- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Datenschutz bei Online-Tickets der Deutschen Bahn [Update]

Meine Mail vom 22.12.2006 an die hessische Datenschutzausicht:

Sehr geehrte Damen und Herren,

vor einigen Tagen habe ich zum Normaltarif ein DB-Online-Ticket (Zugfahrschein) über das Internet gekauft, und zwar bei der DB Fernverkehr AG/DB Regio AG, Stephensonstr. 1, 60326 Frankfurt. Verwundert hat mich, dass der Reisebegleiter bei der Kontrolle neben dem Ticket auch meine Kreditkarte sehen wollte und diese mit seinem Lesegerät eingelesen hat (den Magnetstreifen der Kreditkarte „durchgezogen“ hat). Überhaupt ist es verwunderlich, warum meine Personalien (…) und Kreditkartendaten („Ausweis: MasterCard1015″) auf dem Ticket abgedruckt waren.

Meiner Ansicht nach ist die Speicherung personenbezogener Daten zu einem Ticket nur dann erforderlich, wenn das Ticket nicht übertragbar ist. In meinem Fall war die Übertragbarkeit aber gegeben. In diesem Fall genügt es, dass sicher gestellt wird, dass mein Ausdruck keine Fälschung ist, das Ticket also tatsächlich gekauft wurde. Nicht erforderlich ist es aber, meinen Namen auf das Ticket zu drucken und eine Identifizierung des Ticketinhabers zu verlangen.

Die Deutsche Bahn sieht keine Veranlassung zu einer Änderung, obwohl ich sie dazu aufgefordert hatte (siehe Antwortschreiben unten).

Ich bitte Sie, dafür zu sorgen, dass die Deutsche Bahn Abrechnungsdaten nur zur Abrechnung nutzt und nicht unnötig auf Tickets druckt, die nicht personengebunden sind. Außerdem bitte ich Sie, dafür zu sorgen, dass eine Identifizierung der Inhaber nicht personengebundener Online-Tickets künftig unterbleibt, insbesondere durch elektronisches Einlesen der Kreditkarte.

Zu Ihrer Information füge ich mein Online-Ticket bei.

Mit freundlichem Gruß,
Patrick Breyer

> Sehr geehrte…,
> vielen Dank für Ihre eMail.
> Ihre Kreditkarte dient zur Identifikation Ihrer Person im Zug.
> Im Barcode werden Abgangsbahnhof, Zielbahnhof, Strecke, Züge, Anzahl
> der reisenden Personen, der Tarif (bspw. mit oder ohne BahnCard,
> Sparpreis….), das Reisedatum und die Wagenklasse in einem Datensatz
> gespeichert. Mit dem korrelierenden Kontrolldatensatz im Mobilen
> Terminal des Zugbegleiters überprüft der Zugbegleiter im Zug die
> Gültigkeit des Online-Tickets.
> Die Kontrolldaten enthalten Informationen zum Zug in dem das
> Online-Ticket kontrolliert wurde, aber keine personenbezogene Daten.
> Auch wird die Nummer der Ausweis-ID (hier Ihre Kreditkartennummer)
> werder erfasst noch gespeichert. Die personenbezogenen DAten werden
> nicht an Dritte übermittelt.
> Wir hoffen Sie Ihrem Wunsche entsprechend informieren zu können.
> Mit freundlichen Grüßen
>
> …
> Deutsche Bahn AG
> stv. Konzerndatenschutzbeauftragter (MZD)
> (Datenschutzrecht, Multimediadatenschutzrecht)

Antwort vom 05.03.2006:

Aktenzeichen: I 17 – 3v 04/03 – 898/06 (bitte immer angeben)

Sehr geehrte…,

im Nachgang zu meiner Mail vom 10. Januar 2007 teile ich Ihnen mit, dass mir die DB Fernverkehr AG mitgeteilt hat, dass die Online-Fahrkarten nicht übertragbar sind. Die auf der Fahrkarte abgedruckten Daten sind für eine Identifizierung der zu befördernden Person erforderlich. Ich mache Sie noch darauf aufmerksam, dass deutlich bei den Erläuterungen zu Online Fahrkarten ersichtlich ist, dass Online Fahrkarten nicht auf den Namen Dritter ausgestellt werden. Ihr Hinweis in Ihrer Mail an mich diese Fahrkarten seien übertragbar entspricht also in keiner Weise der Wahrheit. Somit ist die Sache abgeschlossen.

Mit freundlichen Grüssen
Im Auftrag

gez. …

Regierungspräsidium Darmstadt
Dez. Datenschutz
Rheinstraße 62
64283 Darmstadt

In den Bahn-AGB heißt [1] es tatsächlich, dass Online-Tickets nicht übertragbar seien. Wer eine Fahrkarte zum Normaltarif kauft, bekommt für denselben Preis wie am Automaten oder am Schalter also nur eine nicht übertragbare Karte. Das sollte die Bahn ihren Kunden deutlicher sagen – und möglichst mit einer guten Begründung. Jedenfalls ist datenschutzfreundliches Reisen bei einer Online-Buchung im Internet derzeit nicht möglich.

Was man immerhin tun kann, ist eine E-Mail an die Bahn senden:

Sehr geehrte Damen und Herren,

hiermit widerspreche ich der Verwendung meiner Daten zur Kundenbetreuung und verlange eine sofortige Löschung der Reisedaten.

Schließlich widerspreche ich der Nutzung oder Weitergabe meiner Daten zu Zwecken der Werbung, Markt- oder Meinungsforschung.

Bitte bestätigen Sie mir, dass Sie dem Rechnung tragen werden.

Mit freundlichem Gruß

Auf eine Bestätigung warte ich seit Wochen vergeblich.

Update: Ich habe eine Antwort erhalten, indem ich dem stellvertretenden Konzerndatenschutzbeauftragten direkt geschrieben habe (Juergen[Punkt]Sack[ät]bahn[Punkt]de):

Sehr geehrte…,

gerne geben wir Ihnen die gewünschten Informationen in dem Rahmen, den das BDSG und andere Rechtvorschriften zulassen und vorsehen. Daher bitten wir um Verständnis, dass wir hier bei mehrern Millionen BahnCards und mehreren Millionen Onlinetickets keine handischen Prozesse entwickeln und zulassen können. Zunächst zum Online-Buchungssystem:

Auftragsdaten:
dem Wunsch, die Auftragsdaten mit Reisetag zu löschen, können wir nicht nachkommen. Auftragsdaten werden bis zu 6 Monate nach Abwicklung der Bestellung für Clearingzwecke etc. benötigt. Nach 6 Monaten erfolgt eine automatische Löschung. Außerdem müssen wir gem. HGB und AO Auftragsdaten für das Finanzamt archivieren
Kundenstammdaten:
Als Online-Kunde können Sie Ihren account bei uns jederzeit selbsttätig löschen:
1. auf bahn.de einloggen (s. im kleines Fenster im linken Bereich auf bahn.de)
2. im daraufhin erscheinenden Kundenaccount den Menüpunkt „persönliche Daten bearbeiten“ wählen
3. im nächsten Bildschirm „Abmelden“ anklicken
4. es erscheint ein Fenster zur Eingabe des Kundenaccount-Passowortes: mit Eingabe und Klick auf Löschen ist der Kundenaccount bei uns gelöscht (das umfasst übrigens auch Kundenbindungsmerkmale)

Eine automatische Löschung der Kundenstammdaten erfolgt nach 18 Monaten Inaktivität. Darüberhinaus können auf besonderen Wunsch nach Abwicklung aller Bestellungen Kundenstammdaten auch sofort manuell gelöscht werden. Hierzu bitten wir einen kurzen Hinweis wenn dies gewünscht ist.

Sollten Sie sich für den E-MailNewsletter im Double-Opt-In Verfahren angemeldet haben, können Sie sich dort auch jederzeit selbst wieder abmelden. Ihre Daten werden dann gelöscht.

Was Ihre BahnCard Daten angeht, können wir Ihnen mitteilen, dass eine Werbesperre und eine Kontoauszugssperre bereits gesetzt wurde. Von Ihnen sind keine Reisedaten und keine Bonuspunkte gespeichert. Ihre Stammdaten aus dem BahnCard Bestellschein können wir aus Vertragsgründen während der Vertragslaufzeit nicht löschen.

Wir hoffen, dass wir Sie nun umfassend informieren konnten.