2025/07/31 Wiener Linien mit erstaunlicher Datenschutzpraxis
"Renitent" offenbar Standardbezeichnung für Kunden - Zweck, Qualitätssicherung oder Datenschutzfolgenabschätzung? - Mangelhafte Aufklärung gemäß DSGVO - (Allzu)lange Speicherdauer? - Uneinigkeit bei Zugriffsmöglichkeiten - 300 Auskunftsbegehren im Jahr - Minimalitätsprinzip und Zweckbindung beachtet?
MODIS for ever?
Unter dem klingenden Titel "MODIS" verwalten die Wiener Linien ihre Fahrgastkontrollen (vulgo "Schwarzfahrer"). Soweit, so unspektakulär. Spannend wird es, wenn man in diese Datenverarbeitung aus dem Blickpunkt der DSGVO betrachtet.
Ein Datenschutzprozess brachte bei der Einvernahme der Datenschutzbeauftragten und des Compliance-Verantwortlichen der Wiener Linien Erstaunliches zu Tage.
"Renitent" offenbar Standardbezeichnung für Kunden
Compliance-Beauftragter MÖ: "Auf Frage der Richterin, was ich zur Verwendung des Wortes „renitent“ sagen kann: Das ist etwas, was bei uns verwendet wird, das sagt einerseits ein bisschen zu viel, andererseits vielleicht ein bisschen zu wenig. ... Wir sind ein altes Unternehmen und da wird vielleicht standardmäßig genau dieses Wort verwendet." (aus Gerichtsprotokoll 29 Cg 88/24k-19)
MODIS bietet den Kontrolloren aber auch weitere Auswahlmöglichkeiten zur Bewertung, pardon: "Beschreibung" der Fahrgäste: "flüchtet", "aggressiv" oder "schimpft". Bei besonders schweren Fällen gibt es nur den kryptischen Hinweis "siehe Meldung" mit ausführlicher Kundenbeschreibung in einem eigenen Textfeld.
Positive Auswahlmöglichkeiten für die Kontrollorgane, wie "kooperativ", "konnte sich ausweisen" oder vergleichbares wurde von der Datenschutzbeauftragten in ihrer Zeugenaussage ausdrücklich ausgeschlossen.
Besonders frustrierte Kontrollore haben die Möglichkeit in einem eigenen Textfeld beliebige Kommentare abzusondern. So entstehen Beschreibungen wie "Fg renitent" + "Fg schimpfte und sagte das es ihm egal ist".
Auch für persönliche physische Beschreibungen, wie Größe oder Haarfarbe bietet MODIS ausreichend Raum.
Wozu ein derartiger Aufwand? Laut MÖ dienen die Formulierungen dazu, dass " das Kontrollorgan sich dann anhand dieser Aufzeichnungen erinnern muss, weil es sonst natürlich nichts mehr darüber wüsste." (aus GP 29 Cg 88/24k-19)
Wie sich Kontrollorgane an einen bestimmten "renitenten" Fahrgast nach Jahren erinnern sollen, wenn "renitent" sowieso die Standardbezeichnung ist, blieb leider unbeantwortet.
Zweck, Qualitätssicherung oder Datenschutzfolgeabschätzung?
Auch die Wiener Linien unterliegen der DSGVO und den zahlreichen Vorgaben. So hatte zuletzt der EuGH (C-394/23) festgehalten, dass nicht nur eine Verarbeitung abstrakt einem bestimmten Zweck folgen muss, sondern jede einzelne darin verwendete Information. Welchen Zweck herabwürdigende Angaben wie "renitent" oder ungenaue Personenbeschreibungen haben könnten, konnte selbst im Datenschutzprozess nicht festgestellt werden.
Ein Verwendungszweck bestehe, dazu der Compliance-Beauftragter: "Für die gesamte Anwendung [MODIS, Anm.] ja, aber nicht für jedes Feld." (aus GP 29 Cg 88/24k-19)
Auf Qualitätsicherung der Angaben, deren Richtigkeit und Angemessenheit wird ebenfalls verzichtet, hier verlasse man sich auf die Mitarbeiter. MÖ: "Auf Frage des KV [Klagsvertreters, Anm.], wie wir [Wiener Linien, Anm.] absichern können, dass durch den Kontrollor nicht irgendwelche beleidigenden, rassistischen oder sexistischen Beobachtungen hineingeschrieben werden: Was eingetragen wird, das kann man nicht ausschließen."
Eine Datenschutzfolgeabschäztzung ist gemäß DSGVO Art 35 ebenfalls zwingend vorgeschrieben, wenn ein Risiko der Datenschutzverletzung besteht. Obwohl derartige Fahrgastkontrollen immer wieder hitzig bzw. strittig ablaufen, wurde keine Folgeabschätzung zur Minimierung von Aufzeichnungsfehlern gemacht. Wieder MÖ, ohne weitere Begründung: "Wir sind zum Ergebnis gekommen, dass eine solche [Datenschutzfolgeabschätzung, Anm.] für diese konkreten Vorgänge nicht notwendig sei." (aus GP 29 Cg 88/24k-19)
Zweck, Qualitätssicherung oder Datenschutzfolgeabschätzung im Sinne der DSGVO? Vorerst Fehlanzeige.
Mangelhafte Aufklärung gemäß DSGVO
Gemäß DSGVO Art. 13 und 14 besteht auch für die Datenverarbeitung MODIS Informationspflicht gegenüber Betroffenen. Dazu findet sich auf einem Zahlschein, der übergeben wird: "Die von Ihnen bei der Kontrolle angegebenen Daten (ua Name, Adresse, Geburtsdatum, Ausweisdaten) sowie die Korrespondenz mit Ihnen zu einer Mehrgebühr werden zum Zwecke der Rechtsverfolgung sowie des Weiteren zur Erfüllung von gesetzlichen Aufbewahrungspflichten von der Wiener Linien GmbH & Co KG verarbeitet."
Hinweise auf die Bewertungen der Kontrollorgane, ihre Kommentare oder physischen Einschätzungen? Wieder Fehlanzeige. Alles Angaben die nicht vom Betroffenen stammen und daher gemäß Art. 14 DSGVO zu beauskunften wären. Dazu im Prozess sinngemäß, 'auf den Zahlschein sei nicht ausreichend Platz'.
(Allzu)lange Speicherdauer?
Selbst wenn nach einer Fahrgastkontrolle festgestellt wurde, dass der Kunde einen gültigen Fahrausweis hat oder die verlangte Strafgebühr bezahlt wurde, werden die Daten drei Jahre aufbewahrt.
Compliance-Beauftragter MÖ: "Ich glaube mich zu erinnern, ich weiß es jetzt aber nicht 100 %-ig sicher, dass das 3 Jahre sind." (aus GP 29 Cg 88/24k-19)
Wohlgemerkt zusätzlich zur Buchhaltung, in der die Daten bei den Wiener Linien laut Datenschutzbeauftragte 10 Jahre gespeichert werden.
Uneinigkeit bei Zugriffsmöglichkeiten
Wer die MODIS-Daten mit teilweise defitgen Formulierungen über Fahrgäste abrufen kann, war im Prozess nicht klar erkennbar.
Compliance-Beauftragter MÖ: "Das Backoffice der Kontrollorgane, das sind 4 bzw. 6 Personen, wenn ich mich nicht irre. ... die Kollegen im Mehrgebührenmanagement in der Direktion haben auch Zugriff auf diese Daten." (aus GP 29 Cg 88/24k-19)
Datenschutzbeauftragte MDR: "Das sind die Administratoren [Datenbanktechniker, Anm.] und das bleibt auch in der Anwendung drinnen und ich bin mir jetzt nicht ganz sicher, aber ich glaube, dass die direkten Führungskräfte dieser Kontrollorgane Einsicht nehmen können." und zur Zahl: "... Ich kann das jetzt nicht sagen, vielleicht 10, aber diese Schätzung wäre jetzt komplett ins Blaue geschossen." (aus GP 29 Cg 88/24k-19)
Unbefriedigend nicht zu wissen, welche Gruppen und welche Personen tatsächlich auf Fahrgastdaten zugreifen.
300 Auskunftsbegehren im Jahr
In einem Nebensatz wird auch noch die Zahl der Datenschutzauskünfte bei den WIener Linien erwähnt. Jährlich seien es etwa 300. Offenbar werden in der Regel diesen Personen keine Protokolldaten beauskunftet, also jene Daten aus denen erkennbar ist wer, wann auf welche Betroffenendaten tatsächlich zugegriffen hat. Eine derartige Auskunft ist gemäß DSGVO verpflichtend, unabhängig ob der Betroffene "damit etwas anfangen könne".
Compliance-Beauftragter MÖ: "Diejenigen, die Auskunft begehren und das sind dann doch zirka 300 im Jahr, die wollen diese Daten gar nicht, weil sie mit denen nichts anfangen können." (aus GP 29 Cg 88/24k-19)
Minimalitätsprinzip und Zweckbindung beachtet?
Hans G. Zeger, Obmann ARGE DATEN: "Man muss kein Jurist sein, um bei diesen Vorgängen die Stirn zu runzeln. Jeder kontrollierte Fahrgast hat das Recht auf eine DSGVO-konforme Verarbeitung seiner Daten. Wesentliches Merkmal sind eine strenge Ausllegung der Betroffenenrechte, insbesondere in Hinblick auf die laufenden EuGH-Entscheidungen und dem Art. 25 DSGVO, der Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen verlangt."
Was aus der MODIS-Verarbeitung und den anderen Verarbeitungen der Wiener Linien wird, wird die Zukunft zeigen. Bis dahin gilt weiterhin die Unschuldsvermutung.
mehr --> Herabwürdigende Fahrgastbewertungen durch Wiener Linien?
|
