Urteil : Gesundheitsdaten eines Tieres als personenbezogene Daten des Tierhalters : aus der RDV 3/2020, Seite 157 bis 161

Nachdem ein Tierhalter eine Behandlungsrechnung des Klägers vom 5. Juni 2018 über 1.001,03 € nicht fristgemäß bezahlt hatte, stornierte der Kläger seine selbst erstellte Rechnung und übermittelte sie am 3. Juli 2018 an die VTX zur Durchführung des Inkassos. Der Tierhalter hatte für diese Datenübermittlung keine Einwilligung erteilt und reichte eine Beschwerde bei dem LfDI ein, nachdem er von der VTX zur Zahlung aufgefordert worden war.

Nach der Anhörung des Klägers erging mit Bescheid vom 16. April 2019 eine Verwarnung auf Grundlage von Art. 58 Abs. 2 lit. b DS-GVO. Die Verwarnung (Ziffer 1 des Bescheids) wurde damit begründet, dass der Kläger personenbezogene Daten eines Tierhalters an die VTX übermittelt habe, obwohl die datenschutzrechtlichen Voraussetzungen dafür nicht vorgelegen hätten.

Aus den Gründen:

I. Die Klage ist zulässig.

Statthaft ist gemäß § 42 Abs. 1 Var. 1 VwGO die Anfechtungsklage, da es sich bei der angefochtenen Verwarnung um einen – zumindest feststellenden – Verwaltungsakt im Sinne des § 35 Satz 1 Verwaltungsverfahrensgesetz – VwVfG – i.V.m. § 1 Landesverwaltungsverfahrensgesetz – LVwVfG – handelt. Schließlich wird mit der Verwarnung festgestellt, dass der Adressat gegen die Datenschutzgrundverordnung verstoßen hat. Zwar wird durch die Verwarnung keine konkrete, unmittelbare Rechtspflicht ausgelöst. Gleichwohl wird mit der Verwarnung implizit ausgedrückt, dass sich der Adressat künftig datenschutzkonform verhalten soll. Darüber hinaus handelt es sich bei der Verwarnung um eine Abhilfemaßnahme der Datenschutzbehörde, mit der ein – wenn auch regelmäßig eher geringfügiger – Datenschutzverstoß geahndet wird (vgl. Körffer, in: Paal/Pauly, DS-GVO/BDSG, 2. Aufl. 2018, Art. 58, Rn. 18; Selmayr, in: Ehmann/Selmayr, 2. Aufl. 2018, Datenschutz-Grundverordnung, Art. 58, Rn. 20).

Der Kläger ist Adressat eines belastenden Verwaltungsakts (Verwarnung; Ziffer 1 des Bescheids) und damit klagebefugt im Sinne des § 42 Abs. 2 VwGO. Ein Vorverfahren war gemäß § 68 Abs. 1 Satz 2 Nr. 1 VwGO, § 20 Abs. 6 BDSG entbehrlich. Die Monatsfrist des § 74 Abs. 1 Satz 1 VwGO wurde gewahrt. Das Verwaltungsgericht Mainz ist gemäß § 20 Abs. 1 und Abs. 3 Bundesdatenschutzgesetz – BDSG – i.V.m. Art. 78 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) – DS-GVO – örtlich zuständig.

II. Die Klage ist auch begründet. Die in Ziffer 1 des Bescheids vom 16. April 2019 ausgesprochene Verwarnung ist aufzuheben, weil sie rechtswidrig ist und den Kläger in seinen Rechten verletzt (vgl. § 113 Abs. 1 Satz 1 VwGO).

Gemäß Art. 58 Abs. 2 lit. b) DS-GVO kann die Aufsichtsbehörde eine Verwarnung aussprechen, wenn eine datenverarbeitende Stelle gegen die Verordnung verstoßen hat. Die Rechtmäßigkeit einer Datenverarbeitung richtet sich nach Art. 5 ff. DS-GVO.

Der Kläger ist eine datenverarbeitende Stelle, weil er Daten eines Tierhalters an die VTX übermittelt hat. Bei der Datenübermittlung handelt es sich um die Verarbeitung von Daten i.S.v. § 4 Nr. 2 DS-GVO.

Diese Datenverarbeitung erfolgte hier rechtmäßig, sodass kein Verstoß gegen Art. 5 Abs. 1 lit a) DS-GVO gerügt werden kann. Zwar kann die hier streitgegenständliche Datenverarbeitung nicht als Auftragsdatenverarbeitung im Sinne des Art. 28 DS-GVO angesehen werden (1.). Die Datenverarbeitung erfolgte aber in zulässiger Weise auf Grundlage des Art. 6 DS-GVO (2.). Die gesteigerten Anforderungen, die gemäß Art. 9 DS-GVO an die Verarbeitung besonderer Kategorien personenbezogener Daten gestellt werden, mussten im vorliegenden Fall nicht eingehalten werden (3.).

1. Die Übertragung von Daten des betroffenen Tierhalters von dem Kläger auf die VTX erfolgte vorliegend nicht im Rahmen einer Auftragsdatenverarbeitung gemäß Art. 28 DS-GVO. Die Vorgehensweise, wonach die Übermittlung der Daten vom Tierarzt zur Verrechnungs- und Inkassostelle vor der Forderungsabtretung grundsätzlich als Auftragsverarbeitung zu bewerten wäre, würde nicht nur einen Vertrag zu Lasten Dritter darstellen und eine Umgehung der eigentlich einschlägigen, strengeren Anforderungen der Art. 6 ff. DS-GVO für eine Datenübermittlung an einen nicht weisungsgebundenen Dritten bedeuten, sondern ist vor allem tatbestandlich nicht als Auftragsverarbeitung zu bewerten.

Gegen eine Auftragsverarbeitung und eine Weisungsgebundenheit der VTX spricht zunächst, dass die Abtretung – die nach der Vorstellung des Klägers den Wechsel von der Auftragsverarbeitung zur Datenverarbeitung der VTX als Verantwortliche bewirkt – letztlich auf einer freien Entscheidung der VTX beruht (so auch die Präambel des Abrechnungsvertrags): Die Forderungsabtretung bedarf nach dem Vertrag zwingend der Annahmeerklärung der VTX. Die von dem Kläger beabsichtigten weitreichenden datenschutzrechtlichen Veränderungen, die durch die Abtretung eingeleitet werden sollen, stehen damit nicht unter der Kontrolle des Verantwortlichen.

Zwar hat der Kläger die ihm vorliegenden Daten an die VTX möglicherweise zu einem Zeitpunkt übermittelt, als die Abtretung noch nicht wirksam war. Die VTX hatte jedoch auch nach erfolgter Abtretung noch Zugriff auf die Daten. Sie hat sie erst nach der Abtretung als Forderungsinhaberin weiterverarbeitet und ist gegenüber dem betroffenen Tierhalter mit einer eigenen Rechnung über die Behandlungskosten in Erscheinung getreten. Diese Datenverarbeitung erfolgte nicht im Auftrag des Klägers, weil der Kläger gemäß dem Vertrag seine Forderungen gegenüber dem Tierhalter an die VTX abgetreten hat. Die VTX kann als Zessionarin die Forderung gegenüber dem Tierhalter eigenständig durchsetzen und die ihr vorliegenden Daten selbstständig und weisungsfrei verarbeiten. Weisungsbefugnisse des Klägers bestehen gegenüber der VTX nach erfolgter Abtretung auf Grundlage des Vertrages nicht (so auch Schulz, in: Gola, DS-GVO, 2. Aufl. (2018), Art. 6, Rn. 136; Ziegenhorn/Fokken, ZD 2019, 194).

Sofern die tatbestandlichen Voraussetzungen des Art. 28 DSGVO nicht erfüllt sind, ist es unerheblich, ob die VTX nach dem mit dem Kläger abgeschlossenen Abrechnungsvertrag im Zeitpunkt der Datenübermittlung als Auftragsverarbeiterin betrachtet werden soll.

2. Die Übermittlung von Daten des Tierhalters durch den Kläger an die VTX war gemäß Art. 6 Abs. 1 Satz 1 lit. b DS-GVO (a)) bzw. gemäß Art. 6 Abs. 1 Satz 1 lit. f DS-GVO (b)) rechtmäßig.

a) Die Datenübertragung, die hier im Rahmen einer Abtretung an die TVG als Inkassounternehmen erfolgte, ist gemäß Art. 6 Abs. 1 Satz 1 lit. b DS-GVO zulässig.

Auf dieser Rechtsgrundlage kann eine Datenübertragung unabhängig vom Verhalten des Betroffenen – insbesondere ohne eine Einwilligung i.S.d. Art. 6 Abs. 1 Satz 1 lit. a, Art. 7 DS-GVO – zulässig sein. Schließlich sind die in Art. 6 Abs. 1 DS-GVO enthaltenen Zulässigkeitstatbestände ihrer rechtlichen Funktion nach gleichwertig und gelten nebeneinander, ohne dass von einem Stufenverhältnis ausgegangen werden müsste. Aus der Aufzählung der verschiedenen Zulässigkeitstatbestände kann nicht geschlossen werden, dass es sich bei der Einwilligung nach Art. 6 Abs. 1 Satz 1 lit. a DS-GVO um einen vorrangigen Erlaubnistatbestand handelt und etwa die allgemeine Interessenabwägung nach Art. 6 Abs. 1 Satz 1 lit. f DS-GVO als ultima ratio zu verstehen ist. Die gesetzlichen Erlaubnistatbestände berücksichtigen insofern nicht nur das Datenschutzinteresse der betroffenen Personen, sondern auch die anerkennenswerten Interessen des Verantwortlichen an einer ausnahmsweise zulässigen Datenverarbeitung (vgl. Schulz, in: Gola, DS-GVO, 2. Aufl. (2018), Art. 6, Rn. 10). Art. 6 Abs. 1 Satz 1 lit. b DS-GVO gestattet dem Verantwortlichen eine Datenverarbeitung in den Grenzen des jeweils abgeschlossenen Vertrags; ein weitergehender Schutz über eine Interessenabwägung ist nicht erforderlich, da sich die betroffene Person als Vertragspartei zum Abschluss des Vertrags und den damit verbundenen Rechten und Pflichten entschieden hat (vgl. Schulz, in: Gola, DS-GVO, 2. Aufl. (2018), Art. 6, Rn. 29; Albers/Veit, in: Wolff/Brink, BeckOK Datenschutzrecht, 30. Ed. Stand 1. November 2019, Art. 6, Rn. 29).

Gemäß Art. 6 Abs. 1 Satz 1 lit. b DS-GVO ist eine – grundsätzlich unzulässige – Datenverarbeitung unter anderem dann rechtmäßig (Verbot mit Erlaubnisvorbehalt), wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich ist. Grundsätzlich können sämtliche Verträge, die eine Datenverarbeitung betreffen, von diesem Erlaubnistatbestand umfasst sein (vgl. Schulz, in: Gola, DS-GVO, 2. Aufl. (2018), Art. 6, Rn. 28).

Der Vertrag, um dessen Erfüllung es geht, muss mit der Person, deren Daten verarbeitet werden, geschlossen worden sein. Nicht erforderlich ist es, dass der Vertragspartner des Betroffenen und der die Daten verarbeitende Verantwortliche personenidentisch sind. Daher sind auf Grundlage von Art. 6 Abs. 1 Satz 1 lit. b DS-GVO auch Datenverarbeitungen durch unbeteiligte Dritte legitimiert, die für die Erfüllung eines Vertrags, deren Partei der Betroffene ist, erforderlich sind (vgl. Albers/Veit, in: Wolff/Brink, BeckOK Datenschutzrecht, 30. Ed. Stand 1. November 2019, Art. 6, Rn. 30). Vorliegend haben der Kläger und der von der Datenverarbeitung betroffene Tierhalter einen Behandlungsvertrag für die Pferde des Tierhalters abgeschlossen.

Eine Datenverarbeitung gemäß Art. 6 Abs. 1 Satz 1 lit. b DSGVO ist jedoch nur dann zulässig, wenn sie zu Vertragszwecken erforderlich ist. Dies ist in der Regel der Fall, wenn die essentialia negotii des jeweiligen Vertrags betroffen sind. Dabei werden an die Erforderlichkeit der Datenverarbeitung jedoch keine zu strengen Anforderungen gestellt: Eine Datenverarbeitung ist nicht erst dann zur Erfüllung des Vertrags erforderlich, wenn der Vertrag ohne die Datenverarbeitung gar nicht durchgeführt werden könnte; vielmehr reicht es aus, wenn die Datenverarbeitung objektiv sinnvoll im Hinblick auf den Vertragszweck ist (vgl. Schulz, in: Gola, DS-GVO, 2. Aufl. (2018), Art. 6, Rn. 38; Albers/Veit, in: Wolff/Brink, BeckOK Datenschutzrecht, 30. Ed. Stand 1. November 2019, Art. 6, Rn. 32).

Zu den Hauptleistungspflichten des hier abgeschlossenen Behandlungsvertrags zählten die Pflicht des Klägers zur tierärztlichen Behandlung sowie die Pflicht des Tierhalters das Honorar des Tierarztes zu bezahlen. Dieser Pflicht ist der Tierhalter nicht nachgekommen, er hat den Rechnungsbetrag in Höhe von 1.001,03 € nicht innerhalb der Zahlungsfrist entrichtet. Die Durchsetzung dieser Forderung dient dem Zweck des Behandlungsvertrags. Dabei begegnet es keinen rechtlichen Bedenken, wenn der Forderungsinhaber – hier: der Kläger als Tierarzt – die Forderungen zum Zwecke der Effektivierung des Forderungsmanagements an einen Dritten – hier: die VTX – als Inkassounternehmen abtritt. Die Abtretung als solche bedarf nach den Regelungen des Bürgerlichen Gesetzbuchs – BGB – für ihre Wirksamkeit grundsätzlich keiner Einwilligung des Schuldners, sofern dadurch nicht gegen ein gesetzliches Verbot gemäß § 134 BGB verstoßen wird. Auf die Wirksamkeit der Abtretung kommt es für die Frage, ob eine unzulässige Datenübermittlung stattgefunden hat, jedoch nicht an.

Die für die Forderungsdurchsetzung durch das Inkassounternehmen erforderlichen Daten durften hier übermittelt werden. Schließlich ist die Datenübermittlung notwendiges Mittel zum Zweck: Es geht darum, die fällige Forderung beim Schuldner eintreiben zu können. Ohne die notwendigen Informationen wäre die übertragene Forderung für den Zessionar nutzlos (vgl. Lehmann/ Wancke, WM 2019, 613 [615; 618]; Schulz, in: Gola, DS-GVO, 2. Aufl. (2018), Art. 6, Rn. 136; Abel/Djagani, ZD 2017, 114 [117]). Dabei dürfen jedoch nur diejenigen Daten dem Inkassodienstleister übermittelt werden, die zur Forderungsbeitreibung benötigt werden. Dass der Kläger mehr Daten übertragen hat, als für die Erfüllung des Vertrags erforderlich gewesen wären, wurde dem Kläger nicht vorgeworfen und von dem Beklagten nicht behauptet.

Da sich der Vertragszweck durch die Forderungsabtretung nicht geändert hat, ist Art. 6 Abs. 4 DS-GVO nicht einschlägig (vgl. Schulz, in: Gola, DS-GVO, 2. Aufl. (2018), Art. 6, Rn. 136; Abel/Djagani, ZD 2017, 114 [117]). Schließlich soll auch nach der Abtretung die vertragliche Hauptleistungspflicht des Tierhalters durchgesetzt und nicht etwa neue Ziele, wie zum Beispiel Werbezwecke, verfolgt werden.

b) Jedenfalls ist die Datenübermittlung hier (auch) gemäß Art. 6 Abs. 1 Satz 1 lit. f DS-GVO rechtmäßig. Danach ist die Verarbeitung von Daten zulässig, wenn dies zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Auf dieser Grundlage müssen die berechtigten Interessen des Verantwortlichen mit den Interessen der betroffenen Person miteinander abgewogen werden.

Die Interessenabwägung fällt hier zugunsten des Klägers aus. Die Übermittlung der Daten an die VTX war hier zur Wahrung seiner berechtigten Interessen erforderlich. Der Kläger hat als Tierarzt ein berechtigtes – rechtliches und wirtschaftliches – Interesse daran, dass seine tierärztlichen Leistungen von den jeweiligen Tierhaltern vergütet werden. Sofern ein Tierhalter seiner vertraglichen Leistungspflicht nicht nachkommt, hat der Tierarzt darüber hinaus ein berechtigtes Interesse daran, seine vertragliche Forderung auch unter Zuhilfenahme Dritter durchzusetzen. Dies stellt eine übliche Reaktion des Verantwortlichen auf ein vertragswidriges Verhalten eines Dritten dar (vgl. Wolff, in: Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 668).

Überwiegende Interessen des von der Datenübermittlung betroffenen Tierhalters stehen diesem Interesse des Tierarztes nicht entgegen: Schließlich hat der Tierhalter durch die Verletzung seiner vertraglichen Zahlungspflicht selbst dazu beigetragen, dass die Datenübermittlung zur Forderungseinziehung erforderlich wurde (vgl. Conrad/Dovas, in: Forgó/Helfrich/ Schneider, Betrieblicher Datenschutz, Teil IX, Kapitel 2, Rn. 105; Schulz, in: Gola, DS-GVO, 2. Aufl. (2018), Art. 6, Rn. 136).

3. Ob die Datenübermittlung hier gemäß Art. 9 DS-GVO rechtmäßig ist, kann offenbleiben. Die Kammer geht davon aus, dass es sich bei den hier vom Kläger übermittelten Daten nicht um Gesundheitsdaten i.S.d. § 4 Nr. 15 DS-GVO handelt. Danach sind „Gesundheitsdaten“ solche personenbezogenen Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

Vorliegend geht es um „Gesundheitsdaten“ der vom Kläger tierärztlich behandelten Tiere. Aus der Honorarrechnung, die der Kläger der VTX zur Forderungseinziehung übermittelt hat, ergeben sich auch Rückschlüsse auf die Gesundheit der Tiere. Dabei handelt es sich jedoch nicht um Daten, die die Gesundheit einer natürlichen Person betreffen, sodass sie auch nicht besonders durch die Regelung in Art. 9 DS-GVO geschützt werden. Dass es sich im hier vorliegenden Fall um Erkrankungen der Tiere gehandelt hat, die auf den Menschen und damit den betroffenen Tierhalter übergehen und seine Gesundheit berühren können, oder Krankheiten betroffen waren, die vom Menschen auf Tiere übertragen werden (sog. „Zoonosen“), haben die Beteiligten nicht vorgetragen. Allein aufgrund der abstrakten Möglichkeit, dass aus Informationen über Tierbehandlungsverträge – wie Abrechnungsunterlagen – in besonderen Fällen Rückschlüsse auf die Gesundheit des Tierhalters gezogen werden können, werden diese noch nicht zu Gesundheitsdaten (vgl. LG Dortmund, Urteil vom 9. Februar 2006 – 4 S 176/05 –, juris, Rn. 16 ff.; a.A. LG Bochum, Urteil vom 25. November 1992 – 10 S 42/92 – beck-online).

Sofern andererseits Informationen über den Schuldner – Tierhalter – übermittelt wurden, weil diese für die Forderungsdurchsetzung relevant sind (bspw. Name und Adresse), handelt es sich nicht um besonders sensible Daten nach Art. 9 DS-GVO.

Im Übrigen wird die Berufung gemäß § 124a Abs. 1 Satz 1 VwGO i.V.m. § 124 Abs. 2 Nr. 3 VwGO zugelassen, weil die Rechtssache nach Auffassung der Kammer grundsätzliche Bedeutung hat. Es gilt insofern die nachfolgend abgedruckte Rechtsmittelbelehrung.