RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum03.03.2023 GeschäftszahlW274 2248601-1 Spruch, W274 2248601-1/14E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht erkennt durch den R

§ 160Abs.

3 Z 10 TKG 2021), die sowohl als Verkehrs- als auch als Standortdatum zu qualifizieren sei.Sofern die MB Verkehrsdaten und Standortdaten zum BF verarbeite, seien diese jedenfalls zu beauskunften. Dies umfasse auch die Standortkennung iSd Paragraph 92, Absatz 3, Ziffer 6 a, TKG 2003 (

Paragraph 160, Absatz 3, Ziffer 10, TKG 2021), die sowohl als Verkehrs- als auch als Standortdatum zu qualifizieren sei. Verkehrsdaten gemäß § 92 Abs. 3 Z 4 TKG (bzw. § 160 Abs. 3 Z 6 TKG 2021) seien ungeachtet des § 99 Abs. 5 TKG 2003 (§ 167 Abs. 5 TKG 2021) vollinhaltlich gemäß Art. 15 DSGVO zu beauskunften. Die Rechtsprechung der Datenschutzbehörde (DSB-D122.418/0002-DSB/2016, DSB-D122.616/0006-DSB/2016), wonach ein Telekommunikationsdiensteanbieter im Regelfall nicht feststellen könne, ob ein Auskunftswerber, dessen Standortdaten Gegenstand des Auskunftsverlangens seien, tatsächlich (zu jedem Zeitpunkt) Nutzer der einem Endgerät zugeordneten Rufnummer sei bzw. gewesen sei, und auch eine eidessstattliche Erklärung der ausschließlichen Benutzung daran nichts ändere, weil auch dadurch kein objektiver, d.h. für jedermann nachvollziehbarer, Nachweis erbracht werde, dass der Beschwerdeführer zu jedem Zeitpunkt des von ihm angegebenen Zeitraumes tatsächlicher Nutzer des Endgerätes gewesen sei, könne unter dem Regime der DSGVO ebenfalls nicht fortgeführt werden. Um Art. 15 DSGVO zur Wirksamkeit zu verhelfen, müsse der betroffenen Person daher ermöglicht werden, glaubhaft zu machen, dass sie „tatsächlicher Nutzer des Endgerätes war“, bzw. obliege es dem Verantwortlichen nachzuweisen, warum eine eindeutige Identifizierung einer betroffenen Person in Bezug auf Standortdaten nicht möglich sei. Verkehrsdaten gemäß Paragraph 92, Absatz 3, Ziffer 4, TKG (bzw. Paragraph 160, Absatz 3, Ziffer 6, TKG 2021) seien ungeachtet des Paragraph 99, Absatz 5, TKG 2003 (Paragraph 167, Absatz 5, TKG 2021) vollinhaltlich gemäß Artikel 15, DSGVO zu beauskunften. Die Rechtsprechung der Datenschutzbehörde (DSB-D122.418/0002-DSB/2016, DSB-D122.616/0006-DSB/2016), wonach ein Telekommunikationsdiensteanbieter im Regelfall nicht feststellen könne, ob ein Auskunftswerber, dessen Standortdaten Gegenstand des Auskunftsverlangens seien, tatsächlich (zu jedem Zeitpunkt) Nutzer der einem Endgerät zugeordneten Rufnummer sei bzw. gewesen sei, und auch eine eidessstattliche Erklärung der ausschließlichen Benutzung daran nichts ändere, weil auch dadurch kein objektiver, d.h. für jedermann nachvollziehbarer, Nachweis erbracht werde, dass der Beschwerdeführer zu jedem Zeitpunkt des von ihm angegebenen Zeitraumes tatsächlicher Nutzer des Endgerätes gewesen sei, könne unter dem Regime der DSGVO ebenfalls nicht fortgeführt werden. Um Artikel 15, DSGVO zur Wirksamkeit zu verhelfen, müsse der betroffenen Person daher ermöglicht werden, glaubhaft zu machen, dass sie „tatsächlicher Nutzer des Endgerätes war“, bzw. obliege es dem Verantwortlichen nachzuweisen, warum eine eindeutige Identifizierung einer betroffenen Person in Bezug auf Standortdaten nicht möglich sei. Gemäß Art. 12 Abs. 2 DSGVO iVm Art. 11 Abs. 2 DSGVO obliege es im gegenständlichen Fall der MB, nachzuweisen, dass sie nicht imstande sei, den BF als betroffene Person hinsichtlich jener Standortdaten zu identifizieren, die von seinem Mobiltelefon erzeugt worden seien. Andernfalls würde auch das in Art. 5 Abs. 2 DSGVO normierte Rechenschaftsprinzip unterlaufen, da ein Verantwortlicher Standortdaten kaum jemals beauskunften müsste. Die Verarbeitung dieser Daten wäre der Kontrolle durch die betroffene Person und damit in weiten Teilen auch der Datenschutzbehörde entzogen, insbesondere wäre die Ausübung weiterer Betroffenenrechte gemäß Art. 16 bis Art. 22 DSGVO mangels Kenntnis über gespeicherte Standortdaten faktisch nicht möglich. Die vor Gültigkeitsbeginn der DSGVO ergangene Rechtsprechung der Datenschutzbehörde, die eine Pflicht zum Nachweis der tatsächlichen ausschließlichen Nutzung bei der betroffenen Person verorte, könne insofern nicht aufrechterhalten werden. Bestünden Zweifel, dass die von einem Mobiltelefon erzeugten Standortdaten tatsächlich einen Auskunftswerber betreffen, sei diesem iSd Artikel 12 Abs. 2 DSGVO die Möglichkeit einzuräumen, darzulegen, dass die Standortdaten tatsächlich ihn beträfen. Für die Annahme von Zweifeln bedürfe es konkreter Anhaltspunkte. Gemäß Artikel 12, Absatz 2, DSGVO in Verbindung mit Artikel 11, Absatz 2, DSGVO obliege es im gegenständlichen Fall der MB, nachzuweisen, dass sie nicht imstande sei, den BF als betroffene Person hinsichtlich jener Standortdaten zu identifizieren, die von seinem Mobiltelefon erzeugt worden seien. Andernfalls würde auch das in Artikel 5, Absatz 2, DSGVO normierte Rechenschaftsprinzip unterlaufen, da ein Verantwortlicher Standortdaten kaum jemals beauskunften müsste. Die Verarbeitung dieser Daten wäre der Kontrolle durch die betroffene Person und damit in weiten Teilen auch der Datenschutzbehörde entzogen, insbesondere wäre die Ausübung weiterer Betroffenenrechte gemäß Artikel 16 bis Artikel 22, DSGVO mangels Kenntnis über gespeicherte Standortdaten faktisch nicht möglich. Die vor Gültigkeitsbeginn der DSGVO ergangene Rechtsprechung der Datenschutzbehörde, die eine Pflicht zum Nachweis der tatsächlichen ausschließlichen Nutzung bei der betroffenen Person verorte, könne insofern nicht aufrechterhalten werden. Bestünden Zweifel, dass die von einem Mobiltelefon erzeugten Standortdaten tatsächlich einen Auskunftswerber betreffen, sei diesem iSd Artikel 12 Absatz 2, DSGVO die Möglichkeit einzuräumen, darzulegen, dass die Standortdaten tatsächlich ihn beträfen. Für die Annahme von Zweifeln bedürfe es konkreter Anhaltspunkte. Der BF sei Vertragsinhaber des gegenständlichen Mobilfunkvertrages und nutze diesen und sein Mobiltelefon ausschließlich selbst. Nach allgemeiner Lebenserfahrung handle es sich bei einem privaten Mobiltelefon um einen höchstpersönlichen Gegenstand. Aufgrund der persönlichen Lebensumstände des BF schieden andere Personen als (Mit)benutzer seines Mobiltelefons bzw. seines Mobilfunkvertrages aus. Falls der BF sein Mobiltelefon überhaupt jemals anderen Personen überlasse, geschehe dies ausschließlich in dessen unmittelbarer physischer Nähe, sodass allenfalls erzeugte Standortdaten sich jedenfalls auf den BF bezögen. Es sei nicht ersichtlich, warum Zweifel bestünden, dass der BF tatsächlich (zu jedem Zeitpunkt) Nutzer der einem Endgerät zugeordneten Rufnummer sei bzw. gewesen sei. Folgte man der Argumentation der MB und setzte die DSB ihre Rechtsprechung fort, hätte dies zur Folge, dass keinerlei personenbezogene Daten gemäß Art. 15 DSGVO zu beauskunften wären, die von einem mobilen Gerät übermittelt werden, das internet- oder GPS-fähig sei, denn für den Verantwortlichen bestünde niemals hundertprozentige Sicherheit über den Benutzer eines solchen Geräts. Der BF sei Vertragsinhaber des gegenständlichen Mobilfunkvertrages und nutze diesen und sein Mobiltelefon ausschließlich selbst. Nach allgemeiner Lebenserfahrung handle es sich bei einem privaten Mobiltelefon um einen höchstpersönlichen Gegenstand. Aufgrund der persönlichen Lebensumstände des BF schieden andere Personen als (Mit)benutzer seines Mobiltelefons bzw. seines Mobilfunkvertrages aus. Falls der BF sein Mobiltelefon überhaupt jemals anderen Personen überlasse, geschehe dies ausschließlich in dessen unmittelbarer physischer Nähe, sodass allenfalls erzeugte Standortdaten sich jedenfalls auf den BF bezögen. Es sei nicht ersichtlich, warum Zweifel bestünden, dass der BF tatsächlich (zu jedem Zeitpunkt) Nutzer der einem Endgerät zugeordneten Rufnummer sei bzw. gewesen sei. Folgte man der Argumentation der MB und setzte die DSB ihre Rechtsprechung fort, hätte dies zur Folge, dass keinerlei personenbezogene Daten gemäß Artikel 15, DSGVO zu beauskunften wären, die von einem mobilen Gerät übermittelt werden, das internet- oder GPS-fähig sei, denn für den Verantwortlichen bestünde niemals hundertprozentige Sicherheit über den Benutzer eines solchen Geräts. Darüber hinaus sei das Mobiltelefon des BF durch eine nur ihm bekannte PIN sowie durch dessen Fingerabdruck geschützt, weshalb andere Personen, die seines Mobiltelefons habhaft werden, außerstande seien, es zu benutzen. Auch diesem Umstand zufolge sei daher davon auszugehen, dass es sich bei den gegenständlichen Standortdaten um den BF betreffende personenbezogene Daten handle. Andernfalls müsste man bei sämtlichen passwortgeschützten Geräten und Diensten in Zweifel ziehen, dass die bei Benutzung dieser Geräte/Dienste generierten Daten personenbezogen seien bzw. lediglich eine Person beträfen, so neben Mobiltelefonen etwa bei Laptops, Smart-Watches, E-Mail- und Online-Banking-Accounts, Dating-Plattformen, Shopping-Portalen, Glücksspielanbietern usw. Schließlich sei nie mit Sicherheit auszuschließen, dass eine andere Person als der rechtmäßige Inhaber ein solches Gerät bzw. einen solchen Dienst nutze. Der Begriff der personenbezogenen Daten in Art. 4 Abs. 1 DSGVO folge jedoch einem probabilistischen Ansatz: Nach allgemeiner Lebenserfahrung sei es mit hinreichender Wahrscheinlichkeit ausschließlich der rechtmäßige Inhaber eines Mobiltelefons (oder eines anderen persönlichen Geräts/Dienstes), der dieses benutze. Die im Zusammenhang mit der Benutzung des Mobiltelefons generierten Daten bezögen sich demnach auf eine eindeutig identifizierte bzw. identifizierbare Person. Dies gelte umso mehr für einen Telekommunikationsanbieter als Vertragspartner im Bezug auf einen Mobilfunkvertrag und zumeist auch als Verkäufer des Mobiltelefons. Aus Sicht der MB gäbe es keinen Grund daran zu zweifeln, dass die gegenständlichen Standortdaten ausschließlich den BF betreffen. Andernfalls müsste man bei sämtlichen passwortgeschützten Geräten und Diensten in Zweifel ziehen, dass die bei Benutzung dieser Geräte/Dienste generierten Daten personenbezogen seien bzw. lediglich eine Person beträfen, so neben Mobiltelefonen etwa bei Laptops, Smart-Watches, E-Mail- und Online-Banking-Accounts, Dating-Plattformen, Shopping-Portalen, Glücksspielanbietern usw. Schließlich sei nie mit Sicherheit auszuschließen, dass eine andere Person als der rechtmäßige Inhaber ein solches Gerät bzw. einen solchen Dienst nutze. Der Begriff der personenbezogenen Daten in Artikel 4, Absatz eins, DSGVO folge jedoch einem probabilistischen Ansatz: Nach allgemeiner Lebenserfahrung sei es mit hinreichender Wahrscheinlichkeit ausschließlich der rechtmäßige Inhaber eines Mobiltelefons (oder eines anderen persönlichen Geräts/Dienstes), der dieses benutze. Die im Zusammenhang mit der Benutzung des Mobiltelefons generierten Daten bezögen sich demnach auf eine eindeutig identifizierte bzw. identifizierbare Person. Dies gelte umso mehr für einen Telekommunikationsanbieter als Vertragspartner im Bezug auf einen Mobilfunkvertrag und zumeist auch als Verkäufer des Mobiltelefons. Aus Sicht der MB gäbe es keinen Grund daran zu zweifeln, dass die gegenständlichen Standortdaten ausschließlich den BF betreffen. Im Übrigen gehe die MB an anderer Stelle offenkundig selbst von einer ausschließlichen Mobiltelefon-Nutzung durch den BF aus, denn in der XXXX bestehe für Kunden der MB die Möglichkeit, persönliche Datenschutzeinstellungen zu ändern und Einwilligungen zu erteilen oder zu widerrufen. Bezweifle die MB ohne konkrete Anhaltspunkte, dass ausschließlich der BF sein Mobiltelefon benutze, müsse sie auch die Wirksamkeit sämtlicher Einwilligungen in Frage stellen, die über die App erteilt werden könnten. Schließlich wäre stets unklar, ob tatsächlich der Inhaber eines Vertrages samt zugehöriger SIM-Karte und Mobiltelefonnummer in der lokal auf seinem Mobiltelefon installierten App eine Einwilligung erteilt oder widerrufen habe oder ob eine Willenserklärung einer anderen Person vorliege. Im Übrigen gehe die MB an anderer Stelle offenkundig selbst von einer ausschließlichen Mobiltelefon-Nutzung durch den BF aus, denn in der römisch 40 bestehe für Kunden der MB die Möglichkeit, persönliche Datenschutzeinstellungen zu ändern und Einwilligungen zu erteilen oder zu widerrufen. Bezweifle die MB ohne konkrete Anhaltspunkte, dass ausschließlich der BF sein Mobiltelefon benutze, müsse sie auch die Wirksamkeit sämtlicher Einwilligungen in Frage stellen, die über die App erteilt werden könnten. Schließlich wäre stets unklar, ob tatsächlich der Inhaber eines Vertrages samt zugehöriger SIM-Karte und Mobiltelefonnummer in der lokal auf seinem Mobiltelefon installierten App eine Einwilligung erteilt oder widerrufen habe oder ob eine Willenserklärung einer anderen Person vorliege. Zusätzlich lege der BF zur Glaubhaftmachung der tatsächlichen und ausschließlichen Nutzung seines Mobilfunkvertrages bzw. seines Mobiltelefons eine eidesstattliche Erklärung bei. Bestünden weiterhin Zweifel, obliege es der MB, die tatsächliche Nutzung durch den BF zu überprüfen – etwa indem ihm im Zuge der Auskunftserteilung eine TAN zugesendet werde oder er über die XXXX um Verifizierung seiner Identität ersucht werde.Zusätzlich lege der BF zur Glaubhaftmachung der tatsächlichen und ausschließlichen Nutzung seines Mobilfunkvertrages bzw. seines Mobiltelefons eine eidesstattliche Erklärung bei. Bestünden weiterhin Zweifel, obliege es der MB, die tatsächliche Nutzung durch den BF zu überprüfen – etwa indem ihm im Zuge der Auskunftserteilung eine TAN zugesendet werde oder er über die römisch 40 um Verifizierung seiner Identität ersucht werde. Das Problem eines mangelnden Nachweises der tatsächlichen, ausschließlichen Nutzung seines Mobiltelefons durch die MB ergäbe sich auch bei dem gemäß § 100 TKG 2003 (

§ 138Abs.

6 TKG 2021) zu erstellenden Einzelgesprächsnachweis, da auch dort keine hundertprozentige Sicherheit bestehe, dass tatsächlich der BF – und nicht eine andere natürliche Person – einen Anruf getätigt oder entgegengenommen habe. Nichtsdestotrotz handle es sich bei den im Einzelgesprächsnachweis abgebildeten Daten ohne jeden Zweifel um personenbezogene Daten mit Bezug zum Inhaber des Mobilfunkvertrages. Das Problem eines mangelnden Nachweises der tatsächlichen, ausschließlichen Nutzung seines Mobiltelefons durch die MB ergäbe sich auch bei dem gemäß Paragraph 100, TKG 2003 (

Paragraph 138, Absatz 6, TKG 2021) zu erstellenden Einzelgesprächsnachweis, da auch dort keine hundertprozentige Sicherheit bestehe, dass tatsächlich der BF – und nicht eine andere natürliche Person – einen Anruf getätigt oder entgegengenommen habe. Nichtsdestotrotz handle es sich bei den im Einzelgesprächsnachweis abgebildeten Daten ohne jeden Zweifel um personenbezogene Daten mit Bezug zum Inhaber des Mobilfunkvertrages. Bezüglich anderer Standortdaten als Verkehrsdaten seien zudem Art. 9 e-Datenschutzrichtlinie und § 102 TKG 2003 (

§ 169TKG 2021) zu beachten.

Gemäß § 102 Abs. 1 TKG 2003 (bzw. § 169 TKG 2021) dürften andere Standortdaten als Verkehrsdaten unbeschadet des § 98 TKG 2003 (

§ 123

TKG 2021) nur verarbeitet werden, wenn sie anonymisiert werden oder die Benutzer oder Teilnehmer eine jederzeit widerrufbare Einwilligung gegeben haben. Eine Einwilligung gemäß Art. 5 Abs. 1 lit. a iVm Art. 7 DSGVO könne sich jedoch nur auf personenbezogene Daten beziehen, die den jeweiligen Endnutzer betreffen. Insofern gehe auch das TKG 2003 (bzw. TKG 2021) selbst von einem eindeutigen Personenbezug anderer Standortdaten als Verkehrsdaten aus. Es sei nicht ersichtlich, warum es sich bei Standortdaten, die als Verkehrsdaten zu qualifizieren seien, anders verhalten sollte. Sämtliche Standortdaten seien daher gemäß Art. 15 DSGVO vollumfänglich zu beauskunften. Bezüglich anderer Standortdaten als Verkehrsdaten seien zudem Artikel 9, e-Datenschutzrichtlinie und Paragraph 102, TKG 2003 (

Paragraph 169, TKG 2021) zu beachten. Gemäß Paragraph 102, Absatz eins, TKG 2003 (bzw. Paragraph 169, TKG 2021) dürften andere Standortdaten als Verkehrsdaten unbeschadet des Paragraph 98, TKG 2003 (

Paragraph 123, TKG 2021) nur verarbeitet werden, wenn sie anonymisiert werden oder die Benutzer oder Teilnehmer eine jederzeit widerrufbare Einwilligung gegeben haben. Eine Einwilligung gemäß Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 7, DSGVO könne sich jedoch nur auf personenbezogene Daten beziehen, die den jeweiligen Endnutzer betreffen. Insofern gehe auch das TKG 2003 (bzw. TKG 2021) selbst von einem eindeutigen Personenbezug anderer Standortdaten als Verkehrsdaten aus. Es sei nicht ersichtlich, warum es sich bei Standortdaten, die als Verkehrsdaten zu qualifizieren seien, anders verhalten sollte. Sämtliche Standortdaten seien daher gemäß Artikel 15, DSGVO vollumfänglich zu beauskunften. Dieser Beschwerde waren die Auskunftsanträge sowie die jeweiligen Antworten der MB angeschlossen. 1.

1. Mit anwaltlicher Stellungnahme vom 04.09.2020 beantragte die MB, die Beschwerde als unbegründet abzuweisen und führte zusammenfassend aus, sie habe durch die Übermittlung zusätzlicher Informationen an den BF einigen Beschwerdepunkten bzw. Anträgen im Sinne des § 24 Abs. 6 DSG nachträglich entsprochen. Sie habe die Rechtmäßigkeit der Nichtbeauskunftung von Verkehrs- und Standortdaten mit der vom Gesetzgeber getroffenen Abwägung zur Sicherstellung der Grundrechte aller an einer Kommunikation beteiligten Personen ausführlich dargelegt. Für eine Änderung der Rechtslage wäre der Gesetzgeber gefordert. 1.
2. Mit anwaltlicher Stellungnahme vom 04.09.2020 beantragte die MB, die Beschwerde als unbegründet abzuweisen und führte zusammenfassend aus, sie habe durch die Übermittlung zusätzlicher Informationen an den BF einigen Beschwerdepunkten bzw. Anträgen im Sinne des Paragraph 24, Absatz 6, DSG nachträglich entsprochen. Sie habe die Rechtmäßigkeit der Nichtbeauskunftung von Verkehrs- und Standortdaten mit der vom Gesetzgeber getroffenen Abwägung zur Sicherstellung der Grundrechte aller an einer Kommunikation beteiligten Personen ausführlich dargelegt. Für eine Änderung der Rechtslage wäre der Gesetzgeber gefordert. Dazu brachte sie im Einzelnen vor: Das TKG und die einschlägigen Entscheidungen schützten nicht nur den Vertragsinhaber sondern auch die anderen Teilnehmer an einer Kommunikation, dazu gehörten die anrufenden Gesprächsteilnehmer bei eingehenden Anrufen, die das Recht hätten, die Anzeige ihrer Rufnummer zu unterdrücken, wenn sie dies wünschten, die Nutzer eines Anschlusses, die nicht Vertragsinhaber seien, aber auch die passiven Teilnehmer eines aktiven Calls (der Nutzer ruft jemanden an). Dazu bestehe nach den gesetzlichen Regelungen und Entscheidungen ein umfangreiches Schutzkonzept, an das sich die MB halte, andernfalls würde sie sich strafbar machen. Nach ständiger Rechtsprechung der Datenschutzbehörde, sowohl vor als auch nach Inkrafttreten der DSGVO, sei der Anwendungsvorrang der Bestimmungen des TKG 2003 (bzw. TKG 2021) als lex specialis zur Befolgung eines Auskunftsanspruchs maßgeblich. Eine uneingeschränkte Übermittlung sämtlicher Verkehrsdaten im Zusammenhang mit einem Auskunftsverlangen des Betroffenen sehe das TKG 2003 nicht vor. Andernfalls wären die umfangreichen Bestimmungen des TKG 2003 zur Verarbeitung von Verkehrsdaten ohne jegliche Wirkung. Nach der Rechtsprechung der Datenschutzbehörde präzisierten die datenschutzrechtlichen Bestimmungen (§ 26 Abs. 1 DSG) das verfassungsrechtlich gewährleistete Recht auf Auskunft auf die zu dieser Person verarbeiteten Daten, vorausgesetzt, dass die Identität in geeigneter Form nachgewiesen werde. Da die einschlägigen Bestimmungen des TKG 2003 (bzw. TKG 2021) bzw. der diesen zugrundeliegenden e-Datenschutzrichtlinie der DSGVO als lex specialis vorgingen, sei in Bezug auf diese Daten Art. 15 Abs. 3 DSGVO gewahrt, da die MB dem BF eine Kopie der zulässigerweise zu beauskunftenden personenbezogenen Daten zur Verfügung gestellt habe. Standortdaten seien nach herrschender Judikatur Verkehrsdaten im Sinne des § 92 Abs. 3 Z 4 TKG (§ 160 Abs. 3 Z 6 TKG 2021). Daher gelte zur Auskunftspflicht von Standortdaten dasselbe wie zu jener von Verkehrsdaten. Nach ständiger Rechtsprechung der Datenschutzbehörde, sowohl vor als auch nach Inkrafttreten der DSGVO, sei der Anwendungsvorrang der Bestimmungen des TKG 2003 (bzw. TKG 2021) als lex specialis zur Befolgung eines Auskunftsanspruchs maßgeblich. Eine uneingeschränkte Übermittlung sämtlicher Verkehrsdaten im Zusammenhang mit einem Auskunftsverlangen des Betroffenen sehe das TKG 2003 nicht vor. Andernfalls wären die umfangreichen Bestimmungen des TKG 2003 zur Verarbeitung von Verkehrsdaten ohne jegliche Wirkung. Nach der Rechtsprechung der Datenschutzbehörde präzisierten die datenschutzrechtlichen Bestimmungen (Paragraph 26, Absatz eins, DSG) das verfassungsrechtlich gewährleistete Recht auf Auskunft auf die zu dieser Person verarbeiteten Daten, vorausgesetzt, dass die Identität in geeigneter Form nachgewiesen werde. Da die einschlägigen Bestimmungen des TKG 2003 (bzw. TKG 2021) bzw. der diesen zugrundeliegenden e-Datenschutzrichtlinie der DSGVO als lex specialis vorgingen, sei in Bezug auf diese Daten Artikel 15, Absatz 3, DSGVO gewahrt, da die MB dem BF eine Kopie der zulässigerweise zu beauskunftenden personenbezogenen Daten zur Verfügung gestellt habe. Standortdaten seien nach herrschender Judikatur Verkehrsdaten im Sinne des Paragraph 92, Absatz 3, Ziffer 4, TKG (Paragraph 160, Absatz 3, Ziffer 6, TKG 2021). Daher gelte zur Auskunftspflicht von Standortdaten dasselbe wie zu jener von Verkehrsdaten. Oft sei es der Fall, dass Teilnehmer und Nutzer des mobilen Endgerätes auseinanderfallen (Familie, Verwandte, Freunde, Lebensgefährten, Mitarbeiter, etc). Ein Auftraggeber könne zu Recht die begehrte Auskunft über Standortdaten verweigern, solange nicht mit ausreichender Sicherheit feststehe und objektiv nachweisbar sei, dass ein Auskunftswerber auch tatsächlich Nutzer von einem einer Rufnummer zugeordneten Endgerätes sei oder gewesen sei. Ein solcher Nachweis könne nicht erbracht werden. Da die einschlägigen Bestimmungen des TKG 2003 und der zugrundeliegenden (gemeint) e-Datenschutz-Richtlinie der DSGVO als lex specialis vorgingen, sei Art. 11 DSGVO, der die Identifizierung der Betroffenen zur Ausübung seiner Betroffenenrechte regle, aus Sicht der MB nicht anwendbar. Doch selbst bei Anwendungsvorrang des Art. 11 DSGVO sei dieser in Verbindung mit Art. 12 DSGVO zu lesen. Art. 12 Abs. 2 DSGVO sehe vor, dass der Verantwortliche dem Betroffenen die Ausübung seiner Betroffenenrechte erleichtern soll, sich aber dann weigern könne, wenn er „glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren“. Im Unterschied zum Beweis erachte der Gesetzgeber die Glaubhaftmachung als ausreichend. Es sei dem Schutz der Betroffenen vor Ausübung ihrer Betroffenenrechte durch möglicherweise unberechtigte Personen damit ein sehr hoher Stellenwert eingeräumt. So könne ein Telekommunikationsdiensteanbieter zweifellos gemäß Art. 12 Abs. 2 DSGVO „glaubhaft machen“ oder schlüssig darlegen, dass er nicht in der Lage sei, die betroffene Person hinsichtlich jener Standortdaten zu identifizieren, die mit dem zugeordneten Endgerät erzeugt worden seien. Dem Betreiber sei nur sein Vertragspartner nachweislich bekannt, nicht jedoch der tatsächliche Nutzer. Der tatsächliche Nutzer zum Zeitpunkt der Entstehung eines Verkehrs- oder Standortdatums sei für den Telekommunikationsdiensteanbieter nicht ersichtlich. Ebenso wie der Nachweis der Nutzung sei dem Telekommunikationsdiensteanbieter auch unmöglich, wie vom BF angeregt, konkrete Zweifel an der tatsächlichen Nutzung des zugeordneten Endgerätes durch eine bestimmte Person darzulegen bzw. zu entkräften. Dies treffe auch dann zu, wenn im vorliegenden Fall der BF behaupte, dass das Endgerät ausschließlich zur privaten Nutzung diene. Auch in diesem Fall sei es keinesfalls auszuschließen oder lebensfremd, dass Daten einer bestimmten Verbindung sich nicht auf den Teilnehmer, sondern auf etwaige Mitbenutzer des Anschlusses bezögen (vgl. § 100 Abs. 3 TKG 2003). Auch eine eidesstattliche Erklärung sei hierfür in Übereinstimmung mit der Judikatur der Datenschutzbehörde nicht ausreichend. Oft sei es der Fall, dass Teilnehmer und Nutzer des mobilen Endgerätes auseinanderfallen (Familie, Verwandte, Freunde, Lebensgefährten, Mitarbeiter, etc). Ein Auftraggeber könne zu Recht die begehrte Auskunft über Standortdaten verweigern, solange nicht mit ausreichender Sicherheit feststehe und objektiv nachweisbar sei, dass ein Auskunftswerber auch tatsächlich Nutzer von einem einer Rufnummer zugeordneten Endgerätes sei oder gewesen sei. Ein solcher Nachweis könne nicht erbracht werden. Da die einschlägigen Bestimmungen des TKG 2003 und der zugrundeliegenden (gemeint) e-Datenschutz-Richtlinie der DSGVO als lex specialis vorgingen, sei Artikel 11, DSGVO, der die Identifizierung der Betroffenen zur Ausübung seiner Betroffenenrechte regle, aus Sicht der MB nicht anwendbar. Doch selbst bei Anwendungsvorrang des Artikel 11, DSGVO sei dieser in Verbindung mit Artikel 12, DSGVO zu lesen. Artikel 12, Absatz 2, DSGVO sehe vor, dass der Verantwortliche dem Betroffenen die Ausübung seiner Betroffenenrechte erleichtern soll, sich aber dann weigern könne, wenn er „glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren“. Im Unterschied zum Beweis erachte der Gesetzgeber die Glaubhaftmachung als ausreichend. Es sei dem Schutz der Betroffenen vor Ausübung ihrer Betroffenenrechte durch möglicherweise unberechtigte Personen damit ein sehr hoher Stellenwert eingeräumt. So könne ein Telekommunikationsdiensteanbieter zweifellos gemäß Artikel 12, Absatz 2, DSGVO „glaubhaft machen“ oder schlüssig darlegen, dass er nicht in der Lage sei, die betroffene Person hinsichtlich jener Standortdaten zu identifizieren, die mit dem zugeordneten Endgerät erzeugt worden seien. Dem Betreiber sei nur sein Vertragspartner nachweislich bekannt, nicht jedoch der tatsächliche Nutzer. Der tatsächliche Nutzer zum Zeitpunkt der Entstehung eines Verkehrs- oder Standortdatums sei für den Telekommunikationsdiensteanbieter nicht ersichtlich. Ebenso wie der Nachweis der Nutzung sei dem Telekommunikationsdiensteanbieter auch unmöglich, wie vom BF angeregt, konkrete Zweifel an der tatsächlichen Nutzung des zugeordneten Endgerätes durch eine bestimmte Person darzulegen bzw. zu entkräften. Dies treffe auch dann zu, wenn im vorliegenden Fall der BF behaupte, dass das Endgerät ausschließlich zur privaten Nutzung diene. Auch in diesem Fall sei es keinesfalls auszuschließen oder lebensfremd, dass Daten einer bestimmten Verbindung sich nicht auf den Teilnehmer, sondern auf etwaige Mitbenutzer des Anschlusses bezögen vergleiche Paragraph 100, Absatz 3, TKG 2003). Auch eine eidesstattliche Erklärung sei hierfür in Übereinstimmung mit der Judikatur der Datenschutzbehörde nicht ausreichend. Das Spannungsverhältnis, bedingt durch den nachweislich bekannten Teilnehmer und die tatsächliche ausschließliche Nutzung durch denselben, sei auch dem Gesetzgeber bei der Legistik des TKG 2003 durchaus bewusst gewesen. Daher seien Bestimmungen geschaffen worden, die mögliche Gefahren für den Datenschutz von vom Teilnehmer verschiedene Nutzer ausgleichen sollen. Die diesbezügliche Abwägung zwischen der Möglichkeit der Nutzung durch mehrere Personen und dem Interesse an einem Detaillierungsgrad des Entgeltnachweises spiegle sich etwa im § 100 Abs. 3 TKG 2003 (§ 138 Abs. 6 TKG 2021) wieder, wonach bei der Erstellung eines Entgeltnachweises nur jene Daten verarbeitet werden dürften, die dafür unbedingt erforderlich seien. Die passiven Teilnehmernummern oder sonstigen Angaben zur Identifizierung eines Empfängers einer Nachricht dürften im Einzelentgeltnachweis nur in verkürzter Form ausgewiesen werden. Wünsche der Teilnehmer einen unverkürzten Entgeltnachweis, so sei er verpflichtet, eine Erklärung abzugeben, dass er alle bestehenden und künftigen Mitbenutzer eines Anschlusses davon informiere. Ohne eine vergleichbare Bestimmung für datenschutzrechtliche Beauskunftungen, die es nicht gäbe, wäre der Schutzzweck dieser Norm ausgehebelt. Eine derartige Absicht könne weder dem europäischen noch dem nationalen Gesetzgeber unterstellt werden. Das Spannungsverhältnis, bedingt durch den nachweislich bekannten Teilnehmer und die tatsächliche ausschließliche Nutzung durch denselben, sei auch dem Gesetzgeber bei der Legistik des TKG 2003 durchaus bewusst gewesen. Daher seien Bestimmungen geschaffen worden, die mögliche Gefahren für den Datenschutz von vom Teilnehmer verschiedene Nutzer ausgleichen sollen. Die diesbezügliche Abwägung zwischen der Möglichkeit der Nutzung durch mehrere Personen und dem Interesse an einem Detaillierungsgrad des Entgeltnachweises spiegle sich etwa im Paragraph 100, Absatz 3, TKG 2003 (Paragraph 138, Absatz 6, TKG 2021) wieder, wonach bei der Erstellung eines Entgeltnachweises nur jene Daten verarbeitet werden dürften, die dafür unbedingt erforderlich seien. Die passiven Teilnehmernummern oder sonstigen Angaben zur Identifizierung eines Empfängers einer Nachricht dürften im Einzelentgeltnachweis nur in verkürzter Form ausgewiesen werden. Wünsche der Teilnehmer einen unverkürzten Entgeltnachweis, so sei er verpflichtet, eine Erklärung abzugeben, dass er alle bestehenden und künftigen Mitbenutzer eines Anschlusses davon informiere. Ohne eine vergleichbare Bestimmung für datenschutzrechtliche Beauskunftungen, die es nicht gäbe, wäre der Schutzzweck dieser Norm ausgehebelt. Eine derartige Absicht könne weder dem europäischen noch dem nationalen Gesetzgeber unterstellt werden. § 102 TKG (§ 169 TKG 2021) regle die Verarbeitung von „Anderen Standortdaten als Verkehrsdaten“. Auch hier habe der Gesetzgeber durch zusätzliche Maßnahmen den Schutz von Nutzern sichergestellt, indem die Verwendung von Standortinformationen bei jeder Verwendung untersagt werden könne. Der MB sei keine Anwendung bekannt, in der eine Einwilligung zur Nutzung anderer Standortdaten als Verkehrsdaten abgefragt werde, zumal seit der Verfügbarkeit von GPS-Empfängern in praktisch jedem Endgerät die Nutzung der deutlich unpräziseren Standortdaten aus einem Mobilfunknetz nicht mehr notwendig sei. Paragraph 102, TKG (Paragraph 169, TKG 2021) regle die Verarbeitung von „Anderen Standortdaten als Verkehrsdaten“. Auch hier habe der Gesetzgeber durch zusätzliche Maßnahmen den Schutz von Nutzern sichergestellt, indem die Verwendung von Standortinformationen bei jeder Verwendung untersagt werden könne. Der MB sei keine Anwendung bekannt, in der eine Einwilligung zur Nutzung anderer Standortdaten als Verkehrsdaten abgefragt werde, zumal seit der Verfügbarkeit von GPS-Empfängern in praktisch jedem Endgerät die Nutzung der deutlich unpräziseren Standortdaten aus einem Mobilfunknetz nicht mehr notwendig sei. Der besondere Schutz von Verkehrsdaten verdeutliche sich auch in der Bestimmung des § 94 iVm § 102a ff TKG 2003, wonach die Übermittlung von Verkehrsdaten an Behörden ausschließlich auf elektronischem Weg über die vom Bundesrechenzentrum betriebene Durchlaufstelle erfolgen dürfe. Das Gesetz sehe hier detailliert besondere Sicherheitsmaßnahmen, wie asymmetrische Verschlüsselung und umfassende weitere Maßnahmen, vor. Wenn eine solche Beauskunftung doch zulässig wäre, wäre wohl eine vergleichbare Übermittlungssicherheit beim Betroffenen auch vorgesehen worden.Der besondere Schutz von Verkehrsdaten verdeutliche sich auch in der Bestimmung des Paragraph 94, in Verbindung mit Paragraph 102 a, ff TKG 2003, wonach die Übermittlung von Verkehrsdaten an Behörden ausschließlich auf elektronischem Weg über die vom Bundesrechenzentrum betriebene Durchlaufstelle erfolgen dürfe. Das Gesetz sehe hier detailliert besondere Sicherheitsmaßnahmen, wie asymmetrische Verschlüsselung und umfassende weitere Maßnahmen, vor. Wenn eine solche Beauskunftung doch zulässig wäre, wäre wohl eine vergleichbare Übermittlungssicherheit beim Betroffenen auch vorgesehen worden. Auch diesen Äußerungen waren Beilagen angeschlossen, darunter die Datenschutzerklärung und die Allgemeinen Geschäftsbedingungen der MB betreffend das Produkt XXXX (AGB XXXX ). Auch diesen Äußerungen waren Beilagen angeschlossen, darunter die Datenschutzerklärung und die Allgemeinen Geschäftsbedingungen der MB betreffend das Produkt römisch 40 (AGB römisch 40 ). 1.
3. Nach Übermittlung dieser Stellungnahme zum Parteiengehör erfolgte eine weitere Stellungnahme des BF vom 05.10.2020 mit

adaptierten Anträgen wie folgt: Falls die belangte Behörde der Ansicht sei, dass die MB einzelne Rechtsverletzungen beseitigt habe und daher kein Leistungsauftrag zu erteilen sei, werde beantragt festzustellen, die MB habe das Auskunftsrecht des BF gemäß Art. 15 verletzt, indem sie Falls die belangte Behörde der Ansicht sei, dass die MB einzelne Rechtsverletzungen beseitigt habe und daher kein Leistungsauftrag zu erteilen sei, werde beantragt festzustellen, die MB habe das Auskunftsrecht des BF gemäß Artikel 15, verletzt, indem sie ● innerhalb der Frist des Art. 12 Abs. 3 DSGVO dem BF entgegen Art. 15 Abs. 1 lit. a DSGVO keine vollständigen Informationen zu den Verarbeitungszwecken zur Verfügung gestellt habe; innerhalb der Frist des Artikel 12, Absatz 3, DSGVO dem BF entgegen Artikel 15, Absatz eins, Litera a, DSGVO keine vollständigen Informationen zu den Verarbeitungszwecken zur Verfügung gestellt habe; ● nicht sämtliche bekannte Empfänger (einschließlich Auftragsverarbeiter) der personenbezogenen Daten des BF, die Gegenstand der Verarbeitung seien, beauskunftet habe; ● keine vollständigen Informationen zur Speicherdauer innerhalb der Frist des Art. 12 Abs. 3 DSGVO zur Verfügung gestellt habe und  keine vollständigen Informationen zur Speicherdauer innerhalb der Frist des Artikel 12, Absatz 3, DSGVO zur Verfügung gestellt habe und ● nicht alle verfügbaren Informationen über die Herkunft der personenbezogenen Daten des BF zur Verfügung gestellt habe. Zur „Kernfrage des gegenständlichen Verfahrens“, der Pflicht zur Bereitstellung einer Kopie von Verkehrs- und Standortdaten, seien sämtliche Rechtsverletzungen unverändert aufrecht. Die MB habe diese Daten zusammengefasst aus folgenden Gründen zu beauskunften: ● § 99 Abs. 5 TKG 2003 stehe weder seinem Wortlaut noch seinem Zweck nach der Beauskunftung von Verkehrs- und Standortdaten entgegen.  Paragraph 99, Absatz 5, TKG 2003 stehe weder seinem Wortlaut noch seinem Zweck nach der Beauskunftung von Verkehrs- und Standortdaten entgegen. ● Selbst wenn die DSB einen Konflikt zwischen Art. 15 DSGVO und den Normen des TKG 2003 verorte, gehe Art. 15 DSGVO qua Anwendungsvorrang vor. § 99 Abs. 5 TKG 2003 sei keine lex specialis zur Art. 15 DSGVO.  Selbst wenn die DSB einen Konflikt zwischen Artikel 15, DSGVO und den Normen des TKG 2003 verorte, gehe Artikel 15, DSGVO qua Anwendungsvorrang vor. Paragraph 99, Absatz 5, TKG 2003 sei keine lex specialis zur Artikel 15, DSGVO. Die lex-specialis-Regel greife nur bei gleichrangigen Rechtsnormen. Der datenschutzrechtliche Auskunftsanspruch sei Anwendungsvorrang genießendes Unionsrecht, gemäß § 1 Abs. 3 DSG auf Verfassungsebene vorgesehen und somit höherrangiger als das TKG

1. Die lex-specialis-Regel greife nur bei gleichrangigen Rechtsnormen. Der datenschutzrechtliche Auskunftsanspruch sei Anwendungsvorrang genießendes Unionsrecht, gemäß Paragraph eins, Absatz 3, DSG auf Verfassungsebene vorgesehen und somit höherrangiger als das TKG
2. Eine Einschränkung des datenschutzrechtlichen Auskunftsanspruchs bezüglich Verkehrs- /Standortdaten sei auch nicht in der e-Datenschutz-Richtlinie vorgesehen. Auch über Art. 95 DSGVO ergäbe sich keine Derogation des datenschutzrechtlichen Auskunftsanspruchs, selbst wenn die DSB der Ansicht sei, dass das TKG 2003 derartige Einschränkungen vorsehe. Eine Einschränkung des datenschutzrechtlichen Auskunftsanspruchs bezüglich Verkehrs- /Standortdaten sei auch nicht in der e-Datenschutz-Richtlinie vorgesehen. Auch über Artikel 95, DSGVO ergäbe sich keine Derogation des datenschutzrechtlichen Auskunftsanspruchs, selbst wenn die DSB der Ansicht sei, dass das TKG 2003 derartige Einschränkungen vorsehe. ● Es obläge der MB nachzuweisen, dass auch andere natürliche Personen den Mobilfunkvertrag bzw. das Mobiltelefon des BF benutzten und vorhandene Standortdaten sich daher nicht auf den BF bezögen. Dazu brachte der BF weiters vor wie folgt: Es obliege der MB darzulegen, dass erzeugte Standortdaten nicht den BF sondern andere Personen beträfen. Gegenständlich fielen Teilnehmer und Nutzer des mobilen Endgerätes nicht auseinander und seien auch in der Vergangenheit nie auseinandergefallen. Sämtliche Standortdaten beträfen ausschließlich den BF. Es bleibe kein Raum für die Anwendung der lex-specialis-Regel. Art. 11 und Art. 12 DSGVO seien anwendbar. In Art. 12 Abs. 2 Satz 2 DSGVO sei die Frage der mangelnden Identifizierbarkeit des Antragstellers angesprochen. Der MB sei es bislang nicht gelungen, glaubhaft zu machen, dass sie nicht in der Lage sei, die betroffene Person hinsichtlich jener Standortdaten zu identifizieren, die mit dem zugeordneten Endgerät erzeugt worden seien. Der bloße Umstand, dass nicht mit Sicherheit ausgeschlossen werden könne, dass auch andere Personen den Mobilfunkvertrag bzw. das Mobiltelefon des BF benutzt haben könnten, sei noch keine Glaubhaftmachung iSd Art. 12 Abs. 2 Satz 2 DSGVO. Es obliege der MB darzulegen, dass erzeugte Standortdaten nicht den BF sondern andere Personen beträfen. Gegenständlich fielen Teilnehmer und Nutzer des mobilen Endgerätes nicht auseinander und seien auch in der Vergangenheit nie auseinandergefallen. Sämtliche Standortdaten beträfen ausschließlich den BF. Es bleibe kein Raum für die Anwendung der lex-specialis-Regel. Artikel 11 und Artikel 12, DSGVO seien anwendbar. In Artikel 12, Absatz 2, Satz 2 DSGVO sei die Frage der mangelnden Identifizierbarkeit des Antragstellers angesprochen. Der MB sei es bislang nicht gelungen, glaubhaft zu machen, dass sie nicht in der Lage sei, die betroffene Person hinsichtlich jener Standortdaten zu identifizieren, die mit dem zugeordneten Endgerät erzeugt worden seien. Der bloße Umstand, dass nicht mit Sicherheit ausgeschlossen werden könne, dass auch andere Personen den Mobilfunkvertrag bzw. das Mobiltelefon des BF benutzt haben könnten, sei noch keine Glaubhaftmachung iSd Artikel 12, Absatz 2, Satz 2 DSGVO. Es könne bei keinem internetfähigen bzw. GPS-fähigen Gerät bzw. bei keinem Online-Account jemals mit Sicherheit ausgeschlossen werden, dass dieses/dieser auch von anderen Personen als dem rechtmäßig dazu befugten Inhaber benutzt werde. Das habe aber nicht zur Folge, dass die erzeugten Daten sich nicht auf den rechtmäßigen Inhaber bezögen. Es gäbe für die MB keinen konkreten Grund daran zu zweifeln, dass die gegenständlichen Standortdaten ausschließlich den BF betreffen. Insofern sei auch mit dem Verweis auf § 100 Abs. 3 TKG 2003 (§ 138 Abs 6 TKG 2021) bezüglich Schutz von Mitbenutzern nichts für die Position der MB gewonnen, da es gegenständlich keine Mitbenutzer des Mobilfunkvertrages bzw. des Mobiltelefons des BF gebe. Das Argument der MB, der Schutzzweck des § 100 Abs. 3 TKG 2003 (§ 138 Abs 6 TKG 2021) würde ausgehebelt, wenn eine Beauskunftung von Standortdaten gemäß Art. 15 DSGVO erfolge, gehe an der Sache vorbei, weil eine Datenkopie über Verkehrs- oder Standortdaten gemäß Art. 15 Abs. 3 DSGVO nicht dasselbe wie ein Einzelentgeltnachweis sei und es der MB offen stehe und diese auch gemäß Art. 15 Abs. 4 DSGVO verpflichtet sei, allfällige Informationen, deren Bereitstellung in die Datenschutzrechte anderer Personen eingriffen, entsprechend zu schwärzen bzw. sensible Passagen unkenntlich zu machen. Hierfür bedürfe es einer konkreten Kollisionslage, für die die MB als Verantwortliche die Beweislast trage. Dass nicht mit Sicherheit ausgeschlossen werden könne, dass der Mobilfunkvertrag bzw. das Mobiltelefon des BF auch von anderen Personen benutzt hätte werden können, berechtigte die MB nicht, die Beauskunftung von Standortdaten zu verweigern. Die Bezugnahme auf § 94 iVm §§ 102a ff TKG 2003 sei unzutreffend, weil die Übermittlung von personenbezogenen Daten an Behörden etwas vollkommen anderes sei, als die Bereitstellung einer Datenkopie an eine betroffene Person gemäß Art. 15 Abs. 3 DSGVO. Dass die MB auch bei der Bereitstellung einer Datenkopie gemäß Art. 15 Abs. 3 DSGVO angemessene Datensicherheitsmaßnahmen vorzusehen habe, ergäbe sich bereits aus Art. 5 Abs. 1 lit. f iVm Art. 32 DSGVO und habe nicht mit Datensicherheitsregeln im TKG 2003 zu tun. Verkehrs-/Standortdaten nicht gemäß Art. 15 Abs. 3 DSGVO zu beauskunften, weil der österreichische Gesetzgeber keine expliziten dem §§ 102a ff TKG 2003 entsprechenden Maßnahmen zur Sicherheit bei der Datenübermittlung vorgesehen habe, wäre eine Fehlinterpretation geltenden Rechts. Die MB übersehe, dass es sich bei Art. 15 DSGVO um ein subjektives Betroffenenrecht handle, welches in einer unter Anwendungsvorrang stehenden EU-Verordnung vorgesehen sei. Dieses könne nicht entfallen, weil ein nationaler Gesetzgeber keine spezielleren Vorschriften zur Sicherheit bei der Datenübermittlung erlassen habe. Es könne bei keinem internetfähigen bzw. GPS-fähigen Gerät bzw. bei keinem Online-Account jemals mit Sicherheit ausgeschlossen werden, dass dieses/dieser auch von anderen Personen als dem rechtmäßig dazu befugten Inhaber benutzt werde. Das habe aber nicht zur Folge, dass die erzeugten Daten sich nicht auf den rechtmäßigen Inhaber bezögen. Es gäbe für die MB keinen konkreten Grund daran zu zweifeln, dass die gegenständlichen Standortdaten ausschließlich den BF betreffen. Insofern sei auch mit dem Verweis auf Paragraph 100, Absatz 3, TKG 2003 (Paragraph 138, Absatz 6, TKG 2021) bezüglich Schutz von Mitbenutzern nichts für die Position der MB gewonnen, da es gegenständlich keine Mitbenutzer des Mobilfunkvertrages bzw. des Mobiltelefons des BF gebe. Das Argument der MB, der Schutzzweck des Paragraph 100, Absatz 3, TKG 2003 (Paragraph 138, Absatz 6, TKG 2021) würde ausgehebelt, wenn eine Beauskunftung von Standortdaten gemäß Artikel 15, DSGVO erfolge, gehe an der Sache vorbei, weil eine Datenkopie über Verkehrs- oder Standortdaten gemäß Artikel 15, Absatz 3, DSGVO nicht dasselbe wie ein Einzelentgeltnachweis sei und es der MB offen stehe und diese auch gemäß Artikel 15, Absatz 4, DSGVO verpflichtet sei, allfällige Informationen, deren Bereitstellung in die Datenschutzrechte anderer Personen eingriffen, entsprechend zu schwärzen bzw. sensible Passagen unkenntlich zu machen. Hierfür bedürfe es einer konkreten Kollisionslage, für die die MB als Verantwortliche die Beweislast trage. Dass nicht mit Sicherheit ausgeschlossen werden könne, dass der Mobilfunkvertrag bzw. das Mobiltelefon des BF auch von anderen Personen benutzt hätte werden können, berechtigte die MB nicht, die Beauskunftung von Standortdaten zu verweigern. Die Bezugnahme auf Paragraph 94, in Verbindung mit Paragraphen 102 a, ff TKG 2003 sei unzutreffend, weil die Übermittlung von personenbezogenen Daten an Behörden etwas vollkommen anderes sei, als die Bereitstellung einer Datenkopie an eine betroffene Person gemäß Artikel 15, Absatz 3, DSGVO. Dass die MB auch bei der Bereitstellung einer Datenkopie gemäß Artikel 15, Absatz 3, DSGVO angemessene Datensicherheitsmaßnahmen vorzusehen habe, ergäbe sich bereits aus Artikel 5, Absatz eins, Litera f, in Verbindung mit Artikel 32, DSGVO und habe nicht mit Datensicherheitsregeln im TKG 2003 zu tun. Verkehrs-/Standortdaten nicht gemäß Artikel 15, Absatz 3, DSGVO zu beauskunften, weil der österreichische Gesetzgeber keine expliziten dem Paragraphen 102 a, ff TKG 2003 entsprechenden Maßnahmen zur Sicherheit bei der Datenübermittlung vorgesehen habe, wäre eine Fehlinterpretation geltenden Rechts. Die MB übersehe, dass es sich bei Artikel 15, DSGVO um ein subjektives Betroffenenrecht handle, welches in einer unter Anwendungsvorrang stehenden EU-Verordnung vorgesehen sei. Dieses könne nicht entfallen, weil ein nationaler Gesetzgeber keine spezielleren Vorschriften zur Sicherheit bei der Datenübermittlung erlassen habe. 1.
3. Über Aufforderung vom 11.05.2021 der belangten Behörde, wonach nicht klar sei, ob sich der BF weiterhin in seinem Recht auf Auskunft betreffend Art. 15 Abs. 1 lit c verletzt erachte, erfolgte eine weitere Stellungnahme vom 26.05.2021 des BF, beinhaltend umfangreiches Vorbringen. Dieser führte insbesondere aus, dem BF sei nach wie vor unklar, an welchen Empfänger die MB seine personenbezogenen Daten tatsächlich übermittelt habe, insofern erachte er sich weiterhin in seinem Recht gemäß Art. 15 Abs. 1 lit c DSGVO verletzt. Die belangte Behörde möge die zur Klärung der tatsächlichen Situation notwendigen Sachverhaltselemente insbesondere durch Einschau in die Datenverarbeitungen in den Geschäftsräumlichkeiten der MB untersuchen, den BF zu dieser Einschau laden, ihm sämtliche Ermittlungsergebnisse zukommen lassen und allenfalls einen Teilbescheid erlassen, der die Frage der Verletzung des Art. 15 Abs 1 lit c DSGVO ausklammere.1.
4. Über Aufforderung vom 11.05.2021 der belangten Behörde, wonach nicht klar sei, ob sich der BF weiterhin in seinem Recht auf Auskunft betreffend Artikel 15, Absatz eins, Litera c, verletzt erachte, erfolgte eine weitere Stellungnahme vom 26.05.2021 des BF, beinhaltend umfangreiches Vorbringen. Dieser führte insbesondere aus, dem BF sei nach wie vor unklar, an welchen Empfänger die MB seine personenbezogenen Daten tatsächlich übermittelt habe, insofern erachte er sich weiterhin in seinem Recht gemäß Artikel 15, Absatz eins, Litera c, DSGVO verletzt. Die belangte Behörde möge die zur Klärung der tatsächlichen Situation notwendigen Sachverhaltselemente insbesondere durch Einschau in die Datenverarbeitungen in den Geschäftsräumlichkeiten der MB untersuchen, den BF zu dieser Einschau laden, ihm sämtliche Ermittlungsergebnisse zukommen lassen und allenfalls einen Teilbescheid erlassen, der die Frage der Verletzung des Artikel 15, Absatz eins, Litera c, DSGVO ausklammere. 1.5.1 Mit dem bekämpften Bescheid gab die belangte Behörde der Beschwerde zu Spruchpunkt
5. teilweise statt und stellte fest, die MB habe den BF dadurch im Recht auf Auskunft verletzt, indem sie ihm keine Auskunft über die konkreten Datenempfänger erteilt habe, setzte zu Spruchpunkt
6. eine Frist zur Präzisierung, ob tatsächlich eine Datenübermittlung an die angeführten Empfänger erfolgt sei und wies zu Spruchpunkt
7. die Beschwerde „im Übrigen“ ab. 1.5.
8. Die belangte Behörde traf dabei folgende Feststellungen: , ris-attachment://hauptdokument.img2is.png , 1.5.
9. Zum abweisenden Spruchpunkt
10. führte die belangte Behörde rechtlich aus wie folgt: Die Datenschutzbehörde habe sich bereits vor In-Geltung-Treten der DSGVO im Bescheid vom
11. März 2017, GZ DSB-D122.616/0006-DSB/2016, mit der Frage beschäftigt, ob „Standortdaten“ iSd § 92 Abs. 3 Z 6 TKG 2003 (das seien Daten, die in einem Kommunikationsnetz oder von einem Kommunikationsdienst verarbeitet werden und die den geografischen Standort der Telekommunikationsendeinrichtung eines Nutzes eines öffentlichen Kommunikationsdienstes angeben, im Fall von festen Telekommunikationsendeinrichtungen, die Adresse der Einrichtung) im Rahmen einer datenschutzrechtlichen Auskunft zu beauskunften seien. Nichts anderes könne nach neuer Rechtslage gelten, zumal auch nach In-Geltung-Treten der DSGVO weiterhin die Bestimmungen des TKG 2003 hier maßgeblich seien, weil die datenschutzrechtlichen Bestimmungen der §§ 92 ff TKG 2003 auf den Vorgaben der Richtlinie 2002/58/EG (e-Privacy-Richtlinie) fußten und diese als lex specialis der DSGVO vorgingen (siehe dazu Art. 95 DSGVO). Art. 23 DSGVO sei diesfalls nicht einschlägig. Es sei daher bereits aufgrund dieser Erwägungen davon auszugehen, dass die MB zu Recht die Beantwortung des Auskunftsbegehrens verweigert habe, da eine Feststellung, ob es sich bei den verfahrensgegenständlichen Standortdaten (nur) um Daten des Auskunftswerbers handele, nicht möglich gewesen sei. Daran ändere auch die vom BF in Vorlage gebrachte eidesstattliche Erklärung nichts, weil auch dadurch kein objektiver, dh für jedermann nachvollziehbarer Nachweis erbracht werde, dass der BF zu jedem Zeitpunkt des von ihm angegebenen Zeitraumes tatsächlicher Nutzer des Endgerätes gewesen sei. Bei Verkehrsdaten handle es sich gemäß § 92 Abs. 3 Z 4 TKG 2003 um Daten, die zum Zwecke der Weiterleitung einer Nachricht an ein Kommunikationsnetz oder zum Zwecke der Fakturierung dieses Vorgangs verarbeitet würden. Die Speicherung bzw. Übermittlung dieser Daten richte sich gemäß § 99 Abs. 1 TKG 2003 nach den Bestimmungen dieses Gesetzes und sei nur eingeschränkt möglich. Wie bereits die Datenschutzkommission ausgesprochen habe, räume das Fernmelderecht gemäß §§ 92 Abs. 1 iVm 100 Abs. 1 TKG 2003 dem Betroffenen nur ein auf den Erhalt eines Einzelentgeltnachweises eingeschränktes Recht ein, über gespeicherte Verkehrsdaten Auskunft zu erhalten. Diese Beschränkung gehe als lex specialis dem allgemeinen Auskunftsrecht vor. Die Datenschutzbehörde habe sich bereits vor In-Geltung-Treten der DSGVO im Bescheid vom
12. März 2017, GZ DSB-D122.616/0006-DSB/2016, mit der Frage beschäftigt, ob „Standortdaten“ iSd Paragraph 92, Absatz 3, Ziffer 6, TKG 2003 (das seien Daten, die in einem Kommunikationsnetz oder von einem Kommunikationsdienst verarbeitet werden und die den geografischen Standort der Telekommunikationsendeinrichtung eines Nutzes eines öffentlichen Kommunikationsdienstes angeben, im Fall von festen Telekommunikationsendeinrichtungen, die Adresse der Einrichtung) im Rahmen einer datenschutzrechtlichen Auskunft zu beauskunften seien. Nichts anderes könne nach neuer Rechtslage gelten, zumal auch nach In-Geltung-Treten der DSGVO weiterhin die Bestimmungen des TKG 2003 hier maßgeblich seien, weil die datenschutzrechtlichen Bestimmungen der Paragraphen 92, ff TKG 2003 auf den Vorgaben der Richtlinie 2002/58/EG (e-Privacy-Richtlinie) fußten und diese als lex specialis der DSGVO vorgingen (siehe dazu Artikel 95, DSGVO). Artikel 23, DSGVO sei diesfalls nicht einschlägig. Es sei daher bereits aufgrund dieser Erwägungen davon auszugehen, dass die MB zu Recht die Beantwortung des Auskunftsbegehrens verweigert habe, da eine Feststellung, ob es sich bei den verfahrensgegenständlichen Standortdaten (nur) um Daten des Auskunftswerbers handele, nicht möglich gewesen sei. Daran ändere auch die vom BF in Vorlage gebrachte eidesstattliche Erklärung nichts, weil auch dadurch kein objektiver, dh für jedermann nachvollziehbarer Nachweis erbracht werde, dass der BF zu jedem Zeitpunkt des von ihm angegebenen Zeitraumes tatsächlicher Nutzer des Endgerätes gewesen sei. Bei Verkehrsdaten handle es sich gemäß Paragraph 92, Absatz 3, Ziffer 4, TKG 2003 um Daten, die zum Zwecke der Weiterleitung einer Nachricht an ein Kommunikationsnetz oder zum Zwecke der Fakturierung dieses Vorgangs verarbeitet würden. Die Speicherung bzw. Übermittlung dieser Daten richte sich gemäß Paragraph 99, Absatz eins, TKG 2003 nach den Bestimmungen dieses Gesetzes und sei nur eingeschränkt möglich. Wie bereits die Datenschutzkommission ausgesprochen habe, räume das Fernmelderecht gemäß Paragraphen 92, Absatz eins, in Verbindung mit 100 Absatz eins, TKG 2003 dem Betroffenen nur ein auf den Erhalt eines Einzelentgeltnachweises eingeschränktes Recht ein, über gespeicherte Verkehrsdaten Auskunft zu erhalten. Diese Beschränkung gehe als lex specialis dem allgemeinen Auskunftsrecht vor. Die MB habe daher zu Recht die Auskunft der Verkehrsdaten verweigert. Ihm stellten sich zur Beauskunftung von Verkehrsdaten dieselben Fragen wie zur Beauskunftung von Standortdaten, weshalb auf die diesbezügliche Begründung verwiesen werde. 1.
13. Allein gegen Spruchpunkt
14. richtet sich die Beschwerde des BF „soweit die Abweisung des Antrags auf Bereitstellung einer Kopie von Standort- und Verkehrsdaten (einschließlich Standortkennung) nach Art. 15 Abs. 3 DSGVO betroffen ist“ wegen unrichtiger rechtlicher Beurteilung mit den Anträgen, festzustellen, dass die MB gegen Art. 15 Abs. 3 DSGVO verstoßen habe, indem sie dem BF keine vollständige Kopie ihn betreffender Verkehrs-, Standortdaten und Standortkennungen iSd TKG zur Verfügung gestellt habe. Der MB sei aufzutragen, dem BF innerhalb einer Frist vollständige Kopien ihn betreffender derartiger Daten zur Verfügung zu stellen. Hilfsweise werde ein Aufhebungsantrag gestellt. 1.
15. Allein gegen Spruchpunkt
16. richtet sich die Beschwerde des BF „soweit die Abweisung des Antrags auf Bereitstellung einer Kopie von Standort- und Verkehrsdaten (einschließlich Standortkennung) nach Artikel 15, Absatz 3, DSGVO betroffen ist“ wegen unrichtiger rechtlicher Beurteilung mit den Anträgen, festzustellen, dass die MB gegen Artikel 15, Absatz 3, DSGVO verstoßen habe, indem sie dem BF keine vollständige Kopie ihn betreffender Verkehrs-, Standortdaten und Standortkennungen iSd TKG zur Verfügung gestellt habe. Der MB sei aufzutragen, dem BF innerhalb einer Frist vollständige Kopien ihn betreffender derartiger Daten zur Verfügung zu stellen. Hilfsweise werde ein Aufhebungsantrag gestellt. 1.
17. Die belangte Behörde legte die Beschwerde samt dem elektronischen Verwaltungsakt dem Bundesverwaltungsgericht einlangend am 24.11.2021 vor. Sie bestritt das Beschwerdevorbringen zur Gänze, beantragte, die Beschwerde abzuweisen und brachte im Wesentlichen vor: Die Rechtsprechung der Datenschutzbehörde vor dem Inkrafttreten der DSGVO habe nach wie vor Bestand, da die zitierten einschlägigen telekommunikationsrechtlichen Vorgaben seither keine inhaltliche Änderung erfahren hätten. Europarechtliche Grundlage sei nach wie vor die Richtlinie 2002/58/EG, welche zunächst im TKG 2003 und

im TKG 2021 umgesetzt worden sei. Darüber hinaus weise bereits der Wortlaut des Art. 15 Abs. 1 Satz 1 DSGVO eine klare, diesbezügliche Einschränkung auf: Die Rechtsprechung der Datenschutzbehörde vor dem Inkrafttreten der DSGVO habe nach wie vor Bestand, da die zitierten einschlägigen telekommunikationsrechtlichen Vorgaben seither keine inhaltliche Änderung erfahren hätten. Europarechtliche Grundlage sei nach wie vor die Richtlinie 2002/58/EG, welche zunächst im TKG 2003 und

im TKG 2021 umgesetzt worden sei. Darüber hinaus weise bereits der Wortlaut des Artikel 15, Absatz eins, Satz 1 DSGVO eine klare, diesbezügliche Einschränkung auf: „Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten.“ In der englischen Version der DSGVO laute Art. 15 Abs. 1 Satz 1In der englischen Version der DSGVO laute Artikel 15, Absatz eins, Satz 1 „The data subject shall have the right to obtain from the controller confirmation as to whether or not personal data concerning him or her are being processed, and, where that ist the case, access to the personal data and the following information: (…)“ Eine ähnliche Formulierung finde sich in Erwägungsgrund 63,

1. Satz leg. cit: „Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.“ Wie die Datenschutzbehörde in ihrem Bescheid vom
2. April 2019, GZ D122.913/0001-DSB/2019 ausgesprochen habe, sei eine Auskunft gemäß Art. 15 DSGVO auf eigene Daten beschränkt, also auf Daten, die – nach dem Wortlaut des Art. 15 DSGVO – „sie – dh. die betroffene Person – betreffende personenbezogene Daten“ seien. Die belangte Behörde hege keinen Zweifel, dass der BF Vertragspartner der MB sei, doch könne allein daraus nicht mit der dafür erforderlichen Wahrscheinlichkeit und Sicherheit gefolgert werden, dass der BF sein Endgerät zu jedem Zeitpunkt auch physisch im Besitz gehabt bzw. selbst bedient habe. Dies lasse sich objektiv gesichert mit derzeit verfügbaren Methoden nicht feststellen. Darüber hinaus handle es sich bei den im Rahmen der Auskunft begehrten „Standortdaten“ um technische Betriebsdaten des Kommunikationsnetzbetreibers. Die Erfassung eines Endgerätes zu einem bestimmten Zeitpunkt in einem definierten Einzugsbereich eines Funkmasts (also die sogenannten Standortdaten) erfolge ausschließlich zu technischen Betriebszwecken, da die Erfassung der Standortdaten zur korrekten Weiterleitung eines Anrufes erforderlich sei. Dies bedeute konkret anhand eines Beispiels, dass das Mobiltelefon des BF im Mast XXX1 (bspw. Klagenfurt, St. Veiter Ring) am
3. November 2021 zwischen 12:42 und 15:00 Uhr deshalb erfasst werde, weil ein Anruf am Mobilfunkendgerät am 19.11.2021, um 13:00 Uhr, „technisch“ zum betreffenden Funkmasten XXX1 (Klagenfurt, St. Veiter Ring) durchgeleitet und adressiert werde, damit die Erreichbarkeit des Mobilfunktelefons gegeben sei. Dies sei einer der wesentlichen Unterschiede zu den vom BF angeführten Beispielen zu inhaltlichen Chat-Nachrichten, inhaltlichen Smart Watch Daten und der Viewing Historiy eines Streaming Accounts. Auch unter diesem Aspekt sei die Qualifikation von Standortdaten als den „Beschwerdeführer betreffende Daten“ im Sinne des Art. 15 Abs. 1, Satz 1 DSGVO zu verneinen. Standortdaten seien, vereinfacht ausgedrückt, Daten, die das mobile Endgerät produziert, ohne dass es darauf ankomme, wer der jeweilige Inhaber sei. Insofern würden einseitige Beteuerungen bzw. Aussagen des BF ins Leere gehen und keine objektiv gesicherte Methode darstellen, dass der BF auch tatsächlich im ständigen physischen Besitz des Endgerätes gewesen sei. Werde ein mobiles Endgerät – wenn auch nur für kurze Zeit – durch jemand anderen benutzt bzw. mit sich getragen (was dazu führe, dass Standort- und auch Verkehrsdaten durch das Einwählen in eine Funkzelle anfielen), lägen für diesen Zeitraum keine den BF betreffende Daten zu seiner Person vor. Dass mobile Endgeräte nicht stets durch den Vertragsinhaber als Auskunftswerber benützt werden, entspreche einer realistischen Lebensbetrachtung. Wie die Datenschutzbehörde in ihrem Bescheid vom
4. April 2019, GZ D122.913/0001-DSB/2019 ausgesprochen habe, sei eine Auskunft gemäß Artikel 15, DSGVO auf eigene Daten beschränkt, also auf Daten, die – nach dem Wortlaut des Artikel 15, DSGVO – „sie – dh. die betroffene Person – betreffende personenbezogene Daten“ seien. Die belangte Behörde hege keinen Zweifel, dass der BF Vertragspartner der MB sei, doch könne allein daraus nicht mit der dafür erforderlichen Wahrscheinlichkeit und Sicherheit gefolgert werden, dass der BF sein Endgerät zu jedem Zeitpunkt auch physisch im Besitz gehabt bzw. selbst bedient habe. Dies lasse sich objektiv gesichert mit derzeit verfügbaren Methoden nicht feststellen. Darüber hinaus handle es sich bei den im Rahmen der Auskunft begehrten „Standortdaten“ um technische Betriebsdaten des Kommunikationsnetzbetreibers. Die Erfassung eines Endgerätes zu einem bestimmten Zeitpunkt in einem definierten Einzugsbereich eines Funkmasts (also die sogenannten Standortdaten) erfolge ausschließlich zu technischen Betriebszwecken, da die Erfassung der Standortdaten zur korrekten Weiterleitung eines Anrufes erforderlich sei. Dies bedeute konkret anhand eines Beispiels, dass das Mobiltelefon des BF im Mast XXX1 (bspw. Klagenfurt, St. Veiter Ring) am
5. November 2021 zwischen 12:42 und 15:00 Uhr deshalb erfasst werde, weil ein Anruf am Mobilfunkendgerät am 19.11.2021, um 13:00 Uhr, „technisch“ zum betreffenden Funkmasten XXX1 (Klagenfurt, St. Veiter Ring) durchgeleitet und adressiert werde, damit die Erreichbarkeit des Mobilfunktelefons gegeben sei. Dies sei einer der wesentlichen Unterschiede zu den vom BF angeführten Beispielen zu inhaltlichen Chat-Nachrichten, inhaltlichen Smart Watch Daten und der Viewing Historiy eines Streaming Accounts. Auch unter diesem Aspekt sei die Qualifikation von Standortdaten als den „Beschwerdeführer betreffende Daten“ im Sinne des Artikel 15, Absatz eins,, Satz 1 DSGVO zu verneinen. Standortdaten seien, vereinfacht ausgedrückt, Daten, die das mobile Endgerät produziert, ohne dass es darauf ankomme, wer der jeweilige Inhaber sei. Insofern würden einseitige Beteuerungen bzw. Aussagen des BF ins Leere gehen und keine objektiv gesicherte Methode darstellen, dass der BF auch tatsächlich im ständigen physischen Besitz des Endgerätes gewesen sei. Werde ein mobiles Endgerät – wenn auch nur für kurze Zeit – durch jemand anderen benutzt bzw. mit sich getragen (was dazu führe, dass Standort- und auch Verkehrsdaten durch das Einwählen in eine Funkzelle anfielen), lägen für diesen Zeitraum keine den BF betreffende Daten zu seiner Person vor. Dass mobile Endgeräte nicht stets durch den Vertragsinhaber als Auskunftswerber benützt werden, entspreche einer realistischen Lebensbetrachtung. Es sei für das Anfallen von Standortdaten auch nicht erforderlich, dass eine Person allfällige Zugriffssperren zu einem mobilen Endgerät überwinde: Es reiche aus, dass ein mobiles Endgerät über eine gewisse Distanz bewegt werde und sich somit in unterschiedliche Funkzellen einwähle. Daher fielen Standortdaten auch an, wenn ein mobiles Endgerät bspw. in einem Auto vergessen werde. Es sei nach dem derzeitigen Stand der Technik daher nicht gesichert, dass der Vertragspartner eines Telekommunikationsunternehmens gesichert auch jene Person sei, zu der Standort- und Verkehrsdaten verarbeitet werden. Da nach gefestigter höchstgerichtlicher Rechtsprechung für einen Verantwortlichen aber mit nahezu absoluter Sicherheit feststehen müsse, dass die zu beauskunftenden Daten tatsächlich jene des Auskunftswerbers seien, erfolge die Abweisung durch die belangte Behörde zurecht (siehe zuletzt VwSlg. 19.411 A/2016). 1.
6. Mit Stellungnahme vom 12.08.2022 beschäftigte sich die MB ausführlich mit ihrer Behauptung, Verkehrsdaten bezögen sich nicht ausschließlich auf den BF und erstattete weiteres Vorbringen zu den Themen „TKG als lex specialis“ und Art. 11 und 12 DSGVO und regte an, das gegenständliche Verfahren mit jenem zu hg. W 256 2234027 zu verbinden. 1.
7. Mit Stellungnahme vom 12.08.2022 beschäftigte sich die MB ausführlich mit ihrer Behauptung, Verkehrsdaten bezögen sich nicht ausschließlich auf den BF und erstattete weiteres Vorbringen zu den Themen „TKG als lex specialis“ und Artikel 11 und 12 DSGVO und regte an, das gegenständliche Verfahren mit jenem zu hg. W 256 2234027 zu verbinden. Weiters werde die Einholung einer Vorabentscheidung des EuGH angeregt um dem EuGH folgende Fragen vorzulegen:
8. Stellt die e-Privacy-Richtlinie im Hinblick auf Verkehrs- und Standortdaten eine lex specialis zu den Regelungen des Art. 15 DSGVO dar, sodass diese der DSGVO vorgeht und eine Auskunft nur in dem in der e-Privacy-Richtlinie vorgesehenen Umfang (Einzelgesprächsnachweis) zu erfolgen hat?
9. Stellt die e-Privacy-Richtlinie im Hinblick auf Verkehrs- und Standortdaten eine lex specialis zu den Regelungen des Artikel 15, DSGVO dar, sodass diese der DSGVO vorgeht und eine Auskunft nur in dem in der e-Privacy-Richtlinie vorgesehenen Umfang (Einzelgesprächsnachweis) zu erfolgen hat?
10. Sofern Frage
11. mit „Nein“ beantwortet wird: Kommt hinsichtlich Verkehrs- und Standortdaten Art. 11 DSGVO zur Anwendung, weil eine Identifizierung der betroffenen Person nicht erforderlich oder nicht möglich ist?Kommt hinsichtlich Verkehrs- und Standortdaten Artikel 11, DSGVO zur Anwendung, weil eine Identifizierung der betroffenen Person nicht erforderlich oder nicht möglich ist?
12. Sofern Frage
13. mit „Ja“ zu beantworten ist: Welche Anforderungen müssen erfüllt sein, damit eine ausreichende Identifizierung des Teilnehmers gelingt? Zu Punkt I. (Verkehrsdaten bezögen sich nicht ausschließlich auf den BF) führte die MB zusammengefasst aus, ausgehend von der herrschenden Auffassung, dass ausschließlich derjenige Träger des Auskunftsrechts sei, der auch betroffene Person sei, sei darauf zu verweisen, dass derjenige, der eine Vertragsbeziehung zu einem Mobilfunkanbieter eingehe, oft gerade nicht derjenige sei, der das Mobiltelefon benutze. Branchenüblich seien Familien- oder Kombiangebote für mehrere Benutzer. Zu denken sei auch an Konstellationen, wonach ein Vertragsabschluss eines Mobilfunkvertrages von Eltern für ihre Kinder, von ArbeitgeberInnen für MitarbeiterInnen oder PartnerInnen für den/die anderen PartnerInnen vorliege. Die bloße eidesstättige Erklärung des BF, der ausschließliche Benutzer des Mobiltelefons zu sein, sei ein unbrauchbares Mittel, um die alleinige Nutzung des Mobilfunkvertrages darzulegen. Der MB läge keinerlei Möglichkeit zur Überprüfung dieser Behauptungen vor. Zu Punkt römisch eins. (Verkehrsdaten bezögen sich nicht ausschließlich auf den BF) führte die MB zusammengefasst aus, ausgehend von der herrschenden Auffassung, dass ausschließlich derjenige Träger des Auskunftsrechts sei, der auch betroffene Person sei, sei darauf zu verweisen, dass derjenige, der eine Vertragsbeziehung zu einem Mobilfunkanbieter eingehe, oft gerade nicht derjenige sei, der das Mobiltelefon benutze. Branchenüblich seien Familien- oder Kombiangebote für mehrere Benutzer. Zu denken sei auch an Konstellationen, wonach ein Vertragsabschluss eines Mobilfunkvertrages von Eltern für ihre Kinder, von ArbeitgeberInnen für MitarbeiterInnen oder PartnerInnen für den/die anderen PartnerInnen vorliege. Die bloße eidesstättige Erklärung des BF, der ausschließliche Benutzer des Mobiltelefons zu sein, sei ein unbrauchbares Mittel, um die alleinige Nutzung des Mobilfunkvertrages darzulegen. Der MB läge keinerlei Möglichkeit zur Überprüfung dieser Behauptungen vor. Zu 1 Ob 244/02t sei der OGH bei Mehrwertdiensten davon ausgegangen, dass auch ein Dritter Nutzer des Dienstes sein könne und man nicht davon ausgehen könne, dass der Nutzer der Teilnehmer (und umgekehrt der Teilnehmer der Nutzer) sei. Gerade jemand, der ein großes und nicht legitimes Interesse an den Standort- und Verkehrsdaten einer dritten Person habe, die seinen Mobilfunkvertrag (mit)nutze, würde kaum davor zurückschrecken, wahrheitswidrig seine alleinige Nutzung zu beteuern. Naheliegende Beispiele für eine solche mögliche missbräuchliche Verwendung von Verkehrs- und Standortdaten seien: ● Überwachung von ArbeitnehmerInnen durch ArbeitgeberInnen; ● Beziehungs- und Ehestreitigkeiten, Scheidungs- und Obsorgeverfahren; ● Überwachung oder gar Einschüchterung von LebensparterInnen und Kindern; ● Mobbing, Stalking etc. Es könnten nicht nur durch die Verkehrsdaten angerufene/anrufende Personen herausgefunden werden, sondern durch die Standortdaten auch Bewegungsprofile erstellt werden. Gegenteilige Behauptungen seien selbst von Behörden oder Gerichten objektiv und in keiner Weise nachvollziehbar oder nachprüfbar. Umso weniger sei es für den Telekommunikationsanbieter möglich, im Fall von Verkehrs- und Standortdaten auch nur annähernd Gewissheit zu erlangen, dass es sich beim BF auch wirklich um den ausschließlichen Benutzer handle. Auch der EU-Gesetzgeber habe das Problem, dass Teilnehmer (Vertragsinhaber) und (tatsächliche) NutzerInnen regelmäßig auseinanderfielen, schon bei der e-Privacy-Richtlinie vor Augen gehabt. Er habe im Zusammenhang mit der Beauskunftung und Ablehnung von Cookies erkannt, dass diese „besonders“ bedeutsam seien, wenn auch andere Nutzer Zugang zu dem betreffenden Endgerät hätten und damit auch zu dort gespeicherten Daten, die sensible Informationen privater Natur beinhalten (ErwGrund 25 e-Privacy-Richtlinie). Keines der vom BF (in der Beschwerde S. 5 – Anmerkung des Gerichts) genannten Beispiele fiele in den Anwendungsbereich des TKG, weil sich die Beispiele nicht auf die Nutzung eines Kommunikationsnetztes bezögen. Der Benutzer – nicht der Vertragsinhaber (Teilnehmer) und nicht der Telekommunikationsanbieter – sei der einzige, der dem Kommunikationsgeheimnis unterliegende Daten weitergeben dürfe, und das auch nur dann, wenn er alle anderen beteiligten Benutzer gefragt und deren Einwilligung erhalten habe. Die vom BF genannten Beispiele, die Viewing-History eines Streamingaccounts, die Profile auf einer Socialmedia-Plattform, der Inhalt von Gesundheitsakten, seien nicht dem Kommunikationsgeheimnis unterliegende Daten. Bei der Nutzung von Streamingaccounts sei es die allgemeine Lebenserfahrung, dass neben dem Inhaber des Accounts auch andere Personen den Account nutzten. Weiters erhob die MB in eventu (für den aus ihrer Sicht nicht vorliegenden Fall, dass eine Betroffenenstellung des BF angenommen werde) rechtliches Vorbringen zum Verhältnis der einschlägigen TKG-Regelungen zur DSGVO und weiters in eventu, wolle man das TKG nicht als lex specialis ansehen, zu Art. 11 und 12 DSGVO, nämlich Verarbeitungen, bei denen eine Identifizierung der betroffenen Person nicht erforderlich oder nicht möglich sei. Insbesondere werde auf Art. 11 Abs. 2 DSGVO verwiesen, wonach in diesen Fällen die Art. 15 bis 20 keine Anwendung fänden, es sei denn, die betroffene Person stelle zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichten. Die vom BF angebotene eidesstattliche Erklärung ermögliche dies gerade nicht. Weiters erhob die MB in eventu (für den aus ihrer Sicht nicht vorliegenden Fall, dass eine Betroffenenstellung des BF angenommen werde) rechtliches Vorbringen zum Verhältnis der einschlägigen TKG-Regelungen zur DSGVO und weiters in eventu, wolle man das TKG nicht als lex specialis ansehen, zu Artikel 11 und 12 DSGVO, nämlich Verarbeitungen, bei denen eine Identifizierung der betroffenen Person nicht erforderlich oder nicht möglich sei. Insbesondere werde auf Artikel 11, Absatz 2, DSGVO verwiesen, wonach in diesen Fällen die Artikel 15 bis 20 keine Anwendung fänden, es sei denn, die betroffene Person stelle zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichten. Die vom BF angebotene eidesstattliche Erklärung ermögliche dies gerade nicht. 1.
14. Mit ergänzender Stellungnahme vom 17.10.2022 führte die MB aus, die vollumfängliche Beauskunftung von Verkehrsdaten würde die Bestimmungen der e-Privacy-Richtlinie und des TKG zum Einzelgesprächsnachweis nutzlos machen. Dies gelte in gleicher Weise für die Regelungen zur Anzeige der Rufnummer des Anrufers beim Angerufenen (§ 139 TKG 2021) sowie zur Fangschaltung (§ 141 TKG 2021), weil mit den vollständigen Verkehrsdaten auch alle eingehenden Anrufe, einschließlich der Rufnummern aller Anrufer, offengelegt würden. Die e-Privacy-Richtlinie und das TKG 2021 schafften im Zusammenhang mit der Verarbeitung und Offenlegung von Verkehrsdaten einen wohlüberlegten Ausgleich in Hinblick auf die Interessen aller beteiligten Betroffenen (des Vertragsinhabers, der davon verschiedenen Nutzer, der Anrufer gegenüber dem Angerufenen und umgekehrt, der Behörden …). Dieser Ausgleich würde mit dem vom BF begehrten uneingeschränkten Auskunftsrecht zu Verkehrs- und Standortdaten zunichte gemacht und ausschließlich die Interessen des Auskunftswerbers zum Nachteil aller übrigen Betroffen vorangestellt. 1.
15. Mit ergänzender Stellungnahme vom 17.10.2022 führte die MB aus, die vollumfängliche Beauskunftung von Verkehrsdaten würde die Bestimmungen der e-Privacy-Richtlinie und des TKG zum Einzelgesprächsnachweis nutzlos machen. Dies gelte in gleicher Weise für die Regelungen zur Anzeige der Rufnummer des Anrufers beim Angerufenen (Paragraph 139, TKG 2021) sowie zur Fangschaltung (Paragraph 141, TKG 2021), weil mit den vollständigen Verkehrsdaten auch alle eingehenden Anrufe, einschließlich der Rufnummern aller Anrufer, offengelegt würden. Die e-Privacy-Richtlinie und das TKG 2021 schafften im Zusammenhang mit der Verarbeitung und Offenlegung von Verkehrsdaten einen wohlüberlegten Ausgleich in Hinblick auf die Interessen aller beteiligten Betroffenen (des Vertragsinhabers, der davon verschiedenen Nutzer, der Anrufer gegenüber dem Angerufenen und umgekehrt, der Behörden …). Dieser Ausgleich würde mit dem vom BF begehrten uneingeschränkten Auskunftsrecht zu Verkehrs- und Standortdaten zunichte gemacht und ausschließlich die Interessen des Auskunftswerbers zum Nachteil aller übrigen Betroffen vorangestellt. Im Übrigen habe sich der Europäische Gerichtshof erst kürzlich in den verbundenen Rechtssachen C-339/20 und C-397/20 für die Stellung der e-Privacy-Richtlinie als Referenzrechtsakt und Maßstab im Bereich der Speicherung und allgemein der Verarbeitung personenbezogener Daten in der elektronischen Kommunikation ausgesprochen. Die e-Privacy-Richtlinie gehe sohin im Bereich der Speicherung und allgemein der Verarbeitung personenbezogener Daten in der elektronischen Kommunikation allen anderen Rechtsakten (sowohl EU Richtlinien als auch EU-Verordnungen) vor. 1.
16. Der BF erhob in weiterer Folge am 30.11.2022,

anwaltlich vertreten, einen Fristsetzungsantrag. 1.

1. Mit verfahrensleitender Anordnung des VwGH vom 07.12.2022 wurde dem BVwG diesbezüglich eine Frist von drei Monaten gesetzt. Die Beschwerde ist im Ergebnis nicht berechtigt:
2. Das Verwaltungsgericht legt die bereits von der belangten Behörde getroffenen unstrittigen - oben zu 5.2.
3. wiedergegebenen - Feststellungen dem Erkenntnis zu Grunde und ergänzt diese wie folgt: Die vom BF der MB vorgelegte „eidesstattliche Erklärung“ lautet wie folgt: „Ich, XXXX , … , erkläre hiermit als Vertragspartner des aufrechten Mobilfunkvertrages (Vertragsbeginn 27.05.2019) der Marke XXXX mit der XXXX , … , mit der Kundennnummer XXXX , der Rufnummer XXXX und der SIM-Karten-Nummer XXXX an Eides statt, dass„Ich, römisch 40 , … , erkläre hiermit als Vertragspartner des aufrechten Mobilfunkvertrages (Vertragsbeginn 27.05.2019) der Marke römisch 40 mit der römisch 40 , … , mit der Kundennnummer römisch 40 , der Rufnummer römisch 40 und der SIM-Karten-Nummer römisch 40 an Eides statt, dass
4. ich die genannte SIM-Karte seit Vertragsbeginn ausschließlich in ein einziges Endgerät, mein privates Mobiltelefon des Typs „iPhone 7“ eingelegt habe;
5. ich dieses Mobiltelefon seit Vertragsbeginn ausschließlich selbst benutze und es niemals an Dritte zur Benutzung überlassen habe;
6. sich dieses Mobiltelefon seit Vertragsbeginn stets in meiner unmittelbaren räumlichen Nähe befunden hat;
7. dieses Mobiltelefon seit Vertragsbeginn durch eine nur mir bekannte PIN und meinen Fingerabdruck geschützt ist, sodass unbefugte Dritte, die meines Mobiltelefons habhaft würden, außerstande wären, es zu benutzen. Wien, 10.06.2020“
8. Die ergänzenden Feststellungen beruhen auf der vom BF bereits vor der DSB vorgelegten Beilage ./H, deren Inhalt durch die MB nicht bestritten wurde.
9. Daraus folgt rechtlich: 4.
10. Gesetzliche Grundlagen: Die gesetzlichen Grundlagen nach der DSGVO lauten auszugsweise wie folgt: Art. 4 Z 1 DSGVO:Artikel 4, Ziffer eins, DSGVO: Im Sinne dieser Verordnung bezeichnet der Ausdruck: […]
11. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Personen sind, identifiziert werden kann; Art. 11 DSGVO: Artikel 11, DSGVO: „Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist