Monthly Archives: August 2023

Geplante Gesetzesänderung: BfDI als alleinige Datenschutzaufsichtsbehörde für alle Kranken- und Pflegekassen (und mehr)

Posted on by

Etwas unter dem Rader des „Team Datenschutz“ (zumindest habe ich dazu bisher wenig gelesen), schlägt das Bundesgesundheitsministerium (BMG) eine Zentralisierung der Datenschutzaufsicht u.a. im Bereich der Kranken- und Pflegekassen vor.

In dem Referentenentwurf (PDF) eines Gesetzes zur verbesserten Nutzung von Gesundheitsdaten (Gesundheitsdatennutzungsgesetz – GDNG) schlägt das BMG eine Anpassung des § 9 BDSG vor.

Es wird ein neuer Absatz 3 angefügt:

(3) „Der oder dem Bundesbeauftragten obliegt die ausschließliche Zuständigkeit für die Aufsicht über Stellen, die gesundheitsbezogene Sozialdaten im Sinne des § 67 Zehntes Buch Sozialgesetzbuch verarbeiten, sowie über

1. die Kranken- und Pflegekassen,

2. den Spitzenverband Bund der Krankenkassen,

3. die Kassenärztlichen Vereinigungen sowie…

Laut der Begründung (S. 42) werde eine einheitliche Datenschutzpraxis oft durch unterschiedliche Auslegung verschiedener Aufsichtsbehörden verhindert. Daher werde dem BfDI mit § 9 Absatz 3 BDSG eine breitere Zuständigkeit eingeräumt.

Ganz ausdrücklich wird hier noch einmal klargestellt:


„So wird er alleine die Aufsicht über Stellen übernehmen, soweit sie Sozialdaten im Sinne des § 67 Zehntes Buch Sozialgesetzbuch verarbeiten, die unter die Definition der Gesundheitsdaten gemäß Artikel 4 Nummer 15 der Verordnung (EU) 2016/679 fallen. Darüber hinaus wird er die Aufsicht über Kranken- und Pflegekassen, den Spitzenverband Bund der Krankenkassen, die Kassenärztlichen Vereinigungen sowie den Kassenärztlichen Bundesvereinigung, das Zentralinstitut für die kassenärztliche Versorgung und die Kassenzahnärztlichen Vereinigungen sowie die Kassenzahnärztliche Bundesvereinigung erhalten.“

Die vorgeschlagene Änderung wäre schon ein ziemlicher Paradigmenwechsel in der aufsichtsbehördlichen Zuständigkeit im Bereich Datenschutz. Bisher ist der BfDI für sog. bundesunmittelbare Krankenkassen zuständig. Das sind größere Kassen, die in mehreren Bundesländern aktiv sind.

Neu wäre jetzt, dass der BfDI für jegliche Krankenkasse zuständig ist. Also auch für allein in einem Bundesland tätige Kassen oder auch die Betriebskrankenkassen von Unternehmen. Bedeutet in der Konsequenz natürlich auch eine Zersplitterung der Aufsicht innerhalb eines Konzerns bzw. einer Unternehmensgruppe.

Eine Übersicht aller gesetzlichen Krankenkassen findet man beim GKV. Für all diese Kassen wäre also der BfDI allein zuständig. Ganz besonders brisant ist meines Erachtens nicht nur diese geplante Änderung, sondern auch der Vorschlag zur alleinigen Zuständigkeit für „Stellen, die gesundheitsbezogene Sozialdaten im Sinne des § 67 Zehntes Buch Sozialgesetzbuch verarbeiten“. Die Landesdatenschutzbehörden weisen in ihrer Stellungnahme (PDF) darauf hin, dass hier etwa Jobcenter, Rentenversicherungen, Unfallversicherungen oder auch Jugendämter in Betracht kommen.

Update vom 1.9.23:

In der Kabinettsvorlage des Gesetzesentwurfs (PDF) zum GDNG ist der Vorschlag für einen neuen § 9 Abs. 3 BDSG nicht mehr enthalten.

Geplante Änderung des BDSG – Neue Zuständigkeitsregelung für gemeinsam Verantwortliche

Posted on by

Derzeit befindet sich der Referentenentwurf zur Änderung des BDSG in der Verbändeanhörung. Der Referentenentwurf wurde über eine Anfrage bei FragDenStaat öffentlich gemacht.

Nachfolgend möchte ich einige Anmerkungen zu einem neuen § 40a (Artikel 1 Nr. 13 des Entwurfs) machen. 

Der Vorschlag für § 40a BDSG, der sich mit der Zuständigkeit im Fall der gemeinsamen Verantwortlichkeit befasst, ist wie folgt:

§ 40a Aufsichtsbehörde gemeinsam verantwortlicher Unternehmen

Sind Unternehmen gemeinsam Verantwortliche gemäß Artikel 26 der Verordnung (EU) 2016/679 und mehrere Aufsichtsbehörden für sie zuständig, können die Unternehmen gemeinsam anzeigen, dass sie gemeinsam verantwortliche Unternehmen sind und deshalb für die von ihnen gemeinsam verantwortete Datenverarbeitung allein die Aufsichtsbehörde zuständig sein soll, in deren Zuständigkeitsbereich das Unternehmen fällt, das in dem der Antragstellung vorangegangenen Geschäftsjahr den größten Jahresumsatz erzielt hat. Die gemeinsame Anzeige ist an alle Aufsichtsbehörden zu richten, die für die gemeinsam verantwortlichen Unternehmen zuständig sind, und muss die das umsatzstärkste Unternehmen nachweisenden Unterlagen enthalten. Ab dem Zeitpunkt, zu dem die Anzeige im Sinne der Sätze 1 und 2 bei der für das umsatzstärkste Unternehmen zuständigen Behörde eingegangen ist, wird diese die allein zuständige Aufsichtsbehörde. § 3 Absatz 3 und 4 des Verwaltungsverfahrensgesetzes findet entsprechende Anwendung.

In der Begründung (S. 17) wird betont, dass die gemeinsame Verantwortlichkeit ein Rechtsinstitut mit großen praktischen Auswirkungen ist. Zudem sei (nach der Rechtsprechung des Europäischen Gerichtshofs) der Anwendungsbereich der gemeinsamen Verantwortlichkeit sehr weit gefasst. 

„Als Anwendungsfälle gemeinsamer Verantwortlichkeit kommen zum Beispiel in Betracht: Datenplattformen, Unternehmenspräsenz in sozialen Medien (wie Facebook, Twitter, Instagram, XING), Stammdatenverwaltung im Unternehmensverbund, konzernweites Customer-Relationship-Management oder Nutzung eigener Datenbestände für Werbezwecke Dritter.“

Zweck des vorgeschlagenen § 40a BDSG ist laut der Begründung (S. 11), Unternehmen, die Möglichkeit zu geben, ihre gemeinsame Verantwortlichkeit anzuzeigen und „als Rechtsfolge der Anzeige per Gesetz die alleinige Zuständigkeit nur einer einzigen Aufsichtsbehörde herbeizuführen“. 

Die Rechtsänderung soll für die betroffenen Unternehmen auch eine entlastende Wirkung haben, da mögliche behördliche Vorgaben im Zusammenhang mit der Befolgung von Vorschriften der DSGVO nur noch zentral durch eine Stelle erfolgen. 

Anmerkungen

1.

Ganz interessant finde ich, dass der Entwurf mehrere Beispiele benennt, wann aus Sicht des Ministeriums eine gemeinsame Verantwortlichkeit vorliegen kann. Die Annahme, dass Art. 26 DSGVO große Praxisrelevanz hat, ist meiner Erachtens zutreffend. 

Kritisch bzw. mit dem BDSG inkonsistent sehe ich die Verwendung des Begriffs „Unternehmen“. Dieser wird im BDSG ansonsten nicht in dieser Weise genutzt, sondern vielmehr „nichtöffentliche Stellen“ (vgl. § 1 Abs. 4 BDSG). Hier stellt sich die Frage, ob mit „Unternehmen“ etwas anderes gemeint ist, als eine „nichtöffentliche Stelle“? In der Begründung wird auf Art. 4 Nr. 18 DSGVO verwiesen. Soll hier also auf den Begriff „Unternehmen“ nach der DSGVO abgestellt werden? Gibt es einen Unterschied zur „nichtöffentlichen Stelle“ iSd BDSG?

2.

Mir stellt sich auch die Frage, was mit „zuständig“ gemeint ist. Denn nach der DSGVO gibt es ja eine, wenn man so will, einfache Zuständigkeit und bei grenzüberschreitenden Verarbeitungen auch eine federführende Zuständigkeit. Welche ist hier mit „zuständig“ adressiert? Genügt es also für § 40a, wenn für gemeinsam Verantwortliche schlicht Aufsichtsbehörden zuständig sind, etwa allein aufgrund des Sitzes eines Unternehmens? Oder soll § 40a im Fall von eigentlich mehreren federführend zuständigen Aufsichtsbehörden eine Möglichkeit bieten, eine dieser Aufsichtsbehörden auszuwählen? Wenn dies nicht gemeint ist, könnte man ggfs. auch dazu kommen, dass eine „einfach“ zuständige Behörde auf einmal als Aufsichtsbehörde für die gemeinsame Verantwortlichkeit ausgewählt (bzw. „angezeigt“) wird. 

3.

Laut der Begründung soll die Anzeige tatsächlich eine Rechtsfolge auslösen, nämlich die Zuständigkeit festzulegen. Daher hielte ich es für sehr relevant, das Anzeigeverfahren klar und transparent zu regeln. In welcher Form kann die Anzeige zB erfolgen? Per Fax, E-Mail, elektronischem Behördenpostfach? Diesen Punkt halt ich besonders auch deshalb für wichtig, da nach § 40a ja Unterlagen mit gesendet werden soll. In der Praxis haben wir aber das Problem, dass Aufsichtsbehörden zum Teil E-Mail mit Anhängen nicht annehmen oder Anhänge zu groß sind. 

4.

Rechtsfolge der Anzeige ist laut Begründung „per Gesetz die alleinige Zuständigkeit nur einer einzigen Aufsichtsbehörde herbeizuführen“. Dies verstehe ich so, dass die Aufsichtsbehörde an diese Anzeige ebenfalls gebunden sein sollen. Zumindest wird keine Unterscheidung der Rechtsfolge für Verantwortliche und/oder Aufsichtsbehörden vorgenommen. 

Was geschieht aber, wenn eine beteiligte Aufsichtsbehörde nicht einverstanden ist bzw. die Angaben aus der Anzeige anzweifelt? Gibt es hier rechtliche Möglichkeiten der anderen Aufsichtsbehörden, gegen den Akt der Anzeige und/oder seine Rechtswirkung vorzugehen? 

Dasselbe Problem ergibt sich meines Erachtens auch für den Kreis der Verantwortlichen? Wenn ein Unternehmen mit anderen Partnern gemeinsamer Verantwortlicher ist, und dann ein Verantwortlicher voreilig die Anzeige versendet, bindet dies alle gemeinsam Verantwortlichen mit Eingang der Anzeige? Wenn ja, gibt es hiergegen eine Rechtsschutzmöglichkeit für andere Verantwortliche?

Zudem stellt sich mir die Frage, wie man die Rechtsfolge einer Anzeige zurücknehmen kann? Oder ist dies gar nicht vorgesehen. 

5.

Und noch zu dem entscheidenden Zuständigkeitskriterium des § 40a. Die Norm gibt vor, dass allein die Aufsichtsbehörde zuständig sein soll, in deren Zuständigkeitsbereich das Unternehmen fällt, das in dem der Antragstellung vorangegangenen Geschäftsjahr den größten Jahresumsatz erzielt hat. Das Anknüpfungskriterium des Umsatzes ist meines Erachtens für behördliche Zuständigkeitsfragen ungeeignet. Zum einen kann dies im Ergebnis bedeuten, dass eine Aufsichtsbehörde an dem Sitz eines Unternehmens allein (!) zuständig wird, an dem es keine Leitungspersonen gibt. Hierauf stellt die DSGVO aber gerade bei Fragen der Zuständigkeit, insbesondere bei der Hauptniederlassung, ab. Will man, was sich wohl auf der Begründung ableiten lässt, wegen möglicher Bußgelder die alleinige Zuständigkeit am Ort des höchsten Umsatzes begründen, bricht dies daher aus meiner Sicht mit der Systematik der DSGVO. 

6.

Zudem stellt sich mir die Frage, was es bedeutet, wenn eine Aufsichtsbehörde „allein … zuständig sein soll“? Gelten dann nicht mehr die Vorgaben der DSGVO (bzw. auch des BDSG) zur Zuständigkeit von allen betroffenen Behörden? Will § 40a BDSG also im Grunde das System der federführenden Behörde im Bereich der gemeinsamen Verantwortlichkeit nicht fortführen. Dafür könnte man vorbringen, dass nach Ansicht des EDSA die DSGVO für den Fall des Art. 26 DSGVO gerade keine Zuständigkeitsvorgaben enthält. 

Andererseits durchzieht die DSGVO ja gerade der Gedanke der Abstimmung zwischen zuständigen Aufsichtsbehörden, was gerade der einheitlichen Anwendung der DSGVO dienen soll. Mit dem Vorschlag in § 40a BDSG, wirklich eine komplett singuläre Zuständigkeit einzuführen, die auch nicht einmal mehr im Rahmen von Abstimmungen vor Entscheidungen unter den Aufsichtsbehörden „aufgemacht“ wird, schafft man im Grunde eine zuständige „Superbehörde“, auf deren Entscheidungen andere Aufsichtsbehörden nicht einmal mehr Einfluss nehmen könnten. 

Datenschutzbehörde Österreich: Unzulässige Datenabfragen durch Mitarbeiter können Meldepflichten (Art. 33 und 34 DSGVO) an die Datenschutzbehörde und Betroffene auslösen

Posted on by

Mit Bescheid vom 1.  Januar 2023 entschied die österreichische Datenschutzbehörde, dass ein Verantwortlicher, nachdem eine Art. 33-Meldung durchgeführt wurde, auch die betroffene Person nach Art. 34 DSGVO benachrichtigen muss.

Ein interessanter Aspekt in dem Verfahren war die Frage, ob ein Verantwortlicher (als Arbeitgeber) den Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO unterliegt, wenn intern ein Mitarbeiter unberechtigt auf personenbezogene Daten zugreift und diese verwendet. Im konkreten Fall brachte der Verantwortliche vor, dass er für diesen Zugriff gerade nicht datenschutzrechtlich verantwortlich sei, sondern die Mitarbeiterin und daher auch keine Meldepflicht bestünde. Die DSB sah dies anders.

Sachverhalt

Es ging in dem Verfahren um eine Veröffentlichung von Gesundheitsdaten der betroffenen Person im Rahmen eines Social-Media-Beitrags einer Mitarbeiterin der Verantwortlichen. Eine zur Verantwortlichen in einem Ausbildungsverhältnis stehende und bei einer Klinik tätige Mitarbeiterin (Praktikantin) hat im Rahmen ihrer Tätigkeit elektronisch vorhandene Daten einer Patientin (betroffene Person) der Verantwortlichen abgefragt und in weiterer Folge ein Lichtbild des elektronisch dokumentierten Krankheitsverlaufes derselben im Rahmen ihres Social-Media Profils auf einer Plattform veröffentlicht.

Die Verantwortliche macht nur vorsorglich eine Meldung nach Art. 33 DSGVO, da sie u.a. Zweifel an ihrer Verantwortlichkeit und damit der rechtlichen Verpflichtung zur Meldung an die DSB hatte.

Entscheidung

Die DSB geht in ihrem Bescheid davon aus, dass die Verantwortlich sehrwohl einer Meldepflicht nach Art. 33 DSGVO unterliegt, auch wenn eine unzulässige Datenverarbeitung durch eine unbefugt handelnde Mitarbeiterin erfolgt. Im Grunde trennt die DSB klar zwischen zwei Verantwortlichkeitsbereichen:

  • Arbeitgeberin (Verantwortliche): Umsetzung geeigneter technischer rund organisatorischer Maßnahmen, um unbefugte Datenverarbeitungen zu unterbinden.
  • Mitarbeiterin (als eigene Verantwortliche): unbefugter Zugriff auf Patientendaten und Veröffentlichung dieser Daten.

Zunächst stellt die DSB klar, dass Art. 33 Abs. 1 DSGVO ausdrücklich zu entnehmen ist, dass sich die darin normierte Meldeverpflichtung ausschließlich an den jeweiligen Verantwortlichen richtet.

Zwar geht auch die DSB davon aus, dass

„aus (zweckwidrigen und unternehmensfremden) Datenabfragen uÄ durch Mitarbeiterinnen und Mitarbeiter – insbesondere zu rein privaten Zwecken – im Einzelfall eine eigenständige (uU ausschließliche) datenschutzrechtliche Verantwortlichkeit der natürlichen Person abgeleitet werden kann“.

Jedoch weist die DSB darauf hin, dass Gegenstand des vorliegenden Verfahrens nicht die Verantwortlichkeit dieser Mitarbeiterin ist, sondern

„vielmehr die – gewissermaßen vorgelagerte – Melde- und Benachrichtigungsverpflichtungen der (möglicherweise bloß ursprünglichen) Verantwortlichen“.

Die DSB stützt sich für ihre Ansicht auch auf die Leitlinien 07/2020 des EDSA zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“, wonach selbst, wenn ein Beschäftigter seine Befugnis im Zusammenhang mit der Verarbeitung von Daten (unzulässigerweise) überschreitet, die Organisation als Verantwortlicher angemessene technische und organisatorische Maßnahmen umsetzen muss, um die Einhaltung der DSGVO sicherzustellen.

Zudem verweist die DSB auf eine Entscheidung des österreichischen Bundesverwaltungsgerichts vom 20. Januar 2022. Dort ging das BVwG im Falle der eigenmächtigen Datenverwendung durch einen Bediensteten davon aus, dass die dahinterstehende Organisation (konkret: Behörde) weiterhin für die Art und Weise der Verarbeitung bzw. Verwendung durch deren Bedienstete verantwortlich sei, auch soweit es sich um eine sorgfaltswidrige Verwendung oder überschießende Akteneinsicht handle.

„In diesem Zusammenhang wurde darauf hingewiesen, dass rechtlich zwischen dem datenschutzrechtlich relevanten Verhalten der Behörde (als ursprüngliche Verantwortliche) und dem datenschutzrechtlich relevanten Verhalten eines/einer allfälligen Dritten zu unterscheiden sei.“

Daher kommt die DSB zu dem Ergebnis, dass ein ursprünglich datenschutzrechtlicher Verantwortlicher – selbst bei Verlust der Verfügungsmacht über oder bei unberechtigtem Zugriff Dritter auf dessen Datenbestand – Verpflichteter iSd Art. 33 und 34 DSGVO ist bzw. bleibt und sich das diesbezügliche Vorbringen der Verantwortlichen im Verfahren als unbeachtlich erwies.

Keine Beschwerde bei der Datenschutzbehörde, wenn der Verantwortliche Geld zahlt – Österreichische Aufsichtsbehörde: Rechtsmissbrauch. 

Posted on by

Die österreichische Datenschutzbehörde (DSB) hat Anfang 2023 in einem Bescheid festgestellt, dass die Behörde nicht tätig werden muss, wenn ein Beschwerdeführer zuvor dem Verantwortlichen gegen Zahlung angeboten hat, die behaupteten Verletzung von Art. 15 DSGVO nicht gerichtlich oder per Beschwere bei der DSB zu verfolgen. Die Behörde stützt ihre Entscheidung auf Art. 57 Abs. 4 DSGVO. Dort wird (genauso wie in Art. 12 Abs. 5 DSGVO) geregelt, dass sich die Behörde im Falle von offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anfragen weigern kann tätig zu werden oder ein angemessenes Entgelt verlangen kann. 

Sachverhalt

Der Beschwerdeführer hatte zuvor den Verantwortlichen informiert, dass er auch gegen Zahlung von 2.900 EUR dazu bereit wäre, die seiner Ansicht nach bestehenden Rechtsverletzungen nicht per Beschwerde ggü. der DSB anzuzeigen und auch nicht gerichtlich vorzugehen. Im weiteren Verlauf der Auseinandersetzung zwischen der betroffenen Person und dem Verantwortlichen wendete sich der Betroffene schließlich doch mit einer Beschwerde an die DPA.

Entscheidung der DSB

Die DSB begründet ihre Entscheidung wie folgt: 

„Vor diesem Hintergrund kann nach Ansicht der Datenschutzbehörde beim Beschwerdeführer allerdings von keinem tatsächlichen Rechtschutzbedürfnis ausgegangen werden, weshalb die verfahrensgegenständliche Beschwerdeerhebung als unredlich und die Inanspruchnahme der Tätigkeit der Datenschutzbehörde durch den Beschwerdeführer als rechtsmissbräuchlich zu qualifizieren ist.“

Daher lehnte die DSB die Beschwerde (nach Art. 57 Abs. 4 GDPR), wegen offensichtlicher Unbegründetheit ab. Der EDSA geht in seinen Guidelines zu Art. 15 DSGVO (auf S. 59 in Rn. 190) wohl eher davon aus, dass in solchen Fällen ein exzessiver Antrag und nicht der Fall der offensichtlichen Unbegründetheit vorliegt.

Übertragung auf Betroffenenrechte?

Vor dem Hintergrund stellt sich die praxisrelevante Frage, ob Verantwortliche sich bei Angeboten zur Unterlassung der Verfolgung von behaupteten DSGVO-Verstößen gegen Geldzahlung auf Art. 12 Abs. 5 DSGVO berufen können? Schließlich sind die in Art. 12 Abs. 5 DSGVO und Art. 57 Abs. 4 DSGVO geregelten Voraussetzungen dem Wortlaut nach identisch. Es muss ein offensichtlich unbegründeter Antrag oder ein exzessiver Antrag vorliegen. 

Wenn eine betroffene Person ggü. einem Verantwortlichen seine Rechte aus Art. 15 DSGVO in der Praxis geltend macht, dann wird sicherlich nicht direkt bei der Anfrage ein Angebot zur Nichtverfolgung von Rechtsverletzungen gegen Zahlung erfolgen. Sofern ein Verantwortlicher innerhalb der gesetzlichen Frist die Vorgaben aus Art. 15 DSGVO nach Ansicht des Betroffenen nicht oder nicht vollständig erfüllt hat, sind solche „Angebote“ schon eher denkbar. Dann können Verantwortliche unter Bezugnahme auf die Entscheidung aus Österreich gegen das Bestehen eines Anspruchs argumentieren. Man sollte hingegen dann vorsichtiger mit der Berufung auf Art. 12 Abs. 5 DSGVO sein, wenn man den Auskunftsanspruch vor Erhalt des „Zahlungsangebots“ nach eigener Ansicht nicht vollständig erfüllt hat.

Bayerischer Verwaltungsgerichtshof: Kein Löschanspruch für alle Daten aus Personalakte – auch nicht nach Ende des Beamtenverhältnisses

Posted on by

Der Bayerische Verwaltungsgerichtshof (VGH) hat Beschluss vom 29.06.2023 (Az. 6 ZB 23.530) einige interessante Aussagen zu den Datenschutzgrundätzen der Datenminimierung, Speicherbegrenzung und Richtigkeit nach Art. 5 Abs. 1 DSGVO getroffen. 

Sachverhalt

In dem Verfahren vor dem VGH verfolgte der Kläger seine Klage gerichtet auf Löschung von Dokumenten aus seiner Personalakte weiter, die vor dem Verwaltungsgericht erfolglos geblieben ist. Er begehrte u.a. die Löschung von Unterlagen überwiegend zu Vorgängen aus den Jahren 2004 bis 2006 sowie 2010 bis 2014, die im Rahmen der Beurteilung der Verwendungsfähigkeit des Klägers im Polizeidienst und seiner allgemeinen Dienstfähigkeit entstanden sind, sowie Unterlagen zur Verlängerung der Probezeit.

Der Kläger meint, sämtliche Einträge in der Personalakte, die vor dem 16. Juni 2006 datieren, seien zu löschen, weil das damalige Beamtenverhältnis zu diesem Zeitpunkt endete und nicht mehr in sachlichem Zusammenhang zu dem nunmehrigen Beamtenverhältnis stehe. 

Entscheidung des VGH

Nach Ansicht des VGH besteht kein Löschanspruch aus der DSGVO. 

Datenminimierung

Zum Grundsatz nach Art. 5 Abs. 1 lit. c) DSGVO stellt der VGH fest, dass die während des Bestehens eines Beamtenverhältnisses in der Personalakte gesammelten Daten grundsätzlich auch dann angemessen, erheblich und auf das notwendige Maß beschränkt bleiben, 

„wenn der betroffene Beamte aus dem Beamtenverhältnis ausscheidet.“ 

Das Gericht also davon aus, dass Daten aus der Personalakte nicht zwingend sofort zu löschen sind, nur weil ein Anstellungsverhältnis (hier: Beamtenverhältnis) endet. Die Unterlagen über krankheitsbedingte Dienstunfähigkeiten dienten hier nicht nur der Feststellung von aktuellen Fehlzeiten, sondern bleiben auch gegebenenfalls für mögliche Reaktivierungs- oder auch Wiedereinstellungsprüfungen von Bedeutung. Gerade diesbezüglich könne es aber es auf den jeweiligen historischen Kontext ankommen. 

Zudem stellt der VGH fest: 

„Eine Löschung könnte vielmehr umgekehrt gegen den Grundsatz der Datenrichtigkeit verstoßen.“

Datenrichtigkeit

Der Grundsatz nach Art. 5 Abs. 1 lit. d) DSGVO, wonach personenbezogene Daten sachlich richtig und „erforderlichenfalls auf dem neuesten Stand“ sein müssen, könne den Löschungsanspruch ebenfalls begründen. 

Denn, so der VGH, die Daten sind durch das Ausscheiden des Klägers aus dem Dienst ja nicht etwa unrichtig geworden.

„sie bleiben vielmehr mit Blick auf die damalige Rechtswirklichkeit weiterhin richtig.“

Bedeutet: keine Löschung oder Änderungen der faktisch richtigen Vergangenheit durch die DSGVO. Daher bestehe auch kein Berichtigungsanspruch aus Art. 16 DSGVO. Der VGH begründet seine Ansicht damit, dass nur wenn die Personalakten auf dem Stand gehalten werden, der zum jeweiligen Zeitpunkt richtig war, ein möglichst lückenloses Bild der Entstehung und Entwicklung des Dienstverhältnisses als historischem Geschehensablauf dokumentiert werden könne. 

Speicherbegrenzung

Zuletzt folgert der VGH aus seinen Ausführungen, dass damit auch der Grundsatz nach Art. 5 Abs. 1 lit. e) DSGVO der weiteren Speicherung der bis zum Ausscheiden des Klägers aus dem Beamtenverhältnis im Jahr 2006 in seiner Personalakte gesammelten Daten nicht entgegenstehe.