Muss die Datenschutzaufsicht ein Bußgeld verhängen?

Sie sind von einem Verstoß gegen den Datenschutz betroffen und beschweren sich bei der zuständigen Aufsichtsbehörde. Entgegen Ihren Erwartungen verhängt die Datenschutzaufsicht kein Bußgeld gegen den „Missetäter“. Können Sie die Behörde mit dem Ziel verklagen, dass sie aktiv wird?

Das Verwaltungsgericht Ansbach hält es für möglich, gegen die Datenschutzaufsicht zu klagen, damit sie ein Bußgeld verhängt. Jedenfalls vom Prinzip her.

Allerdings stellt das Gericht dabei ausgesprochen hohe Hürden auf.

Wie ist die Ausgangslage?

Der Kläger war bei einem Kurierdienst einige Wochen lang als Aushilfsfahrer beschäftigt. Das Arbeitsverhältnis endete noch während der Probezeit.

Kurz danach setzte der Kläger sich mit den Hauptkunden des Kurierdienstes in Verbindung und schilderte betriebliche Dinge, die er für ungewöhnlich hielt. Sein ehemaliger Arbeitgeber empfand dies als Anschwärzung.

Worüber beschwerte sich der Kläger bei der Datenschutzaufsicht?

Zuständige Aufsichtsbehörde für den Kurierdienst ist das Bayerische Landesamt für Datenschutzaufsicht. Beim Landesamt beschwerte sich der Kläger wegen zweier Dinge, die aus seiner Sicht Datenschutzverstöße darstellen:

1. Weitergabe der privaten Telefonnummer

Der ehemalige Arbeitgeber verfügte über die private Telefonnummer des Klägers. Diese Telefonnummer gab er an ein Unternehmen weiter, für das der Kurierdienst als Subunternehmer tätig ist.

Dieses Unternehmen meldete sich dann bei dem Kläger wegen der Punkte, die er im betrieblichen Ablauf kritisiert hatte. Der Kläger hält diese Weitergabe seiner Telefonnummer für einen Verstoß gegen den Datenschutz.

2. GPS-Ortung des Kurierfahrzeugs

Der ehemalige Arbeitgeber verwendet in den Kurierfahrzeugen eine GPS-Ortung. Der Kläger hält dies für rechtswidrig.

Jedenfalls – so meint er – hätte man ihn aber über den Einsatz des Ortungs-Systems informieren müssen. Das sei nicht geschehen.

Wie bewertet die Datenschutzaufsicht die Beschwerde?

Das Landesamt forderte den früheren Arbeitgeber des Klägers zu mehreren Stellungnahmen auf. Auf der Basis dieser Stellungnahmen kam das Landesamt zu folgenden rechtlichen Bewertungen:

• Die Weitergabe der privaten Telefonnummer erscheint ihm jedenfalls vertretbar.
• In der Weitergabe liege zwar eine Verarbeitung personenbezogener Daten (Offenlegung durch Übermittlung, vergleiche Art. 4 Nummer 2 DSGVO).
• Diese Verarbeitung sei jedoch zur Wahrung der berechtigten Interessen des Arbeitgebers erforderlich gewesen (siehe Art. 6 Abs. 1 Satz 1 Buchstabe f DSGVO).

Der Arbeitgeber habe ein hohes Interesse daran gehabt, die Vorwürfe des Klägers aufzuklären. Dazu sei die Weitergabe der Telefonnummer ein geeignetes Mittel gewesen.

Denn so konnte ein Unternehmen, das von den Vorwürfen betroffen war, den Kläger mit diesen Vorwürfen direkt konfrontieren.

• Ebenso ist es aus der Sicht des Landesamtes nicht zu beanstanden, dass der Arbeitgeber mit GPS-Überwachung gearbeitet hat. Dies sei bei Einhaltung einiger Vorgaben auch ohne Einwilligung des Kurierfahrers erlaubt.
• Auch nach Auffassung des Landesamts muss das Unternehmen den Kurierfahrer über die Überwachung informieren.
• Die Darstellungen dazu, ob dies ordnungsgemäß geschehen sei, gingen auseinander. Eine weitere Aufklärung sei insoweit nicht mehr möglich.

Was ist das Ergebnis?

Im Ergebnis sah das Landesamt weder Anlass, ein Bußgeld zu verhängen, noch sonstige Maßnahme als Aufsichtsbehörde zu ergreifen. Das missfiel dem Kläger.

Wie ging es weiter?

Deshalb erhob er Klage zum Verwaltungsgericht Ansbach. Seine Forderung: Das Gericht soll das Landesamt dazu verpflichten, dass es ein Bußgeld gegen seinen ehemaligen Arbeitgeber verhängt.

Klage zum Verwaltungsgericht zulässig, also rechtlich möglich

Das Gericht hält die Klage für zulässig. Es weist sie also nicht von vornherein ab, sondern prüft den Sachverhalt näher.

Das beruht auf folgenden Überlegungen:

• Es sind Fälle denkbar, in denen die einzig angemessene Reaktion der Datenschutzaufsicht darin besteht, dass sie ein Bußgeld verhängt.
• Das ist zwar nur in Extremfällen vorstellbar. Der Kläger hat jedoch Anspruch darauf, dass das Gericht prüft, ob ein solcher Sonderfall vorliegt.

Ermessen gerichtlich nachprüfbar

Zum generellen Hintergrund dieser Auffassung führt das Gericht Folgendes aus:

• Die DSGVO gibt der Aufsichtsbehörde zahlreiche Befugnisse (siehe Art. 58 DSGVO). Dazu gehört auch die Befugnis, ein Bußgeld zu verhängen.
• Ob sie von diesen Befugnissen Gebrauch macht und in welchem Umfang, steht im Ermessen der Aufsichtsbehörde. Die DSGVO verwendet in Art. 58 DSGVO zu Beginn beider Absätze die Formulierung, es handle sich um Befugnisse, die es der Aufsichtsbehörde „gestatten“, die dort genannten Maßnahmen zu ergreifen. Dieser Begriff ist so zu verstehen, dass die Maßnahmen im Ermessen der Aufsichtsbehörde stehen.
• Ob die Aufsichtsbehörde ihr Ermessen korrekt ausgeübt hat, kann das Gericht nachprüfen. Das ergibt sich aus zwei Regelungen der DSGVO.
  • Zum einen legt die DSGVO fest, dass die Aufsichtsbehörde ihre Befugnisse „vorbehaltlich geeigneter Garantien einschließlich wirksamer gerichtlicher Rechtsbehelfe“ ausübt (Art. 58 Abs. 4 DSGVO).
  • Zum anderen hat jede betroffene Person „das Recht auf einen wirksamen gerichtlichen Rechtsbehelf“ (Art. 78 Abs. 1 DSGVO).
• Beides führt dazu, dass das Gericht die Aufsichtsbehörde im Extremfall dazu verpflichten kann, bestimmte Maßnahmen zu ergreifen. Dazu kann auch gehören, ein Bußgeld zu verhängen.

Gericht weist Klage ab

Es liegt auf der Hand, dass nur ganz selten gerade die Verhängung eines Bußgelds die einzige denkbare rechtmäßige Maßnahme ist. An dieser Hürde scheitert die Klage im vorliegenden Fall denn auch.

Es stimmt der Bewertung des Landesamts zu

Das Gericht ist der Auffassung, dass die rechtliche Bewertung des Landesamts nicht zu beanstanden ist.

• Auch nach seiner Auffassung war die Weitergabe der Telefonnummer datenschutzrechtlich jedenfalls vertretbar.
• Und auch nach seiner Auffassung steht ein Datenschutzverstoß bei der GPS-Überwachung nicht fest.

Beides begründet das Gericht näher. Dabei stützt es sich auf dieselben rechtlichen Gesichtspunkte wie das Landesamt. Anders gesagt: Es stimmt der rechtlichen Beurteilung des Landesamtes in beiden Punkten zu.

Ist aber kein Datenschutzverstoß nachgewiesen, kommt selbstverständlich nicht in Betracht, ein Bußgeld zuverhängen. Deshalb weist das Gericht die Klage im Ergebnis ab.

Welche grundsätzliche Bedeutung hat der Fall?

Auch wenn die Klage im konkreten Fall erfolglos war, sind die Überlegungen des Gerichts von grundsätzlicher Bedeutung.

Auf der einen Seite sind die Aufsichtsbehörden „bei der Ausübung ihrer Befugnisse gemäß dieser Verordnung völlig unabhängig.“ So legt es Art. 52 Abs. 1 DSGVO fest. Andererseits hat diese Unabhängigkeit Grenzen.

Die entscheidende Grenze besteht darin, dass die Aufsichtsbehörde gewissermaßen einer gerichtlichen Überwachung unterliegt. Dies erscheint vielen logisch, wenn die Aufsichtsbehörde etwas anordnet. Dass solche Anordnungen einer gerichtlichen Überprüfung unterliegen, überrascht niemanden.

Es gilt aber auch, wenn die Aufsichtsbehörde nichts tut, obwohl sie eigentlich etwas tun müsste. Dann kann sie gerichtlich veranlasst werden, die nötigen Schritte zu ergreifen.

Kann die Datenschutzaufsicht aus ihren Befugnissen wählen?

Freilich stellt sich bei dieser Konstellation ein Folgeproblem:

• Die DSGVO gibt den Aufsichtsbehörden in Art. 58 DSGVO zahlreiche Befugnisse.
• Das führt zu der Frage, ob Betroffene einen Einfluss darauf haben können, von welcher dieser Befugnisse die Aufsichtsbehörde im konkreten Fall Gebrauch macht.

Manche Juristen halten das für denkbar. Andere vertreten die Auffassung, dass diese Auswahl zwischen den verschiedenen Möglichkeiten immer ausschließlich der Aufsichtsbehörde vorbehalten bleibt.

Im vorliegenden Fall spricht das Gericht diese Fragestellung zwar an, mehr aber auch nicht. Denn da es die Klage ohnehin abweist, kommt es auf diese rechtliche Feinheit hier nicht an.

Das Urteil des Verwaltungsgerichts Ansbach vom 16.3.2020 – AN 14 K 19.00464 ist abrufbar unter https://www.gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2020-N-10429?hl=true.