Datenschutz ist in aller Munde. Die Frage über den Umgang mit persönlichen Daten wird nicht nur bei prominenten Beispielen wie Facebook, Google oder Youtube heiß diskutiert.
Im Kampf gegen den „gläsernen Bürger“ sind es vor allem die Datenschutzbeauftragten der Länder, die über die Einhaltung derjenigen Regeln wachen sollen, welche die Erhebung, Speicherung und Verwertung von persönlichen Daten ermöglichen. Doch so ehrenhaft diese Tätigkeit sein mag, sie hat auch ihre Grenzen.
Eine solche Grenze wurde dem Datenschutzbeauftragen des Landes Baden-Württemberg durch das Verwaltungsgericht Karlsruhe aufgezeigt. Was war passiert?
Da auch die EU die Notwendigkeit einer einheitlichen Regelung zum Schutz persönlicher Daten erkannt hat, brachte sie die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG auf den Weg, kurz: EU-Datenschutzgrundverordnung, oder EU-DSGVO.
Hierbei ist wichtig zu wissen, dass sie zwar bereits am 24. Mai 2016 in Kraft getreten ist, aber erst ab dem 24. Mai 2018 angewendet werden muss. Diese „Schonfrist“ von zwei Jahren soll ermöglichen, dass sich alle auf die neuen Regelungen einstellen können, bis diese verbindlich werden.
Scheinbar ging dies dem Datenschutzbeauftragten des Landes Baden-Württemberg nicht schnell genug. Schon im November 2016 erließ er eine Verfügung gegenüber einer Wirtschaftsauskunftei, welche Daten über die Kreditwürdigkeit von Personen sammelt und speichert. Gegenstand der Verfügung war, dass alle Forderungen und die mit ihnen in Zusammenhang stehenden Informationen nach 3 Jahren zu löschen seien, wenn diese über den 24 Mai 2018 hinaus gespeichert werden sollten.
Nach Auffassung des Datenschutzbeauftragten war diese Verfügung notwendig, da nicht sicher sei, ob die Auskunftei den zweijährigen Zeitraum dazu nutzen werde, die Verarbeitung personenbezogener Daten an die neuen Vorgaben anzupassen. Folglich könnten zukünftige Verstöße nicht ausgeschlossen werden.
Die Auskunftei wehrte sich hiergegen. Und bekam Recht. Das Verwaltungsgericht Karlsruhe erteilte dem Vorgehen des Datenschutzbeauftragten eine deftige Absage. Die Verfügung des Datenschutzbeauftragten wurde auf mehreren Ebenen für unrechtmäßig erklärt.
Zunächst moniert das Gericht, dass die gewählte Ermächtigungsgrundlage nicht anwendbar sei. Zwar darf der Datenschutzbeauftrage Maßnahmen ergreifen, um festgestellte Verstöße bei der Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten zu beseitigen. Für noch zu erwartende Verstöße gilt dies allerdings nicht. Bestehende Verstöße sah das Gericht nicht. Außerdem würdigte das Gericht die Anstrengungen der Auskunftei, zusammen mit Verbänden und anderen Auskunfteien zusammen einen neuen „Code of Conduct“, also einen selbst auferlegten Verhaltenscodex, zu entwerfen.
Die spannende Frage, ob eine in Kraft getretene aber noch nicht verbindliche Verordnung auch zu behördlichem Handeln ermächtigen kann, musste dann nicht mehr beantwortet werden.
Aber damit nicht genug. Obwohl schon an diesem Punkt die Klage der Auskunftei erfolgreich gewesen wäre, holt das Verwaltungsgericht zu weiteren Schlägen aus.
Neben der fehlenden bzw. nicht anwendbaren Rechtsgrundlage bemängelte das Gericht auch, dass die Verfügung nicht bestimmt genug war. Es entschied, dass die Verfügung der Auskunftei nicht deutlich genug klar mache, was diese eigentlich zu tun habe. Vor allem die Aufforderung, alle „mit [den zu löschenden Forderungen; Anm. des Autors] in Zusammenhang stehende Informationen“ zu löschen stieß dem Gericht sauer auf. Es sei nicht genug konkretisiert worden, was damit gemeint ist.
Auskunftei 2, Datenschutzbeauftragter 0.
Zuletzt stellt das Verwaltungsgericht fest, dass die Verfügung gar keine Verfügung ist. Sondern eine Rechtsnorm, „welche unzulässigerweise in Form des Verwaltungsaktes erlassen wurde und auch aus diesem Grund – da eine Umdeutung nicht möglich ist – aufzuheben ist“ (sic!). Zu diesem Ergebnis kommt das Gericht aufgrund des zeitlichen und inhaltlichen Geltungsbereiches der Verfügung. Diese habe eine unbestimmte Geltungsdauer und sei darauf ausgerichtet, den gewünschten Rechtszustand nicht nur gegenüber der klagenden, sondern gegenüber ALLEN in Baden-Württemberg ansässigen Auskunfteien herbeizuführen.
Treffer, versenkt.
Das Verwaltungsgericht macht damit klar, dass die Datenschutzbeauftragten beim Erlass derartiger Verfügungen große Sorgfalt walten lassen sollten, um ihrem hehren Ziel des Datenschutzes nicht unnötige Probleme zu bereiten. Auch wird deutlich, dass die „Schonfrist“ ernst zu nehmen ist und behördliches Handeln erst auf europäische Verordnungen gestützt werden kann, wenn diese auch anzuwenden sind
SIe haben Fragen zum Datenschutz oder beötigen einen Datenschutzbeauftragten. Gerne stehen wir Ihnen mit Rat und Tat zur Seite.