Folgendes passierte mir Ende 2011:
Über Google gelangte ich auf eine schmierige Webseite der Fa. Black Bean Mobile. Für eine kurze Zeit siegte die Neugier und ich klickte mich durch 4 oder 5 Seiten, sah ein "Play" button auf ein Bild, klickte einmal drauf - es geschah nichts und ich verließ die Webseite. Dass dieser kurze Exkurs (weniger als 2 min.) auf einer schmierigen Webseite folgen haben würde ahnte ich nicht.
Ca. 10 Sekunden nachdem ich die Seite verlassen hatte erhielt ich eine Mehrwert-SMS (09302266881003 (31/10): "Danke für Ihre Bestellung") und ca. eine Minute später eine weitere (09302266881003 (31/10): "Ihr Abo wurde erfolgreich verlängert")
Besonders störte mich, dass mein Provider, damals Orange Austria GmbH meine als Geheimnummer registrierte Teilnehmernummer (Rufnummer) ohne meine Zustimmung in einem offenbar vollautomatisiertem Ablauf an Dritte weitergegeben hatte.
Auch war ärgerlich, dass Orange mir nach mehrmaligem telefonischem und schriftlichem Nachfragen weder Namen bzw Anschrift des sogenannten Dienstleisters bei dem ich angeblich das Abo bestellt hatte, noch die Firma die ohne meine Zustimmung die Mehrwert-SMS an meine geheime Teilnehmernummer geschickt hatte nennen wollte oder konnte. Mir wurde gesagt ich müsse selber recherchieren und solle es bei der Firma DIMOCO GmbH versuchen.
Gekürztes, zusammengefasstes Protokoll vom E-mail Verkehr Ende 2011 mit DIMOCO (
[email protected]):
ICH:
".... Geben Sie mir bitte umgehend bekannt wer diese beiden SMS gesendet hat und für welche erbrachte Leistung der Entgelt für diese Mehrwert-SMS eingehoben wird."
DIMOCO:
".... Von der Rufnummer +43XXXXXXXXXXX wurde ... ein wöchentliches Videoabo für 4,99 Euro abgeschlossen. Vor Abschluss des Abos wurde der Benutzer ausdrücklich darauf hingewiesen, dass es sich um einen Abo-Dienst handelt und das Abo wurde vom Benutzer auf diesen beiden Seiten explizit bestätigt ...."
ICH:
"Ihre Behauptungen sind jedoch unrichtig. Zu keinem Zeitpunkt wurde ... ein gültiger zivilrechtlicher Vertrag geschlossen der den Erhalt und die Verrechnung der aufgeführten (oder auch sonst irgendwelcher) Mehrwert-SMS begründen könnte. Es wurde von mir nichts bestellt und auch kein "Abo" verlängert. Ich habe die als Geheimnummer geführte Telefonnummer +43XXXXXXXXXXX in keinem Datenfeld im Internet .... oder sonstwie bekanntgegeben." ...
"In den Mehrwert-SMS selber wird weder der Absender noch die erbrachte Leistung genannt." ...
"Da ich niemals Zustimmung für den Erhalt dieser kostenpflichtgen Mehrwert-SMS erteilt habe habe ich Anzeige bei der Fernmeldebehörde Wien eingebracht wegen Übertretung gem. §107 TKG."
DIMOCO:
"Wie schon vorab kommuniziert haben wir eine aktive Bestellung und Bestätigung des Dienstes welcher ordentlich ausgeliefert wurde. Des Weiteren wurden Ihnen alle wichtigen Informationen wie Preisangaben und allgemeine Geschäftsbedingungen mitgeteilt, somit handelt es sich hierbei um keine verstecken Dienste. Vor Abschluss des Dienstes wurden sie direkt auf die Geschäftsbedingungen hingewiesen. Wir haben Ihre IP Adresse XX.XXX.XXX.XXX zu einer Konkreten Zeit aufgezeichnet die Sie eindeutig identifiziert. Das System selbst erlaubt keine Transaktion ohne "Handshake" d.h. Kundenbestätigung. Von daher ist unsererseits keine weitere Nachweispflicht notwendig." ...
"Ein Abo auf der dieser mobilen Seite kann man nur abschließen, wenn man diese mit einem Mobiltelefon besucht und vor dem Download eines Videos das Abo bestätigt. Beim Abschluss des Abos wird die Rufnummer der SIM-Karte übertragen, es muss also ZWINGEND vom Benutzer dieser SIM-Karte abgeschlossen worden sein."
ICH:
"Sie schreiben: 'Beim Abschluss des Abos wird die Rufnummer der SIM-Karte übertragen'. Würden Sie mir für mein Verständnis bitte erklären: 1. Konkret an wen wurde die Information über meine Rufnummer übertragen - direkt an die Dimoco Gmbh oder direkt an den Betreiber der Webseite ...? 2. Wurde die Information über meine Rufnummer von meinem Smartphone oder von meiner SIM-Karte ausgelesen und direkt über die bestehende Internetverbindung die mit der IP Adresse XX.XXX.XXX.XXX aktiv war an den Empfänger der Information übertragen, oder hat man direkt bei der Orange Austria Telecommunication GmbH um die Übertragung der Information über meine Rufnummer ersucht....? "
DIMOCO:
"zu 1) Die Nummer wurde an Dimoco übertragen und dann an den Betreiber der Seite weitergeleitet. zu 2) Ihre Rufnummer wird weder vom Smartphone noch von der SIM Karte abgerufen. Wenn Sie auf dem Portal auf Bezahlen drücken geht ein Aufruf zu Orange Austria der dann wie oben geschrieben die Nummer an Dimoco weiterleitet, die sie dann an den Betreiber der Seite weiterleitet." ...
"Der Dienstanbieter ist in diesem Fall Black Bean Mobile."
Abgesehen von der erwähnten Anzeige wegen Übertretung gem. §107 TKG (betrifft sogenannte unzulässige Werbesendungen) entschied ich ein Kontroll- und Ombudsmannverfahren (§ 30 Abs. 1 DSG 2000) bei der österreichischen Datenschutzkommission anzustrengen.
Gekürzte Zusammenfassung meiner Eingabe an die Datenschutzkommission:
AN DIE DATENSCHUTZKOMMISSION:
"Ich wende mich an die Datenschutzkommission, um eine mich betreffende Rechts- bzw. Pflichtenverletzung durch Auftraggeber im privaten Bereich zu rügen wegen Verletzung meines Rechts auf Geheimhaltung schutzwürdiger personenbezogener Daten (§ 1 DSG 2000) hinsichtlich der Aufzeichnung und Weitergabe einer mir zugeteilten dynamischen IP-Adresse (XX.XXX.XXX.XXX) und der Weitergabe meiner als Geheimnummer geführten Rufnummer +43XXXXXXXXXXX Hierbei handelte es sich um einen vollautomatisierten Prozess der sich innerhalb eines Zeitraumes von weniger als einer Minute ereignete unter der Beteiligung von vier verschiedenen Firmen.:
1. Black Bean Mobile, s.r.o., Medved'ovej 17, 851 04 Bratislava
2. DIMOCO Direct Mobile Communications GmbH, Campus 21 Businesspark Wien Süd, Professor-Liebermann-Straße A01/405, A-2345 Brunn am Gebirge
3. Orange Austria Telecommunication GmbH, Brünner Strasse 52, Postfach 8, A-1210 Wien
4. Mobilebizz Entertainment Gmbh, Ameisbachzeile 123, A-1160
Dienstanbieter hinter der Absender-Mehrwertnummer 09302266881003 war laut einer Auskunft von der Rundfunk und Telekom Regulierungs-GmbH die Mobilebizz Entertainment Gmbh. Ich alleine verwende meine Rufnummer +43XXXXXXXXXXX die seit Anbeginn als Geheimnummer geführt wird. Ich habe sie nicht veröffentlicht, sie niemals in ein Datenfeld im Internet eingegeben ... und sie auch niemals der Mobilebizz Entertainment Gmbh zur Verfügung gestellt. .... Die dynamische IP Adresse XX.XXX.XXX.XXX wurde von der DIMOCO GmbH aufgezeichnet nachdem ich die ungewollte Bestellung ausgelöst hatte. Da ich, solange mir diese IP-Adresse zugeteilt war, nicht auf die Webseite der DIMOCO GmbH surfte ... war die Aufzeichnung der IP Adresse durch die DIMOCO GmbH meiner Meinung nach unzulässig. Anzunehmen ist, dass die DIMOCO GMBH die IP-Adresse von der Black Bean Mobile erhalten hatte, was aus meiner Sicht eine unzulässige Weitergabe darstellt ... - übrigens von einer slowakischen Firma an eine österreichische. Ein Ersuchen erging an Orange Austria um Herausgabe der der dynamischen IP Adresse XX.XXX.XXX.XXX zugeordneten Rufnummer. Orange Austria übermittelte diese an die DIMOCO GmbH. Die DIMOCO GmbH selber Versendet keine Mehrwert-SMS und hat offensichtlich die Rufnummer nur benötigt um Sie an Dritte weiterzugeben - nämlich an die Black Bean Mobil (möglicherweise aber auch an die Mobilebizz Entertainment Gmbh). Daher war meiner Meinung nach die Übermittelung meiner Rufnummer durch Orange Austria an die DIMOCO GmbH unzulässig. Ich nehme an, dass die DIMOCO GmbH Zugriff auf eine von Orange Austria zur Verfügung gestellte Schnittstelle für die Sofort-Abrage bzw. Sofort-Übermittelung von Rufnummern hat. Da im gegenständlichen Fall, nach der Übermittlung meiner Rufnummer an die DIMOCO GmbH, unmittelbar danach noch zwei weitere Firmen Kenntnis von meiner Rufnummer erlangten, darf glaube ich die Frage gestellt werden ob Orange Austria die nötige Sorgfalt und Kontrolle dafür trifft, dass die Weitergabe von Rufnummern durch ihr nur für zulässige und nachvollziehbare Zwecke geschieht. ... Letztlich muss meine Rufnummer auch an die Mobilebizz Entertainment Gmbh weitergegeben worden sein, die ... für die Versendung der Mehrwert-SMS verantwortlich zeigt."
(MW gilt nach österreichischem Recht auch eine dynamische IP-Adresse als ein zu schützender Datensatz).
Über die konkrete Ermittlungshandlungen bzw den Schriftverkehr zwischen der Datenschutzkommission und Dimoco, Black Bean und Mobilebizz Entertainment wurde ich nicht informiert, aber die Datenschutzkommission hat sich ohnehin hauptsächlich für das Verhalten von Orange interessiert, da von ihr die Datenschutzverletzung ausging. Nach Einleiten des Verfahrens zeigte sich Orange kooperativ. Orange wurde vom Sachbearbeiter der Datenschutzkommission (u.a.) aufgefordert folgende zwei Fragen zu beantworten (Jänner 2012):
"Danke für Ihre Stellungnahme und die Bildschirmfotos. Ich habe aber noch ein paar Fragen dazu: 1. In welcher Form haben die Kunden von Orange zugestimmt, dass sie diese Weise überhaupt bezahlen können bzw. müssen? 2. Welchen Beweis für den Vertragsabschluss und für die Bereitschaft des Kunden, die geforderte Summe zu bezahlen, verlangt Orange von den Anbietern? Sie schreiben zwar, dass der Kunde einwilligen muss und der Zahlungsweg vereinbart wird, aber dazu konnte ich dem Vorbringen und den Bildern nichts entnehmen."
Antworten von Orange:
Zu 1.:
"Wie auch andere Mobilfunkbetreiber bieten auch wir diese Möglichkeit der Bezahlung standardmäßig an. Wir holen dafür keine gesonderte Zustimmung des Kunden ein; freilich gibt es die Möglichkeit diese Bezahlfunktion – im Übrigen wie andere Mehrwert-Services – kostenlos systemseitig sperren zu lassen."
Zu 2.:
"Der Vertragsabschluss erfolgt nicht mit Orange sondern mit dem Diensteanbieter, im konkreten Fall mit Black Bean Mobile, und unterliegt solcherart nicht unserer direkten Kontrolle. Bei der Fülle von Anbietern haben wir lediglich stichprobenweise Services getestet und die Funktionsweise des Vertragsabschlusses überprüft.
Bestreitet allerdings uns gegenüber ein Kunde einen solchen Vertragsabschluss bzw erhebt Einspruch gegen solcherart verrechnete Mehrwert-SMS, leiten wir diesen entweder an den betroffenen Vertragspartner bzw dessen technischen Dienstleister, hier an die DIMOCO Direct Communications zur Überprüfung und Stellungnahme weiter oder ersuchen den Kunden, sich direkt an diesen zu wenden. Üblicherweise wird anhand der bei Dimoco festgehaltenen Protokolldaten („Log-files“) überprüft, ob und wann eine Bestellung durchgeführt, konkret der „Bestell-Button“ gedrückt und damit das Abo abgeschlossen wurde."
Der Rechtsanwalt von Orange schrieb mir (Februar 2012):
"....Nicht zuletzt aufgrund Ihres Falles, sehr geehrter Herr XXXXXXXX, haben wir aber erkannt, dass wir hier im Sinne unserer Kunden mehr Transparenz beim Vertragsabschluss von den Vertragspartnern einfordern wollen. Wir sind dabei, mit unserem Vertragspartner DIMOCO vertraglich zu vereinbaren, dass eine standardisierte, in Zukunft zwischenzuschaltende Bestellseite implementiert wird. Diese soll klarer und deutlicher sämtliche Informationen zu Vertragsabschluss und Zahlweg zum Ausdruck bringen. So sollen einerseits – übersichtlicher als derzeit – Vertragspartner, Produkt, Periodiziät (Abo oder Einzelbestellung), Preis und Zustimmungserklärung (zur Übermittlung der Rufnummer für die Bezahlung) erläutert werden. Andererseits soll darin nochmals die Wahlmöglichkeit gegeben werden, zu diesen Bedingungen abzuschließen oder die Transaktion abzubrechen".
Irgendwann zwischen 2012 und 2014 wurde Orange von Hutchinson Drei Austria GmbH gekauft und 2014 die Datenschutzkommission von der Datenschutzbehörde abgelöst. Kürzlich langte bei mir ein Schreiben von der Datenschutzbehörde über die (vorläufige) Erledigung des Verfahrens ein. Wesentlicher Inhalt:
"Betrifft: Vorläufige Erledigung
Die Datenschutzbehörde die mit Jahresbeginn die Datenschutzkommission abgelöst hat, hat erreicht, dass die Hutchinson Drei Austria GmbH in Zukunft ein besseres Bezahlsystem einsetzen wird, dass dem Kunden in nachvollziehbarerweise die Daten zum Bezahlvorgang zeigt und sicherstellt, dass die Entscheidung des Kunden, eine Leistung zu bestellen klar dokumentiert wird. ... Die Datenschutzbehörde ist daher der Ansicht, dass das Verfahren eingestellt werden kann. Falls Sie binnen einer Frist von zwei Wochen ab Erhalt unseres Schreibens keine begründeten Einwände erheben, wird das Verfahren daher abgeschlossen."
Wird Hutchinson das "bessere Bezahlsysten" konsequent flächendeckend einsetzen? Ist es Kundenfreundlich? Überprüft die Datenschutzbehörde die Einhaltung der Zusagen von Hutchinson? Keine Ahnung. Nach meiner Einschätzung wäre rechtlich mehr möglich gewesen - die Antworten von Orange auf die Fragen der Datenschutzkommission waren mMn unbefriedigend. Die Bereitschaft das Bezahlsystem für den Benutzer transparenter zu machen wirkt für mich wie ein Eingeständnis, dass vorher nicht alles rechtens war. Ich versäumte leider die Frist - wegen 4,99 (die Orange gutschrieb) nicht tragisch.