Landesarbeitsgericht: Frist zur Beantwortung von Auskunftsersuchen beträgt einen Monat – auch wenn der Betroffene (oder sein Anwalt) eine kürzere Frist setzen

Posted on by

In der Praxis werden Auskunftsansprüche nach Art. 15 DSGVO oft mit einer Fristsetzung durch Betroffene verbunden. So wird etwa gefordert, die Auskunft innerhalb von ein oder zwei Wochen zur Verfügung zu stellen.

Das Landesarbeitsgericht (LAG) Baden-Württemberg (Urteil vom 28.7.2023, 9 Sa 73/21) hatte sich in einer Entscheidung mit der Frage zu befassen, ob Betroffene einen Anspruch auf Erfüllung des Auskunftsrechts innerhalb der von ihnen (oder ihrem Rechtsanwalt) gesetzten Frist haben. Auch wenn diese von den gesetzlichen Vorgaben abweicht.

Sachverhalt

Der Kläger des Verfahrens stand bei der Beklagten in einem Ausbildungsverhältnis. Ihm wurde eine Abmahnung erteilt. Mit E-Mail vom 25.03.2020 wandte sich der Prozessbevollmächtigte des Klägers an die Beklagten und verlangte u.a. bis zum 03.04.2020 Auskunft über die personenbezogenen Daten des Klägers gem. Art. 15 DSGVO sowie Übermittlung der Personalakte des Klägers.

Entscheidung

Nach Art. 12 Abs. 3 DSGVO stellt der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Art. 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.

Das LAG musste prüfen, wie sich die kurze Fristsetzung (9 Tage) zu der gesetzlichen Vorgabe des Art. 12 Abs. 3 DSGVO verhält.

Das Gericht geht davon aus, dass die Setzung einer kürzeren Frist, als jener in Art. 12 Abs. 3 DSGVO, irrelevant ist.

Nach Ansicht des LAG sind die Fristen für die Auskunftserteilung gesetzlich geregelt.

„Setzt der Auskunftsberechtigte eine zu kurze Frist, kann das nichts daran ändern, dass die Frist nach Art. 12 Abs. 3 DSGVO gilt.“

Verantwortliche haben also grundsätzlich die gesetzlich vorgesehene Zeit, um die Auskunft zu erteilen. Natürlich darf in der Praxis aber nicht unbeachtet bleiben, dass due Auskunft grundsätzlich „unverzüglich“ zu erteilen ist. Die Auskunft kann also auch vor Ablauf der Monatsfrist erteilt werden, wenn dies möglich ist.

Das Gericht führt weiter aus:

„Vor Ablauf dieser Frist braucht der Verantwortliche, hier die Beklagten zu eins und zu zwei die Ansprüche nicht erfüllen.“

Verantwortliche müssen nach Ansicht des LAG also auf eine zu kurze Fristsetzung nicht reagieren, sondern sind an die gesetzlichen Vorgaben gebunden.

Zudem geht das LAG aber auch davon aus, dass eine zu kurz gesetzte Frist den Auskunftsanspruch nicht gegenstandlos macht. Dieser ist weiterhin zu erfüllen – nur eben innerhalb der gesetzlichen Frist.

Folgt man den Erwägungen des LAG, sollten sich Verantwortliche in der Praxis also bei Fristsetzungen durch Betroffene oder ihre Vertreter nicht unter Druck setzen. Es gelten die gesetzlichen Vorgaben. So hatte etwa in der Vergangenheit auch das BayLDA in seinem Tätigkeitsbericht 2019 (S. 26) festgestellt:

„„Unverzüglich“ bedeutet nicht, dass eine Reaktion auf die Anfrage sofort zu erfolgen hat, sondern dass die Anfrage „ohne schuldhaftes Zögern“ zu bearbeiten ist.“

Sollte etwa innerhalb der Monatsfrist eine Beschwerde bei der Aufsichtsbehörde eingereicht werden, geht das BayLDA davon aus, dass es nicht tätig werden kann – da die Monatsfrist noch nicht abgelaufen ist.

Schwedische Datenschutzbehörde: E-Mail-Kommunikation mit Informationen zur Optimierung oder Personalisierung eines kostenpflichtigen Online-Dienstes ist nicht „notwendig“ zur Vertragserfüllung (Art. 6 Abs. 1 b) DSGVO) – sondern Direktmarketing

Posted on by

In einer Entscheidung (PDF) vom 1. April 2022 musste sich die schwedische Datenschutzbehörde (IMY) mit der Beschwerde eines Kunden eines Online-Dienstes für den digitalen Vertrieb von Zeitungen und Zeitschriften befassen.

Sachverhalt

Der Beschwerdeführer meldete sich als Kunde an und lehnte am selben Tag über sein Benutzerkonto ab, in Zukunft E-Mails von dem Unternehmen zu erhalten. Dennoch erhielt er mehrere E-Mails von dem Unternehmen. Nachdem sich der Beschwerdeführer an den Kundendienst des Unternehmens gewandt hatte, wurde der Versand von E-Mails eingestellt.

Das Unternehmen gibt an, dass es zwischen Mailings, die auf einem Vertrag beruhen, und Mailings zu Marketingzwecken, die auf einem berechtigten Interesse beruhen, einen Unterschied macht. Die E-Mails, die der Beschwerdeführer erhielt, dienten der Kommunikation mit dem Nutzer über den Dienst und haben den Vertrag als Rechtsgrundlage. Die E-Mails waren Teil der Begrüßungsroutine für neu registrierte Nutzer. Der Zweck bestehe darin, dem Nutzer zu erklären, wie der Dienst funktioniert und welche Funktionen er enthält. Das Unternehmen ist der Ansicht, dass die personenbezogenen Daten nicht zu Marketingzwecken verarbeitet wurden und dass die Verarbeitung auf Grundlage des Vertrages mit dem Beschwerdeführer und, hilfsweise, auf berechtigten Interessen beruht.

Entscheidung

IMY hatte zu beurteilen, ob die Verarbeitung auf Art. 6 Abs. 1 b) DSGVO gestützt werden kann. Notwendig ist dafür, dass die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen.

IMY stellt fest, dass mehrere der E-Mails Informationen darüber enthielten, wie der Beschwerdeführer den Dienst entsprechend seinen persönlichen Interessen weiter optimieren und personalisierte Empfehlungen auf der Grundlage seines Leseverhaltens erhalten kann.

Das Unternehmen teilte Kunden auch mit, dass es personalisierte Inhalte anbietet. Nach Ansicht von IMY kann jedoch nicht davon ausgegangen werden, dass ein durchschnittlicher Nutzer dies als notwendigen Bestandteil des Dienstes versteht oder wahrnimmt.

Ein weiteres Argument von IMY gegen den Vertrag als Rechtsgrundlage:

„Die Tatsache, dass das Unternehmen auch die Möglichkeit bietet, sich von solchen E-Mails abzumelden, deutet darauf hin, dass die Verarbeitung personenbezogener Daten nicht für die Erfüllung des Vertrags erforderlich war.“

Die Aufsichtsbehörde argumentiert hier also mit der faktischen Umsetzung durch das Unternehmen. Ein Widersprich gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 b) DSGVO wäre ja nicht möglich. Wenn das Unternehmen dies aber ggü. Kunden dennoch anbietet und umsetzt, spricht dies nach Ansicht der Aufsichtsbehörde dafür, dass eine andere Rechtsgrundlage einschlägig ist.

IMY verlangt (wie in der Vergangenheit insb. auch der EDSA), dass der für die Verarbeitung Verantwortliche nachweist, dass der Hauptzweck des konkreten Vertrags in der Praxis nicht erreicht werden kann, wenn die fragliche Verarbeitung nicht durchgeführt wird. Die Aufsichtsbehörde folgt hier also einer sehr strengen Auslegung des Erforderlichkeitsmerkmals in Art. 6 Abs. 1 b) DSGVO.

Nach Auffassung der IMY bestand die durch Geld erworbene Dienstleistung hier aber nur darin, Zeitungen und Zeitschriften digital zu lesen, was der Hauptzweck des Vertrags sei.

Daher begründete IMY:

„… die E-Mails, die der Beschwerdeführer mit individuell zugeschnittenem Inhalt erhalten hat, sind nicht objektiv notwendig, um den Hauptzweck des Vertrags zu erfüllen, d. h. die Bereitstellung eines digitalen Zeitungs- und Zeitschriftenabonnements. IMY ist der Ansicht, dass diese E-Mails nicht auf Artikel 6 Absatz 1 Buchstabe b DSGVO gestützt werden können.“

Nach Ansicht von IMY dienen die E-Mails in erster Linie dazu, den Zugang zu und die Erfahrung mit dem Dienst zu verbessern. Jedoch eben gerade nicht dem Hauptzweck des Vertrages. Die Verwendung der Daten zur Information über individuell angepasste Inhalte stelle daher Direktmarketing dar.

Fazit

Eine solche Argumentation kann (meiner Meinung nach) Auswirkungen auf andere ähnliche Geschäftsmodelle haben, wenn weitere Datenschutzbehörden ebenfalls eine so strenge Auffassung vertreten. Die strenge Interpretation liegt, dass muss man zugestehen, auf der bisherigen Linie des EDSA und jüngst wohl auch des EuGH.

Sollten Unternehmen Funktionen wie eine Personalisierung anbieten und die damit zusammenhängende Verarbeitung auf Grundlage von Art. 6 Abs. 1 b) DSGVO begründen wollen, wäre als Folge aus dieser Entscheidung in jedem Fall ein konsistentes Vorgehen und entsprechende Begründung hinsichtlich der Betroffenenrechte wichtig. Wenn die Rechtsgrundlage der Art. 6 Abs. 1 b) DSGVO ist, gibt es keine Widerspruchsmöglichkeit nach Art. 21 DSGVO. Ob man dennoch eine Widerspruchsmöglichkeit einräumt, bleibt natürlich Unternehmen überlassen. In diesem Fall ist eine solche Umsetzung dann auf der juristischen Ebene quasi „zum Boomerang“ geworden.

Geplante Gesetzesänderung: BfDI als alleinige Datenschutzaufsichtsbehörde für alle Kranken- und Pflegekassen (und mehr)

Posted on by

Etwas unter dem Rader des „Team Datenschutz“ (zumindest habe ich dazu bisher wenig gelesen), schlägt das Bundesgesundheitsministerium (BMG) eine Zentralisierung der Datenschutzaufsicht u.a. im Bereich der Kranken- und Pflegekassen vor.

In dem Referentenentwurf (PDF) eines Gesetzes zur verbesserten Nutzung von Gesundheitsdaten (Gesundheitsdatennutzungsgesetz – GDNG) schlägt das BMG eine Anpassung des § 9 BDSG vor.

Es wird ein neuer Absatz 3 angefügt:

(3) „Der oder dem Bundesbeauftragten obliegt die ausschließliche Zuständigkeit für die Aufsicht über Stellen, die gesundheitsbezogene Sozialdaten im Sinne des § 67 Zehntes Buch Sozialgesetzbuch verarbeiten, sowie über

1. die Kranken- und Pflegekassen,

2. den Spitzenverband Bund der Krankenkassen,

3. die Kassenärztlichen Vereinigungen sowie…

Laut der Begründung (S. 42) werde eine einheitliche Datenschutzpraxis oft durch unterschiedliche Auslegung verschiedener Aufsichtsbehörden verhindert. Daher werde dem BfDI mit § 9 Absatz 3 BDSG eine breitere Zuständigkeit eingeräumt.

Ganz ausdrücklich wird hier noch einmal klargestellt:


„So wird er alleine die Aufsicht über Stellen übernehmen, soweit sie Sozialdaten im Sinne des § 67 Zehntes Buch Sozialgesetzbuch verarbeiten, die unter die Definition der Gesundheitsdaten gemäß Artikel 4 Nummer 15 der Verordnung (EU) 2016/679 fallen. Darüber hinaus wird er die Aufsicht über Kranken- und Pflegekassen, den Spitzenverband Bund der Krankenkassen, die Kassenärztlichen Vereinigungen sowie den Kassenärztlichen Bundesvereinigung, das Zentralinstitut für die kassenärztliche Versorgung und die Kassenzahnärztlichen Vereinigungen sowie die Kassenzahnärztliche Bundesvereinigung erhalten.“

Die vorgeschlagene Änderung wäre schon ein ziemlicher Paradigmenwechsel in der aufsichtsbehördlichen Zuständigkeit im Bereich Datenschutz. Bisher ist der BfDI für sog. bundesunmittelbare Krankenkassen zuständig. Das sind größere Kassen, die in mehreren Bundesländern aktiv sind.

Neu wäre jetzt, dass der BfDI für jegliche Krankenkasse zuständig ist. Also auch für allein in einem Bundesland tätige Kassen oder auch die Betriebskrankenkassen von Unternehmen. Bedeutet in der Konsequenz natürlich auch eine Zersplitterung der Aufsicht innerhalb eines Konzerns bzw. einer Unternehmensgruppe.

Eine Übersicht aller gesetzlichen Krankenkassen findet man beim GKV. Für all diese Kassen wäre also der BfDI allein zuständig. Ganz besonders brisant ist meines Erachtens nicht nur diese geplante Änderung, sondern auch der Vorschlag zur alleinigen Zuständigkeit für „Stellen, die gesundheitsbezogene Sozialdaten im Sinne des § 67 Zehntes Buch Sozialgesetzbuch verarbeiten“. Die Landesdatenschutzbehörden weisen in ihrer Stellungnahme (PDF) darauf hin, dass hier etwa Jobcenter, Rentenversicherungen, Unfallversicherungen oder auch Jugendämter in Betracht kommen.

Update vom 1.9.23:

In der Kabinettsvorlage des Gesetzesentwurfs (PDF) zum GDNG ist der Vorschlag für einen neuen § 9 Abs. 3 BDSG nicht mehr enthalten.

Geplante Änderung des BDSG – Neue Zuständigkeitsregelung für gemeinsam Verantwortliche

Posted on by

Derzeit befindet sich der Referentenentwurf zur Änderung des BDSG in der Verbändeanhörung. Der Referentenentwurf wurde über eine Anfrage bei FragDenStaat öffentlich gemacht.

Nachfolgend möchte ich einige Anmerkungen zu einem neuen § 40a (Artikel 1 Nr. 13 des Entwurfs) machen. 

Der Vorschlag für § 40a BDSG, der sich mit der Zuständigkeit im Fall der gemeinsamen Verantwortlichkeit befasst, ist wie folgt:

§ 40a Aufsichtsbehörde gemeinsam verantwortlicher Unternehmen

Sind Unternehmen gemeinsam Verantwortliche gemäß Artikel 26 der Verordnung (EU) 2016/679 und mehrere Aufsichtsbehörden für sie zuständig, können die Unternehmen gemeinsam anzeigen, dass sie gemeinsam verantwortliche Unternehmen sind und deshalb für die von ihnen gemeinsam verantwortete Datenverarbeitung allein die Aufsichtsbehörde zuständig sein soll, in deren Zuständigkeitsbereich das Unternehmen fällt, das in dem der Antragstellung vorangegangenen Geschäftsjahr den größten Jahresumsatz erzielt hat. Die gemeinsame Anzeige ist an alle Aufsichtsbehörden zu richten, die für die gemeinsam verantwortlichen Unternehmen zuständig sind, und muss die das umsatzstärkste Unternehmen nachweisenden Unterlagen enthalten. Ab dem Zeitpunkt, zu dem die Anzeige im Sinne der Sätze 1 und 2 bei der für das umsatzstärkste Unternehmen zuständigen Behörde eingegangen ist, wird diese die allein zuständige Aufsichtsbehörde. § 3 Absatz 3 und 4 des Verwaltungsverfahrensgesetzes findet entsprechende Anwendung.

In der Begründung (S. 17) wird betont, dass die gemeinsame Verantwortlichkeit ein Rechtsinstitut mit großen praktischen Auswirkungen ist. Zudem sei (nach der Rechtsprechung des Europäischen Gerichtshofs) der Anwendungsbereich der gemeinsamen Verantwortlichkeit sehr weit gefasst. 

„Als Anwendungsfälle gemeinsamer Verantwortlichkeit kommen zum Beispiel in Betracht: Datenplattformen, Unternehmenspräsenz in sozialen Medien (wie Facebook, Twitter, Instagram, XING), Stammdatenverwaltung im Unternehmensverbund, konzernweites Customer-Relationship-Management oder Nutzung eigener Datenbestände für Werbezwecke Dritter.“

Zweck des vorgeschlagenen § 40a BDSG ist laut der Begründung (S. 11), Unternehmen, die Möglichkeit zu geben, ihre gemeinsame Verantwortlichkeit anzuzeigen und „als Rechtsfolge der Anzeige per Gesetz die alleinige Zuständigkeit nur einer einzigen Aufsichtsbehörde herbeizuführen“. 

Die Rechtsänderung soll für die betroffenen Unternehmen auch eine entlastende Wirkung haben, da mögliche behördliche Vorgaben im Zusammenhang mit der Befolgung von Vorschriften der DSGVO nur noch zentral durch eine Stelle erfolgen. 

Anmerkungen

1.

Ganz interessant finde ich, dass der Entwurf mehrere Beispiele benennt, wann aus Sicht des Ministeriums eine gemeinsame Verantwortlichkeit vorliegen kann. Die Annahme, dass Art. 26 DSGVO große Praxisrelevanz hat, ist meiner Erachtens zutreffend. 

Kritisch bzw. mit dem BDSG inkonsistent sehe ich die Verwendung des Begriffs „Unternehmen“. Dieser wird im BDSG ansonsten nicht in dieser Weise genutzt, sondern vielmehr „nichtöffentliche Stellen“ (vgl. § 1 Abs. 4 BDSG). Hier stellt sich die Frage, ob mit „Unternehmen“ etwas anderes gemeint ist, als eine „nichtöffentliche Stelle“? In der Begründung wird auf Art. 4 Nr. 18 DSGVO verwiesen. Soll hier also auf den Begriff „Unternehmen“ nach der DSGVO abgestellt werden? Gibt es einen Unterschied zur „nichtöffentlichen Stelle“ iSd BDSG?

2.

Mir stellt sich auch die Frage, was mit „zuständig“ gemeint ist. Denn nach der DSGVO gibt es ja eine, wenn man so will, einfache Zuständigkeit und bei grenzüberschreitenden Verarbeitungen auch eine federführende Zuständigkeit. Welche ist hier mit „zuständig“ adressiert? Genügt es also für § 40a, wenn für gemeinsam Verantwortliche schlicht Aufsichtsbehörden zuständig sind, etwa allein aufgrund des Sitzes eines Unternehmens? Oder soll § 40a im Fall von eigentlich mehreren federführend zuständigen Aufsichtsbehörden eine Möglichkeit bieten, eine dieser Aufsichtsbehörden auszuwählen? Wenn dies nicht gemeint ist, könnte man ggfs. auch dazu kommen, dass eine „einfach“ zuständige Behörde auf einmal als Aufsichtsbehörde für die gemeinsame Verantwortlichkeit ausgewählt (bzw. „angezeigt“) wird. 

3.

Laut der Begründung soll die Anzeige tatsächlich eine Rechtsfolge auslösen, nämlich die Zuständigkeit festzulegen. Daher hielte ich es für sehr relevant, das Anzeigeverfahren klar und transparent zu regeln. In welcher Form kann die Anzeige zB erfolgen? Per Fax, E-Mail, elektronischem Behördenpostfach? Diesen Punkt halt ich besonders auch deshalb für wichtig, da nach § 40a ja Unterlagen mit gesendet werden soll. In der Praxis haben wir aber das Problem, dass Aufsichtsbehörden zum Teil E-Mail mit Anhängen nicht annehmen oder Anhänge zu groß sind. 

4.

Rechtsfolge der Anzeige ist laut Begründung „per Gesetz die alleinige Zuständigkeit nur einer einzigen Aufsichtsbehörde herbeizuführen“. Dies verstehe ich so, dass die Aufsichtsbehörde an diese Anzeige ebenfalls gebunden sein sollen. Zumindest wird keine Unterscheidung der Rechtsfolge für Verantwortliche und/oder Aufsichtsbehörden vorgenommen. 

Was geschieht aber, wenn eine beteiligte Aufsichtsbehörde nicht einverstanden ist bzw. die Angaben aus der Anzeige anzweifelt? Gibt es hier rechtliche Möglichkeiten der anderen Aufsichtsbehörden, gegen den Akt der Anzeige und/oder seine Rechtswirkung vorzugehen? 

Dasselbe Problem ergibt sich meines Erachtens auch für den Kreis der Verantwortlichen? Wenn ein Unternehmen mit anderen Partnern gemeinsamer Verantwortlicher ist, und dann ein Verantwortlicher voreilig die Anzeige versendet, bindet dies alle gemeinsam Verantwortlichen mit Eingang der Anzeige? Wenn ja, gibt es hiergegen eine Rechtsschutzmöglichkeit für andere Verantwortliche?

Zudem stellt sich mir die Frage, wie man die Rechtsfolge einer Anzeige zurücknehmen kann? Oder ist dies gar nicht vorgesehen. 

5.

Und noch zu dem entscheidenden Zuständigkeitskriterium des § 40a. Die Norm gibt vor, dass allein die Aufsichtsbehörde zuständig sein soll, in deren Zuständigkeitsbereich das Unternehmen fällt, das in dem der Antragstellung vorangegangenen Geschäftsjahr den größten Jahresumsatz erzielt hat. Das Anknüpfungskriterium des Umsatzes ist meines Erachtens für behördliche Zuständigkeitsfragen ungeeignet. Zum einen kann dies im Ergebnis bedeuten, dass eine Aufsichtsbehörde an dem Sitz eines Unternehmens allein (!) zuständig wird, an dem es keine Leitungspersonen gibt. Hierauf stellt die DSGVO aber gerade bei Fragen der Zuständigkeit, insbesondere bei der Hauptniederlassung, ab. Will man, was sich wohl auf der Begründung ableiten lässt, wegen möglicher Bußgelder die alleinige Zuständigkeit am Ort des höchsten Umsatzes begründen, bricht dies daher aus meiner Sicht mit der Systematik der DSGVO. 

6.

Zudem stellt sich mir die Frage, was es bedeutet, wenn eine Aufsichtsbehörde „allein … zuständig sein soll“? Gelten dann nicht mehr die Vorgaben der DSGVO (bzw. auch des BDSG) zur Zuständigkeit von allen betroffenen Behörden? Will § 40a BDSG also im Grunde das System der federführenden Behörde im Bereich der gemeinsamen Verantwortlichkeit nicht fortführen. Dafür könnte man vorbringen, dass nach Ansicht des EDSA die DSGVO für den Fall des Art. 26 DSGVO gerade keine Zuständigkeitsvorgaben enthält. 

Andererseits durchzieht die DSGVO ja gerade der Gedanke der Abstimmung zwischen zuständigen Aufsichtsbehörden, was gerade der einheitlichen Anwendung der DSGVO dienen soll. Mit dem Vorschlag in § 40a BDSG, wirklich eine komplett singuläre Zuständigkeit einzuführen, die auch nicht einmal mehr im Rahmen von Abstimmungen vor Entscheidungen unter den Aufsichtsbehörden „aufgemacht“ wird, schafft man im Grunde eine zuständige „Superbehörde“, auf deren Entscheidungen andere Aufsichtsbehörden nicht einmal mehr Einfluss nehmen könnten. 

Datenschutzbehörde Österreich: Unzulässige Datenabfragen durch Mitarbeiter können Meldepflichten (Art. 33 und 34 DSGVO) an die Datenschutzbehörde und Betroffene auslösen

Posted on by

Mit Bescheid vom 1.  Januar 2023 entschied die österreichische Datenschutzbehörde, dass ein Verantwortlicher, nachdem eine Art. 33-Meldung durchgeführt wurde, auch die betroffene Person nach Art. 34 DSGVO benachrichtigen muss.

Ein interessanter Aspekt in dem Verfahren war die Frage, ob ein Verantwortlicher (als Arbeitgeber) den Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO unterliegt, wenn intern ein Mitarbeiter unberechtigt auf personenbezogene Daten zugreift und diese verwendet. Im konkreten Fall brachte der Verantwortliche vor, dass er für diesen Zugriff gerade nicht datenschutzrechtlich verantwortlich sei, sondern die Mitarbeiterin und daher auch keine Meldepflicht bestünde. Die DSB sah dies anders.

Sachverhalt

Es ging in dem Verfahren um eine Veröffentlichung von Gesundheitsdaten der betroffenen Person im Rahmen eines Social-Media-Beitrags einer Mitarbeiterin der Verantwortlichen. Eine zur Verantwortlichen in einem Ausbildungsverhältnis stehende und bei einer Klinik tätige Mitarbeiterin (Praktikantin) hat im Rahmen ihrer Tätigkeit elektronisch vorhandene Daten einer Patientin (betroffene Person) der Verantwortlichen abgefragt und in weiterer Folge ein Lichtbild des elektronisch dokumentierten Krankheitsverlaufes derselben im Rahmen ihres Social-Media Profils auf einer Plattform veröffentlicht.

Die Verantwortliche macht nur vorsorglich eine Meldung nach Art. 33 DSGVO, da sie u.a. Zweifel an ihrer Verantwortlichkeit und damit der rechtlichen Verpflichtung zur Meldung an die DSB hatte.

Entscheidung

Die DSB geht in ihrem Bescheid davon aus, dass die Verantwortlich sehrwohl einer Meldepflicht nach Art. 33 DSGVO unterliegt, auch wenn eine unzulässige Datenverarbeitung durch eine unbefugt handelnde Mitarbeiterin erfolgt. Im Grunde trennt die DSB klar zwischen zwei Verantwortlichkeitsbereichen:

  • Arbeitgeberin (Verantwortliche): Umsetzung geeigneter technischer rund organisatorischer Maßnahmen, um unbefugte Datenverarbeitungen zu unterbinden.
  • Mitarbeiterin (als eigene Verantwortliche): unbefugter Zugriff auf Patientendaten und Veröffentlichung dieser Daten.

Zunächst stellt die DSB klar, dass Art. 33 Abs. 1 DSGVO ausdrücklich zu entnehmen ist, dass sich die darin normierte Meldeverpflichtung ausschließlich an den jeweiligen Verantwortlichen richtet.

Zwar geht auch die DSB davon aus, dass

„aus (zweckwidrigen und unternehmensfremden) Datenabfragen uÄ durch Mitarbeiterinnen und Mitarbeiter – insbesondere zu rein privaten Zwecken – im Einzelfall eine eigenständige (uU ausschließliche) datenschutzrechtliche Verantwortlichkeit der natürlichen Person abgeleitet werden kann“.

Jedoch weist die DSB darauf hin, dass Gegenstand des vorliegenden Verfahrens nicht die Verantwortlichkeit dieser Mitarbeiterin ist, sondern

„vielmehr die – gewissermaßen vorgelagerte – Melde- und Benachrichtigungsverpflichtungen der (möglicherweise bloß ursprünglichen) Verantwortlichen“.

Die DSB stützt sich für ihre Ansicht auch auf die Leitlinien 07/2020 des EDSA zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“, wonach selbst, wenn ein Beschäftigter seine Befugnis im Zusammenhang mit der Verarbeitung von Daten (unzulässigerweise) überschreitet, die Organisation als Verantwortlicher angemessene technische und organisatorische Maßnahmen umsetzen muss, um die Einhaltung der DSGVO sicherzustellen.

Zudem verweist die DSB auf eine Entscheidung des österreichischen Bundesverwaltungsgerichts vom 20. Januar 2022. Dort ging das BVwG im Falle der eigenmächtigen Datenverwendung durch einen Bediensteten davon aus, dass die dahinterstehende Organisation (konkret: Behörde) weiterhin für die Art und Weise der Verarbeitung bzw. Verwendung durch deren Bedienstete verantwortlich sei, auch soweit es sich um eine sorgfaltswidrige Verwendung oder überschießende Akteneinsicht handle.

„In diesem Zusammenhang wurde darauf hingewiesen, dass rechtlich zwischen dem datenschutzrechtlich relevanten Verhalten der Behörde (als ursprüngliche Verantwortliche) und dem datenschutzrechtlich relevanten Verhalten eines/einer allfälligen Dritten zu unterscheiden sei.“

Daher kommt die DSB zu dem Ergebnis, dass ein ursprünglich datenschutzrechtlicher Verantwortlicher – selbst bei Verlust der Verfügungsmacht über oder bei unberechtigtem Zugriff Dritter auf dessen Datenbestand – Verpflichteter iSd Art. 33 und 34 DSGVO ist bzw. bleibt und sich das diesbezügliche Vorbringen der Verantwortlichen im Verfahren als unbeachtlich erwies.

Keine Beschwerde bei der Datenschutzbehörde, wenn der Verantwortliche Geld zahlt – Österreichische Aufsichtsbehörde: Rechtsmissbrauch. 

Posted on by

Die österreichische Datenschutzbehörde (DSB) hat Anfang 2023 in einem Bescheid festgestellt, dass die Behörde nicht tätig werden muss, wenn ein Beschwerdeführer zuvor dem Verantwortlichen gegen Zahlung angeboten hat, die behaupteten Verletzung von Art. 15 DSGVO nicht gerichtlich oder per Beschwere bei der DSB zu verfolgen. Die Behörde stützt ihre Entscheidung auf Art. 57 Abs. 4 DSGVO. Dort wird (genauso wie in Art. 12 Abs. 5 DSGVO) geregelt, dass sich die Behörde im Falle von offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anfragen weigern kann tätig zu werden oder ein angemessenes Entgelt verlangen kann. 

Sachverhalt

Der Beschwerdeführer hatte zuvor den Verantwortlichen informiert, dass er auch gegen Zahlung von 2.900 EUR dazu bereit wäre, die seiner Ansicht nach bestehenden Rechtsverletzungen nicht per Beschwerde ggü. der DSB anzuzeigen und auch nicht gerichtlich vorzugehen. Im weiteren Verlauf der Auseinandersetzung zwischen der betroffenen Person und dem Verantwortlichen wendete sich der Betroffene schließlich doch mit einer Beschwerde an die DPA.

Entscheidung der DSB

Die DSB begründet ihre Entscheidung wie folgt: 

„Vor diesem Hintergrund kann nach Ansicht der Datenschutzbehörde beim Beschwerdeführer allerdings von keinem tatsächlichen Rechtschutzbedürfnis ausgegangen werden, weshalb die verfahrensgegenständliche Beschwerdeerhebung als unredlich und die Inanspruchnahme der Tätigkeit der Datenschutzbehörde durch den Beschwerdeführer als rechtsmissbräuchlich zu qualifizieren ist.“

Daher lehnte die DSB die Beschwerde (nach Art. 57 Abs. 4 GDPR), wegen offensichtlicher Unbegründetheit ab. Der EDSA geht in seinen Guidelines zu Art. 15 DSGVO (auf S. 59 in Rn. 190) wohl eher davon aus, dass in solchen Fällen ein exzessiver Antrag und nicht der Fall der offensichtlichen Unbegründetheit vorliegt.

Übertragung auf Betroffenenrechte?

Vor dem Hintergrund stellt sich die praxisrelevante Frage, ob Verantwortliche sich bei Angeboten zur Unterlassung der Verfolgung von behaupteten DSGVO-Verstößen gegen Geldzahlung auf Art. 12 Abs. 5 DSGVO berufen können? Schließlich sind die in Art. 12 Abs. 5 DSGVO und Art. 57 Abs. 4 DSGVO geregelten Voraussetzungen dem Wortlaut nach identisch. Es muss ein offensichtlich unbegründeter Antrag oder ein exzessiver Antrag vorliegen. 

Wenn eine betroffene Person ggü. einem Verantwortlichen seine Rechte aus Art. 15 DSGVO in der Praxis geltend macht, dann wird sicherlich nicht direkt bei der Anfrage ein Angebot zur Nichtverfolgung von Rechtsverletzungen gegen Zahlung erfolgen. Sofern ein Verantwortlicher innerhalb der gesetzlichen Frist die Vorgaben aus Art. 15 DSGVO nach Ansicht des Betroffenen nicht oder nicht vollständig erfüllt hat, sind solche „Angebote“ schon eher denkbar. Dann können Verantwortliche unter Bezugnahme auf die Entscheidung aus Österreich gegen das Bestehen eines Anspruchs argumentieren. Man sollte hingegen dann vorsichtiger mit der Berufung auf Art. 12 Abs. 5 DSGVO sein, wenn man den Auskunftsanspruch vor Erhalt des „Zahlungsangebots“ nach eigener Ansicht nicht vollständig erfüllt hat.

Bayerischer Verwaltungsgerichtshof: Kein Löschanspruch für alle Daten aus Personalakte – auch nicht nach Ende des Beamtenverhältnisses

Posted on by

Der Bayerische Verwaltungsgerichtshof (VGH) hat Beschluss vom 29.06.2023 (Az. 6 ZB 23.530) einige interessante Aussagen zu den Datenschutzgrundätzen der Datenminimierung, Speicherbegrenzung und Richtigkeit nach Art. 5 Abs. 1 DSGVO getroffen. 

Sachverhalt

In dem Verfahren vor dem VGH verfolgte der Kläger seine Klage gerichtet auf Löschung von Dokumenten aus seiner Personalakte weiter, die vor dem Verwaltungsgericht erfolglos geblieben ist. Er begehrte u.a. die Löschung von Unterlagen überwiegend zu Vorgängen aus den Jahren 2004 bis 2006 sowie 2010 bis 2014, die im Rahmen der Beurteilung der Verwendungsfähigkeit des Klägers im Polizeidienst und seiner allgemeinen Dienstfähigkeit entstanden sind, sowie Unterlagen zur Verlängerung der Probezeit.

Der Kläger meint, sämtliche Einträge in der Personalakte, die vor dem 16. Juni 2006 datieren, seien zu löschen, weil das damalige Beamtenverhältnis zu diesem Zeitpunkt endete und nicht mehr in sachlichem Zusammenhang zu dem nunmehrigen Beamtenverhältnis stehe. 

Entscheidung des VGH

Nach Ansicht des VGH besteht kein Löschanspruch aus der DSGVO. 

Datenminimierung

Zum Grundsatz nach Art. 5 Abs. 1 lit. c) DSGVO stellt der VGH fest, dass die während des Bestehens eines Beamtenverhältnisses in der Personalakte gesammelten Daten grundsätzlich auch dann angemessen, erheblich und auf das notwendige Maß beschränkt bleiben, 

„wenn der betroffene Beamte aus dem Beamtenverhältnis ausscheidet.“ 

Das Gericht also davon aus, dass Daten aus der Personalakte nicht zwingend sofort zu löschen sind, nur weil ein Anstellungsverhältnis (hier: Beamtenverhältnis) endet. Die Unterlagen über krankheitsbedingte Dienstunfähigkeiten dienten hier nicht nur der Feststellung von aktuellen Fehlzeiten, sondern bleiben auch gegebenenfalls für mögliche Reaktivierungs- oder auch Wiedereinstellungsprüfungen von Bedeutung. Gerade diesbezüglich könne es aber es auf den jeweiligen historischen Kontext ankommen. 

Zudem stellt der VGH fest: 

„Eine Löschung könnte vielmehr umgekehrt gegen den Grundsatz der Datenrichtigkeit verstoßen.“

Datenrichtigkeit

Der Grundsatz nach Art. 5 Abs. 1 lit. d) DSGVO, wonach personenbezogene Daten sachlich richtig und „erforderlichenfalls auf dem neuesten Stand“ sein müssen, könne den Löschungsanspruch ebenfalls begründen. 

Denn, so der VGH, die Daten sind durch das Ausscheiden des Klägers aus dem Dienst ja nicht etwa unrichtig geworden.

„sie bleiben vielmehr mit Blick auf die damalige Rechtswirklichkeit weiterhin richtig.“

Bedeutet: keine Löschung oder Änderungen der faktisch richtigen Vergangenheit durch die DSGVO. Daher bestehe auch kein Berichtigungsanspruch aus Art. 16 DSGVO. Der VGH begründet seine Ansicht damit, dass nur wenn die Personalakten auf dem Stand gehalten werden, der zum jeweiligen Zeitpunkt richtig war, ein möglichst lückenloses Bild der Entstehung und Entwicklung des Dienstverhältnisses als historischem Geschehensablauf dokumentiert werden könne. 

Speicherbegrenzung

Zuletzt folgert der VGH aus seinen Ausführungen, dass damit auch der Grundsatz nach Art. 5 Abs. 1 lit. e) DSGVO der weiteren Speicherung der bis zum Ausscheiden des Klägers aus dem Beamtenverhältnis im Jahr 2006 in seiner Personalakte gesammelten Daten nicht entgegenstehe.

Österreichische Datenschutzbehörde: Blacklisting von ehemaligen Kunden ist zulässig

Posted on by

Die Österreichische Datenschutzbehörde (DSB) berichtet in ihrem aktuellen Newsletter 3/2023 über eine von ihr entschiedene Beschwerde, in der es um die praxisrelevante Frage ging, ob ein Unternehmen in seiner Kundendatenbank dauerhaft Informationen dazu speichern darf, dass mit einem (ehemaligen) Kunden in Zukunft keine Verträge mehr geschlossen werden sollen.

Sachverhalt

Konkret ging es um einen internen Vermerk, dass es in der Vergangenheit mit dem Kunden zu Unregelmäßigkeiten und Konflikten kam. Daher wollte man mit dem Kunden (einem anderen Unternehmen) keine neuen Verträge mehr abschließen. Der Kunde (und sein Geschäftsführer) beschwerten sich bei der DSB über diese Datenverarbeitung.

Entscheidung der DSB

Die DSB wies die Beschwerde ab. Nach ihrer Ansicht stehe es dem Unternehmen (als Verantwortlichen) vor dem Hintergrund der Privatautonomie frei, mit wem ein Vertrag abgeschlossen wird.

Der interne Vermerk und darin enthaltene personenbezogene Daten stellen auch keine rechtswidrige Datenverarbeitung dar. Die Verarbeitung, dass im internen Warenwirtschaftssystem festgehalten wird, dass mit bestimmten (juristischen) Personen, mit denen es bei früheren Geschäftskontakten zu Konflikten gekommen ist, von zukünftigen Vertragsabschlüssen absehen wird, kann auf Basis der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO erfolgen.

Fazit

In der Praxis sehen sich Unternehmen, insbesondere im Online-Handel, immer wieder mit der Situation konfrontiert, dass (ehemalige) Kunden durch ihr Verhalten Anlass dazu geben, mit ihnen in Zukunft keine vertragliche Beziehung mehr einzugehen. Der EuGH geht in ständiger Rechtsprechung davon aus (vgl. etwa C‑283/11, Rz. 43), dass die Vertragsfreiheit u. a. die freie Wahl des Geschäftspartners umfasst. Zur Ausübung dieser Freiheit sieht es die Datenschutzbehörde zurecht als zulässig an, dass bestimmte Daten gespeichert werden.

BayLDA: Frist zur Auskunftserteilung beginnt auch, wenn Anfrage beim Auftragsverarbeiter eingeht

Posted on by

In seinem aktuellen Tätigkeitsbericht 2022 (PDF) geht des BayLDA auf ein praxisrelevantes Thema bei der Erfüllung von Betroffenenrechten ein. Es geht, unter anderem, um die Frage, ob die in Art. 12 Abs. 3 DSGVO vorgesehene Monatsfrist bereits dann beginnt, wenn ein Betroffener eine Auskunftsanfrage nach Art. 15 DSGVO nicht an den Verantwortlichen, sondern dessen Auftragsverarbeiter richtet (S. 28).

Bsp: Der Betroffen sieht in den Datenschutzhinweisen eines Online-Shops, dass der Betreiber einen Hosting-Anbieter als Auftragsverarbeiter angibt. Der Betroffene und Kunde des Shops richtet nun einen Auskunftsanspruch in Bezug auf seine Kundendaten nicht an den Shop-Betreiber, sondern den Hosting-Anbieter.

Pflichten des Auftragsverarbeiters

Das BayLDA stellt zunächst fest, dass in dem Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 lit. e) DSGVO vorzusehen ist, dass der Verantwortliche nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt wird, seiner Pflicht zur Beantwortung von Ersuchen gem. Art. 12 ff. DS-GVO, somit auch eines Auskunftsersuchens nachzukommen.

Achtung. Hiervon zu unterscheiden ist die Situation, dass ein Verantwortlicher einen Dienstleister als Auftragsverarbeiter konkret für die Bearbeitung von Betroffenenanfragen einsetzt. Dies ist möglich, jedoch muss auch hier der Prozess sauber implementiert und geprüft werden, wie ein Bußgeld in Höhe von 50.000 EUR durch das LDA Brandenburg aus der Vergangenheit zeigt (Tätigkeitsbericht 2019, S. 29, PDF). Dort wurde unter anderem gegen Art. 12 DSGVO verstoßen, da die Korrespondenz im Rahmen der Auskunftserteilung unter dem Logo des Dienstleisters durchgeführt wurde und das Unternehmen die Betroffenen nach Antragstellung zur Auskunftserteilung zunächst nur in englischer Sprache kontaktierte.

Zurück zum Fall des BayLDA. Die Aufsichtsbehörde verlangt, wenn Betroffenenanfragen bei dem Auftragsverarbeiter eingehen, dass

„z.B. Auskunftsersuchen bezüglich der im Auftrag verarbeiteten personenbezogenen Daten unverzüglich an den Verantwortlichen weitergeleitet werden“.

Fristbeginn bereits bei Eingang beim Auftragsverarbeiter

Jedoch geht das BayLDA noch einen Schritt weiter. Hinsichtlich der in Art. 12 Abs. 3 DSGVO geregelten Frist von einem Monat zur Beantwortung der Auskunftsanfrage vertritt die Aufsichtsbehörde:

„Geht also das Ersuchen beim Auftragsverarbeiter ein, bewirkt dies den Fristbeginn beim Verantwortlichen, nachdem diesen das Handeln des Auftragsverarbeiters insoweit zuzurechnen ist.“

Im Ergebnis bedeutet dies, dass sich der Verantwortliche die Tatsache des Eingangs des Auskunftsersuchens beim Auftragsverarbeiter wie ein Eingang bei sich zurechnen lassen muss. Für die Praxis kann dies dazuführen, dass der Verantwortliche faktisch noch gar nichts weiß, dass eine Auskunftsanfrage gestellt wurde. Wenn der Auftragsverarbeiter sich 1-2 Wochen mit der Weiterleitung Zeit lässt, hat der Verantwortliche entsprechend weniger Zeit zur Beantwortung. Will sich ein Verantwortlicher in diesem Fall darauf berufen, dass der Auftragsverarbeiter nicht ordentlich gearbeitet habe, ist dies aber ebenso ein Risiko. Denn nach Art. 28 Abs. 1 DSGVO muss der Verantwortliche seine Auftragsverarbeiter ordentlich auswählen und nur solche einsetzen, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die DSGVO eingehalten wird.

Kritik an der Ansicht des BayLDA

Meines Erachtens muss man die Auffassung des BayLDA hier nicht zwingend teilen.

Zum einen könnte man recht schlicht auf die Vorgaben und den Wortlaut des Art. 12 Abs. 3 DSGVO abstellen. Dort wird nur der „Verantwortliche“ adressiert, nicht aber der Auftragsverarbeiter. Andererseits verstehe ich auch die Auffassung des BayLDA, dass es den Auftragsverarbeiter quasi in der rechtlichen Sphäre des Verantwortlichen sieht.

Gegen die Ansicht des BayLDA spricht aber aus meiner Sicht insbesondere ein vergelichender Blick auf die ähnliche Situation, wenn bei dem Auftragsverarbeiter eine potentielle Datenschutzverletzung passiert.

Die DSGVO sieht für diesen Fall in Art. 33 Abs. 2 DSGVO gerade keinen Fristenlauf der 72 Stunden vor. Sondern verpflichtet den Auftragsverarbeiter vielmehr „nur“, die mögliche Datenschutzverletzung unverzüglich an den Verantwortlichen zu melden. Diese Regelung wäre aber überflüssig, wenn der Verantwortliche sich die Kenntnis des Auftragsverarbeiters zurechnen lassen müsste und die 72 Stunden schon zu laufen beginnen, wenn der der Auftragsverarbeiter Kenntnis hat. Der Gesetzgeber scheint also gerade nicht automatisch von einer Zurechnung des Wissens oder der Kenntnis an den Verantwortlichen auszugehen.

Auch die europäischen Datenschutzbehörden gehen ausdrücklich für Art. 33 DSGVO davon aus, dass Fristen gerade noch nicht beginnen, wenn nur der Auftragsverarbeiter Kenntnis einer potentiellen Verletzung hat.

In den Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der Verordnung (EU) 2016/679 (WP250rev.01) heißt es (S. 15):

„Der Verantwortliche nutzt den Auftragsverarbeiter, um seine Ziele zu erreichen; deshalb gilt grundsätzlich, dass dem Verantwortlichen die Datenschutzverletzung „bekannt“ wurde, sobald ihn der Auftragsverarbeiter davon in Kenntnis gesetzt hat.“

Die Kenntnis des Verantwortlichen wird klar an den Zeitpunkt der Meldung vom Auftragsverarbeiter an den Verantwortlichen geknüpft.

Und auch in seinen Guidelines 9/2022 on personal data breach notification under GDPR (PDF) geht der EDSA davon aus (S. 14):

„The controller uses the processor to achieve its purposes; therefore, in principle, the controller should be considered as “aware” once the processor has informed it of the breach.”

Und auch in den Leitlinien des EDSA zu Art. 15 DSGVO (PDF) wird klar auf den Eingang beim Verantwortlichen abgestellt (S. 50):

„The time limit starts when the controller has received an Art. 15 request, meaning when the request reaches the controller through one of its official channels“

Folgen für die Praxis

Folgt man der Ansicht des BayLDA, ist in der Praxis eine enge Kontrolle und strenge Vorgaben an die eigenen Auftragsverarbeiter absolut geboten. Jeder weiß, wie schnell die Frist von einem Monat abläuft. Wenn der Auftragsverarbeiter hier eher gemütlich unterwegs ist, kann dies im schlimmsten Fall dazu führen, dass man als Verantwortlicher gegen die DSGVO verstößt. Eventuell sollte man dieses Risiko auch in Verträgen mit den Auftragsverarbeitern adressieren (Ersatzpflicht bei verspäteter Weiterleitung).

Wie beschrieben, gibt es aber aus meiner Sicht auch valide Argumente, der Ansicht des BayLDA nicht zu folgen. Zumindest Verantwortliche in Bayern sollten hier aber natürlich wissen, dass ihre Aufsichtsbehörde dies im Streitfall ggfs. anders sieht und eine entsprechend valide Argumentation vorweisen.

Verwaltungsgericht Berlin: Anforderungen an die Identifizierung bei Auskunftsanfragen – Mitwirkungsobliegenheit des Betroffenen

Posted on by

Im Rahmen eines Verfahrens zur Bewilligung von Prozesskostenhilfe hat sich das Verwaltungsgericht (VG) Berlin mit der Frage befasst, wann Verantwortliche einen Antrag auf Auskunft nach Art. 15 DSGVO wegen begründeter Zweifel an der Identität der anfragenden Person ablehnen und mehr Informationen anfordern können (Beschl. v. 24.4.2023, Az. VG 1 K 227/22).

Sachverhalt

Ein Betroffener war mit einem ablehnenden Bescheid der Berliner Datenschutzbehörde gegen ihn nicht zufrieden und klagte dagegen. Die Behörde hatte keine Verstöße gegen die DSGVO durch eine Auskunftei erkannt. Inhaltlich ging es vorab um die Beschwerde des Betroffenen gegen eine nicht gewährte Auskunft nach Art. 15 DSGVO durch eine Auskunftei. Diese hatte die Auskunft wegen begründeter Zweifel verweigert und zur Identifizierung mehr Daten angefordert (Art. 12 Abs. 6 DSGVO), jedoch nicht erhalten.

Entscheidung

Das VG lehnte den Antrag auf Bewilligung von Prozesskostenhilfe ab. Es sah für den Betroffenen in dem Vorgehen gegen die Entscheidung der Datenschutzbehörde keine Erfolgsaussichten. Dies deshalb, weil das Verhalten der Auskunftei in Bezug auf die Verweigerung der Auskunft und Anforderung weiterer Daten zur Identifizierung zulässig war.

Nach Art. 12 Abs. 6 DSGVO kann der Verantwortliche zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind, wenn er begründete Zweifel an der Identität der natürlichen Person hat, die den Antrag nach Art. 15 DSGVO stellt.

Das VG äußert sich dazu, wann man seiner Ansicht nach von „Zweifeln“ ausgehen darf.

„Zweifel an der Identität setzen voraus, dass die vorhandenen Daten auf eine bestimmte Identität hindeuten und somit eine Identifizierung grundsätzlich möglich ist, aber nach den Umständen Zweifel daran bestehen, ob der Antragsteller tatsächlich die als Betroffener identifizierte Person ist.“

Wichtig: pauschale Zurückweisungen sind nach Ansicht des VG nicht möglich. Der Verantwortliche hat seine Zweifel vielmehr einzelfallbezogen darzulegen.

Für Verantwortliche in der Praxis relevant ist die Feststellung des VG dazu, wie sich der Betroffene in einer solchen Situation zu verhalten hat.

„Gleichzeitig besteht für den Betroffenen eine Mitwirkungsobliegenheit, denn ohne dessen Mitwirkung wird es dem Verantwortlichen nicht möglich sein, die dargelegten Identitätszweifel zu entkräften.“

Im konkreten Fall prüfte das VG dann, ob die Auskunftei hier von Zweifeln ausgehen und wegen dieser Unsicherheit die Auskunft zunächst verweigern durfte. Hierbei werden durch das Gericht einige sicher auch für andere Verantwortliche relevante Kriterien herausgearbeitet.

Zu berücksichtigen sind:

  • Die Sensibilität der abgefragten Informationen. Denn Wirtschaftsauskunfteien speichern im Einzelfall ein erhebliches Maß zahlreicher personenbezogener Informationen, insbesondere solcher, die einen Schluss auf die Bonität einer Person zulassen.
  • Zweifelsfreie Identifikation des Antragstellers nicht möglich, weil es namentliche und/oder weitere Überschneidungen zu weiteren Datensätzen gab.

Zuletzt stellte sich noch die Frage, ob das Unternehmen zur Identifikation das Geburtsdatum und gegebenenfalls frühere Anschriften abfragen durfte. Das VG geht davon aus, dass die Anforderung dieser Merkmale zulässig war.

„Das Geburtsdatum einer Person ist zur Identifizierung geeignet, da es eine häufig für Dritte weniger ersichtliche persönliche Information darstellt“.

Zudem stand die Abfrage des Geburtsdatums zu dem Zweck der Identifizierung des Antragstellers auch nicht außer Verhältnis, insbesondere mit Blick auf die erhöhte Sensibilität der bei Wirtschaftsauskunfteien gespeicherten Daten.

„Der Antragsteller hat jedoch – unter Verstoß auf die ihm obliegende Mitwirkungspflicht – nicht auf die damit berechtigte Anfrage … reagiert“.