Ein Telefonanruf zu Werbezwecken ohne Einwilligung stellt einen Verstoß gegen die DSGVO dar und löst eine Informationspflicht gem. Art 14 DSGVO aus, wenn die Telefonnummer aus dem Internet stammt. Das hat die DSB am 31.10.2018 in einer Entscheidung (rechtkräftig, DSB-D123.076/0003-DSB/2018) entschieden.
Der Sachverhalt
Am 20.6.2018 wurde eine Person am Mobiltelefon von einem Unternehmer kontaktiert. Der Unternehmer hatte dazu keine Einwilligung iSd § 107 Abs 1 TKG. Auf die Frage der kontaktierten Person, woher der Anrufer die Telefonnummer habe, erteilte derselbe keine Auskunft.
Die betroffene Person wendete sich mit Eingabe vom selben Tag (eingelangt bei der Behörde 5 Tage danach) an die Datenschutzbehörde und beschwerte sich.
Der Anrufer gab eine Stellungnahme ab, und erklärte, dass die Telefonnummer im Internet veröffentlicht sei, und es sich um keine Telefonnummer einer natürlichen Person handelt.
1. Ist die Datenschutzbehörde zuständig, obwohl es sich um eine Verletzung des § 107 Abs 1 TKG handelt?
Trotz Art 95 DSGVO und der darin enthaltenen Regelung, steht den betroffenen Personen das Recht zu eine Beschwerde iSd § 24 DSG bzw. Art 77 Abs 1 DSGVO einzubringen.
Die Frage der Zulässigkeit des Werbeanrufes ist nach § 107 TKG zu beurteilen, aber durch einen TKG-Verstoß kann
„gleichzeitig sehr wohl eine Verletzung des Rechts auf Geheimhaltung nach § 1 Abs. 1 DSG und auch eine Verletzung jener Bestimmungen der DSGVO
vorliegen, die dem Verantwortlichen gerade keine zusätzlichen Pflichten iSv Art. 95 DSGVO auferlegen.“ (so die DSB in der
Entscheidung)
2. Ist eine Mobiltelefonnummer ein personenbezogenes Datum?
Hinsichtlich der Frage, ob ein personenbezogenes Datum vorliegt, ist nach Ansicht der DSB darauf abzustellen, ob mit einem vertretbaren und rechtlich zulässigen Aufwand eine Identifizierung möglich ist (vgl. dazu das Urteil des EuGH vom 19. Oktober 2016, C-582/14, Rz. 43 ff).
Die DSB kommt zum Schluss, dass aufgrund der Tatsache, dass im Internet neben der Telefonnummer auch die Person des Beschwerdeführers angeführt ist, ein personenbezogenes Datum einer natürlichen Person vorliegt.
Anm. des Verfassers
Wenn zB nur eine allgemeine Adresse angegeben wird, und keine Person individualisiert als Ansprechpartner mit der Mobiltelefon verbunden ist, dann liegt uU keine personenbezogenes Datum iSd DSGVO
vor.
3. Auch im Internet veröffentlichte Daten dürfen nicht ohne Rechtsgrundlage verarbeitet werden!
Der Beschwerdegegner erklärte im Verfahren, dass die Handynummer im Internet veröffentlicht worden sei. Die DSB bezieht sich auf den Zweck der Veröffentlichung (Kontaktaufnahme zur Beratung und nicht Anrufe zu Werbezwecken).
„Die generelle Annahme der Beschwerdegegnerin des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten ist mit den Bestimmungen der DSGVO nicht vereinbar (vgl. Jahnel, Handbuch Datenschutzrecht [2010] Rz 4/27, jedoch noch in Bezug auf § 8 Abs. 2 DSG 2000). Diese Sichtweise ist auch in Einklang mit den Vorgaben von § 107 Abs. 1 TKG 2003, wonach eine auf einer Homepage zur Verfügung gestellte Handynummer zu Beratungszwecken gerade nicht als Rechtsgrundlage für die Durchführung von Werbezwecken ausreichend ist, sondern ausdrücklich eine Einwilligung des Teilnehmers (bzw. in der datenschutzrechtlichen Terminologie: der betroffenen Person) verlangt wird.“ (Aus der Entscheidung der DSB)
Der Anrufer hat daher die Handynummer zweckwidrig verwendet als er einen Werbeanruf getätigt hat.
Löst die Verarbeitung einer Mobiltelefonnummer zu Werbezwecken die Informationspflicht iSd Art 14 DSGVO aus? Ist Art 14 DSGVO ein „subjektives Recht“?
Art 14 findet sich in Kap. III der DSGVO, und nicht in Kap.VI, das die Pflichten des Verantwortlichen und des Auftraggebers regelt. Kap. III ist als „Rechte der betroffenen Person“ überschrieben.
„Bereits aus der Überschrift von Kapitel III („Rechte der betroffenen Person“) erhellt, dass es sich gemäß Art. 14 zwar einerseits um die Pflicht des Verantwortlichen handelt, bestimmte Informationen zur Verfügung zu stellen, jedoch andererseits auch ein Recht der betroffenen Person statuiert, diese Informationen auch zu erhalten.“ (aus der Entscheidung)
Der Verantwortliche muss nicht erst auf Antrag (so wie bei Art 15 bis 22 DSGVO) tätig werden, sondern hat der Verantwortliche die Information gem. Art 13 oder 14 DSGVO ohne eine Handlung der betroffenen Person („antragsunabhängig“) zur erfüllen, und die Informationen den betroffenen Personen zur Kenntnis zu bringen.
„Vor diesem Hintergrund muss eine Verletzung der Informationspflicht nicht – so wie etwa eine Verletzung von Art. 32 DSGVO (vgl. erneut DSB vom 13. September 2018 a.a.O.) – unter § 1 Abs. 1 DSG subsumiert werden, sondern kann unmittelbar auf Basis der DSGVO als subjektives Recht geltend gemacht werden.“ (Aus der Entscheidung)
Hat der Verantwortliche Daten iSd DSGVO „verarbeitet“?
Der Anrufer hat vorgebracht, dass er die Handynummer nur verwendet, jedoch nicht „verarbeitet“ iSd DSGVO hat, da die Telefonnummer weder gespeichert, noch weitergegeben oder in anderer weitergehender Weise genutzt worden sei.
Der Verantwortliche hat nach Ansicht der DSB „personenbezogene Daten des Beschwerdeführers (Handynummer) nicht beim Beschwerdeführer erhoben. Im Anschluss wurde die Handynummer verwendet, um den Beschwerdeführer zu Werbezwecken zu kontaktieren. Vor diesem Hintergrund wurde die Beschwerdegegnerin gemäß Art. 14 DSGVO informationspflichtig.“ (Aus der Entscheidung)
Wurde die Informationspflicht verletzt?
Die DSB hat ausdrücklich darauf hingewiesen, dass die Weigerung im Telefongespräch die Quelle bekannt zu geben, eine Verletzung der Informationspflicht gem. Art 14 DSGVO darstellt. Diese Information ist erst im Laufe des Verfahrens erteilt worden.
Wann sind die Informationen bei einem
Telefonat bekannt zu geben?
Die DSB beschäftigt sich ausdrücklich mit der Bestimmung des Art 14 Abs 3 lit. b DSGVO, nämlich dem Zeitpunkt, in dem die Mitteilung der betroffenen Person zu erteilen
ist.
Art 14 Abs 3 lit b DSGVO legt fest, dass der betroffene Person die Informationen „zum Zeitpunkt der ersten Mitteilung […] zur Verfügung zu stellen sind. Selbst wenn man die telefonische Kontaktaufnahme nicht als Mitteilung versteht und somit Art. 14 Abs. 3 lit. a DSGVO zur Anwendung kommt, hätte die Beschwerdegegnerin spätestens einen Monat nach Erhebung der Daten die entsprechenden Informationen zur Verfügung stellen müssen.“
Die DSB hat daher dem Beschwerdegegner aufgetragen, die betroffene Person binnen 4 Wochen iSd Art 14 DSGVO zu informieren.
Tipp des Verfassers:
Die DSB hat nicht ausdrücklich darauf hingewiesen, wie die Informationspflicht bei einem Telefonat erfüllt werden kann. Empfehlenswert wäre jedoch
ein kurzer Hinweis im Telefonat auf eine allgemeine Datenschutzinformation, die auch die Quelle (Herkunft der Daten iSd Art 14 Abs 2 lit f
DSGVO) sowie die Datenkategorien (Art 14 Abs 1 lit d DSGVO) – neben den in Art 13
DSGVO geforderten – Informationen enthält.
13.12.2018, Michael Schweiger, zert DSBA
Kommentar schreiben