Category Archives: Datenschutzrecht

Generalanwalt am EuGH: Kopie-Begriff nach Art. 15 Abs. 3 DSGVO bezieht sich nicht per se auf Dokumente – wann sind Daten „verständlich“?

Posted on by

Heute hat Generalanwalt (GA) Pitruzella seine Schlussanträge in der Rechtssache C‑487/21 veröffentlicht. Die Ausführungen des GA sind sehr praxisrelevant, da es um den Inhalt und Umfang des Anspruchs auf eine Kopie personenbezogener Daten nach Art. 15 Abs. 3 DSGVO geht.

Vielleicht direkt vorab: der GA vertritt eine eher einschränkende Auslegung des Kopie-Begriffs (allein auf die personenbezogenen Daten), eröffnet jedoch die Möglichkeit einer Herausgabe von (Teilen von) Dokumenten, in denen die personenbezogenen Daten enthalten sind.

Zudem bleibt der GA eher vage bei der entscheidenden Frage: was sind, gerade in Bezug auf Daten in Dokumenten, eigentlich die „personenbezogenen Daten“? Denn der GA ist deutlich: es ist eine Kopie der „personenbezogenen Daten“ herauszugeben. Wenn man nun ein 20 seitiges PDF-Dokument als Ganzes als personenbezogenes Datum ansehen würde, weil auf S. 3 und S. 16 der Name einer Person steht, müsste man das ganze Dokument als „personenbezogenes Datum“ herausgeben. Dieser Streit dürfte in der Praxis vorerst weiter bestehen.

Begutachtete Vorlagefragen

Im Hauptteil der Schlussanträge befasst sich der GA mit der Frage nach der genauen Bedeutung des Begriffs „Kopie“ in Art. 15 Abs. 3 DSGVO. Zudem soll geklärt werden, welche Tragweite das der betroffenen Person durch diese Bestimmung verliehene Recht hat. Insbesondere, ob diese Bestimmung das Recht auf Erhalt einer Kopie auch der Dokumente – oder von Auszügen aus Datenbanken –, in denen die personenbezogenen Daten verarbeitet werden, verleiht oder ob sie sich darauf beschränkt, das bloße Recht auf Erhalt einer originalgetreuen Reproduktion der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu gewähren.

Begründung des GA

Der GA nimmt eine aus meiner Sicht sehr schöne rechtliche Analyse des Art. 15 Abs. 3 DSGVO anhand von Wortlaut, Kontext und den Zielen, die mit der DSGVO verfolgt werden, vor.

Analyse des Wortlauts

Der GA betrachtet drei verschiedene Begriffe: den Begriff „Kopie“, den Begriff „personenbezogene Daten“ und den Begriff „Gegenstand der Verarbeitung“.

Die DSGVO sieht keine spezifische Definition des Begriffs „Kopie“ vor. Aus rein terminologischer Sicht bezeichne der Ausdruck „Kopie“ im gewöhnlichen Sprachgebrauch die originalgetreue Reproduktion oder Abschrift. Klar ist, dass die Kopie, die der für die Verarbeitung Verantwortliche der betroffenen Person zur Verfügung stellen muss, die Kopie der „personenbezogenen Daten“ ist, die Gegenstand der Verarbeitung sind.

Für den Begriff „personenbezogene Daten“ verweist der GA auf die Rechtsprechung des EuGH und dortige Beispiele. Die Tragweite des Begriffs „personenbezogene Daten“, ist sehr weit. Mit der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Bestimmung dieses Begriffs komme das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen. Es genügt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist.

Nach Ansicht des GA bedeutet dies, dass dieser Begriff und damit das Recht auf Auskunft über diese Daten und auf Erhalt einer Kopie dieser Daten nicht ausschließlich auf Daten beschränkt ist, die von einem Verantwortlichen erhoben, aufbewahrt und verarbeitet werden, sondern auch die weiteren Daten zu umfassen hat, die von diesem Verantwortlichen nach der Verarbeitung möglicherweise erzeugt werden, wenn auch sie Gegenstand der Verarbeitung sind.

Wenn also nach der Verarbeitung einer Reihe personenbezogener Daten neue, aus dieser Verarbeitung resultierende Informationen über eine identifizierte oder identifizierbare Person erzeugt werden, die als personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO eingestuft werden können,

„müsste das in Art. 15 Abs. 1 bzw. Abs. 3 Satz 1 DSGVO vorgesehene Recht auf Auskunft zu den personenbezogenen Daten und auf Erhalt einer Kopie daher meines Erachtens auch diese erzeugten Daten umfassen, wenn diese Daten selbst Gegenstand der Verarbeitung sind.“

Was drittens den Begriff „Gegenstand der Verarbeitung“ betrifft, verweist der GA auf die Definition der „Verarbeitung“ in Art. 4 Nr. 2 DSGVO. Aus der weiten Bedeutung des Begriffs ergebe sich, dass Art. 15 Abs. 3 S. 1 DSGVO der betroffenen Person das Recht verleiht, eine Kopie ihrer personenbezogenen Daten zu erhalten, die Gegenstand eines Vorgangs sind, der als „Verarbeitung“ eingestuft werden kann.

Aber, und hier kommt zum ersten Mal die engere Auffassung zum Ausdruck: „verleiht diese Bestimmung als solche jedoch kein Recht, andere als die in Art. 15 Abs. 1 DSGVO genannten spezifischen Informationen über die Verarbeitung der personenbezogenen Daten selbst zu erhalten“.

Als Ergebnis der Wortlautauslegung stellt der GA fest, dass die „Kopie der personenbezogenen Daten“ eine getreue Wiedergabe dieser Daten sein muss. Dies bedeutet, dass je nach Art der verarbeiteten Daten und der Art der Verarbeitung eine Kopie dieser Daten verschiedene Formate wie Papierform, Audio- oder Videoaufzeichnungen, elektronisches Format oder andere Formate aufweisen kann.

„Wichtig ist, dass die Kopie dieser Daten wortgetreu ist und es der betroffenen Person ermöglicht, volle Kenntnis von allen Daten zu erlangen, die Gegenstand der Verarbeitung sind. Eine etwaige Zusammenstellung der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, muss diese Daten originalgetreu und verständlich wiedergeben und im Übrigen den Inhalt der zu übermittelnden Daten nicht beeinflussen.“

Umfasst sind alle personenbezogenen Daten und damit nicht nur der erhobenen Daten, sondern auch vom Verantwortlichen erzeugte personenbezogenen Daten, die Gegenstand der Verarbeitung sind.

Aber: Art. 15 Abs. 3 DSGVO bezieht sich ausschließlich auf Kopien der personenbezogenen Daten.

Daher, so der GA, „kann sie zum einen kein Recht auf Zugang zu Informationen begründen, die nicht als solche eingestuft werden können, und verleiht zum anderen nicht – zwangsläufig – ein Recht auf Erhalt von Kopien von Dokumenten oder anderen Trägern, die personenbezogene Daten enthalten“.

Diese Feststellung ist meines Erachtens relevant:

  • die Kopie kann sich nur auf personenbezogene Daten beziehen (Hinweis: hier kann man weiter streiten, wann diese vorliegen)
  • der GA scheint davon auszugehen, dass ein Dokument nicht als solches direkt zum personenbezogenen Datum wird, nur weil in dem Dokument ein solches Datum enthalten ist. Ansonsten würde der zweite Halbsatz der Begründung oben keinen Sinn machen („die personenbezogene Daten enthalten“).

Systematische und teleologische Analyse

Sodann geht der GA in die systematische und teleologische Analyse über.

Abs. 1 des Art. 15 DSGVO sehe vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob seine personenbezogenen Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in den Buchst. a bis h angeführten Informationen.

Diese Bestimmung konkretisiere somit das Recht auf Auskunft über personenbezogene Daten und damit zusammenhängende Informationen, indem sie den genauen Gegenstand und den Anwendungsbereich des Auskunftsrechts festlegt.

Art. 15 Abs. 3 DSGVO, so der GA, regele die Modalitäten der Ausübung dieses Rechts,

„indem er u. a. die Form festlegt, in der der für die Verarbeitung Verantwortliche die personenbezogenen Daten der betroffenen Person zur Verfügung zu stellen hat, nämlich in Form einer Kopie und damit einer getreuen Wiedergabe der Daten.“

Für den GA ist klar, dass Abs. 3 kein eigenständiger Anspruch des Betroffenen ist. Art. 15 Abs. 3 DSGVO definiere nicht den Gegenstand und den Anwendungsbereich des durch Abs. 1 konkretisierten Rechts auf Auskunft. Daher könne Abs. 3 diesen Anspruch auch nicht ändern oder erweitern.

Art. 15 Abs. 3 DSGVO könne daher

„kein eigenständiges Recht der betroffenen Person darauf begründen“, „Informationen zu erhalten, die über die in Abs. 1 der Bestimmung genannten hinausgehen“.

Der GA fasst dann in Rz. 52 seine vorläufigen Ergebnisse zusammen:

  • dass Art. 15 Abs. 3 S.1 DSGVO keinen eigenständigen Anspruch auf Erhalt von Kopien von Dokumenten oder anderen Trägern, die personenbezogene Daten enthalten, verleiht.
  • dass diese Bestimmung der betroffenen Person kein Recht verleiht, andere als die in Art. 15 Abs. 1 DSGVO genannten Informationen über die Verarbeitung personenbezogener Daten, wie z. B. Informationen zu den für die Verarbeitung personenbezogener Daten verwendeten Kriterien, Modellen, internen (berechnungs- oder sonstigen) Regeln oder Verfahren, zu erhalten.

Danach öffnet der GA in der weiteren Begründung jedoch doch die Tür einen Spalt weit dafür, über Abs. 3 eventuell Dokumente oder Teile von Dokumenten, in denen Daten enthalten sind, zu erhalten. Er stützt sich hierbei jedoch nicht allein auf Art. 15 Abs. 3 DSGVO, sondern auf die Vorgaben zu den Betroffenenrechten in Art. 12 DSGVO.

Art. 15 Abs. 3 S. 1 DSGVO ist im Licht der anderen Bestimmungen der DSGVO auszulegen. Hier ist u. a. Art. 12 Abs. 1 DSGVO relevant. Danach muss der Verantwortliche geeignete Maßnahmen treffen, um der betroffenen Person alle u. a. in Art. 15 DSGVO genannten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, und dass die Übermittlung der Informationen schriftlich oder in anderer Form, gegebenenfalls auch elektronisch erfolgt, es sei denn, die betroffene Person verlangt, dass diese mündlich erteilt werden.

Das Ziel: die betroffene Person soll in die Lage versetzt wird, die an sie gerichteten Informationen in vollem Umfang zu verstehen.

Und aus dem Erfordernis der Verständlichkeit der in Art. 15 Abs. 1 lit.. a bis h DSGVO angeführten Daten und Informationen folgert der GA,

„dass nicht ausgeschlossen ist, dass es in bestimmten Fällen, um der betroffenen Person die gänzliche Verständlichkeit der an sie übermittelten Informationen zu gewährleisten, erforderlich ist, dieser Passagen von Dokumenten oder vollständige Dokumente oder Auszüge aus Datenbanken zu übermitteln.“

Das bedeutet: im Einzelfall muss der Verantwortliche eventuell dennoch Dokumente oder Teile von Dokumenten herausgeben, damit Betroffene die an sie übermittelten personenbezogenen Daten und deren Verwendung verstehen.

Es geht dem GA hier ersichtlich um den Kontext der Datenverarbeitung und wohl nicht um eine Festlegung, ob die Dokumente an sich personenbezogene Daten sind (dann müsste man sie ja ohnehin herausgeben).

Die Begründung und vorgeschlagene Vorgehensweise des GA, dürfte in der Praxis natürlich erneut zu Diskussionen und Unsicherheiten führen. Der GA verweist darauf, dass die Analyse der Notwendigkeit, Dokumente oder Auszüge zur Verfügung zu stellen, um die Verständlichkeit der übermittelten Informationen zu gewährleisten,

„zwangsläufig von Fall zu Fall anhand der Art der Daten, die Gegenstand des Antrags sind, und des Antrags selbst vorgenommen werden“.

Zwar, so der GA, kann es in bestimmten Fällen für ein umfassendes Verständnis der in Rede stehenden personenbezogenen Daten erforderlich sein, den Kontext zu kennen, in dem diese Daten verarbeitet werden.

„Diese Erwägung ist jedoch nicht geeignet, der betroffenen Person auf der Grundlage der in Rede stehenden Bestimmung ein allgemeines Recht auf Zugang zu Kopien von Dokumenten oder Auszügen aus Datenbanken zu verleihen“.

Systematisch führt der GA auch noch an, dass eine Auslegung von Art. 15 Abs. 3 S. 1 DSGVO dahin, dass diese Bestimmung kein allgemeines Recht auf Zugang zu Kopien von Dokumenten oder Auszügen aus Datenbanken gewährt, sofern dies nicht erforderlich ist, um die Verständlichkeit der übermittelten Daten und Informationen zu gewährleisten, auch dadurch bestätigt wird, dass das Recht auf Zugang zu Dokumenten, insbesondere zu Verwaltungsdokumenten, ausdrücklich durch andere Unionsrechtsakte oder nationale Rechtsakte geregelt wird, die andere Ziele haben als diejenigen, die den Schutz personenbezogener Daten sicherstellen.

Fazit

Als Ergebnis fasst der GA daher unter anderem zusammen:
„diese Bestimmung der betroffenen Person kein allgemeines Recht verleiht auf teilweise oder vollständige Kopie des Dokuments, das die personenbezogenen Daten der betroffenen Person enthält, oder, wenn die personenbezogenen Daten in einer Datenbank verarbeitet werden, auf einen Auszug aus dieser Datenbank“.

Zum einen wird man nun sehen und warten müssen, ob und inwieweit sich der EuGH den Argumenten anschließt. Sollte die Begründung des GA so übernommen werden, dürften sich in der Praxis dennoch weiter Fragen stellen.

Insbesondere, wann ein Dokument oder zB eine Datenbank als Ganzes als personenbezogene Datum anzusehen ist. Ob es also eine Art „Infektion“ des Datums auf das ganze Dokument gibt.

Zum anderen wird in der Praxis die Frage aufkommen, wann den herauszugebende Daten eventuell nicht „verständlich“ sind und damit die Anforderungen nach Art. 12 Abs. 1 DSGVO noch nicht erfüllt sind.

Wer ist hier nachweispflichtig? Muss der Verantwortliche erahnen, dass Betroffene die Daten nicht verstehen? Sollte dies der Fall sein, bedeutet dies natürlich eine Unsicherheit für den Verantwortlichen und im schlimmsten Fall die Umkehrung der Ausnahme (Herausgabe ganzer Dokumente) zur Regel. Denn will der Verantwortliche auf Nummer sicher gehen, müsste er stets das ganze Dokument herausgeben.

Oder muss der Betroffene nachweisen, dass die Daten nicht „verständlich“ sind? Die mangelnde Fähigkeit des Verständnisses der Daten ist schließlich eine Eigenschaft, die allein in seiner Sphäre als Anspruchsteller liegt.

LAG Hessen: Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO ist nicht vermögensrechtlicher Natur – Kopieanspruch nach Abs. 3 aber schon

Posted on by

Das LAG Hessen hatte sich in einer Entscheidung (Beschl. v. 11.11.2022, Az. 12 Ta 417/22) zum Gebührenstreitwert eines arbeitsgerichtlichen Verfahrens auch mit der Frage zu befassen, ob der Auskunftsanspruch nach Art. 15 DSGVO vermögensrechtlicher Natur ist – ob er also (auch) wirtschaftlichen Zwecken dient. 

Die Entscheidung des LAG ist unter zwei Aspekten für die Praxis relevant: zum einen für eine mögliche Heranziehung der Begründung im Zuge von klar unbegründeten (bzw. missbräuchlichen) Ansprüchen, wenn diese wegen wirtschaftlicher Motive geltend gemacht werden. Zum anderen für gerichtliche Auseinandersetzungen zu Art. 15 DSGVO und die Frage, welcher Streitwert für solche Ansprüche anzusetzen ist.

Zwei Ansprüche oder einer?

Das LAG trennt Art. 15 DSGVO (meines Erachtens diskutabel) in zwei verschiedene Ansprüche auf. 

Der Antrag auf Auskunft nach Art. 15 Abs. 1 DSGVO sei nicht vermögensrechtlicher Natur. Also wenn man so will, der „normale“ Auskunftsanspruch. Dieser Anspruch diene keinen wirtschaftlichen Interessen des Betroffenen. Das LAG hält (im Grundsatz) einen Gegenstandswert von 500 EUR für angemessen. Jedoch verdoppelt das LAG hier diesen Wert auf 1.000 EUR, da der Auskunftsanspruch auch Informationen über den Gesundheitszustand des Mitarbeiters betreffen könnte, die für den Streit relevant seien. 

Der weitere Antrag auf Erhalt einer Kopie der personenbezogenen Daten, Art. 15 Abs. 3 DSGVO, sei dann aber nach Ansicht des LAG doch als vermögensrechtliche Streitigkeit zu bewerten. Denn die „Zurverfügungstellung der Daten“ sei nicht anders zu bewerten, als ein Herausgabeverlangen bezüglich Arbeitspapieren. 

Andere Ansicht vertretbar

Meines Erachtens ist die Ansicht des LAG zumindest diskutabel und eine andere Auffassung gut vertretbar. Zum einen lässt sich bereits fragen, warum Abs. 1 und Abs. 3 des Art. 15 DSGVO zwei getrennt voneinander existierende Ansprüche sein sollen. Abs. 3 erfasst keine weiteren oder andere Daten und Informationen als jene des Abs. 1. Denn Abs. 3 bezieht sich auch „nur“ auf die personenbezogenen Daten (wie in Abs. 1 bereits genannt). Daher geht etwa auch der EDSA in seinen Leitlinien 01/2022 davon aus, dass Betroffene kein Recht auf Erhalt von Dokumentenkopien haben, in denen personenbezogene Daten enthalten sind (“This, however, does not mean that the data subject always has the right to obtain a copy of the documents containing the personal data, but an unaltered copy of the personal data being processed in these documents”). Zudem würde ich der Ansicht des LAG, dass Abs. 3 ein Anspruch auf Herausgabe von Arbeitspapieren darstellt, nicht folgen. Abs. 3 ist meines Erachtens kein Anspruch auf Dokumenten- oder Kopienherausgabe von Unterlagen, sondern eine besondere Form des Auskunftsanspruchs. Hierfür kann man etwa anführen, dass in der DSGVO an anderer Stelle durchaus auf Dokumente oder Unterlagen an sich abgestellt wird (etwa in Art. 70 Abs. 1 s) „alle erforderlichen Unterlagen, darunter den Schriftwechsel…“ oder ErwG 63 „Daten in ihren Patientenakten“ (man beachte hier auch das „in“)), aber nicht in Art. 15 Abs. 3 DSGVO. Auch der EDSA geht in seinen Leitlinien davon aus, dass Abs. 3 kein zusätzliches, eigenes Recht darstellt („The obligation to provide a copy is not to be understood as an additional right of the data subject, but as modality of providing access to the data“).

Zum anderen kann man sicherlich auch eine andere Auffassung zu der Frage vertreten, ob Abs. 3 vermögensrechtlicher Natur ist. Hiergegen spricht meines Erachtens allein schon ErwG 63 DSGVO, der vorgibt, dass der Zweck des Recht ist, „um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können“.

Informationen über Drittlandsübermittlungen nach Art. 13 DSGVO – strenge Auffassung der irischen Aufsichtsbehörde

Posted on by

Da die Anforderungen des Kapitels V der DSGVO, die sich auf Datenübermittlungen in Drittstaaten beziehen, weiterhin praktische Relevanz haben, stellt sich oft die Frage, wie die Informationspflichten in diesem Zusammenhang gemäß Art. 13 Abs. 1 lit. f) DSGVO zu erfüllen sind. 

Nach dieser Vorschrift hat der für die Verarbeitung Verantwortliche folgende Angaben zu machen: 

„gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.“

In seiner „WhatsApp-Entscheidung“ (pdf) vom August 2021 befasste sich die DPC Ireland auch mit der Frage der Einhaltung von Art. 13 Abs. 1 lit. f) DSGVO. 

Vorhandensein oder Nichtvorhandensein eines Angemessenheitsbeschlusses

Nach Ansicht der DPC geht diese Formulierung über die Anforderung an den für die Verarbeitung Verantwortlichen hinaus, festzustellen, „ob“ oder „ob“ ein Angemessenheitsbeschluss in Bezug auf das vorgeschlagene Übermittlungsland vorliegt. Stattdessen verlangt die Verpflichtung von einem für die Verarbeitung Verantwortlichen 

„verbindliche Informationen bereitzustellen, so dass die betroffene Person entweder (i) darüber informiert wird, dass die Übermittlung Gegenstand eines Angemessenheitsbeschlusses ist, oder (ii) darüber, dass die Übermittlung nicht Gegenstand eines Angemessenheitsbeschlusses ist„.

Nach Ansicht der Datenschutzbehörde muss die Information auf jeden Fall erteilt werden, auch wenn sie nur negativ ausfällt (z. B.: „Für das Land XYZ liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor“). 

Hinweis auf die geeigneten oder angemessenen Garantien

Diese Information muss der betroffenen Person im Falle einer Übermittlung, die nicht Gegenstand eines Angemessenheitsbeschlusses ist, zur Verfügung gestellt werden. 

Nach Ansicht der DPC ist diese Informationspflicht sehr spezifisch. Der Grund dafür ist, dass die betroffene Person auf Wunsch Zugang zu detaillierten Informationen über die zum Schutz ihrer personenbezogenen Daten angewandten Garantien erhalten soll. Nach Ansicht der DPC reicht es daher nicht aus, auf eine Website zu verweisen, auf der allgemeine Informationen über die EU-Standardvertragsklauseln zu finden sind. 

„Um es klar zu sagen: Es reicht nicht aus, einfach einen Link zu einer allgemeinen Webseite der Europäischen Kommission zu setzen. Die Transparenzleitlinien machen deutlich, dass die betroffene Person in der Lage sein sollte, auf das jeweilige Dokument, auf das sie sich beruft, zuzugreifen (oder Zugang zu erhalten, wenn der Zugang nicht direkt gewährt wird), d. h. in diesem Fall auf die spezifischen Standardvertragsklauseln oder die spezifische Angemessenheitsentscheidung.“

Nach Ansicht der DPC mussten die für die Verarbeitung Verantwortlichen (in der Vergangenheit) ausdrücklich über die verwendeten Klauseln informieren. Aus meiner Sicht sollte man davon ausgehen, dass dies im Rahmen der „neuen“ SCC bedeutet, dass der Verantwortliche über das verwendete spezifische Modul informieren muss. 

Aufbewahrungsfrist zur Erfüllung der DSGVO-Nachweispflichten – Datenschutzbehörde: 3 Jahre

Posted on by

Die DSGVO etabliert bekanntlich eine (je nach Auslegung sehr umfassende) Rechenschaftspflicht des Verantwortlichen nach Art. 5 Abs. 2 DSGVO. Daneben kennt die DSGVO auch noch weitere Nachweispflichten, z. B. in Art. 7 Abs. 1 DSGVO für die Einwilligung oder in Art. 12 Abs. 5 DSGVO für offenkundig unbegründete oder exzessive Anträge von Betroffenen. 

In der Praxis kommt oft die Frage auf, wie lange Verantwortliche denn eine entsprechende Dokumentation, dass man sich in bestimmten Situationen an die DSGVO gehalten hat, aufbewahren dürfen bzw. müssen. Ein Beispiel: der Verantwortliche erteilt eine Auskunft nach Art. 15 DSGVO. Nach 1,5 Jahren beschwert sich der Betroffene darüber, dass er keine Auskunft erhalten habe. Wenn der Verantwortliche nun die Auskunftserteilung schon gelöscht hat, wird es für ihn schwer, die ordentliche Erfüllung seiner rechtlichen Pflichten nachzuweisen. Gleichzeitig enthält diese Dokumentation, z. B. die versendete E-Mail und Dokumente, natürlich personenbezogene Daten. Man benötigt für eine Speicherung also eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Einen praxisrelevanten Fall zu diesem Themenkomplex hatte die Datenschutzbehörde aus Thüringen zu entscheiden und berichtet hierüber in ihrem Tätigkeitsbericht 2021, ab S. 167 (pdf).

Es ging dort um den Versand von E-Mails an eine Betroffene. Diese gab an, nie in den Erhalt der E-Mails eingewilligt zu haben. Gleichzeitig verlangt die Betroffene dann auch Auskunft nach Art. 15 DSGVO und die Löschung ihrer Daten von dem Verantwortlichen. Nachdem sie hierauf keine Antwort erhielt, beschwerte sie sich bei dem TLfDI. 

Nach Ansicht der Aufsichtsbehörde war das Unternehmen als Verantwortliche verpflichtet, den entsprechenden Nachweis darüber zu führen, dass eine Einwilligung vorlag (vgl. Art. 7 Abs. 1 DSGVO). Die DSGVO enthalte insoweit eine ausdrückliche Beweislastregel für das Vorliegen einer wirksamen Einwilligung. Den Verantwortlichen treffe nicht nur die Verantwortung für die Einhaltung der in Art. 5 Abs. 1 DSGVO geregelten Grundsätze für die Verarbeitung personenbezogener Daten, er müsse ihre Einhaltung auch nachweisen können. Diese Nachweispflicht könne er durch entsprechende Dokumentation oder ein Daten-Management-System erfüllen.

Vorliegend gelang dies dem Verantwortlichen jedoch. Dieser antwortete der Aufsichtsbehörde sogar, dass er alle Daten zu der Betroffenen aufgrund ihrer Anfrage gelöscht habe und daher keinen Nachweis mehr erbringen könne. 

Diese Ansicht teilte der TLfDI nicht. Die Nachweispflicht sei gerade nicht durch das Löschungsverlangen der Betroffenen entfallen. Denn gemäß Art. 17 Abs. 3 lit. b) DSGVO ist die Löschung personenbezogener Daten ausgeschlossen, soweit diese zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind, welche die Verarbeitung nach dem Recht der Union oder der Mitgliedsstaaten erfordert, dem der Verantwortliche unterliegt. 

Der TLfDI weiter: „Diese Sonderregelung entspricht der Rechtsgrundlage für die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung aus Art. 6 Abs. 1 Satz 1 Buchstabe c) DS-GVO. Zu diesen Rechtspflichten zählen insbesondere Speicher-, Dokumentations- und Aufbewahrungspflichten, zu denen auch die in Art. 5 Abs. 2 und Art. 7 Abs. 1 DS-GVO geregelten Nachweispflichten zählen“.

Wichtig: die Behörde geht also davon aus, dass Verantwortliche solche Daten (und diese enthaltene Dokumente) nicht löschen dürfen, die für die Erfüllung des Nachweises der Einhaltung der DSGVO erforderlich sind. Ganz ausdrücklich allgemein nach Art. 5 Abs. 2 DSGVO. Auch dann nicht, wenn die Betroffene dies verlangt. Diese Ansicht ist meines Erachtens richtig, jedoch in dieser Deutlichkeit bisher eher nicht von Behörden vertreten worden. 

Zuletzt ging es dann noch um die Frage, welche konkrete Aufbewahrungsfrist für den Nachweis der Einwilligung gelte. Denn die DSGVO sehe hierzu keine ausdrückliche Regelung vor.

„Der TLfDI stellt hier auf eine Frist von drei Jahren ab, da nach Ablauf dieses Zeitraums ein Buß- geldverfahren in der Regel als verjährt anzusehen ist.“

Wichtig: die Behörde setzt hier also die Verjährungsfristen für Verstöße gegen die DSGVO an (vgl. § 31 Abs. 2 Nr. 1 OWiG). Meines Erachtens ist diese Argumentation und Ansicht der Behörde auch auf andere Nachweispflichten und durchaus auch allgemein auf Dokumentation (mit personenbezogenen Daten) übertragbar, die Verantwortliche vorhalten, um die Einhaltung der DSGVO nachweisen zu können. 

Norwegische Datenschutzbehörde: DSGVO-Auskunftsersuchen an den CEO musste nicht beantwortet werden

Posted on by

Mit Entscheidung (PDF) vom 10. Mai 2022 hat die norwegische Datenschutzbehörde („Datatilsynet“) entschieden, dass ein für die Verarbeitung Verantwortlicher (in diesem Fall die Zalaris ASA) nicht gegen Art. 12 Abs. 5 und 15 DSGVO verstoßen hat, weil ein per E-Mail an den Geschäftsführer gerichtetes Auskunftsersuchen unbeantwortet blieb.

Der Beschwerdeführer (eine betroffene Person mit Wohnsitz in Deutschland, die früher bei der deutschen Tochtergesellschaft des für die Verarbeitung Verantwortlichen beschäftigt war) schrieb an den Geschäftsführer des Unternehmens, um sein Auskunftsrecht nach Art. 15 DSGVO geltend zu machen. Er erhielt keine Antwort, reichte bei Datatilsynet eine Beschwerde gegen Zalaris ein und versuchte es bei einer anderen „DSGVO“-Adresse. Aber auch diese Anfrage blieb unbeantwortet.

Ich möchte mich auf die Argumentation von Datatilsynet in Bezug auf die erste, an den CEO gerichtete E-Mail konzentrieren.

Der für die Verarbeitung Verantwortliche räumte ein, dass er auf die Auskunftsersuchen des Beschwerdeführers nicht reagiert hat. Zalaris machte jedoch geltend, dass dies darauf zurückzuführen sei, dass die erste Anfrage direkt an den CEO des Unternehmens gerichtet war (die zweite landete im Spam-Ordner des E-Mail-Posteingangs des Unternehmens).

Datatilsynet argumentiert, dass der erste Antrag auf Zugang nicht beantwortet werden musste.

„… unserer Ansicht nach kann Zalaris nicht viel vorgeworfen werden. Wie der Europäische Datenschutzausschuss (EDPB) festgestellt hat: Der für die Verarbeitung Verantwortliche ist […] nicht verpflichtet, einer Anfrage nachzukommen, die an die E-Mail-Adresse eines Mitarbeiters des für die Verarbeitung Verantwortlichen gerichtet ist, der nicht mit der Bearbeitung von Anfragen zu den Rechten der betroffenen Personen befasst sein darf […]. Solche Anträge gelten nicht als wirksam, wenn der für die Verarbeitung Verantwortliche der betroffenen Person eindeutig einen geeigneten Kommunikationskanal zur Verfügung gestellt hat.„

Darüber hinaus enthielt die auf der Website von Zalaris verfügbare Datenschutzerklärung eine spezielle E-Mail-Adresse, die für Datenschutzanfragen zu verwenden war. In diesem Fall war es legitim, von den betroffenen Personen (einschließlich dem Beschwerdeführer) zu erwarten, dass sie Auskunftsersuchen über einen solchen Kommunikationskanal und nicht direkt an den CEO richten.

„Vom CEO eines Unternehmens von der Größe von Zalaris kann nicht erwartet werden, dass er direkt an der Bearbeitung von Anfragen zu den Rechten der betroffenen Personen beteiligt ist. Daher hat Zalaris unseres Erachtens nicht gegen Artikel 12 Absatz 2 und Artikel 15 DSGVO verstoßen, indem es nicht auf die E-Mail geantwortet hat, die der Beschwerdeführer direkt geschickt hatte…„.

Die Behörde fügt noch eine weitere Ansicht hinzu: Es sei darauf hingewiesen, dass – im Gegensatz zu den Argumenten des Beschwerdeführers – in Fällen, in denen personenbezogene Daten von einem Unternehmen verarbeitet werden (das über die Mittel und Zwecke der Verarbeitung entscheidet), das Unternehmen als solches als „für die Verarbeitung Verantwortlicher“ gilt, und nicht sein Geschäftsführer.

Diese Auslegung (die aus meiner Sicht absolut korrekt ist) ist relevant, weil wir in Deutschland ja durchaus auch andere Ansichten hierzu kennen.

EuGH: Art. 5 Abs. 2 & Art. 24 DSGVO erlegen Verantwortlichen auch (neue) Compliance-Pflichten auf

Posted on by

In seinem kürzlich ergangen Urteil vom 27.10.2022 (C-129/21) befasst sich der EuGH u.a. mit der Frage, welche konkreten Pflichten aus den sehr allgemein gehaltenen Vorgaben nach Art. 5 Abs. 2 und Art. 24 DSGVO erwachsen können.

Im konkreten Fall (und ich denke, man muss die Besonderheiten des Falles bei der Begründung durchaus berücksichtigen) geht der EuGH sogar soweit, aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, der Pflicht nach Art. 24 DSGVO und unter Auslegung der Art. 12 Abs. 2 und Art. 17 DSGVO, eine eigenständige Informationspflicht für Verantwortliche zu kreieren, die in dieser Form eigentlich nicht ausdrücklich in der DSGVO vorgesehen ist.

Konkret ging es um die Frage, ob Art. 5 Abs. 2 und Art. 24 DSGVO dahin auszulegen sind, dass eine Datenschutzbehörde verlangen kann, dass ein Anbieter von Teilnehmerverzeichnissen als Verantwortlicher geeignete technische und organisatorische Maßnahmen ergreift, um weitere Verantwortliche, nämlich den Telefondienstanbieter, der ihm die personenbezogenen Daten seines Teilnehmers übermittelt hat, sowie die anderen Anbieter von Teilnehmerverzeichnissen, denen er selbst solche Daten geliefert hat, über den Widerruf der Einwilligung dieses Teilnehmers zu informieren.

Die Auffassung des EuGH zu Art. 5 Abs. 2 und Art. 24 DSGVO:

„erlegen Art. 5 Abs. 2 und Art. 24 DSGVO den für die Verarbeitung personenbezogener Daten Verantwortlichen eine allgemeine Rechenschaftspflicht sowie Compliance-Pflichten auf“.

Und:

„Insbesondere verpflichten diese Bestimmungen die Verantwortlichen, zur Wahrung des Rechts auf Datenschutz geeignete Maßnahmen zu ergreifen, um etwaigen Verstößen gegen die Vorschriften der DSGVO vorzubeugen„.

Für die Praxis von Relevanz dürfte hier der Hinweis auf „vorzubeugen“ sein. Konkret muss der Verantwortliche also ein Compliance-System schaffen, um Verstöße gegen die DSGVO vorab zu verhindern. Diese Aussage mag aus der allgemeinen „Compliance-Sicht“ wenig überraschen, geht es doch dort gerade darum, Rechtsverletzungen zu verhindern. Für den Bereich der DSGVO ist die Aussage aber relevant, da insbesondere Art. 24 DSGVO sehr allgemein gehalten und z. B. ein Verstoß gegen diese Norm nicht bußgeldbewährt ist.

Der EuGH verweist hier auch auf die Begründung des Generalanwalts. Dieser ging ganz explizit davon aus, dass eine solche hier in Rede stehende Informationspflicht zumindest nicht aus Art. 17 oder 19 DSGVO direkt ableitbar ist.

„Es trifft zu, dass Art. 17 Abs. 2 und Art. 19 DSGVO spezifische Informationspflichten festlegen, die „Verantwortliche“ (im Hinblick auf Daten, die öffentlich gemacht worden sind und deren Löschung beantragt worden ist) bzw. „Empfänger“ betreffen. Diese Bestimmungen erfassen jedoch nicht den in Rede stehenden Sachverhalt,…“

Dennoch, so der EuGH, ergebe sich aus den allgemeinen Verpflichtungen nach Art. 5 Abs. 2 und Art. 24 DSGVO in Verbindung mit Art. 19 DSGVO, dass ein Verantwortlicher geeignete technische und organisatorische Maßnahmen ergreifen muss, um die anderen Anbieter von Teilnehmerverzeichnissen, denen er solche Daten geliefert hat, über den an ihn gerichteten Widerruf der Einwilligung der betroffenen Person zu informieren.

Dies ergebe sich auch aus einer entsprechenden Auslegung des in Art. 12 Abs. 2 DSGVO vorgesehenen Erfordernisses, wonach der Verantwortliche verpflichtet ist, der betroffenen Person die Ausübung der Rechte zu erleichtern, die ihr u. a. durch Art. 17 DSGVO gewährt werden.

EuGH zu den Nachweispflichten bei der Löschung von Daten

Posted on by

In einem kürzlich ergangenen Urteil (Urt. v. 20.10.2022, C-77/21) befasste sich der EuGH mit der praxisrelevanten (wenn durchaus auch ungeliebten) Frage, welche Anforderungen bei der Löschung von Daten und insbesondere dem Nachweis der Erfüllung der Löschpflicht zu beachten sind.

Ausgangsverfahren

Ein ungarisches Unternehmen richtete nach einer technischen Störung, die den Betrieb eines Servers beeinträchtigte, unter der Bezeichnung „test“ eine Testdatenbank ein. In diese kopierte das Unternehmen personenbezogene Daten von ungefähr einem Drittel der Kunden, die in einer anderen Datenbank gespeichert waren, die mit einer Website verlinkt werden konnte und die aktualisierten Daten der Newsletter-Abonnenten für Zwecke der Direktwerbung sowie die Zugangsdaten der Systemadministratoren zur Schnittstelle der Website enthielt. Die ungarische Datenschutzbehörde entschied, dass das Unternehmen gegen Art. 5 Abs. 1 lit. b und e DSGVO verstoßen habe, da es die Testdatenbank nach der Durchführung der notwendigen Tests und Fehlerbeseitigungen nicht sofort gelöscht habe. Hierdurch seien in der Testdatenbank eine große Menge Kundendaten fast 18 Monate ohne irgendeinen Zweck und in einer Weise gespeichert worden seien, die die Identifizierung der betroffenen Personen ermöglicht habe.

Entscheidung des EuGH

In seinem Urteil befasst sich der EuGH ab Rz. 46 ff. mit dem Grundsatz der Speicherbegrenzung und damit auch der Frage der Lösch- und einer erforderlichen Nachweispflicht.

Zunächst stellt der EuGH (wie schon öfter in der Vergangenheit) klar, dass die Grundsätze des Art. 5 Abs. 1 DSGVO kumulativ einzuhalten sind. „Daher muss die Speicherung personenbezogener Daten nicht nur dem Grundsatz der „Zweckbindung“, sondern auch dem Grundsatz der „Speicherbegrenzung“ genügen“.

Bezogen auf den konkreten Fall bewertet der EuGH danach die Frage, ob Art. 5 Abs. 1 lit. e DSGVO dahin auszulegen ist, dass der in dieser Vorschrift vorgesehene Grundsatz der „Speicherbegrenzung“ es dem Verantwortlichen verwehrt, in einer zu Testzwecken und zur Behebung von Fehlern eingerichteten Datenbank personenbezogene Daten, die zuvor für andere Zwecke erhoben worden waren, länger zu speichern als für die Durchführung dieser Tests und die Behebung dieser Fehler erforderlich ist.

Nachweis über Erforderlichkeit der Speicherung

Nach Ansicht des EuGH muss der Verantwortliche in der Lage sein, gemäß dem Grundsatz der Rechenschaftspflicht, „nachzuweisen, dass die personenbezogenen Daten nur so lange gespeichert werden, wie es für die Erreichung der Zwecke, für die sie erhoben oder weiterverarbeitet wurden, erforderlich ist“.

Praktisch dürfte dies für ein Löschkonzept bedeuten, dass für personenbezogene Daten die jeweilige festgelegte Aufbewahrungsdauer genau geprüft und gut begründbar sein muss. Im Grunde sieht der EuGH hier zwei Ziele der Nachweispflicht:

  • Dass die personenbezogenen Daten rein faktisch nur für den Zeitraum der Erforderlichkeit verarbeitet werden und danach nicht mehr (personenbeziehbar) vorhanden sind.
  • Dass die Erforderlichkeit der Verarbeitung zur Erreichung der definierten Zwecke dargelegt werden kann.

Der erste Aspekt ist aus meiner Sicht eher ein technisches bzw. organisatorisches Thema. Der zweite Aspekt betrifft eher die juristische Begründung der Verarbeitung.

Ein Datum kann mehreren Zwecken dienen – aber irgendwann ist Schluss

Der EuGH stellt im Hinblick auf die Erforderlichkeit zudem klar, dass es nicht zwingend nur einen Verarbeitungszweck geben muss, für den ein Datum verwendet wird. Vielmehr kann ein Datum im Laufe der Zeit mehreren Zwecken dienen. Jedoch ist die Verarbeitung eines Datums dann nicht mehr zulässig, wenn das Datum für die Erreichung der Zwecke nicht mehr erforderlich ist. In diesem Fall muss das Datum gelöscht werden, wenn diese Zwecke erreicht sind. Für den konkreten Fall geht der EuGH daher davon aus, dass der Grundsatz der „Speicherbegrenzung“ es dem Verantwortlichen verwehrt, „in einer zu Testzwecken und zur Behebung von Fehlern eingerichteten Datenbank personenbezogene Daten, die zuvor für andere Zwecke erhoben worden waren, länger zu speichern als für die Durchführung dieser Tests und die Behebung dieser Fehler erforderlich ist“. Für die Praxis der Datenlöschung, etwa in Form eines Löschkonzepts, kommt dem Merkmal der „Erforderlichkeit“ und damit der Begründung, warum Daten noch verwendet werden müssen, entscheidende Bedeutung zu.

EDSA: Rechtgrundlage des Art. 6 Abs. 1 f) DSGVO als zusätzliche „Absicherung“ zu anderen Rechtsgrundlagen

Posted on by

Zuletzt hatte ich schon einmal aus dem Beschluss des EDSA in einem Verfahren der irischen Aufsichtsbehörde gegen Meta Platforms (bezüglich Instagram) berichtet. Nachfolgend möchte ich auf eine weitere relevante Ansicht des EDSA aus diesem Beschluss hinweisen.

Bekanntlich enthält Art. 6 Abs. 1 DSGVO verschiedene mögliche Rechtsgrundlagen für eine Datenverarbeitung. Oftmals stellt sich in der Praxis die Frage, ob ein Verantwortlicher einer Datenverarbeitung, die etwa auf Grundlage einer Einwilligung (Art. 6 Abs. 1 a) DSGVO), Art. 6 Abs. 1 b) DSGVO (Vertragsdurchführung) oder Art. 6 Abs. 1 c) DSGVO (Erfüllung rechtlicher Pflichten) erfolgt, zusätzlich dieselbe Verarbeitung auch auf Grundlage der Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO vornehmen kann. Dies insbesondere in solchen Fällen, in denen der Verantwortliche nicht ganz sicher ist, ob die eigentlich ausgewählte Rechtsgrundlage wirklich zu 100% erfüllt ist. Oder anders formuliert: darf ein Verantwortlicher, zur Absicherung einer Datenverarbeitung etwa auf Basis einer Einwilligung, diese Datenverarbeitung auch hilfsweise auf die Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO stützen?

Die Antwort hierauf gibt nun der EDSA in seinem Beschluss.

Die deutschen Aufsichtsbehörden vertraten die Auffassung, dass ein berechtigtes Interesse im Rahmen des Art. 6 Abs. 1 f) DSGVO nicht bestehen kann, wenn der für die Verarbeitung Verantwortliche es nur für den Fall geltend macht, dass Art. 6 Abs. 1 b) DSGVO auf der Grundlage des nationalen Rechts nicht auf Minderjährige anwendbar sei. Wenn also Art. 6 Abs. 1 b) DSGVO als Rechtsgrundlage nicht möglich wäre.

Der EDSA schließt sich dieser Interpretation nicht an; zumindest nicht pauschal (in Rz. 105 des Beschlusses).

Der EDSA verweist auf die Stellungnahme 6/2014 der damaligen Art. 29 Datenschutzgruppe zum Begriff des „berechtigten Interesses“ und folgenden Hinweis (S. 12):

„Andererseits kann eine angemessene Bewertung der Abwägung nach Artikel 7 Buchstabe f, häufig verbunden mit der Möglichkeit, von der Verarbeitung abzusehen, in anderen Fällen eine vertretbare Alternative zu einem unangemessenen Berufen etwa auf die Voraussetzung der „Einwilligung“ oder der „Notwendigkeit für die Erfüllung eines Vertrags“ darstellen. So gesehen, bietet Artikel 7 Buchstabe f zusätzliche Sicherheiten – die geeignete Maßnahmen erfordern – im Vergleich zu den anderen, vordefinierten Voraussetzungen“.

Daher, so der EDSA, scheint es nicht unmöglich, dass ein Verantwortlicher sich auf Art. 6 Abs. 1 f) DSGVO beruft, wenn in Anbetracht der besonderen Umstände der Verarbeitung die Anforderungen der DSGVO erfüllt sind. Der EDSA erteilt hier meines Erachtens (noch) keinen Freifahrtschein dafür, stets pauschal auch Art. 6 Abs. 1 f) DSGVO mit anzuwenden. Jedoch insbesondere in solchen Fällen, in denen die eigentlich angedachte Rechtsgrundlage (aus welchen Gründen auch immer) ein gewisses rechtliches Risiko birgt. Hierzu wird man etwa im Fall des Art. 6 Abs. 1 lit. b) DSGVO auch den Umstand zählen können, dass ein Vertrag aufgrund spezieller nationaler Regelungen nicht wirksam wäre.  Der EDSA gesteht aber in jedem Fall ein mögliches berechtigtes Interesse auch dann zu, falls Art. 6 Abs. 1 f) DSGVO dann genutzt werden soll, wenn die Voraussetzungen der eigentlich angedachten Rechtsgrundlage eventuell nicht (mehr) vorliegen – also als „Absicherung“ der Datenverarbeitung.  

Wirkt ein Verstoß gegen Art. 24 DSGVO bußgelderhöhend? Deutsche Aufsichtsbehörden: ja. EDSA: nein.

Posted on by

Ich hatte nun ein wenig Zeit, über den interessanten Beschluss des EDSA nach Art. 65 DSGVO zu dem Entwurf des Bußgeldbescheides der irischen Datenschutzbehörde gegen Meta Platforms (bezüglich Instagram) zu schauen.

In solchen Beschlüssen finden sich immer viele praxisrelevante Ansichten und Aussagen der einzelnen europäischen Behörden, aber natürlich auch die jeweilige Position des EDSA hierzu.

Ein interessantes Beispiel ist hierbei die Frage, ob eine Verletzung der Vorgaben von Art. 24 DSGVO im Rahmen der Bußgeldbemessung erhöhend zu berücksichtigen ist. Hintergrund: ein Verstoß gegen Art. 24 DSGVO ist an sich eigentlich nicht selbst bußgeldbewährt. Weder in Art. 83 Abs. 4 noch Abs. 5 DSGVO wird Art. 24 genannt. Man könnte also wohl davon ausgehen, dass der Gesetzgeber dies bewusst so geregelt hat.

In dem bindenden Beschluss wird darauf hingewiesen, dass die irische Behörde von einem Verstoß gegen Art. 24 DSGVO ausging (Rz. 169: „Regarding the infringement of Article 24 GDPR, the IE SA stated that this infringement was considered separately…“). Jedoch wollte die irische Behörde diesen Verstoß nicht erhöhend im Rahmen der Bußgeldbemessung berücksichtigen.

Dieser Ansicht traten die deutschen Datenschutzbehörden offensichtlich entschieden entgegen.

Rz. 176: „As for aggravating factors, the DE SAs stated that the LSA should have considered the infringement of Article 24 GDPR as an aggravating factor in respect of the other infringements under Article 83(2)(k) GDPR.”

Nach Art. 83 Abs. 2 lit. k DSGVO sind „jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall“ gebührend zu berücksichtigen.

Die deutschen Behörden waren der Ansicht, dass der Verstoß gegen Art. 24 DSGVO schärfend im Rahmen des Art. 83 Abs. 2 lit. k DSGVO berücksichtigt werden müsse. Zwar sei der Verstoß gegen die Norm selbst nicht ausdrücklich in Art. 83 DSGVO bußgeldbewährt, jedoch müsse der Verstoß bei der Entscheidung der Behörde berücksichtigt werden. Art. 83 Abs. 2 lit. k DSGVO sei bewusst sehr offen formuliert und daher müsste auch der Verstoß hierunter als Faktor fallen.

Diese Ansicht teilt der EDSA jedoch nicht.

Rz 211: „At the same time, the EDPB agrees with the IE SA that the infringement of Article 24 GDPR cannot be considered an aggravating factor under Article 83(2)(k) GDPR”.

Der EDSA geht davon aus, dass der Gesetzgeber sehr bewusst Verstöße gegen Art. 24 DSGVO gerade nicht in die Aufzählungen in Art. 83 Abs. 4 und 5 DSGVO aufgenommen habe. Hierzu wird darauf verwiesen, dass in früheren Versionen der DSGVO Art. 24 DSGVO in dem Katalog des Art. 83 noch enthalten war. Wenn man aber nun, der Ansicht der deutschen Behörden folgend, eine Verletzung von Art. 24 DSGVO dennoch strafschärfend berücksichtigen würde, wäre ein solcher Verstoß zumindest indirekt doch mit Bußgeld belegt. Aus diesem Grund folgt der EDSA der Ansicht der deutschen Behörden nicht.

Jedoch, so der EDSA, ist das Prinzip der Rechenschaftspflicht und damit der Verantwortlichkeit, welches in Art. 24 DSGVO ebenso wie in Art. 5 Abs. 2 DSGVO zum Ausdruck kommt, generell als Faktor bei der Bußgeldbemessung zu berücksichtigen. Hierzu verweist der EDSA auf seine Leitlinien zu Bußgeldern.

Fazit

Zum einen zeigt dieses Beispiel erneut anschaulich, wie unterschiedlich die Interpretationen zur DSGVO, auch innerhalb der Aufsichtsbehörden, sind. Und wie wichtig hierbei eine bindende Instanz wie der EDSA ist. Inhaltlich kann man mitnehmen, dass der Verstoß gegen einen Artikel der DSGVO, der gerade nicht in dem Katalog des Art. 83 Abs. 4 und 5 DSGVO benannt ist, nicht per se bußgelderhöhend wirkt.

Datenschutzbehörde: Produktbewerbung „DS-GVO-konform“ schützt nicht vor Bußgeldern

Posted on by

Aus meiner Sicht eigentlich eine Selbstverständlichkeit, jedoch immer wieder auch in der Praxis ein Diskussionsthema. Wenn Unternehmen Produkte (etwa Cloud-Dienst, Software etc.) verwenden möchten, die im Rahmen der eigenen Bewerbung mit dem Zusatz „DS-GVO-konform“ versehen sind, schützt dies den datenschutzrechtlich Verantwortlichen natürlich nicht per se vor Sanktionen. Erforderlich ist stets, dass man als Kunde (und datenschutzrechtlich Verantwortlicher) selbst prüft, ob ein Umgang mit personenbezogenen Daten tatsächlich zulässig erfolgen kann.

Der Hessische Datenschutzbeauftragte informiert hierüber in seinem aktuellen Tätigkeitsbericht 2021 (PDF, S. 133). Dort geht es um datenschutzrechtliche Fragen der Mitarbeiterüberwachung, etwa bei der Arbeitszeiterfassung.

Erfolgt eine unzulässige Verarbeitung von Mitarbeiterdaten durch den Arbeitgeber, so drohen u.a. Bußgelder nach der DSGVO. Hierzu informiert die Datenschutzbehörde:  

„wobei Arbeitgeber sich im Rahmen eines Bußgeldverfahrens nicht durch den Einwand exkulpieren können, dass das eingesetzte Produkt mit dem Zusatz „DS-GVO-konform“ beworben wird. Als Verantwortliche im Sinn des Art. 4 Nr. 7 DS-GVO sind Arbeitgeber nach Art. 5 Abs. 2 DS-GVO für die Einhaltung der Grundsätze der Verarbeitung verantwortlich und rechenschaftspflichtig.“

Wie gesagt, ist diese Feststellung meines Erachtens wenig überraschend. Rein datenschutzrechtlich muss man als Verantwortlicher stets selbst prüfen bzw. entsprechend vorbereitete Dokumente eines Dienstleisters prüfen, ob personenbezogene Daten zulässig verarbeitet werden können. Eine andere Frage ist, ob man als Kunde vertragsrechtliche Ansprüche gegen den Anbieter des Produkts geltend machen kann, wenn dieser etwa eine DSGVO-Konformität zusichert oder mit dieser für sein Produkt wirbt.