z 3 und 4, 92 Abs. 2 und 99 des Telekommunikationsgesetzes 2003 (TKG 2003), BGBl I Nr. 70/2003 idgF; § 132 Abs. 1 Bundesabgabenordnung (BAO) BGBl. Nr. 194/1961 idgF; § 212 Unternehmensgesetzbuch (UGB) BGBl. I Nr. 114/1997 idgF; Art. 5 Abs. 1 lit. e, Art. 17, Art. 58 Abs. 2 lit. d und Art. 77 der Verordnung (EU) 2016/679 (Datenschutz- Grundverordnung – DSGVO), ABl. Nr. L 119 S. 1.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit Eingabe vom 10.1.2019, ho. eingelangt am 11.1.2019, verbessert durch Eingabe vom 24.1.2019, ho. eingelangt am 25.1.2019, behauptete der Beschwerdeführer (in weiterer Folge: BF) eine Verletzung im Recht auf Löschung durch die Beschwerdegegnerin. Es bestünden keine offenen wechselseitigen Forderungen mehr zwischen ihm und der N*** Mobilfunk GmbH (in weiterer Folge: „N*** Mobilfunk“). Er habe bei „N*** Mobilfunk“ Auskunft über ihn betreffende personenbezogene Daten begehrt und fordere die Löschung aller seiner Daten, die in der Auskunft, durch Schreiben vom 21.12.2018 von „N*** Mobilfunk“ erteilt, enthalten seien.
2. Die Datenschutzbehörde forderte „N*** Mobilfunk“ mit Schreiben vom 22.2.2019, GZ: DSB-D124.024/0002-DSB/2019, auf, zu den Ausführungen des BF Stellung zu nehmen.
3. Die Datenschutzbehörde forderte „N*** Mobilfunk“ mit Schreiben vom 21.3.2019, GZ: DSB-D124.024/0003-DSB/2019, auf, zu den Ausführungen des BF Stellung zu nehmen.
4. Mit Eingabe vom 19.3.2019 erstattete „N*** Mobilfunk“ eine Stellungnahme in der sie ausführte, dass der BF seinen Vertrag mit „N*** Mobilfunk“ am 30.9.2018 gekündigt habe und die letzte offene Rechnung am 26.11.2018 beglichen worden sei. Am 2.12.2018 habe der BF einen Antrag auf Auskunft gemäß Art. 15 DSGVO an „N*** Mobilfunk“ gestellt. Die Auskunft sei am 21.12.2018 erfolgt. Bei den in der Auskunft angeführten Daten des BF handle es sich um Stamm- und Vertragsdaten sowie um Interaktionen mit dem Kundenservice, die auch rechnungsrelevante Informationen darstellen. Der BF habe mit Schreiben vom 24.12.2018, bei „N*** Mobilfunk“ am 4.1.2019 eingelangt, die Löschung seiner personenbezogenen Daten beantragt. Mit Schreiben vom 8.1.2019 habe „N*** Mobilfunk“ dem BF mitgeteilt, dass die Daten unmittelbar nach Wegfall der rechtlichen Grundlage bzw nach Wegfall des jeweiligen Zwecks automatisch gelöscht würden. „N*** Mobilfunk“ sei aufgrund diverser gesetzlicher Vorschriften (insbesondere Steuergesetze, Zivilrecht, Zivilprozessrecht, etc.) auch nach Beendigung des Kundenvertragsverhältnisses dazu verpflichtet, bestimmte Daten weiterhin verfügbar zu halten. Nähere Ausführungen dazu - so „N*** Mobilfunk“ im Schreiben vom 8.1.2019 – seien der Datenschutzerklärung unter www.n***/***datenschutz zu entnehmen. Es sei dort zu entnehmen, dass Stammdaten und andere Daten, die mit einer Rufnummer verbunden seien, sowie Rechnungen und alle rechnungsrelevanten Informationen, innerhalb von sieben Jahren nach Vertragsbeendigung (alleiniger Zweck: Rechnungsprüfungen gemäß Steuergesetze mit alleinigem Zugriff der damit betrauten Abteilungen/Personen) gelöscht würden. Verkehrsdaten würden gemäß § 99 TKG binnen sechs Monaten nach Entstehung der Daten gelöscht (Zweck gemäß TKG: Verrechnung oder betriebsnotwendige Zwecke). Letzteres beziehe sich gemäß § 100 TKG auch auf Einzelgesprächsnachweise. Da der Vertrag am 30.9.2018 beendet worden sei, würden die letzten Verkehrsdaten am 30.3.2019 automatisch gelöscht. Die restlichen Daten würden mittels automatischer Löschroutinen innerhalb der siebenjährigen Aufbewahrungspflicht gelöscht.
5. Mit Erledigung GZ: DSB-D124.024/0005-DSB/2019 vom 1.4.2019 räumte die Datenschutzbehörde dem BF das Recht auf Parteiengehör ein.
6. Der BF nahm mit Eingabe vom 9.4.2019, ho. eingelangt am 12.4.2019, Stellung und führte erwidernd aus, dem Schriftsatz von „N*** Mobilfunk“ sei zwar zu entnehmen, dass die letzten Verkehrsdaten am 30.3.2019 und die restlichen Daten mittels automatischer Löschroutine – wobei der BF nicht nachvollziehen könne, was darunter zu verstehen sei – innerhalb der siebenjährigen Aufbewahrungspflicht gelöscht würden, diese Mitteilung jedoch zu unpräzise und zu wenig konkret sei. Damit werde die Entscheidung, welche Daten dann gelöscht werden dem Beurteilungsvermögen des BF unterstellt, dies sei nicht Zweck der Auskunftserteilung über die Löschung und der Löschung selbst. Der Verweis auf die Datenschutzerklärung und auf maßgebliche zivilgesetzliche Normen sei nicht zielführend, da der BF so wiederum gezwungen sei, einen Datenschutzexperten zu beauftragen, was nicht im Sinne der Regelungen liegen könne. Die Beschwerdegegnerin solle dezidiert sagen – dies müsse sie selbst beurteilen – welche Daten zu welchem Termin gelöscht würden. Alles andere verfehle den Zweck der datenschutzrechtlichen Regelungen.
7. Die Datenschutzbehörde forderte „N*** Mobilfunk“ mit Aufforderung zur ergänzenden Stellungnahme zu GZ: 124.024/0006/-DSB/2019 vom 18.4.2019 auf, bekannt zu geben, welche Daten zu welchem Zeitpunkt gelöscht werden und ersuchte „N*** Mobilfunk“ zudem bekanntzugeben, auf welcher Rechtsgrundlage bzw auf welchen Überlegungen die weitere Verarbeitung der einzelnen Daten beruht.
8. Mit Eingabe vom 14.5.2019 erstattete „N*** Mobilfunk“ eine Stellungnahme in der sie ausführte, dass, wie bereits in ihrer ersten Stellungnahme dargestellt, bestimmte Daten weiterhin von „N*** Mobilfunk“ verfügbar gehalten würden. Konkret würden alle Daten außer Verkehrsdaten, d.h. die Stammdaten sowie andere im Auskunftsschreiben vom 21.12.2018 gelisteten Daten, aufbewahrt. Die Aufbewahrungsdauer betrage sieben Jahre ab Beendigung des Vertragsverhältnisses bzw dem Ende des Jahres, in welchem das Vertragsverhältnis beendet wurde. Die Rechtsgrundlage für diese Aufbewahrung sei § 132 BAO sowie § 212 UGB, da die genannten Daten als Grundlage für Einträge in den Büchern dienen bzw sich in Unterlagen befinden (Rechnungen und weitere rechnungsrelevante Unterlagen) die demselben Zweck dienen. Somit handle es sich bei diesen Daten und Unterlagen um „Aufzeichnungen“ und „Belege“ im Sinne der genannten Bestimmungen, die entsprechenden Aufbewahrungspflichten unterliegen würden. Der Zweck dieser Aufbewahrung sei allfälligen Rechnungsprüfungen gemäß den Steuergesetzen, die im genannten Zeitraum stattfinden könnten, entsprechen zu können.
9. Mit Erledigung GZ: DSB-D124.024/0007-DSB/2019, vom 20.5.2019 räumte die Datenschutzbehörde dem BF Parteiengehör ein.
10. Der BF nahm mit Eingabe vom 28.5.2019, ho. eingelangt am 4.6.2019, Stellung und führte aus, dass „N*** Mobilfunk“ nur allgemein geantwortet und nicht nachvollziehbar dargestellt habe, welche Daten weiterhin aufgrund welcher Rechtsgrundlage aufbewahrt werden müssen. Es sei ihm nicht bekannt, worum es sich bei Verkehrsdaten bzw Stammdaten handle. Dies sei keine Beantwortung eines Auskunftsbegehrens.
B. Beschwerdegegenstand
Ausgehend vom Vorbringen des BF ergibt sich, dass Beschwerdegegenstand die Frage ist, ob „N*** Mobilfunk“ den BF dadurch im Recht auf Löschung verletzt hat, indem sie seinem Antrag auf Löschung vom 24.12.2018 nicht entsprochen hat.
C. Sachverhaltsfeststellungen
1. „N*** Mobilfunk“ betreibt einen Telekommunikationsdienst und hatte mit dem Beschwerdeführer einen Mobilfunkvertrag abgeschlossen, wobei dieser am 26.11.2018 endete.
2. Der BF stellte mit Schreiben vom 4.11.2018 einen Antrag auf Auskunft bei „N*** Mobilfunk“.
3. „N*** Mobilfunk“ erteilte mit Schreiben vom 21.12.2018 folgende Auskunft:
[Anmerkung Bearbeiter: die grafische Datei (Brief von N*** Mobilfunk vom 21.12.2018 betreffend Auskunft nach Art. 15 DSGVO an den Beschwerdeführer) wurde entfernt, da sie im RIS nicht pseudonymisiert dargestellt werden kann.]
4. Der BF stellte mit Schreiben vom 24.12.2018 einen Antrag auf Löschung, der in dieser Auskunft gelisteten Daten.
5. „N*** Mobilfunk“ reagierte auf den Löschungsantrag mit folgendem Schreiben vom 8.01.2019:
[Anmerkung Bearbeiter: die grafische Datei (Brief von N*** Mobilfunk vom 8.01.2019 betreffend Antrag auf Löschung an den Beschwerdeführer) wurde entfernt, da sie im RIS nicht pseudonymisiert dargestellt werden kann.]
6. „N*** Mobilfunk“ hat die Verkehrsdaten des BF für einen Zeitraum von sechs Monaten gespeichert, wobei diese mittels automatischer Löschroutine am 30.3.2019 gelöscht wurden.
Beweiswürdigung : Die Feststellungen beruhen auf dem insofern unstrittigen und glaubhaften Vorbringen des BF sowie „N*** Mobilfunk“.
D. In rechtlicher Hinsicht folgt daraus:
1. Zum Begriff der Stammdaten bzw Verkehrsdaten:
Der BF moniert, dass ihm unbekannt ist, worum es sich bei Stammdaten bzw Verkehrsdaten handelt. Gemäß § 97 Abs. 3 Z 3 TKG handelt es sich bei Stammdaten um alle, auch personenbezogenen Daten, die für die Begründung, die Abwicklung, Änderung, oder Beendigung der Rechtsbeziehungen zwischen dem Benutzer und dem Anbieter oder zur Erstellung und Herausgabe von Teilnehmerverzeichnissen erforderlich sind. Dies sind: Name (Familienname und Vorname bei natürlichen Personen), akademischer Grad bei natürlichen Personen, Anschrift (Wohnadresse bei natürlichen Personen), Teilnehmernummer und sonstige Kontaktinformation für die Nachricht, Information über Art und Inhalt des Vertragsverhältnisses, Bonität, Geburtsdatum.
Bei Verkehrsdaten handelt es sich gemäß § 92 Abs. 3 Z 4 um Daten, die zum Zwecke der Weiterleitung einer Nachricht an ein Kommunikationsnetz oder zu Zwecke der Fakturierung dieses Vorgangs verarbeitet werden.
Hinsichtlich der vom Beschwerdeführer vorgelegten Auskunft von „N*** Mobilfunk“ (siehe Feststellungen) ist auszuführen, dass es sich hierbei lediglich um Stamm- und Vertragsdaten sowie Interaktionen mit dem Kundenservice von „N*** Mobilfunk“ handelt. Verkehrsdaten können daraus nicht entnommen werden. Dies brachte auch „N*** Mobilfunk“ in ihrer Stellungnahme vom 19.3.2019 vor, die dem Beschwerdeführer im Rahmen des Parteiengehörs übermittelt wurde. Dies war im gegenständlichen Verfahren jedoch unerheblich, da Beschwerdegegenstand ausschließlich eine behauptete Verletzung im Recht auf Löschung ist.
2. Zu Spruchpunkt 1 und 2
§ 97 Abs. 1 TKG normiert eine strenge Zweckbindung für die Verarbeitung personenbezogener Daten.
Gemäß § 97 Abs. 2 TKG 2003 sind Stammdaten spätestens nach Beendigung der vertraglichen Beziehungen mit dem Teilnehmer vom Betreiber zu löschen. Ausnahmen sind nur soweit zulässig, als diese Daten noch benötigt werden, um Entgelte zu verrechnen oder einzubringen, Beschwerden zu bearbeiten oder sonstige gesetzliche Verpflichtungen zu erfüllen.
„N*** Mobilfunk“ beruft sich hinsichtlich der Speicherung von Stammdaten auf die siebenjährige Frist des § 132 BAO und die ebenso siebenjährige Frist des § 212 UGB. § 132 Abs. 1 BAO sowie § 212 Abs. 1 UGB normieren jeweils eine Aufbewahrungspflicht von Büchern und Aufzeichnungen für sieben Jahre. Aus der am 21.12.2018 erteilten Auskunft (konkret: Tabelle betreffend die Kommunikation mit dem Beschwerdeführer) geht hervor, dass „N*** Mobilfunk“ personenbezogene Daten des BF verarbeitet und deren Löschung verweigerte, die aus dem Zeitraum von 23.2.2004 bis 30.4.2011 stammen. Die nach § 212 Abs. 1 UGB bzw § 132 Abs. 1 BAO mit sieben Jahren bestimmte Aufbewahrungspflicht kommt sohin als Grundlage, für deren Aufbewahrung nicht in Betracht, da diese Daten älter als sieben Jahre sind. Eine andere Grundlage für die weitere Verarbeitung dieser Daten wurde von „N*** Mobilfunk“ nicht vorgebracht und ist auch nicht erkennbar. Diese Daten, die älter als sieben Jahre sind, wären von „N*** Mobilfunk“ selbständig nach Ende dieser Frist zu löschen gewesen.
Der Beschwerde war daher in diesem Punkt stattzugeben und die Löschung dieser Daten aufzutragen.
3. Zu Spruchpunkt 3
Zu den Verkehrsdaten:
Gemäß § 99 Abs. 2 TKG 2003 hat der Betreiber eines öffentlichen Kommunikationsnetzes oder –dienstes Verkehrsdaten zu speichern, sofern dies für Zwecke der Verrechnung von Endkunden- oder Vorleistungsentgelten erforderlich ist. Die Verkehrsdaten sind zu löschen oder zu anonymisieren, sobald der Bezahlvorgang durchgeführt wurde und innerhalb einer Frist von drei Monaten die Entgelte nicht schriftlich beeinsprucht wurden.
Die Bestimmung des § 99 TKG 2003 setzt Art. 6 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation; e-Datenschutz-RL) um (vgl. Feiel/Lehofer , Telekommunikationsgesetz 2003 [2004] 290).
Gemäß Art. 6 Abs. 4 e-Datenschutz-RL wird unterschieden zwischen Verarbeitung von Verkehrsdaten für Verrechnungszwecke (Art. 6 Abs. 2 leg. cit.) einerseits und Verarbeitung zum Zwecke der Vermarktung elektronischer Kommunikationsdienste oder zur Bereitstellung von Diensten mit Zusatznutzen (Art. 6 Abs. 3 leg. cit.) andererseits. Eine derartige Unterscheidung lässt sich auch der Begriffsbestimmung des § 92 Abs. 3 Z 4 TKG 2003 entnehmen (arg. „oder“).
In § 99 Abs. 2 TKG 2003 ist die Verarbeitung von Verkehrsdaten zu Verrechnungszwecken geregelt. Schon dem Gesetzeswortlaut zufolge, sind die Verkehrsdaten nach einer Frist von drei Monaten zu löschen oder zu anonymisieren, es sei denn, es liegt einer der in den Z 1 bis 4 normierten Ausnahmetatbestände vor.
Die Verarbeitung von Verkehrsdaten zum Zwecke der Vermarktung elektronischer Kommunikationsdienste oder zur Bereitstellung von Diensten mit Zusatznutzen (Art. 6 Abs. 3 e-Datenschutz-RL) wird in § 99 Abs. 3 TKG 2003 geregelt, wobei in dieser Bestimmung auch Art. 6 Abs. 4 e-Datenschutz-RL umgesetzt wurde (vgl. nochmals Feiel/Lehofer , aaO, 290). Gemäß § 99 Abs. 3 TKG 2003 ist der Umfang der verarbeiteten Verkehrsdaten auf das unbedingt notwendige Minimum zu beschränken.
Wie die Datenschutzbehörde bereits in einem vergleichbaren Beschwerdeverfahren ausgesprochen hat, steht eine längere als die im Gesetz genannte Speicherdauer von drei Monaten nicht im Einklang mit Art. 5 Abs. 1 lit. e DSGVO (vgl. Bescheid der Datenschutzbehörde vom 28.5.2018, GZ DSB-D216.471/0001-DSB/2018). Dieser Bestimmung nach müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Person nur so lange ermöglicht, wie es für die Zwecke, für die sie erarbeitet werden, erforderlich ist („Speicherbegrenzung“).
Auch im gegenständlichen Fall war „N*** Mobilfunk“ daher nur befugt, Verkehrsdaten zu Verrechnungszwecken gemäß § 99 Abs. 2 TKG 2003 für die Dauer von längstens drei Monaten bzw. bis zum Ablauf der in den Z 1 bis 4 dieser Bestimmung genannten Fristen zu speichern.
Wie von „N*** Mobilfunk“ vorgebracht und festgestellt wurde, wurden die Verkehrsdaten des BF am 30.3.2019 bereits gelöscht. „N*** Mobilfunk“ brachte in ihrer Stellungnahme vom 19.3.2019 vor, dass „Stammdaten und andere Daten, die mit einer Rufnummer verbunden sind sowie Rechnungen und alle rechnungsrelevanten Informationen innerhalb von sieben Jahren nach Vertragsbeendigung gelöscht werden.“ Weiters lässt sich der Stellungnahme entnehmen, dass „Verkehrsdaten […] gemäß § 99 TKG binnen sechs Monaten nach Entstehung“ von „N*** Mobilfunk“ gelöscht werden. Da zum jetzigen Zeitpunkt sohin die Verkehrsdaten des BF bereits gelöscht wurden – die Löschung erfolgte wie festgestellt am 30.3.2019 –, war die Beschwerde daher in diesem Punkt mangels Beschwer des BF abzuweisen .
Zu den übrigen Stammdaten :
Bei den übrigen personenbezogenen Daten des Beschwerdeführers, die in der Auskunft vom 21.12.2018 enthalten – aber nicht älter als sieben Jahre – sind, handelt es sich um Informationen über Art und Inhalt des Vertragsverhältnisses und stellen somit Stammdaten im Sinne des § 92 Abs. 3 Z 3 lit. e TKG 2003 dar. „N*** Mobilfunk“ ist daher befugt, diese Stammdaten gemäß § 132 Abs. 1 BAO bzw § 212 Abs. 1 UGB für die Dauer von sieben Jahren aufzubewahren (vgl. Riesz in Riesz/Schilchegger, TKG [2016] § 97 Rz 40 sowie den Bescheid der Datenschutzbehörde vom 28.5.2018, DSB-D216.471/0001-DSB/2018).
Es war daher spruchgemäß zu entscheiden.
Rückverweise
RIS