1 lit. e DSGVO müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer oder organisatorischer Maßnahmen, die von der DSGVO zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke
1 verarbeitet werden („Speicherbegrenzung“) (Hervorhebungen durch die Datenschutzbehörde).
, Absatz eins, Litera e, DSGVO müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer oder organisatorischer Maßnahmen, die von der DSGVO zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke
, Absatz eins, verarbeitet werden („Speicherbegrenzung“) (Hervorhebungen durch die Datenschutzbehörde). In der gegenständlichen Rechtssache stellt sich die Frage, ob eine längere Aufbewahrungsdauer der personenbezogenen Daten, auch über die Beendigung der Vertragsverhältnisse und somit über die Zweckerreichung hinaus, gerechtfertigt ist. Zu den Stammdaten:
2 TKG 2003 sind Stammdaten spätestens nach Beendigung der vertraglichen Beziehungen mit dem Teilnehmer vom Betreiber zu löschen. Ausnahmen sind nur soweit zulässig, als diese Daten noch benötigt werden, um Entgelte zu verrechnen oder einzubringen, Beschwerden zu bearbeiten oder sonstige gesetzliche Verpflichtungen zu erfüllen.
Paragraph 97, Absatz 2, TKG 2003 sind Stammdaten spätestens nach Beendigung der vertraglichen Beziehungen mit dem Teilnehmer vom Betreiber zu löschen. Ausnahmen sind nur soweit zulässig, als diese Daten noch benötigt werden, um Entgelte zu verrechnen oder einzubringen, Beschwerden zu bearbeiten oder sonstige gesetzliche Verpflichtungen zu erfüllen. Wenn sich die Beschwerdegegnerin bei der Speicherung von Stammdaten auf die zehnjährige Frist des § 207 Abs. 2 BAO beruft, so verkennt sie, dass hierbei lediglich eine Verjährungsfrist, jedoch keine konkrete Verpflichtung zur Aufbewahrung von Daten normiert wird. Eine gesetzliche Verpflichtung, Stammdaten über die Frist nach § 97 Abs. 2 TKG 2003 aufzubewahren, kann aus § 207 Abs. 2 BAO nicht abgeleitet werden. Auch der Verfassungsgerichtshof geht in seiner jüngeren Rechtsprechung davon aus, dass die weitere Aufbewahrung von Daten durch ein sich konkret abzeichnendes Verfahren gerechtfertigt sein muss. Die bloße Möglichkeit, dass ein Verfahren eingeleitet wird, reicht hingegen nicht aus (siehe dazu das Erkenntnis vom
1 BAO für die Dauer von sieben Jahren aufzubewahren.Die Beschwerdegegnerin ist daher befugt, Stammdaten
Paragraph 132, Absatz eins, BAO für die Dauer von sieben Jahren aufzubewahren. Zu den Verkehrsdaten:
2 TKG 2003 hat der Betreiber eines öffentlichen Kommunikationsnetzes oder –dienstes Verkehrsdaten zu speichern, sofern dies für Zwecke der Verrechnung von Endkunden- oder Vorleistungsentgelten erforderlich ist. Die Verkehrsdaten sind zu löschen oder zu anonymisieren, sobald der Bezahlvorgang durchgeführt wurde und innerhalb einer Frist von drei Monaten die Entgelte nicht schriftlich beeinsprucht wurden.
Paragraph 99, Absatz 2, TKG 2003 hat der Betreiber eines öffentlichen Kommunikationsnetzes oder –dienstes Verkehrsdaten zu speichern, sofern dies für Zwecke der Verrechnung von Endkunden- oder Vorleistungsentgelten erforderlich ist. Die Verkehrsdaten sind zu löschen oder zu anonymisieren, sobald der Bezahlvorgang durchgeführt wurde und innerhalb einer Frist von drei Monaten die Entgelte nicht schriftlich beeinsprucht wurden. Die Datenschutzbehörde versteht zwar, dass die Beschwerdegegnerin im Hinblick auf den entsprechenden Postlauf bzw. interne Prozesse eine pauschale sechsmonatige Speicherdauer für Verkehrsdaten willkommen heißt, jedoch entspricht auch dies nicht den gesetzlichen Vorgaben des Art. 5 Abs. 1 lit. e DSGVO und stellt somit eine Verletzung des Grundrechtes auf Datenschutz dar.Die Datenschutzbehörde versteht zwar, dass die Beschwerdegegnerin im Hinblick auf den entsprechenden Postlauf bzw. interne Prozesse eine pauschale sechsmonatige Speicherdauer für Verkehrsdaten willkommen heißt, jedoch entspricht auch dies nicht den gesetzlichen Vorgaben des Artikel 5, Absatz eins, Litera e, DSGVO und stellt somit eine Verletzung des Grundrechtes auf Datenschutz dar. Die Beschwerdegegnerin ist daher auch hier nur befugt, Verkehrsdaten
2 TKG 2003 für die Dauer von längstens drei Monaten bzw. entsprechend der im TKG 2003 normierten Einspruchsfrist zu speichern.Die Beschwerdegegnerin ist daher auch hier nur befugt, Verkehrsdaten
Paragraph 99, Absatz 2, TKG 2003 für die Dauer von längstens drei Monaten bzw. entsprechend der im TKG 2003 normierten Einspruchsfrist zu speichern. Da das Vertragsverhältnis zwischen der Beschwerdeführerin und Beschwerdegegnerin bereits im September 2015 beendet wurde, ist zum jetzigen Zeitpunkt die Frist von drei Monaten
2 Da das Vertragsverhältnis zwischen der Beschwerdeführerin und Beschwerdegegnerin bereits im September 2015 beendet wurde, ist zum jetzigen Zeitpunkt die Frist von drei Monaten
Paragraph 99, Absatz 2, TKG 2003 jedenfalls abgelaufen und hat die Beschwerdegegnerin somit sämtliche Verkehrsdaten der Beschwerdeführerin zu löschen. Zu den sonstigen Daten: Wie ausgeführt, ist daher die Speicherung von Stamm- als auch Verkehrsdaten für gewisse Zeiträume nach Beendigung des Vertragsverhältnisses gesetzlich zulässig. Die Beschwerdegegnerin speichert jedoch nach eigenen Angaben darüberhinausgehende, personenbezogene Daten, wie sich aus der oben angeführten Tabelle zu entnehmen lässt. Die Datenschutzbehörde konnte im Zuge des Verfahrens keine besondere gesetzliche Vorschrift ermitteln, wonach eine längere Speicherung von personenbezogenen Daten, als für den Zweck, für welchen sie ermittelt wurden, erforderlich erscheint. Die über den Vertragszeitraum hinausgehende Speicherung von personenbezogenen Daten, die keine Stamm- oder Verkehrsdaten nach dem TKG 2003 sind, widerspricht daher ebenfalls dem Prinzip der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO und ist von der Beschwerdegegnerin zu unterlassen.Die über den Vertragszeitraum hinausgehende Speicherung von personenbezogenen Daten, die keine Stamm- oder Verkehrsdaten nach dem TKG 2003 sind, widerspricht daher ebenfalls dem Prinzip der Speicherbegrenzung nach Artikel 5, Absatz eins, Litera e, DSGVO und ist von der Beschwerdegegnerin zu unterlassen. Schlussfolgerung: Die Datenverarbeitung erweist sich im spruchmäßigen Umfang als rechtswidrig. Für die Widerherstellung des datenschutzkonformen Zustandes war die Datenschutzbehörde daher
Vm § 24 Abs. 5 DSG berechtigt, die Beschwerdegegnerin binnen einer gesetzten Frist spruchgemäß anzuweisen den rechtskonformen Zustand herzustellen.Für die Widerherstellung des datenschutzkonformen Zustandes war die Datenschutzbehörde daher
, Absatz 2, Litera d, DSGVO in Verbindung mit Paragraph 24, Absatz 5, DSG berechtigt, die Beschwerdegegnerin binnen einer gesetzten Frist spruchgemäß anzuweisen den rechtskonformen Zustand herzustellen. European Case Law IdentifierECLI:AT:DSB:2018:DSB.D216.471.0001.DSB.2018
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.