Sehr geehrter **********, sehr geehrte Damen und Herren,

Vielen Dank für die Anhörung und die Akteneinsicht. Ich darf das Schreiben von Vodafone (Seiten 53+54) kritisieren. Dort heißt es unter anderem:

• “im Zusammenhang mit Art. 12 II DS-GVO ergibt sich die Pflicht, dass insbesondere die Ausübung der Rechte aus Art. 15 DS-GVO den Betroffenen nach Möglichkeit zu erleichtern ist.” – das steht zwar in Artikel 12, aber es ist nicht erkennbar in welcher Form Vodafone das “Erleichtern” umsetzt. Eine konzernweite Auskunft ist bei Vodafone die Ausnahme, die Regel eine unvollständige oder ganz fehlende. Vollständig war noch keine einzige Auskunft. Auch bedeutet Erleichtern nicht, dass über die dafür erforderliche Datenweitergabe keine Informationen nach Artikel 13 oder 14 erforderlich ist oder dass diese Weitergabe nicht zu beauskunften ist. Artikel 13 und 14 jeweils Abs. 1 lit. e - zur Erfüllung dient üblicherweise die Datenschutzerklärung - sowie Artikel 15 Abs. 1 lit c fordern die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten zu benennen. Es gibt nirgends einen Hinweis in der DSGVO, dass verbundene Unternehmen dabei nicht zu benennen sind. Vodafone hat noch in keiner Auskunft an mich das EuGH Urteil v. 12.01.2023 - C-154/21 beachtet und konkrete Empfänger benannt.

• “Zudem ergibt sich aus Erwägungsgrund 48 zur DS-GVO, dass ein Austausch von personenbezogenen Kundendaten für interne Verwaltungszwecke in verbundenen  Konzernunternehmen zulässig ist, da es ein berechtigtes Interesse darstellt.” – das ist ein sinnentstellendes Zitat. Schlagen Sie bitte selbst nach. Und die Betroffenenrechte sind mit Sicherheit auch nicht als interne Verwaltungszwecke einzuordnen.

• “So wie ein Hinweis auf dieses sog. „kleine Konzernprivileg“ des Erwägungsgrundes 48 zur DS-GVO in Datenschutzerklärungen nicht aufzunehmen ist, so ist auch der einleitend geschilderte, gesetzlich vorgeschriebene Datenaustausch nicht eigens in der Datenschutzerklärung zu erwähnen.” – davon steht in der DSGVO nichts, und gesetztlich vorgeschrieben ist der Datenaustausch jedenfalls nicht. Ich halte das für Unsinn, denn es gibt Konzerne wie z.B. die Deutsche Bahn die das “Konzernprivileg” nicht nutzen. Woran soll ein Betroffener denn erkennen, welchen “Anwendungsbereich” eine Auskunft hat, wenn er zu keinem Zeitpunkt darüber informiert wird? Weil es keinen Anhaltspunkt dafür vor Ihrer Ablehnung von #5740 gab, hatte ich ursprünglich auch bei keiner Beschwerde wegen unvollständiger Auskunft in die Beschwerde aufgenommen, dass sie nicht den ganzen Konzern abdeckt, sondern immer nur fehlende Angaben oder Kopien des jeweiligen Verantwortlichen gerügt. Dass die Auskünfte nicht den Konzern abdecken habe ich erst nach der Ablehnung von #5740 beanstandet. Vodafone sucht sich aus, was gerade zu Ihrer Frage passt, aber konsistent, rechtmäßig und transparent, und damit DSGVO-konform ist das Verhalten nicht. Ich sehe keine Rechtsgrundlage dafür, Verarbeitungen oder Weitergaben im Konzern nicht zu erwähnen.

• “Die Beauskunftung ergibt sich vielmehr als Recht aus Art 15 DS-GVO und ist ausdrücklich und vollständig durch Art. 13 II b) DS-GVO abgedeckt.” Abgesehen davon, dass Art. 13 II b) und Art. 14 II c) erfordern, dass Betroffene auf Ihr Rechte hingewiesen werden müssen und dabei keineswegs das Recht vollständig “abdeckt”, denn sonst wäre Artikel 15 unnötig, darf ich auch hier widersprechen: die Auskunft ist selbst eine Verarbeitung die voll und ganz allen anderen Pflichten der DSGVO unterliegt. Wenn dazu Daten weitergegeben werden, dann ist auch diese Weitergabe zu beauskunften. “da ansonsten auch hier eine in ihrem Umfang nicht absehbare Aufzählung erfolgen müsste” – vermutlich wäre die Liste deutlich kleiner als die rechtswidrige Liste potentieller Empfänger die Vodafone geliefert hat und die Sie in der Akte 24-193 II#4702 als Anlage zu meiner Email vom 11.08.2023 finden. Aber unabhängig von der Länge der Liste: wer viele Daten verarbeitet oder weitergibt, muss eben auch viel beauskunften. Datensparsamkeit wäre das geeignete Mittel.

• “Dies ergibt sich aus der Ausnahmeregelung des Art. 6 IV DSGVO” – allein schon die Anknüpfung von Art. 6 IV an eine Einwilligung oder die Existenz einer Rechtsvorschrift im Einklang mit Art. 23 müsste klar machen, dass eine Zweckänderung genau nicht im Ermessen des Verantwortlichen steht (vgl. Schulz in Gola/Heckmann, Datenschutz-Grundverordnung – Bundesdatenschutzgesetz, 3. Auflage 2022, DSGVO Art. 6 Rn. 134) sondern einer Rechtsgrundlage bedarf. Eine entsprechende Rechtsvorschrift die Art. 23 erfüllt hat Vodafone auch nicht genannt, so dass dieses Argument ins Leere geht. Selbstverständlich gilt die Zweckbindung auch für Vodafone.

Mit anderen Worten: Vodafone schreibt irgendeinen Mist zusammen und Sie kaufen das, ja kopieren Teile davon in die Anhörung? Fehlt Ihnen der Wille, Vodafone damit zu konfrontieren, dass die Ausführungen Unsinn sind? Oder fehlt Ihnen der Wille, Ihre in Artikel 57 genannten Aufgaben auch bei Vodafone zu erfüllen? Ich darf diesmal vor Abschluss des Verfahrens auf §24 Abs. 2 VwVfG hinweisen und feststellen, dass Sie jedenfalls nicht ernsthaft und vollständig ermittelt haben.

Ich bitte um eine Eingangsbestätigung für diese Email.

Vielen Dank und viele Grüße

Joachim Lindenberg

> -----Ursprüngliche Nachricht-----

> Von: ************@bfdi.bund.de <************@bfdi.bund.de> Im Auftrag

> von REFERAT24@bfdi.bund.de

> Gesendet: Donnerstag, 12. September 2024 18:31

> An: '***********@lindenberg.one' <***********@lindenberg.one>

> Betreff: Datenschutz in der Telekommunikation, Geschäftszeichen: 24-193

> II#6077

>

> Sehr geehrter Herr Lindenberg,

>

> in der Anlage sende ich Ihnen zu Ihrer Beschwerde über Vodafone die

> Anhörung und eine Kopie des Verwaltungsvorgangs.

>

> Mit freundlichen Grüßen

> Im Auftrag

> ************

>

> ***************************************************************

> *****************

> Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

> Referat 24 - Telekommunikation Graurheindorfer Straße 153, 53117 Bonn

> Fon:  (0228) 997799-****

> E-Mail Referat: referat24@bfdi.bund.de

> Internet: https://www.bfdi.bund.de

> ***************************************************************

> *****************

> Datenschutzerklärung der BfDI:

> Informationen zur Verarbeitung Ihrer personenbezogenen Daten finden Sie

> unter https://www.bfdi.bund.de/datenschutz.

> Vertraulichkeitshinweis:

> Dies ist eine vertrauliche Nachricht und nur für den Adressaten bestimmt.

> Sollten Sie diese Nachricht irrtümlich erhalten haben, informieren Sie bitte

> sofort den Absender und löschen Sie diese E-Mail.

>