Sehr geehrter ************,

ich habe bereits parallel Beschwerde eingereicht, aber eine Beschwerde richtet sich immer gegen das Tun oder Unterlassen eines Verantwortlichen. Mit der Presseanfrage versuche ich nachzuvollziehen, was die Aufsicht tut oder unterlässt. Deswegen hake ich auch nach, auf Basis welcher Rechtsgrundlage Sie dem Verantwortlichen einen „Persilschein“ geben, wie sich das „Die sogenannten Kontrolldatensätze werden in Abstimmung mit der für uns zuständigen Datenschutzaufsichtsbehörde grundsätzlich nicht beauskunftet“ verstehen lässt. Ich sehe eigentlich keine Rechtsgrundlage, aufgrund derer die Aufsicht von der Verpflichtung nach Artikel 15 befreien könnte. Das kann nach meinem Verständnis nur der Gesetzgeber, beispielsweise in Form von Artikel 11 Absatz 2 oder auf Basis von Artikel 23 DSGVO. Und Artikel 11 Absatz 2 verlangt einen Nachweis, der erscheint mir jedenfalls gescheitert.

Vielen Dank und viele Grüße

Joachim Lindenberg

Sehr geehrter Herr Lindenberg,

vielen Dank für Ihre Rückmeldung.

Ihren Ausführungen entnehme ich, dass es sich bei Ihrem Anliegen nicht um eine Presseanfrage sondern um eine Beschwerde bezüglich der Bearbeitung Ihres Auskunftsersuchens bei der DB Vertrieb GmbH handelt.

Sind Sie damit einverstanden, wenn ich den Vorgang daher zuständigkeitshalber hausintern an das entsprechende Fachreferat abgebe?

Sehr geehrter Herr Scheck,

ich teile Ihre Auffassung nicht. Erwägungsgrund 57 und auch Artikel 11 spricht von „Einholen“ nicht von „Zusammenführen“. Einholen – in Artikel 4 nicht definiert – meint meines Wissens eine Erhebung beim Betroffenen oder Dritten von Daten, die der Verantwortliche nicht hat. Hier hat der Verantwortliche die Daten und muss sie lediglich zusammenbringen.  Oder kann das möglicherweise nur aufgrund der von außen willkürlichen Trennung der Bahngesellschaften nicht, aber dann wäre in meinen Augen dieser Umstand in die Informationen nach Artikel 15 Absatz 1 aufzunehmen statt den Betroffenen im Unklaren zu lassen, warum Daten fehlen. Im Übrigen darf ich anzweifeln, dass die Kontrollsätze nur bei Auffälligkeiten – wie Sie bzw. ************ das darstellen – ausgewertet werden. Die Aussage eines Servicemitarbeiters „Die Fahrkarte ist entwertet, Sie haben doch gefahren“ belegt das in meinen Augen, denn das ist keine Auffälligkeit wie beschrieben. Auch erscheint mir fragwürdig bei der Kontrolle nur auf die Auftragsnummer abzustellen, denn bei der Kontrolle im Zug wird zumindest stichprobenweise auch die Bahncard geprüft, und damit ist unmittelbar der Personenbezug herstellbar. Zumindest in der Wahrnehmung des aufmerksamen Fahrgastes, und wenn die Bahn etwas anderes macht, dann sollte sie das auch entsprechend transparent im Sinne von Artikel 5 darstellen.

Möglicherweise hat die Bahn die Verarbeitung auch nach der Diskussion mit Ihnen die Verarbeitung geändert ohne dann eine erneute Abstimmung mit der Aufsicht durchzuführen.

Leider haben Sie meine Frage nach der Rechtsgrundlage für Ihre Entscheidung nicht beantwortet. Wollen Sie das bitte nachholen?

Vielen Dank und viele Grüße

Joachim Lindenberg

Sehr geehrter Herr Lindenberg,

vielen Dank für Ihre Anfrage, die der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) wie folgt beantwortet:

Frage:

nach den Informationen ganz unten haben Sie mit der Deutschen Bahn vereinbart, dass die dort genannten Kontrollsätze „grundsätzlich nicht beauskunftet“ werden.

Können Sie bitte erläutern welche Rechtsgrundlage Sie dafür sehen, sowohl für das Weglassen durch den Verantwortlichen als auch Ihre Beratung dahingehend?

Antwort:

Der Name der kontrollierten Person ist im Kontrolldatensatz nicht ersichtlich. Gespeichert wird dort lediglich die Auftragsnummer. Diese stellt ein personenbeziehbares Datum dar, weil sie einer konkreten Person zugeordnet werden kann. Die Zuordnung ist jedoch erst dann möglich, wenn ein Bezug zu den Buchungsdatensätzen erfolgt, in denen die Namen vorgehalten werden. Sofern im Nachhinein in den Kontrolldatensätzen keine Auffälligkeiten erkannt werden, erfolgt auch keine Zuordnung zu einer Person. Nur in den Fällen, in denen Unstimmigkeiten, wie bspw. die Nutzung eines zuvor stornierten Tickets ersichtlich sind, erfolgt eine Prüfung, in welcher der betroffene Datensatz über die Auftragsnummer einer Person zugeordnet wird.

Für das Auskunftsersuchen nach Art. 15 DSGVO bedeutet dies, dass die Kontrolldatensätze nur dann in der Auskunft enthalten sein müssen, wenn Auffälligkeiten erkannt wurden, die dazu führten, dass der Kontrolldatensatz mit dem Buchungsdatensatz verglichen wurde. In diesen Fällen findet ein Personenbezug statt. Sind jedoch keine Auffälligkeiten ersichtlich, erfolgt für den jeweiligen Kontrolldatensatz auch kein Personenbezug. Dieser Personenbezug ist jedoch Voraussetzung dafür, dass eine Pflicht besteht,  auch solche Kontrolldatensätze zum Bestandteil einer Auskunft nach Art. 15 DS-GVO zu machen. Die Trennung der Buchungsdatensätze und Kontrolldatensätze müsste demnach aufgehoben werden, um in einer Auskunft auch die unauffälligen Kontrolldatensätze einer Person auflisten zu können. Dies würde dem Datenschutzrecht jedoch gerade zuwiderlaufen. In diesem Zusammenhang ist auch Art. 11 Abs. 2 DSGVO in Verbindung mit Erwägungsgrund 57 zu berücksichtigen, wonach der Verantwortliche nicht verpflichtet ist zur bloßen Einhaltung der Betroffenenrechte zusätzliche Daten einzuholen, um die betroffene Person zu identifizieren.

Für Rückfragen stehe ich gerne zur Verfügung.

Sehr geehrter Herr Professor Dr. Roßnagel, Sehr geehrter Herr Scheck,

nach den Informationen ganz unten haben Sie mit der Deutschen Bahn vereinbart, dass die dort genannten Kontrollsätze „grundsätzlich nicht beauskunftet“ werden.

Können Sie bitte erläutern welche Rechtsgrundlage Sie dafür sehen, sowohl für das Weglassen durch den Verantwortlichen als auch Ihre Beratung dahingehend?

Vielen Dank und viele Grüße

Joachim Lindenberg

(Presseausweis anbei)

DB Intern / DB internal