Urteil : Anspruch auf Einschreiten einer Datenschutzaufsichtsbehörde : aus der RDV 6/2024, Seite 367 bis 370
(VG Ansbach, Urteil vom 12. Juni 2024 – AN 14 K 20.00941 –)
- Stellt die Datenschutzaufsichtsbehörde am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen der DS-GVO fest, ist ihr Entschließungsermessen zum Ergreifen von Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO auf null reduziert, wenn der Verstoß so schwerwiegend in die Rechte der betroffenen Person eingreift, dass das Ergreifen aufsichtlicher Maßnahmen die einzig rechtmäßige Handlungsmöglichkeit der Aufsichtsbehörde darstellt, oder wenn nur das Ergreifen (weiterer) aufsichtlicher Maßnahmen zur Schaffung rechtmäßiger Zustände führt.
- Die Wahl der geeigneten und erforderlichen Abhilfebefugnisse unterliegt hingegen der Beurteilung der Datenschutzaufsichtsbehörde, sofern nicht auch insofern eine Ermessensreduktion auf null anzunehmen ist.
(Amtliche Leitsätze)
Aus den Gründen:
II. Die Klägerin hat im maßgeblichen Entscheidungszeitpunkt einen Anspruch auf aufsichtliches Einschreiten der Datenschutzaufsichtsbehörde gegen den Beigeladenen. Die konkret zu ergreifende Abhilfemaßnahme nach Art. 58 Abs. 2 DS-GVO steht dabei im Ermessen des Landesamts.
Voraussetzung für die Begründetheit einer allgemeinen Leistungsklage auf aufsichtliches Einschreiten der Datenschutzaufsichtsbehörde ist nach der Rechtsprechung der Kammer, dass der geltend gemachte Verstoß gegen datenschutzrechtliche Vorschriften feststeht oder sich zumindest aufdrängt und das Ermessen hinsichtlich des aufsichtlichen Einschreitens (Entschließungsermessen) auf null reduziert ist. Dies kann etwa dann der Fall sein, wenn der Verstoß so schwerwiegend in die Rechte der betroffenen Person eingreift, dass das Ergreifen aufsichtlicher Maßnahmen die einzig rechtmäßige Handlungsmöglichkeit der Aufsichtsbehörde darstellt, oder wenn nur das Ergreifen (weiterer) aufsichtlicher Maßnahmen zur Schaffung rechtmäßiger Zustände führt (so zur Frage einer Bußgeldverhängung VG Ansbach, Urt. v. 16.03.2020 – AN 14 K 19.00464 – juris Rn. 21). Der Anspruch gegen den Beklagten auf weiteres aufsichtliches Tätigwerden setzt dabei die Verletzung eigener Rechte voraus (vgl. VG Ansbach, Urt. v. 08.08.2019 – AN 14 K 19.00272 – juris Rn. 43).
Für die zur Bewertung eines Verstoßes maßgeblichen Kriterien kann insbesondere ErwG 148 der DS-GVO herangezogen werden. Bei den Erwägungsgründen der DS-GVO handelt es sich nicht um eigenständige Rechtsnormen mit Regelungscharakter, sondern es wird in den Erwägungsgründen die Zielsetzung beschrieben, die mit dem Erlass der DS-GVO durch den Verordnungsgeber verfolgt wurde. Daher sind die Erwägungsgründe der DS-GVO maßgeblich für die Auslegung der unionsrechtlichen Vorschriften, denn den ErwG können der DS-GVO zugrunde liegende allgemeine Rechtsgedanken entnommen werden. Laut ErwG 148, insbesondere Satz 3, soll die Behörde bei der Wahl der geeigneten Maßnahme Folgendem gebührend Rechnung tragen: der Art, Schwere und Dauer des Verstoßes, dem vorsätzlichen Charakter des Verstoßes, den Maßnahmen zur Minderung des entstandenen Schadens, dem Grad der Verantwortlichkeit oder jeglichem früheren Verstoß, der Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, der Einhaltung der gegen den Verantwortlichen angeordneten Maßnahmen, der Einhaltung von Verhaltensregeln und jedem anderen erschwerenden oder mildernden Umstand. Auch wenn dieser Erwägungsgrund in seinem vorhergehenden Satz 2 konkret das Verhältnis von einer Verwarnung zur Bußgeldverhängung beschreibt, also unmittelbar nur die Ausübung des Auswahlermessens in bestimmten Konstellationen betrifft, kommt doch in den anschließend in Satz 3 aufgelisteten Kriterien ein allgemeiner Rechtsgedanke zum Ausdruck, der bereits im Rahmen des Entschließungsermessens und bei jeder Ausübung des Auswahlermessens heranzuziehen ist.
Der Beklagte ist im Entscheidungszeitpunkt seiner Pflicht zum Ergreifen von Abhilfemaßnahmen ermessensfehlerhaft nicht nachgekommen. Das Entschließungsermessen des Landesamts zum Ergreifen von Abhilfemaßnahmen ist angesichts der konkreten Umstände des Verstoßes des Beigeladenen gegen das subjektive Auskunftsrecht der Klägerin aus Art. 15 Abs. 1 DS-GVO auf null reduziert.
1. Art. 15 Abs. 1 DS-GVO verleiht einer betroffenen Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten, insbesondere über die Verarbeitungszwecke (lit. a)); die Kategorien personenbezogener Daten, die verarbeitet werden (lit. b)); sowie die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (lit. c)). Aus dem unzweideutigen Wortlaut der Vorschrift folgt, dass die Auskunft unmittelbar gegenüber der betroffenen Person zu erteilen ist, nicht lediglich gegenüber der Datenschutzaufsichtsbehörde.
Es ist vorliegend unstreitig, dass der Beigeladene im Rahmen der Anmeldung und Teilnahme der Klägerin bei dem von ihm veranstalteten Seminar als Verantwortlicher (Art. 4 Nr. 7 DS-GVO) personenbezogene Daten der Klägerin verarbeitet hat. Ihr standen damit – jedenfalls während die Datenverarbeitung fortdauerte (vgl. zum Streitstand zur im Einzelnen umstrittenen sachlichen und zeitlichen Reichweite der Auskunftspflicht nach Art. 15 Abs. 1 lit. c) DS-GVO Schmidt-Wudy, in: BeckOK DatenschutzR, 48. Ed. Stand: 01.05.2024, DS-GVO Art. 15 Rn. 52; Bäcker, in: Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, DS-GVO Art. 15 Rn. 18 ff.) – die in Art. 15 Abs. 1 Halbs. 2 DS-GVO aufgezählten, über die bloße Bestätigung einer Datenverarbeitung hinausgehenden Auskunftsrechte vollumfänglich zu.
2. Der Beigeladene reagierte zunächst nicht auf die direkte Aufforderung durch die Klägerin mit E-Mail vom 22. Januar 2020, ihr eine Datenauskunft zu erteilen. Auf die Aufforderung des Landesamts vom 6. März 2020, der Klägerin die ihr zustehende Auskunft zu erteilen, reagierte der Beigeladene zunächst nur gegenüber dem Landesamt und teilte mit, die Adressdaten der Klägerin gelöscht zu haben und lediglich ihre E-Mail-Adresse zu speichern. Sodann forderte das Landesamt am 24. März 2020 den Beigeladenen parallel zur Abschlussmitteilung erneut zur Auskunft gegenüber der Klägerin auf. Nur nachdem die Klägerin sich am 4. April 2020 erneut unmittelbar an den Beigeladenen gewandt hatte, gab er in zwei E-Mails vom 5. April 2024 an, nur noch ihre E-Mail-Adresse zu speichern und diese nun zu löschen. Es ist nicht ersichtlich, dass der Beigeladene zuvor eine Auskunft nach Art. 15 Abs. 1 DS-GVO erteilte.
Der Beigeladene kam nach den dem Gericht vorliegenden Erkenntnissen demnach zwischen dem 22. Januar 2020 und dem 5. April 2020 trotz der zweimaligen ausdrücklichen Aufforderung durch das Landesamt seiner Rechtspflicht aus Art. 15 Abs. 1 DS-GVO gegenüber der Klägerin nicht nach. Erst am 5. April 2024 erteilte er der Klägerin eine Negativauskunft. Zwar kann einem Auskunftsersuchen auch durch Negativauskunft nachgekommen werden; auch dann, wenn keine Datenverarbeitung stattfindet, hat die (potenziell) betroffene Person einen Anspruch darauf, dass dies ihr gegenüber bestätigt wird (vgl. Schmidt-Wudy, in: BeckOK DatenschutzR, 48. Ed. Stand: 01.05.2024, DS-GVO Art. 15 Rn. 50 m.w.N.). Die Negativauskunft, die am 5. April 2024 gegenüber der Klägerin erfolgte, war allerdings erkennbar unzureichend. Zu diesem Zeitpunkt verarbeitete der Beigeladene laut eigener Aussage jedenfalls noch die E-Mail-Adresse der Klägerin. Jedenfalls diesbezüglich traf ihn also nach Art. 15 Abs. 1 lit. c) DS-GVO die Pflicht, der Klägerin mitzuteilen, gegenüber welchen Empfängern oder Kategorien von Empfängern die E-Mail-Adresse offengelegt worden war oder noch offengelegt wurde. Der Beigeladene teilte aber lediglich mit, die E-Mail-Adresse gelöscht zu haben und keine Daten mehr zu verarbeiten; eine auf die Vergangenheit bezogene (ggf. Negativ-) Auskunft blieb er schuldig.
In der zunächst unterlassenen und sodann unzureichenden Auskunft des Beigeladenen gegenüber der Klägerin lag also jeweils ein Verstoß gegen die datenschutzrechtliche Vorschrift des Art. 15 Abs. 1 DS-GVO vor.
3. Stellt die Datenschutzaufsichtsbehörde – hier das Landesamt – am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen der DS-GVO fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen. Zu diesem Zweck stehen insbesondere die in Art. 58 Abs. 2 DS-GVO aufgezählten Abhilfebefugnisse zur Verfügung (vgl. EuGH, Urt. v. 07.12.2023 – C-26/22, C-64/22 – juris Rn. 57).
Der vorliegende Verstoß gegen das im System der DS-GVO zentrale subjektive Recht der Klägerin aus Art. 15 Abs. 1 DS-GVO führt gemäß den oben erläuterten Bewertungsgrundsätzen unter Beachtung des erschwerenden Umstands der Renitenz des Beigeladenen dazu, dass auch im Zeitpunkt der gerichtlichen Entscheidung das Entschließungsermessen des Landesamts zum Ergreifen von Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO auf null reduziert ist. Nur eine solche Maßnahme stellt im vorliegenden Einzelfall i.S.d. zitierten Rechtsprechung des Europäischen Gerichtshofs eine „geeignete Reaktion“ dar.
Zunächst ist festzustellen, dass das Landesamt den Beigeladenen zwar zweimal (am 6. und 24. März 2020) mit „Auf sicht nach Art. 58 DS-GVO“ überschriebenen Schreiben zur Auskunftserteilung aufforderte. Hierin ist aber jeweils keine formale Abhilfemaßnahme zu sehen, insbesondere keine Anweisung i.S.d. Art. 58 Abs. 2 lit. c) DS-GVO. Den Aufforderungen fehlt es ihrem Wortlaut nach an der Verbindlichkeit einer solchen Anweisung, außerdem wird nicht der Begriff der „Anweisung“ verwendet. Das zweite Schreiben vom 24. März 2020 ist als bloße Bitte formuliert. Zudem fehlt es an der bei einer Abhilfemaßnahme zu erwartenden Bescheidform inklusive Rechtsbehelfsbelehrung. Das Landesamt hat folglich im Entscheidungszeitpunkt noch keine Abhilfebefugnisse i.S.d. Art. 58 Abs. 2 DS-GVO ausgeübt.
Das Gericht stellt außerdem fest, dass das Landesamt vorliegend das Beschwerdeverfahren durch Erlass der Abschlussmitteilung beendet hat, ohne vorher sicherzustellen, dass dem begründeten Begehren der Klägerin abgeholfen wurde bzw. würde. Vielmehr hat es dem Beigeladenen durch die Ankündigung, aktuell keine weiteren Maßnahmen zu ergreifen und die Angelegenheit als erledigt zu betrachten, implizit zu erkennen gegeben, dass der Beigeladene unabhängig von seinem weiteren Vorgehen keine aufsichtlichen Maßnahmen zu befürchten habe. Der Beklagte hat seine Untersuchung verfrüht abgeschlossen. Das Landesamt ist damit im Zeitpunkt der Abschlussmitteilung ermessensfehlerhaft nicht seiner Pflicht nachgekommen, die Datenschutzbeschwerde der Klägerin mit aller gebotenen Sorgfalt zu bearbeiten und dem Verstoß abzuhelfen (vgl. EuGH, Urt. v. 07.12.2023 – C-26/22, C-64/22 – juris Rn. 56 f.).
Dass das Entschließungsermessen auch im Zeitpunkt der gerichtlichen Entscheidung auf null reduziert ist, ergibt sich einerseits daraus, dass der Beigeladene einer im System der DS-GVO zentralen Pflicht nicht nachgekommen ist. Art. 15 DS-GVO sichert, wie in ErwG 63 der DS-GVO deutlich wird, die Transparenz der Datenverarbeitung und die Kontrolle der Rechtmäßigkeit der Datenverarbeitung ab und ist damit ganz wesentlicher Bestandteil der in der DS-GVO normierten Betroffenenrechte (vgl. Schmidt-Wudy, in: BeckOK DatenschutzR, 48. Ed. Stand 01.05.2024, DS-GVO Art. 15 Rn. 2). Auch war die Klägerin von einer Auskunft des Beigeladenen abhängig, um ihre Rechte – zumindest potenziell, je nach Inhalt der Auskunft – zu realisieren.
Für die zwingende Notwendigkeit des Ergreifens einer formalen Maßnahme spricht außerdem die Renitenz des Beigeladenen bei der Auskunftserteilung. Die ausstehende Auskunft wurde auch nach Aufforderung durch das Landesamt zunächst nicht gegenüber der Klägerin erteilt. Als die Auskunft teilweise erteilt wurde, wurde entgegen der Aufforderung des Landesamts und entgegen der Pflicht des Beigeladenen (s.o.) in keiner Weise dargelegt, ob und gegenüber welchen Empfängern die zu diesem Zeitpunkt unzweifelhaft noch vorhandene E-Mail-Adresse der Klägerin in der Vergangenheit offengelegt wurde. Ohne die Beauskunftung der Empfänger ihrer Daten konnte die Klägerin keine informierte Entscheidung darüber treffen, ob sie ggf. auch diesen gegenüber ihre Betroffenenrechte, insbesondere das Auskunftsrecht und das Berichtigungsrecht, geltend machen wollte. Dies ist aber gerade wesentlicher Sinn und Zweck des Auskunftsrechts. Erschwerend tritt hinzu, dass die Klägerin die Möglichkeit bis heute nicht hat und angesichts der Löschung der betroffenen Daten durch den Beigeladenen auch nicht mehr erhalten wird. Das Beschwerdeverfahren wurde als Mechanismus konzipiert, der geeignet ist, die Rechte und Interessen der betroffenen Personen wirksam zu wahren (vgl. EuGH, Urt. v. 07.12.2023 – C-26/22, C-64/22 – juris Rn. 58). Dies erfordert, dass in Fällen wie dem vorliegenden formale Maßnahmen ergriffen werden, nicht nur, um im Einzelfall die Wahrung von Rechten zu erreichen, sondern auch, um künftige Rechtsverstöße durch den Verantwortlichen zu verhindern.
4. Das Auswahlermessen hinsichtlich einer konkreten Abhilfebefugnis ist dagegen vorliegend nicht auf null reduziert.
Bei der Ausübung des Auswahlermessens ist ebenfalls eine Orientierung an den in ErwG 148 der DS-GVO festgehaltenen Wertungsgesichtspunkten (s.o.) geboten. Denkbar erscheinen vor diesem Hintergrund etwa die Verwarnung des Beigeladenen (Art. 58 Abs. 2 lit. b) DS-GVO) oder die Verhängung einer Geldbuße (Art. 58 Abs. 2 Buchst. i) DS-GVO). Es bleibt aber vorliegend dabei, dass das Gericht seine Beurteilung der Wahl der geeigneten und erforderlichen Abhilfebefugnisse nicht an die Stelle der Beurteilung des Landesamts setzen kann (vgl. EuGH, Urt. v. 07.12.2023 – C-26/22, C-64/22 – juris Rn. 69), da eine Ermessensreduktion auf null insoweit nicht ersichtlich ist. Insbesondere zwischen den beiden genannten Abhilfemaßnahmen hat der Beklagte eine ermessensfehlerfreie Wahl zu treffen, da beide für die Erreichung des hinter dem Beschwerdeverfahren stehenden Zwecks auch jetzt noch geeignet sind.
5. Letztlich ist dem auf das Ergreifen von Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO gerichteten Klagebegehren vollumfänglich stattzugeben.