Ich greife mal einen Fall heraus, den ein Leser aufgeworfen hat. Er bekam Mails von der Telekom, bei dem er seit vielen Jahren kein Kunde mehr ist. Das ist gemäß DSGVO eigentlich unzulässig. Eine Anfrage beim Unternehmen sowie Beschwerde beim Datenschutzbeauftragten verlief bisher ergebnislos. Interessant wäre die Frage, ob das Dauerspiel oder Einzelfall ist.
Anzeige
Der Fall: Die Telekom will E-Mail-Adresse bestätigt bekommen
Der Blog-Leser hat mich bereits Anfang Mai 2024 per E-Mail kontaktiert, weil er einen recht ungewöhnlichen Vorfall hatte. Bis vor ca. 20 Jahren, schreib der Blog-Leser, war die Deutsche Telekom sein Internet/Telefon-Anbieter. Seit dieser Zeit habe er kein Vertragsverhältnis mehr mit der Telekom.
E-Mail der Telekom
Nun erhielt der Leser aber plötzlich von der Deutsche Telekom AG obige E-Mail, in der er aufgefordert wurde, seine E-Mail-Adresse zu bestätigen. In der Mail hieß es, dass die Telekom gemäß DSGVO verpflichtet sei, diese E-Mail zu verifizieren.
Kann das SPAM sein?
Im ersten Augenblick dachte der Leser an SPAM, denn ohne Geschäftsbeziehung darf die Deutsche Telekom ihn nicht kontaktieren und die E-Mail-Adresse müsste gemäß DSGVO längt gelöscht sein.
Anzeige
Aber die E-Mail scheint echt zu sein, schrieb der Blog-Leser, nachdem er den Header analysiert hatte.
X-Envelope-From: <46593817.AWYAAEILG10AAcg35yoAAVb9gu0AAYCrkzkAnH9OAB5qIwBmM6Gq@bnc3.kundenemail.telekom.de>
X-Envelope-To: <ho****.***@########.de>
X-Delivery-Time: 1714659755
X-UID: 29491
Return-Path: <46593817.AWYAAEILG10AAcg35yoAAVb9gu0AAYCrkzkAnH9OAB5qIwBmM6Gq@bnc3.kundenemail.telekom.de>
ARC-Seal: i=1; a=rsa-sha256; t=1714659755; cv=none;
d=strato.com; s=strato-dkim-0002;
b=YW47X/f0vDPkTRzVtqENGp+Nszlu+6K75qwJzSFmyhdBSoW1cOO0R2nW+S4vqsMJ28
AgyAICTaX2S/Nwyebdx6uXf3MLIJeMyXorxaFxGEt1aIcSxQStXyjCdW7emu43W26aT6
sc3D2uQHBHrJxyFf5Op78sQ8uBEupfYVtbGunTXJGOJFJ25wc5bfCP1KUIIb9IFk44JL
lVw5oIepO5MScFJvkC9qAK6zWnRzaS8BPVkL5c4PKEybH08M2qzLvSsVgYb4JEyCT+sB
pfQ2lAyy0c6h2nJF4l4FyaGTW8MgHLMjze6pf9MDvjzJf66CI63F8gdk84gyOODPOXzd
kETw==
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; t=1714659755;
s=strato-dkim-0002; d=strato.com;
h=Precedence:List-Unsubscribe:List-Unsubscribe-Post:List-Id:Date:
Subject:To:From:Message-Id:Cc:Date:From:Subject:Sender;
bh=jVFHvy/XKXztJNt41zpwYTZPkNWfO/x0/THYnOwFlIY=;
b=sWGXPgInOW6Ieeho/sKFLiCKA5KlByC8aMt9RS65lrB5sH3dAPy+TH+qc0/q0AKoxH
kHdlAV3OvFkUJ7HF8QFvab20QGjrc4WBhYOpcqH2BfetuQsTXWKl4WosnqV3HVDlSobe
SsM+5vgZ+o7ZaPtbZubhmrPkeYoTDcIUUF7kkBNnufgNnY2FxHn/hZxaf5uzdcvGbqa+
u30cMy/dirfSsV16OklR6zcIGIMUvE7tsg6vjY/eF8xn8GHesKass+ckhL3e6eOgE/5e
50RpvOTxTfWpKIRpKnqo3y9d13mY00Pxt+LM915zgVW/28DGY6yHH3ahsRa+BGRLwvud
36ng==
ARC-Authentication-Results: i=1; strato.com;
dmarc=pass (p=NONE sp=NONE) header.from="kundenemail.telekom.de";
arc=none smtp.remote-ip=87.253.238.167;
dkim=pass header.d="kundenemail.telekom.de" header.s="mailjet" header.a="rsa-sha256" header.i="no-reply@kundenemail.telekom.de";
dkim-adsp=pass;
spf=pass smtp.mailfrom="46593817.AWYAAEILG10AAcg35yoAAVb9gu0AAYCrkzkAnH9OAB5qIwBmM6Gq@bnc3.kundenemail.telekom.de"
Authentication-Results: strato.com;
dmarc=pass (p=NONE sp=NONE) header.from="kundenemail.telekom.de";
arc=none smtp.remote-ip=87.253.238.167;
dkim=pass header.d="kundenemail.telekom.de" header.s="mailjet" header.a="rsa-sha256" header.i="no-reply@kundenemail.telekom.de";
dkim-adsp=pass;
spf=pass smtp.mailfrom="46593817.AWYAAEILG10AAcg35yoAAVb9gu0AAYCrkzkAnH9OAB5qIwBmM6Gq@bnc3.kundenemail.telekom.de"
X-RZG-Expurgate: clean/normal
X-RZG-Expurgate-ID: 149500::1714659755-089F287F-ED6E2FF4/3/8051097196
X-RZG-CLASS-ID: mi00
Received-SPF: pass
(strato.com: domain bnc3.kundenemail.telekom.de designates 87.253.238.167 as permitted sender)
mechanism=ip4;
client-ip=87.253.238.167;
helo="o167.p13.mailjet.com";
envelope-from="46593817.AWYAAEILG10AAcg35yoAAVb9gu0AAYCrkzkAnH9OAB5qIwBmM6Gq@bnc3.kundenemail.telekom.de";
receiver=smtpin.rzone.de;
identity=mailfrom;
Received: from o167.p13.mailjet.com ([87.253.238.167])
by smtpin.rzone.de (RZmta 50.5.0 OK)
with ESMTPS id 206e78042EMZxbF
(using TLSv1.3 with cipher TLS_AES_256_GCM_SHA384 (256 bits))
(Client did not present a certificate)
for <ho***.****########.de>;
Thu, 2 May 2024 16:22:35 +0200 (CEST)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; q=dns/txt;
d=kundenemail.telekom.de; i=no-reply@kundenemail.telekom.de; s=mailjet; x=1714666954;
h=message-id:mime-version:from:from:to:to:subject:subject:date:date:list-id:list-unsubscribe-post:
list-unsubscribe:feedback-id:precedence:x-campaignid:x-csa-complaints:
x-mj-mid:x-mj-smtpguid:x-report-abuse-to:content-type;
bh=+2bcdQO4FVz0+KJXym6k3aQkwKzfCjS1xocS2LzrFYk=;
b=etc/BCwHMPjDBI5v9fpyiT2PYWlmZA+RbSZsr6KBsy2YeLWNwdwl58MQj
y7a6ls+U5cRrgRls+HwGAOn1whPdMHS3B4eYm6gEk21O36XrcfKuH5C9mBs9
7jpz/s7kLcOhVgwosm/38uBGmY1WBwkjzScoH0GGOdWWsNmFY/w7XA=
Message-Id: <46593817.AWYAAEILG10AAcg35yoAAVb9gu0AAYCrkzkAnH9OAB5qIwBmM6Gq@mailjet.com>
MIME-Version: 1.0
From: Telekom <no-reply@kundenemail.telekom.de>
Etwas seltsam fand der Leser nur, dass die Mail über den SMTP-Server von Mailjet.com gesendet wurde (die IP 87.253.238.167 ist in Paris/Frankreich).
IP 87.253.238.167, da war doch was
Als ich die IP aus der Mail beim Schreiben dieses Beitrags recherchieren wollte, wurde mir gleich ein Blog-Beitrag Telekom-Bestätigungsmail, wenn es wie Phishing ausschaut aus dem Juli 2022 ausgeworfen. Es ging darum, dass Telekom-Kunden oder T-Online-Nutzer mitunter E-Mails von diesem Unternehmen erhalten, in denen sie zur Bestätigung ihrer E-Mail-Adresse aufgefordert werden. Also genau das, was oben thematisiert wird. Im alten Beitrag hatte ich mich bereits darüber ausgelassen, dass die Telekom eine seltsame Bestätigungs-Mail-Struktur verwendet. Diese sähe wie ein Spam oder ein Phishing-Versuch zur Erbeutung von Daten aus.
E-Mail-Adresse wurde wohl nicht gelöscht
Der Leser schrieb mir dann, "wenn die Mail kein Fake ist, dann hat die Telekom meine Daten also nicht gelöscht". Es deutet sich also an, dass diese Nachricht "aus Versehen" auch an die ehemaligen Kunden geschickt wurde. Gemäß dem vorherigen Abschnitt ist die E-Mail zur Bestätigung der Mail-Adresse kein Fake oder SPAM, sondern stammt von der Deutsche Telekom.
Jemand ist angefressen
Ab hier wird es interessant, denn die Deutsche Telekom hat mutmaßlich gegen die DSGVO verstoßen, da die Daten es ehemaligen Kunden längst gelöscht sein müssten. Die Mail des Lesers schloss mit dem Hinweis "Wenn meine Daten bei der Telekom noch immer nicht gelöscht wurden, bin ich echt angefressen." Der Leser wies darauf hin, dass ca. 3-4 Jahre, nachdem er kein Telekom Kunde mehr war, u.a. Kundendaten bei einem Cyberangriff auf die Telekom abgegriffen wurden.
Opfer eines Datenabflusses
Einige paar Wochen später erhielt er einen Brief von der Deutsche Telekom, in dem er darauf hingewiesen wurde, dass auch seine Daten entwendet wurden. Bereits bei diesem Vorfall hat er sich schon bei der Telekom beschwert, und fragte, wieso Kundendaten nach Vertragsende überhaupt noch auf einem "Online"-Server liegen. Weiterhin hat er das Löschen seiner Daten (soweit gesetzl. zulässig) verlangt. Der Leser schloss, dass die Deutsche Telekom 20 Jahre nach Vertragsende keine Daten mehr von ihm gespeichert haben darf – die gesetzlichen Aufbewahrungsfristen sind längst abgelaufen.
Datenschutzbeauftragter bleibt untätig
Der Leser fragte mich, wie er vorgehen solle und ich empfahl ihm, den Bundesdatenschutzbeauftragten zu kontaktieren, da dieser für die Deutsche Telekom zuständig sei.
Beschwerde an den BfDI / LfD
Man kann bei der Telekom eine Beschwerde an den BfDI auf dieser Seite absetzen. Hintergrund, warum der BfDI zuständig ist: Post und Telekommunikation liegt nicht bei den Landesdatenschützern (LfD) sondern beim BfDI (siehe Kontaktfinder). Der BfDI wird eine Anfrage an die Deutsche Telekom stellen und sollte binnen 30 Tagen antworten.
Datenschutzauskunft der Telekom angefordert
Der Leser schrieb dann zuerst eine Mail an datenschutz@telekom.de und verlangte eine DSGVO-Auskunft nach §15 zu den über ihn gespeicherten Daten und wies darauf hin, dass seine ehemalige Kundennummer bis Dez. 2007 galt. Zudem fragte er an, warum er per Mail aufgefordert wurde, seine E-Mail-Adresse zu bestätigen.
Am 8.5.2024 erhielt der Leser per E-Mail die angeforderte DSGVO-Auskunft der Deutsche Telekom angefordert. Darin wurde auch geantwortet, warum er seine E-Mail-Adresse bestätigten sollte und wieso er bei der Telekom weiter als Kunde geführt werde.
Der Leser hat einen Mobilfunkvertrag bei Congstar (kundenservice@congstar.de) und in den Mails mit dem Rechnungsbetrag wird seit Juli 2022 jeden Monat auch die Aufforderung seiner E-Mail zu bestätigen geforderte. Das hat der Leser immer ignoriert, da er Seine E-Mail-Adresse ja bereits bei Vertragsbeginn bestätigt hatte.
DSGVO-Auskunft von CONGSTAR
Am 16.5.2024 erhielt der Leser per Einschreiben eine Datenauskunft von CONGSTAR mit Daten zu seinem laufenden Mobilfunk Vertrag. Dazu ein Hinweis, dass seine Anfrage an weitere Telekom Deutschland GmbH Marken zur Prüfung gegeben wird, von denen im Falle von vorhandenen Daten eine separate Antwort an den Leser solle erfolgen.
Am 17.5.2024 bestätigte der Leser dann vorsorglich noch seine (abweichende) E-Mail-Adresse bei CONGSTAR – falls das der Grund für die E-Mails von der Telekom sein sollte. Doch der Vorgang hatte mit der Telekom-E-Mail-Bestätigung zu tun.
Telekom bestätigt die Echtheit der Mails
Denn einige Stunden später kam die nächste Email von der Telekom, konkret trafen die Mails am 18.5.2024 und am 21.5.2024 mit der Bitte, doch "die E-Mail-Adresse zu bestätigen". Am 18.5.2024 hat der Leser die E_Mails an "abuse@telekom.de" weitergeleitet, mit der Bitte deren Echtheit zu prüfen. Am 22.5.2024 wurde die Echtheit der E-Mails von "abuse@telekom.de" bestätigt. Eine Info, wieso diese E-Mails zu einem vor über 12 Jahren beendeten Vertrag gesendet werden, fehlte jedoch. Der Leser beendete seine Folgemail mit dem Satz "Ich möchte das jetzt vom BfDI untersuchen lassen."
DSGVO-Auskunft der Telekom …
Ende Mai 2024 erhielt der Leser von der Telekom per Briefpost eine DSGVO-Auskunft . Dort schrieb die Telekom:
Die Recherche hat ergeben, dass Sie bei uns noch das kostenfreie Produkt "Zugang zu Telekom Diensten" im Bestand haben. Damit verbunden ist die Email-Adresse "Ho****r.xxxx@xxxxxx.de". Das kostenfreie Produkt wurde seinerzeit nicht mit gekündigt.
Der Leser schrieb dazu: "Sowas ist natürlich ein guter Trick, um die Daten nicht löschen zu müssen. Ich habe damals meinen Vertrag mit gekündigt, den ich abgeschlossen hatte. Von einem Vertrag für ein kostenfreies Produkt weiß ich nichts."
Zähe Beschwerde an den BfDI
Der Leser hatte Ende Mai 2024 dann eine Beschwerde über die Deutsche Telekom an den Bundesdatenschutzbeauftragten (BfDI) geschickt und bekam auch einen Zwischenbescheid der Art:
"die Rückmeldung der Telekom liegt mir inzwischen vor, sie konnte die Angelegenheit aber nicht abschließend klären.
Uns hatten mehrere ähnlich lautende Anfragen von Kunden erreicht, die ihre Vertrage seit Längerem gekündigt hatten. Die Prüfung der Datenverarbeitung, die über die Vertragskündigung hinaus stattfand, dauert noch an. Ich werde Sie aber unaufgefordert über den weiteren Verlauf informieren."
Dem Text ist zu entnehmen, dass dies offenbar kein Einzelfall war. Der Leser merkte noch an, dass die E-Mail-Aufforderung der Telekom, doch seine E-Mail-Adresse zu bestätigen, seit der Beschwerde beim BfDI aufgehört hätten.
Zum 7. Dezember 2024 meldete sich der Leser mit dem Hinweis, dass die DSGVO-Prüfung der Telekom beim BfDI jetzt schon seit dem 27. Mai 2024 läuft, aber immer noch kein Ergebnis vorliege. Weitere Anfragen des Lesers beim BfDI wurden entweder ignoriert oder mit:
Die Klärung des Sachverhaltes und die Entscheidung über die möglichen Konsequenzen sind noch nicht abgeschlossen. Das gilt sowohl für Ihr Anliegen bzgl. Ihres ehemaligen Vertrags als auch für Ihre konkrete Datenauskunft. Zu letzterem steht auch noch eine Antwort der Telekom aus.
als Text beantwortet. Der Blog-Leser wies mich auf diesen Artikel von Joachim Lindenberg hin, der sich beim BfDI über Vodafone beschwert hatte. Auch hier verläuft das Ganze im Sande.
Das Ganze sieht nicht wirklich überzeugend aus. Die Deutsche Telekom hat ihre Datenhalden nicht im Griff und der Bundesdatenschutzbeauftragte scheint da auch nicht wirklich arg nachzufassen – die Angelegenheiten verlaufen ist Sande. Hat jemand ähnliche Erfahrungen gemacht?
Anzeige
Bin mir nicht 100% sicher, ob das hier genau zutrifft, aber die Anmerkung mit den Telekom-Diensten hat mich an etwas erinnert:
https://www.telekom.de/hilfe/vertrag-rechnung/vertrag/kuendigung/telekom-dienste-weiter-nutzen
Zu Mailjet:
https://www.mailjet.com/de/produkte/zustellbarkeit/unternehmen/
Mailjet integriert sich auf Wunsch in Salesforce.
Telekom arbeitet mit Salesforce, was dann offenbar Mailjet integriert hat.
"… zur Kundenkommunikation per E-Mail, Telefon oder dem Service Portal gemäß Ihrer uns erteilten Einwilligung werden Ihre personenbezogenen Kundendaten in unserem CRM-System gespeichert und verarbeitet. Wir nutzen die Services Salesforce Service Cloud & Salesforce Marketing Cloud des Auftragsverarbeiters Salesforce (Salesforce.com Germany GmbH, Erika-Mann-Str. 31-37, 80636 München)."
Weiß evtl. jemand, wo man sich wegen der "Untätigkeit" des BfDI beschweren kann und ob das dann auch was bringt?
Eine Beschwerde beim Vorgesetzten des BfDI-Sachbearbeiters ändert leider garnichts,
der gibt das nur wieder an den Sachbearbeiter weiter, mit der Bitte, darauf zu antworten, und der schreibt dann wieder nur sowas wie "Die Angelegenheit ist noch nicht abgeschlossen, wir melden uns…BlaBlaBla".
Hat man bei einer DSGVO-Beschwerde denn nicht auch einen Anspruch auf genaue Informationen, was vom BfDI zur Prüfung/Klärung bisher unternommen wurde, und zwar KONKRET, also WAS, WANN, und mit welcher FRIST?
Sonst antworte ich dem Finanzamt bei der nächsten Steuerforderung auch einfach mal "Die Angelegenheit ist noch nicht abgeschlossen, ich melde mich… irgendwann" – vielleicht gilt das bei Behörden ja als akzeptable Antwort auf alle Fragen ;)
Bundesministerium des Inneren oder Bundeskartellbehörde – da gibt's übrigens auch eine Möglichkeit sich zu Verbraucherschutzangelegenheiten zwecks Prüfung hinzuwenden.
Ich finde das Engagement des Blog-Lesers super [Grüße!]. Hätte ähnliche Erfahrung queer Beet von KabelDE/Vodafone die auf 10 Jahre alte Vorgänge und Nummern oder Mails kontaktieren – ebenso selbst "offizielle" bis zur Krankenkasse. Doch wie bewegen wir nachhaltig etwas?
Insbesondere bei "Data-Governance" und "Life-Time-Management" von Kundendaten beißt sich selbst eine interne Compliance in Unternehmen die Zähne aus [eigene Erfahrung]. Dies ggü Marketing oder "können wir doch machen" Management bis CFO. Das fachgerechte Löschen will im Übrigen gelernt, modelliert und umgesetzt sein.
In derzeitiger IT-Lage gilt mE mehr denn je Gebot massiver Datensparsamkeitt. Separate Mail pro Kontakt? Allenfalls eine Teillösung. "Internet never forget" gilt scheinbar auch für "Business". Vor 10 Jahren hätte ich meine Abneigung gegen den Begriff "persistente Speicherung" nicht erahnt…
Danke für die Aufarbeitung. Der Betroffene könnte Untätigkeitsklage gegen das BfDI erheben. Das ist in Art. 78 Abs. 2 DSGVO geregelt.
Vielen Dank für die Info!
Werde mich mal schlau machen, mit welchen Kosten sowas verbunden ist.
LG der Betroffene
Bei dem, was ich so seit längerem lese, ja auch die Anfragen von Joachim Lindenberg sind mir bekannt, dann frage ich mich, ob diese ganzen Landes- und Bundesdatenschutzbehörden und der ganze Apparat dahinter, nicht wieder einfach nur zahnlose Papiertiger und Versorgungsanstalten für in der freien Wirtschaft nicht Vermittelbare sind…
Hier wäre eine investigative Recherche von wirklich unabhängigen Journalsiten mal angebracht :)
In dem Sinne ein frohes Fest
Das Poblem bei den Datenschutzbehörden ist, das die hoffnungslos personell unterbesetzt sind.
Und mehr Leute findet man nicht oder es ist kein Budget für die zusätzlichen Personalkosten vorhanden, weshalb da nicht personell aufgestockt wird.
Naja wenn die eMail von vor 20 Jahren ist unterlag die nunmal noch nicht der DSGVO. Die DSGVO gilt nicht rückwirkend.
Vor 20 Jahren gab es noch keinen Löschzwang.
Die muss nun nach Information/Anforderung jetzt gelöscht werden…
Die DSGVO galt "damals" nicht – das ist richtig. Aber es gab mind. das BDSG (hat bloß keinen interessiert) -> und ich wäre da auch vorsichtig mit der Aussage "da gab es den Löschzwang" nicht! ;-)
Die DSGVO ist aber seit Mai 2018 in Kraft und hatte da bereits 2 Jahre Vorlaufzeit, spätestens da hätten auch alle Altdaten gelöscht werden müssen.
Abrechnungsrelevante Daten müssen deutlich länger gespeichert werden.
So lange nicht alle Produkte gekündigt sind, darf hier nichts gelöscht werden.
Eine nicht Nutzung der Mail Adresse heisst nicht dass man diese löschen darf.. das war ja vor ein paar Monaten hier im Blog ein grosser Aufreger weil ein Deutscher Hoster die Leute verpflichtet hat einmal pro Monat/Jahr die Mail Adresse zu nutzen.. ansonsten wird die gelöscht.
AFAIK stimmt das so nicht. Wenn die Daten nach damals geltendem Recht (BDSG alt) rechtmäßig erhoben wurden, mussten sie mit Inkrafttreten der DSGVO (bzw. BDSG neu) nicht gelöscht werden.
Sie dürften aber nicht mehr genutzt werden, denn egal wo der Datensatz herkommt, es fehlt Stand jetzt die Legitimation nach DSGVO darüber den Kunden noch anzuschreiben.
Der Datensatz ist faktisch also Schrott, ich darf ihn zwar noch besitzen aber nicht mehr nutzen.
richtig sie müssen spätestens jetzt auf Wunsch gelöscht werden.
Solange kein Vertragsverhältnis mehr besteht, eine ruhende nicht genutzte "free"mail ist jedoch ein gültiges Vertragsverhältnis.
Ein rückwirkender Löschzwang gab es weder nach BDSG noch nach DGSVO! Aber auf Wunsch des Kunden muss gelöscht werden.
Außerdem gibt es je nach Art eines Geschäftes rechtliche Aufbewahrungsfristen, welche durch die DGSVO nicht aufgehoben werden…d.h. erst nach Ablauf dieser Fristen greift die DSGVO.
Ob oder ob nicht kann ein Nicht Jurist hier gar nicht entscheiden.
Ist in jedem Falle egal, wenn die AGBs jeweils geändert wurden und dem Kunden zur Verfügung gestellt wurden (meist beiläufig als Email wie: "Wir haben unsere AGBs geändert").
Sprich: wenn dem nicht aktiv widersprochen, gelten diese als angenommen.
Viele der "Großen" haben das schlauerweise bereits in den AGBs verstrickt (Datenschutz etc.).
Übrigens: lies Dir mal "free-email"- AGBs durch…
Die Aussage ist Pauschal falsch, man erinnere sich an die AGB Änderungen der Banken bei den höchst Richterlich festgelegt wurde das Kunden aktiv zustimmt müssen. Kein aktives Opt-Out und keine Stillschweigende Zustimmung.
Auch darf per AGB nicht die aktive Zustimmung der Werbung laut DSGVO erzwungen werden, hatte Facebook versucht und wurde ebenfalls einkassiert.
Ebenso wird immer mehr das *berechtigte Interesse* einkassiert das gerne in den Raum geworfen wird wenn Firmen Datensätze nutzen die sie eigentlich nicht mehr nutzen dürfen.
Auch richtig – aber das galt/gilt ab DSGVO.
Eine "rückwirkgende Löschfrist" gibt es nach der DSGVO.
In der DSGVO ist die Datenminimierung sowie Datensparsamkeit gegeben. Ebenso benötigt der Verarbeiter eine Rechtsgrundlage zum Verarbeiten der pbz. Daten der Betroffenen.
Fällt die Rechtsgrundlage (Vertrag) weg, sind die Daten der Betroffenen zu löschen, sofern keine anderen Gesetzte (Steuer, usw) diese Lösung explizit verhindern.
Wenn die Telekom Daten seit 20 Jahren verarbeitet (speichert) und dafür keine Rechtsgrundlage hat, hätte die Telekom seit dem 2018/05 die Daten selbstständig löschen müssen (Datensparsamkeit) oder sich die Einwilligung (Rechtsgrundlage) für das Verarbeiten der Daten bei den Beteiligten holen müssen.
Da man sich hier aber auf den noch laufenden kostenlosen E-Mail-Dienst bezieht, gibt es eine Rechtsgrundlage. Denn wie soll die Telekom diesen Dienst anbieten, wenn die Telekom die Daten nicht verarbeiten darf?
Aber daran hätte ich auch nicht gedacht diesen E-Mail-Dienst zu kündigen – hoffentlich denke ich daran wenn es mal so weit ist.
Die "Erinnerungen" gingen an meine private Email-Adresse.
Und es war auch kein Email-Dienst, sondern es ging um dieses "kostenlose Produkt" (bzw. Zugang) hier: "Bei dem Zugang handelt es sich um einen Login in das Telekom Kundencenter. Dort können Sie Verträge verwalten, Rechnungen einsehen und Telekom Produkte buchen. Außerdem können Sie dort auch Ihre persönlichen Daten ändern."
Nach Vertragskündigung gibt es aber keinen Grund, den Zugang zur Online-Vertragsverwaltung" weiterhin anzubieten, besonders, da ich mich dafür nie registriert hatte!!!
Interessant ist auch, dass die Telekom schreibt:
"gemäß der Datenschutzgrundverordnung ist die Telekom verpflichtet, die E‑Mail-Adressen ihrer Kunden persönlich bestätigen zu lassen."
Das ist denen aber erst am 02.05.2024 eingefallen, die DSGVO gibt es ja wohl schon etwas länger.
Und nach meinem Auskunftsersuchen nach Art. 15 Absatz 1 der DSGVO ist die TK anscheinend plötzlich doch nicht mehr verpflichtet, irgendeine Bestätigung von mir zu verlangen….
Das löschen meiner Daten o.ä. hatte ich nicht verlangt, da ich zuerst die Untersuchung des BfDI abwarten wollte.
Blödsinn!
Somit wären sämtliche Verträge hinfällig – was nicht ist.
Aber es hätte eine Anpassung der AGBs erfolgen müssen oder einen Nachtrag in Bezug auf DSGVO.
Ausnahme natürlich: lt. BDSG (alt) hätten diese Daten längst gelöscht bzw. für Benutzung gesperrt sein müssen (wg. geseztzl. Aufbewahrungsfristen).
Nur kurz zu den Bearbeitungszeiten beim BfDI: Meine (m. E. relativ simple) Beschwerde gegen Vodafone hat dort IIRC über ein Jahr gebraucht, un schließlich abgelehnt zu werden. Diese Dauer ist also relativ normal.
Als Handhabe gegen die Untätigkeit der Behörde bleibt nur eine Untätigskeitsklage vor dem Verwaltungsgericht. Allerdings ist zu beachten, dass dies in der Regel nur bewirkt, dass dem Beschwerdeführer respektive Kläger eine Sachstandsmitteilung übersand wird. Mehr kommt dabei erst mal nicht raus.
Woher stammt Deine Erkenntnis "…dass dem Beschwerdeführer respektive Kläger eine Sachstandsmitteilung übersand wird. Mehr kommt dabei erst mal nicht raus"?
Das würde ja bedeuten, dass eine "Untätigskeitsklage" vollkommen sinnlos ist, wenn es für den Beklagten keinerlei Konsequenzen/Strafe zur Folge hat…
Denke aber auch, dass man sich das sparen kann: "Eine Krähe hackt der anderen kein Auge aus"
Solche Mails ignoriere ich…
Deswegen verschwende ich sicher keine Lebenszeit. Es gibt wichtigeres.
Schöne besinnliche Tage an alle.
Und dann wunderst Du Dich, wenn Deine Daten in den Händen von Hackern landen, nachdem bei einem Cyberangriff auf Deinen "Ex"-Provider auch Deine "unberechtigt" gespeicherten Daten entwendet wurden.
Aber vermutlich würdest Du nichtmal merken, wenn Dein Konto geplündert wurde,
weil Du fürs lesen Deiner Kontoauszüge bestimmt keine Lebenszeit verschwendest…
Da ich für jeden online Zugang immer andere Logindaten verwende, stellt das keine größere Gefahr dar.
Ich bin auch kein Telekom- Kunde mehr. Aber die E-Mail-Adresse bleibt gültig, und der Cloud- Speicher ist auch solange nutzbar bis man die E-Mail-Adresse selbst freigibt.
Nur zur Klarstellung:
Ich hatte damals nicht aktiv irgendein kostenfreies Produkt "Zugang zu Telekom Diensten" gewünscht, und selbst wenn, dann war das sicher nur eine Zusatzleistung in Verbindung mit einem kostenpflichtigen Vertrag. Nach Kündigung des Vertrags müssten dann diese "automatischen" Zusatzleistungen ja auch enden – ansonsten kann so ja jeder Anbieter die Löschpflicht der Daten umgehen.
Es ging übrigens auch um meine private Email auf meiner eigenen Domain!
Zum Thema "Untätigskeitsklage" nach Art. 78 Abs. 2 DSGVO gegen das BfDI:
Das scheint nach dem Hinweis des RA Dr. Bahr vollkommen aussichtslos bzw. noch nich einmal berechtigt:
https://www.dr-bahr.com/news/bei-dreimonatiger-untaetigkeit-der-datenschutzbehoerde-darf-betroffener-erheben.html
Er schreibt dort: "…wonach eine Datenschutzbehörde innerhalb von 3 Monaten nach Eingang einer Beschwerde tätig werden muss. Zur Einhaltung der Frist genügt bereits eine einfache Antwort des Amtes, z.B., dass die Beschwerde eingegangen ist. Mehr ist nicht notwendig. Es müssen weder Ermittlungen aufgenommen worden sein noch muss der Sachverhalt ausermittelt sein. "
Ganz toll, dann muss das BfDI also eingach nur schreiben "Die Bearbeitung dauert noch an…", und damit haben sie Ihre Pflicht dann erfüllt..
In was für einer Bananenrepublik leben wir hier eigentlich?
Schon länger in genau einer solchen – nur wahrhaben will's niemand! 🤷🏻♂️