DSGVO im Praxistest 9783504387068

Citation preview

Härting/Konrad DSGVO im Praxistest

.

DSGVO im Praxistest Ermittlungen Bußgelder · Verfahren von

Prof. Niko Härting Rechtsanwalt in Berlin

und

Lasse Konrad Rechtsanwalt in Berlin

2020

Zitierempfehlung: Härting/Konrad, DSGVO im Praxistest, Rz. ...

Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar. Verlag Dr. Otto Schmidt KG Gustav-Heinemann-Ufer 58, 50968 Köln Tel. 02 21/9 37 38-01, Fax 02 21/9 37 38-943 [email protected] www.otto-schmidt.de ISBN 978-3-504-56078-2 © 2020 by Verlag Dr. Otto Schmidt KG, Köln Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung, die nicht ausdrücklich vom Urheberrechtsgesetz zugelassen ist, bedarf der vorherigen Zustimmung des Verlages. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Das verwendete Papier ist aus chlorfrei gebleichten Rohstoffen hergestellt, holz- und säurefrei, alterungsbeständig und umweltfreundlich. Einbandgestaltung: Lichtenford, Mettmann Satz: Griebsch & Rochol, Hamm Druck und Verarbeitung: Stückle, Ettenheim Printed in Germany

Prolog Mit diesem Buch möchten wir eine Lücke schließen. Wir beantworten 249 Fragen, die sich in aufsichtsbehördlichen Verfahren und datenschutzrechtlichen Gerichtsprozessen stellen können. Unser Augenmerk liegt dabei weniger auf dem Datenschutzrecht als auf dem Verfahrens- und Prozessrecht. Wer beruflich mit dem Datenschutz zu tun hat, konnte sich in den letzten Jahren über Langeweile nicht beklagen. „DSGVO-konform“ war das Zauberwort. Datenschützer aus allen Berufen, Branchen und Lagern verbrachten viel Zeit mit Verarbeitungsverzeichnissen und Datenschutzinformationen, mit Einwilligungen und Cookie-Bannern, mit Auftragsverarbeitung und Gemeinsamer Verantwortlichkeit, mit Meldesystemen und Auskunftsroutinen. Zugleich mehren sich die behördlichen Verfahren. Datenschutzbehörden reagieren auf Beschwerden und kontrollieren vor Ort. Sie übersenden Fragenlisten, setzen Fristen und verhängen Bußgelder. Hier und da gibt es auch Klagen und Gerichtsprozesse. Im aufsichtsbehördlichen Verfahren und vor Gericht stehen alle Beteiligten vor der Herausforderung, auf zwei Beinen stehen zu müssen. Solide Kenntnisse des Datenschutzrechts sind gefragt, reichen jedoch nicht aus, wenn man das Verfahrensrecht nicht sicher beherrscht. Es geht nicht ohne die DSGVO und das BDSG, aber auch nicht ohne Grundkenntnisse des Verwaltungsverfahrens- und Verwaltungsprozessrechts, der StPO und des OWiG. Grundkenntnisse des Verfahrens- und Prozessrechts brauchen alle Beteiligten. Zwar wird man diesem Buch anmerken, dass wir die Themen aus eigener Erfahrung nur aus der anwaltlichen Perspektive kennen. Wir hoffen jedoch, dass das Buch auch in den Behörden gelesen wird und man auch dort unsere Ratschläge für hilfreich erachtet. Unsicherheiten in förmlichen Verfahren sind bei allen Beteiligten zu beobachten – bei den Anwältinnen und Anwälten und natürlich auch bei den Datenschützern in den Unternehmen und Behörden. Konzeptionell knüpfen wir mit diesem Buch an „Datenschutz-Grundverordnung: Das neue Datenschutzrecht in der betrieblichen Praxis an“, das Niko Härting 2016 veröffentlicht hat. Dies ist weder ein Kommentar noch ein Lehrbuch, weder eine Monografie noch eine wissenschaftliche Analyse. Stattdessen beantworten wir Fragen. Dies mit dem Anspruch, für den juristischen Laien verständlich zu schreiben und zugleich dem Niveau gerecht zu werden, das der juristisch ausgebildete Leser von zwei Anwälten erwarten darf. In streitigen Verfahren gibt es für alle Beteiligten Rollen, die sie einnehmen müssen. Die Verfahrensordnungen folgen einer Dramaturgie. Und auch für Spannung ist meist gesorgt. Wie im Theater finden sich daher auch in diesem Buch drei Akte, die den Spannungsbogen von Streitverfahren abbilden.

V

Prolog

Im „Ersten Akt“ unseres Buches geht es um den Auftakt behördlicher Verfahren. Es geht um Auskunftsersuchen und Vor-Ort-Prüfungen und um das Ermittlungsverfahren nach dem OWiG. Der „Zweite Akt“ widmet sich dann den Maßnahmen und Entscheidungen der Aufsichtsbehörden. Aufsichtsbehörden werden dort Hinweise auf mögliche Fallstricke und Fehlerquellen finden. Anwaltskolleginnen können dem mittleren „Akt“ den ein oder anderen Trick und Kniff entnehmen, den das Verfahrensrecht bietet, um behördliche Entscheidungen anzugreifen. Im „Dritten Akt“ sehen wir uns dann vor Gericht. Es geht um Untätigkeits- und Anfechtungsklagen, um Klagen gegen öffentliche Äußerungen einer Aufsichtsbehörde und um die gerichtliche Überprüfung von Bußgeldbescheiden. Das Beharren auf Verfahrensrechten und auf die Einhaltung von verfahrensrechtlichen Förmlichkeiten hat nicht immer den besten Ruf. Manche halten dies für querulatorisch, kleinkariert oder ungeschickt. Wir sind anderer Meinung. Verfahrensrechte sind eine Grundvoraussetzung für einen umfassenden Schutz der Bürgerrechte. Und der Staat ist und bleibt Staat, auch wenn er das Gewand einer freundlichen Datenschutzbehörde trägt. Daher ist es das gute Recht eines jeden Bürgers und einer jeden Unternehmerin, Verfahrensrechte geltend zu machen. Nicht auf jede verfahrensrechtliche Frage findet sich in diesem Buch eine Antwort. Und nicht jede unserer Antworten wird jeden Leser oder Leserin restlos überzeugen. Wir haben Erfahrung, lernen jedoch auch immer gerne hinzu und freuen uns daher auf Anregungen und Zuschriften, die wir dann in einer Zweitauflage aufgreifen können. Danke an Frau Behrens-Khaled, die beharrlich darauf bestanden hat, dem 2016erBuch ein weiteres Werk mit ähnlichem Konzept nachfolgen zu lassen. Danke an Olivia, Julian, Marvin und Jan. Besonderer Dank an Ulrich Gasper, der durch Denkanstöße und Inspiration sowohl für die Optimierung des Buches, als auch für die ein oder andere Nachtschicht gesorgt hat.

VI

Inhaltsübersicht Prolog . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Seite V

Inhaltsverzeichnis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

IX

A. Erster Akt: Prüfung und Ermittlung I. Erster Teil: Auskunftsersuchen der Aufsichtsbehörde . . . . . . . . . . . .

Rz. Seite 2 1

II. Zweiter Teil: Vor-Ort-Prüfung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

128

29

III. Dritter Teil: Bußgeldverfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

174

41

I. Erster Teil: Verbote und andere Anordnungen . . . . . . . . . . . . . . . . .

209

49

II. Zweiter Teil: Bußgelder . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

284

67

III. Dritter Teil: Öffentlichkeitsarbeit . . . . . . . . . . . . . . . . . . . . . . . . . . . .

399

96

I. Erster Teil: Klagen wegen Untätigkeit . . . . . . . . . . . . . . . . . . . . . . . . .

409

99

II. Zweiter Teil: Klagen gegen Verwaltungsakte . . . . . . . . . . . . . . . . . . .

443

108

III. Dritter Teil: Einspruch gegen Bußgeldbescheide . . . . . . . . . . . . . . . .

518

121

IV. Vierter Teil: Klagen gegen öffentliche Äußerungen . . . . . . . . . . . . . .

552

127

B. Zweiter Akt: Maßnahmen und Entscheidungen

C. Dritter Akt: Gerichtliche Verfahren

Stichwortverzeichnis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

129

VII

VIII

Inhaltsverzeichnis Prolog . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Seite V

Inhaltsübersicht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

VII

A. Erster Akt: Prüfung und Ermittlung I. Erster Teil: Auskunftsersuchen der Aufsichtsbehörde . . . . . . . . . . 1. Kann eine Aufsichtsbehörde vom Datenverarbeiter Auskünfte verlangen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Wie verhält sich Art. 58 Abs. 1 lit. a DSGVO zu § 40 Abs. 4 Satz 1 BDSG? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3. Wer ist zur Auskunft verpflichtet: Nur das Unternehmen oder auch die Unternehmensleitung und/oder der Datenschutzbeauftragte? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4. Wie sind Auskunftsverpflichtungen gegenüber Behörden in anderen Rechtsgebieten geregelt? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5. Bedarf es für ein behördliches Auskunftsersuchen eines konkreten Anlasses? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6. Wann handelt es sich bei einem behördlichen Auskunftsersuchen um einen Verwaltungsakt? . . . . . . . . . . . . . . . . . . . . . . . . . . . 7. Ist ein Auskunftsersuchen im Zweifel ein Verwaltungsakt? . . . . . 8. Was ist dem Empfänger eines unklaren Auskunftsersuchens zu raten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9. Kann der Datenverarbeiter Akteneinsicht verlangen, bevor er die Auskunft erteilt? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10. Ist eine Akteneinsicht stets ratsam? . . . . . . . . . . . . . . . . . . . . . . . . 11. Welchen verfassungsrechtlichen Hintergrund hat das Akteneinsichtsrecht? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12. Was versteht man eigentlich unter „den Akten“? . . . . . . . . . . . . . 13. Wann darf die Aufsichtsbehörde die Akteneinsicht – ganz oder teilweise – verweigern? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14. Muss die Aufsichtsbehörde die Namen von Personen preisgeben, die sich mit einer Beschwerde an die Behörde gewandt haben? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15. Gibt es Rechtsbehelfe gegen eine vollständige oder teilweise Verweigerung der Akteneinsicht? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16. Gibt es Grenzen der Auskunftsverpflichtung? . . . . . . . . . . . . . . . .

Rz. Seite 2 1 5

1

8

2

10

2

13

3

17

3

18 25

4 6

27

6

29 31

7 7

34 36

8 8

38

9

41

10

43 45

10 10 IX

Inhaltsverzeichnis 17. Welche Grenzen setzt das Bestimmtheitsgebot? . . . . . . . . . . . . . . 18. Welche Auskünfte sind für die Erfüllung der behördlichen Aufgaben „erforderlich“? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19. Beziehen sich Auskunftspflichten stets auf Tatsachen? . . . . . . . . . 20. Wann sind Auskünfte erforderlich und verhältnismäßig? . . . . . . 21. Muss der Datenverarbeiter zur Erfüllung seiner Auskunftspflichten auch Geheimnisse preisgeben? . . . . . . . . . . . . . . . . . . . . . . . . . 22. Ergeben sich aus § 29 BDSG Einschränkungen bei den Auskunftspflichten der Berufsgeheimnisträger gegenüber der Aufsichtsbehörde? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23. Welche Bedeutung hat Art. 31 DSGVO für die Auskunftsersuchen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24. Welche Bedeutung hat die Rechenschaftspflicht für Auskunftsersuchen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25. Kann die Aufsichtsbehörde die sofortige Vollziehung eines Auskunftsersuchens anordnen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26. Wann besteht ein Auskunftsverweigerungsrecht aus Gründen der Selbstbelastungsfreiheit? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27. Sind Auskunftsverweigerungsrechte verfassungsrechtlich vorgegeben? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28. Ist es ratsam, von dem Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG Gebrauch zu machen? . . . . . . . . . . . . . . . . . 29. In welchem Verhältnis steht das Auskunftsverweigerungsrecht zu den Verwendungsverboten nach § 42 Abs. 4 und § 43 Abs. 4 BDSG? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30. Gilt das Aussageverweigerungsrecht auch für juristischen Personen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31. Welche Bedeutung hat das Aussageverweigerungsrecht für Unternehmen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32. Dürfen Fragen auch zusammenhängend beantwortet werden? . . 33. Bedarf es einer Begründung, wenn Fragen nicht beantwortet werden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34. Reichen mündliche Auskünfte aus? . . . . . . . . . . . . . . . . . . . . . . . . 35. Kann es notwendig sein, die Berechtigung von Fragen gerichtlich überprüfen zu lassen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36. Muss der Datenverarbeiter damit rechnen, dass ein Beschwerdeführer Kenntnis von seiner Auskunft erlangt? . . . . . . . . . . . . . . . . 37. Wie kann der Datenverarbeiter verhindern, dass ein Beschwerdeführer über die Akteneinsicht Kenntnis von Geschäftsgeheimnissen erlangt? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . X

Rz. Seite 46 11 50 52 57

12 12 14

60

14

61

14

63

15

67

15

70

16

73

17

76

17

79

18

82

19

84

19

87 90

20 21

91 93

21 21

95

21

97

22

99

22

Inhaltsverzeichnis 38. Welche Maßnahmen kann die Behörde ergreifen, wenn der Datenverarbeiter einem Auskunftsersuchen nicht nachkommt? . . . 39. Kann die Aufsichtsbehörde nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG auch die Herausgabe von Unterlagen, Dokumenten und Nachweisen verlangen? . . . . . . . . . . . . . 40. Ergibt sich aus Art. 58 Abs. 1 lit. e DSGVO und § 40 Abs. 5 Satz 1 BDSG eine Befugnis der Aufsichtsbehörden zu Herausgabeanordnungen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41. Ist ein Aussageverweigerungsrecht stets mit einem Recht verbunden, die Herausgabe von Unterlagen zu verweigern? . . . . . . . 42. Muss man dem Datenverarbeiter stets empfehlen, eine Herausgabe von Unterlagen zu verweigern, da es an einer entsprechenden Eingriffsnorm fehlt? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43. Muss der Datenverarbeiter Auskunftsersuchen persönlich beantworten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44. Was muss die Behörde beachten, wenn sich der Datenverarbeiter anwaltlich vertreten lässt? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45. Ist eine schriftliche Vollmachtserteilung vorgeschrieben? . . . . . . 46. Darf ein Anwalt, der externer Datenschutzbeauftragter eines Unternehmens ist, für das Unternehmen als Bevollmächtigter im Verwaltungsverfahren auftreten? . . . . . . . . . . . . . . . . . . . . . . . . 47. Darf ein externer Datenschutzbeauftragter eines Unternehmens, der kein Anwalt ist, für das Unternehmen als Bevollmächtigter im Verwaltungsverfahren auftreten? . . . . . . . . . . . . . . . . . . . . . . . . II. Zweiter Teil: Vor-Ort-Prüfung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1. Welche Regeln gelten für Fragen, die die Behörde bei einem Vor-Ort-Termin stellt? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Ist die Behörde berechtigt, Mitarbeiter zu befragen? . . . . . . . . . . . 3. Sind Mitarbeiter zu Aussagen verpflichtet? . . . . . . . . . . . . . . . . . . 4. Ist der betriebliche Datenschutzbeauftragte zu Aussagen verpflichtet? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5. Besteht eine Verpflichtung, die Mitarbeiter der Datenschutzbehörde an dem gewünschten Termin zu einer Vor-Ort-Prüfung zu empfangen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6. Hat die Behörde das Recht, Geschäftsräume auch gegen den Willen des Betriebsinhabers zu betreten? . . . . . . . . . . . . . . . . . . . . 7. Wie verhält sich Art. 58 Abs. 1 lit. f DSGVO zu § 40 Abs. 5 Satz 1 BDSG? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Rz. Seite 100

22

104

23

110

24

112

25

115

25

117

26

118 119

26 26

120

26

126

27

128

29

129 130 131

29 29 29

132

30

133

30

134

31

135

31

XI

Inhaltsverzeichnis 8. Unter welchen Voraussetzungen dürfen die Aufsichtsbehörden nach Art. 58 Abs. 1 lit. f DSGVO und § 40 Abs. 5 Satz 1 BDSG von ihren Zugangsbefugnissen Gebrauch machen? . . . . . . 9. Wie sind „Nachschaurechte“ von Behörden in anderen Rechtsgebieten geregelt? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10. Welche verfassungsrechtlichen Rahmenbedingungen gelten für die „Nachschaurechte“? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11. Welche Anforderungen an „Nachschaurechte“ ergeben sich aus dem Verhältnismäßigkeitsprinzip? . . . . . . . . . . . . . . . . . . . . . . . . . 12. Lässt sich aus dem Verhältnismäßigkeitsprinzip ein „Primat des Auskunftsersuchens“ ableiten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13. Ist das „Nachschaurecht“ an übliche Betriebs- und Geschäftszeiten gebunden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14. Bedarf es für eine „Nachschau“ eines richterlichen Beschlusses? . 15. Muss eine „Vor-Ort-Prüfung“ vorab angekündigt werden? . . . . . 16. Wie sollte der Betriebsinhaber bei einem unangekündigten Besuch der Aufsichtsbehörde reagieren? . . . . . . . . . . . . . . . . . . . . . . 17. Welchen Rechtsschutz gibt es gegen eine „Nachschau“? . . . . . . . 18. Kann die Aufsichtsbehörde den Zutritt erzwingen? . . . . . . . . . . . 19. Gibt es Ausnahmen von dem Zutrittsrecht? . . . . . . . . . . . . . . . . . 20. Kann die Behörde Zugang zu Daten verlangen, die sich auf betrieblichen Rechnern befinden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21. Gilt das Zugangsrecht auch für Daten, die außerhalb der Betriebsräume – etwa in einem Cloud-Dienst – gespeichert sind? . . 22. Gilt das Zugangsrecht auch für Endgeräte der Mitarbeiter, wenn diese Geräte (auch) dienstlich genutzt werden? . . . . . . . . . . . . . . . 23. Wie lassen sich Geschäftsgeheimnisse gegen behördlichen Zugriff schützen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24. Kann die Aufsichtsbehörde den Zugang erzwingen? . . . . . . . . . . . 25. Gibt es Ausnahmen von dem Zugangsrecht? . . . . . . . . . . . . . . . . . III. Dritter Teil: Bußgeldverfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1. Wie unterscheidet sich das Bußgeldverfahren vom Verwaltungsverfahren? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Wie beginnt ein Bußgeldverfahren? . . . . . . . . . . . . . . . . . . . . . . . . 3. Gibt es eine Verpflichtung der Aufsichtsbehörden zur Einleitung von Bußgeldverfahren, wenn ein Anfangsverdacht für einen der Tatbestände des Art. 83 Abs. 3 bis 6 DSGVO besteht? . . . . . . . . 4. Gegen wen können Bußgeldverfahren geführt werden – nur gegen natürliche oder auch gegen juristische Personen? . . . . . . . . . . XII

Rz. Seite 137

31

139

32

146

33

149

34

152

35

156 157 158

35 36 36

159 161 162 164

36 36 36 37

166

37

168

38

169

38

170 171 173

39 39 39

174

41

176 178

41 41

180

42

181

42

Inhaltsverzeichnis 5. Unter welchen Voraussetzungen können Bußgeldverfahren gegen den Inhaber eines Einzelunternehmens geführt werden? . . . 6. Wer ist Betroffener, wenn ein Bußgeldverfahren gegen eine juristische Person geführt wird? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7. Kann ein Anwalt in einem Bußgeldverfahren sowohl die juristische Person als auch Organe oder Mitarbeiter vertreten? . . . . . . . 8. Welche Bedeutung hat eine Festlegung der Aufsichtsbehörde, gegen welche Personen Bußgeldverfahren geführt werden? . . . . . 9. Muss der Betroffene informiert werden, wenn ein Bußgeldverfahren gegen ihn eröffnet wird? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10. Darf die Aufsichtsbehörde ein Bußgeldverfahren eröffnen, wenn ihr ein Unternehmen eine Datenpanne meldet? . . . . . . . . . . . . . . 11. Gilt das Verwertungsverbot nach § 43 Abs. 4 BDSG auch für juristische Personen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12. Welche Befugnisse hat die Aufsichtsbehörde in einem Bußgeldverfahren? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13. Dürfen Erkenntnisse aus Bußgeldverfahren in Verwaltungsverfahren verwendet werden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14. Dürfen Erkenntnisse aus Verwaltungsverfahren in Bußgeldverfahren verwendet werden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15. Ist das Schweigerecht des Betroffenen nicht bereits durch § 40 Abs. 4 Satz 2 BDSG umfassend gesichert? . . . . . . . . . . . . . . . . . . 16. Welche Folgen hat es, wenn ein Betroffener nur über sein Auskunftsverweigerungsrecht nach dem BDSG, nicht jedoch über sein strafprozessuales Schweigerecht belehrt wurde? . . . . . . . . . . 17. Gibt es im Bußgeldverfahren ein Akteneinsichtsrecht des Betroffenen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18. Hat der Betroffene einen Anspruch auf Versendung der Akte oder muss er die Akte vor Ort bei der Aufsichtsbehörde einsehen und kopieren? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19. Was ist unter der „Akte“ i.S.d. § 49 OWiG zu verstehen? . . . . . . 20. Wie endet ein Bußgeldverfahren? . . . . . . . . . . . . . . . . . . . . . . . . . .

Rz. Seite 183

43

184

43

185

43

186

44

187

44

188

44

190

44

192

45

193

45

194

45

195

46

196

46

200

47

201 203 205

47 47 47

209 210

49 49

214

50

B. Zweiter Akt: Maßnahmen und Entscheidungen I. Erster Teil: Verbote und andere Anordnungen . . . . . . . . . . . . . . . . 1. Welche behördlichen Abhilfebefugnisse sieht die DSGVO vor? . 2. Kann die Aufsichtsbehörde bestimmte Formen der Verarbeitung personenbezogener Daten verbieten? . . . . . . . . . . . . . . . . . . . . . . .

XIII

Inhaltsverzeichnis 3. Muss die Aufsichtsbehörde erst warnen oder verwarnen, bevor sie ein Verbot anordnet? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4. Kann die Aufsichtsbehörde Auflagen anordnen? . . . . . . . . . . . . . 5. Kann die Aufsichtsbehörde die Demontage von Videokameras und anderer Hardware anordnen? . . . . . . . . . . . . . . . . . . . . . . . . . 6. Wie konkret müssen Verbote und Anordnungen formuliert sein? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7. Wie verhält sich das Bestimmtheitsgebot zur Vollstreckbarkeit eines Verbots oder einer Anordnung? . . . . . . . . . . . . . . . . . . . . . . 8. Was bedeutet das Bestimmtheitserfordernis für den Adressaten eines Verbotsbescheids oder einer behördlichen Anordnung? . . . 9. Wie allgemein dürfen Verbote und Anordnungen formuliert sein? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10. Wie klar muss eine behördliche Anordnung zwischen erlaubten und unerlaubten Handlungen unterscheiden? . . . . . . . . . . . . . . . . 11. Was muss die Behörde beachten, wenn sie in einem Verbotsbescheid oder einer Anordnung Fristen setzt? . . . . . . . . . . . . . . . . 12. Kann die Behörde eine unbestimmte Anordnung oder ein unbestimmtes Verbot nachträglich konkretisieren und „heilen“? . . . . 13. Bedürfen Verbotsbescheide und Anordnungen einer Rechtsbehelfsbelehrung? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14. Kann die Behörde die sofortige Vollziehung von Verboten und Anordnungen anordnen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15. Was muss die Aufsichtsbehörde beachten, wenn sie die sofortige Vollziehung anordnet? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16. Welche Anforderungen gelten für die Begründung des Vollziehungsinteresses? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17. Welche materiellen Anforderungen gelten für das Vollziehungsinteresse? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18. Welche Möglichkeiten hat die Behörde, wenn sich der Datenverarbeiter nicht an Verbote oder Anordnungen hält? . . . . . . . . . . . . 19. Bedarf es zur Durchsetzung behördlicher Verbote und Anordnungen einer Rechtsbehelfsbelehrung? . . . . . . . . . . . . . . . . . . . . . . 20. Wie werden behördliche Verbote und Anordnungen letztlich durchgesetzt? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21. Macht es einen Unterschied, ob ein Datenverarbeiter zu einer Handlung oder einer Unterlassung verpflichtet ist? . . . . . . . . . . . 22. Wann kommt eine Ersatzvornahme in Betracht? . . . . . . . . . . . . . 23. Wann kommt ein Zwangsgeld in Betracht? . . . . . . . . . . . . . . . . . . 24. Wie kann man sich gegen ein Zwangsgeld wehren? . . . . . . . . . . . XIV

Rz. Seite 218 219

51 51

222

52

224

52

228

53

230

54

231

55

234

55

242

57

244

58

245

58

247

58

248

59

250

59

253

60

255

60

256

61

258

61

259 262 266 270

61 62 62 63

Inhaltsverzeichnis 25. Wann kommt unmittelbarer Zwang in Betracht? . . . . . . . . . . . . . 26. Kann die Behörde neben einem Zwangsmittel auch Bußgelder verhängen, wenn Verbote und Anordnungen missachtet werden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27. Kann ein Betroffener von der Behörde Verbote oder Anordnungen gegen einen Datenverarbeiter verlangen? . . . . . . . . . . . . . . . . 28. Ist die Beschwerde mehr als ein „Petitionsrecht“? . . . . . . . . . . . . . 29. Muss die Behörde einen Ablehnungsbescheid erlassen, wenn sie einer Beschwerde nicht weiter nachgehen möchte? . . . . . . . . . . . . II. Zweiter Teil: Bußgelder . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1. Gibt es Fälle, in denen die Aufsichtsbehörde verpflichtet ist, ein Bußgeld zu verhängen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Kann die Aufsichtsbehörde wegen jedes Datenschutzverstoßes Bußgelder verhängen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3. Handelt es sich bei Art. 83 Abs. 3 bis 6 DSGVO um Blankettgesetze? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4. Lässt sich gegen einen Bußgeldbescheid einwenden, dass der gesetzliche Tatbestand der Bußgeldnorm zu unbestimmt ist? . . . . . 5. Gilt der verfassungsrechtliche Bestimmtheitsgrundsatz auch für Normen des europäischen Rechts? . . . . . . . . . . . . . . . . . . . . . . . . . 6. Genügt Art. 25 Abs. 1 DSGVO (Privacy by Design) den verfassungsrechtlichen Anforderungen? . . . . . . . . . . . . . . . . . . . . . . . . . 7. Genügt Art. 5 Abs. 1 DSGVO den verfassungsrechtlichen Anforderungen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8. Kommt es für die Bestimmtheit einzelner Bußgeldtatbestände auch auf die Rechtsprechung an? . . . . . . . . . . . . . . . . . . . . . . . . . . 9. Sind einzelne Bußgeldtatbestände eng auszulegen? . . . . . . . . . . . . 10. Kann ein Bußgeld verhängt werden, wenn ein Datenverarbeiter gegen eine behördliche Anordnung verstoßen hat? . . . . . . . . . . . . 11. Liegt in den Fällen des Art. 83 Abs. 6 DSGVO nicht zugleich ein Datenschutzverstoß vor, der nach Art. 83 Abs. 4 und 5 DSGVO mit einem Bußgeld geahndet werden kann? . . . . . . . . . . 12. Was haben die Aufsichtsbehörden im Hinblick auf das Bestimmtheitserfordernis zu beachten, wenn sie Bußgeldbescheide erlassen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13. Was haben Datenverarbeiter im Hinblick auf das Bestimmtheitserfordernis zu beachten, wenn gegen sie ein Bußgeldbescheid erlassen wird? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14. Setzt ein Bußgeldbescheid stets Vorsatz oder Fahrlässigkeit einer konkreten Person voraus? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Rz. Seite 272 64 273

64

274 278

64 65

282

66

284

67

285

67

287

67

288

67

291

68

294

69

295

69

298

70

301 302

70 71

305

72

307

72

308

72

311

73

312

73 XV

Inhaltsverzeichnis 15. Gibt es auch nach europäischem Recht einen Schuldgrundsatz? . 16. Gilt das Schuldprinzip auch für juristische Personen? . . . . . . . . . 17. Welche Auswirkungen hat das Schuldprinzip auf Bußgelder gegen Unternehmen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18. Ist das OWiG auf Datenschutzverstöße anwendbar? . . . . . . . . . . 19. Welche Anforderungen an ein Bußgeld ergeben sich aus § 30 OWiG? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20. Welche Anforderungen an ein Bußgeld ergeben sich aus § 130 OWiG? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21. Wie hoch sind die Hürden für DSGVO-Bußgelder, die sich aus § 30 und § 130 OWiG ergeben? . . . . . . . . . . . . . . . . . . . . . . . . . . . 22. Welche Anforderungen an Tatbestandsfeststellungen lassen sich aus der Rechtsprechung zu den §§ 30 und 130 OWiG ableiten? . 23. Was sagt das OLG Jena? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24. Was sagt das OLG Celle? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25. Was sagt das OLG Rostock? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26. Was sagt das OLG Hamm? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27. Was sagt das OLG Dresden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28. Was sagt das OLG Düsseldorf? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29. Und was sagt der BGH? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30. Sind § 30 und § 130 OWiG mit Art. 83 DSGVO vereinbar? . . . 31. Darf eine deutsche Aufsichtsbehörde die §§ 30 und 130 OWiG unbeachtet lassen, wenn sie der Auffassung ist, dass die Bestimmungen mit Art. 83 DSGVO unvereinbar sind? . . . . . . . . . . . . . . 32. Was haben die Aufsichtsbehörden im Hinblick auf die §§ 30 und 130 OWiG zu beachten, wenn sie Bußgeldbescheide erlassen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33. Welche Auswirkungen könnte ein neues Verbandssanktionengesetz auf Bußgeldverfahren nach der DSGVO haben? . . . . . . . . 34. Muss die Behörde den vollen Nachweis eines Bußgeldtatbestands führen oder gibt es Beweiserleichterungen? . . . . . . . . . . 35. Kann die Rechenschaftspflicht den Nachweis eines Bußgeldtatbestands erleichtern? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36. Was muss die Behörde einem Unternehmen nachweisen, wenn ein Bußgeldbescheid auf den Datenschutzverstoß eines Mitarbeiters gestützt werden soll? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37. Welche Anforderungen gelten für eine Leitungsverantwortung nach § 30 Abs. 1 Nr. 5 OWiG? . . . . . . . . . . . . . . . . . . . . . . . . . . .

XVI

Rz. Seite 315 74 316 74 317 319

74 75

320

75

323

76

325

76

328 329 333 335 337 339 341 343 345

77 77 78 78 79 79 79 80 80

347

81

350

82

352

82

353

83

355

83

360

84

363

85

Inhaltsverzeichnis 38. Welche Anforderungen gelten für eine Kontrollverantwortung nach § 30 Abs. 1 Nr. 5 OWiG? . . . . . . . . . . . . . . . . . . . . . . . . . . . 39. Kann gegen Unternehmen ein Bußgeld verhängt werden, wenn der betriebliche Datenschutzbeauftragte einen Datenschutzverstoß begeht? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40. Welche Besonderheiten gibt es bei einzelkaufmännischen Unternehmen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41. Darf die Aufsichtsbehörde in einem Bußgeldbescheid Erkenntnisse verwerten, die aus der pflichtgemäßen Meldung einer Datenpanne stammen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42. Gilt das Verwendungsverbot des § 43 Abs. 4 BDSG auch für juristische Personen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43. Kann ein Bußgeld gegen den Mitarbeiter eines Unternehmens verhängt werden, wenn der Mitarbeiter einen Datenschutzverstoß begangen hat? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44. Wie berechnet die Behörde die Höhe des Bußgelds? . . . . . . . . . . . 45. Ist der Gewinn oder der Umsatz des Unternehmens, das den Datenschutzverstoß begangen hat, für die Bemessung des Bußgelds relevant? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46. Was ist von dem „Bußgeldkonzept“ der Datenschutzkonferenz (DSK) zu halten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47. Bedarf der Bußgeldbescheid einer Rechtsbehelfsbelehrung? . . . . 48. Welche weiteren Bestandteile muss ein Bußgeldbescheid enthalten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49. Welche Folgen haben schwerwiegende Mängel eines Bußgeldbescheids? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50. Wie genau muss die Tat in dem Bußgeldbescheid geschildert werden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51. Was ist den Aufsichtsbehörden bei der Abfassung von Bußgeldbescheiden zu raten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52. Welche Relevanz hat § 66 OWiG für den Adressaten eines Bußgeldbescheids? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . III. Dritter Teil: Öffentlichkeitsarbeit . . . . . . . . . . . . . . . . . . . . . . . . . . . 1. Welche Rechtsgrundlagen gibt es für die Öffentlichkeitsarbeit der Aufsichtsbehörden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Darf eine Aufsichtsbehörde in ihren Tätigkeitsberichten über Einzelfälle berichten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3. Welche Grenzen gelten für die behördliche Öffentlichkeitsarbeit? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4. Ist „Blaming“ und „Shaming“ erlaubt? . . . . . . . . . . . . . . . . . . . . . .

Rz. Seite 364

86

365

86

366

86

370

87

374

88

378 381

89 90

384

91

386 389

91 93

390

93

392

93

393

94

396

94

398

95

399

96

400

96

402

96

403 405

96 97 XVII

Inhaltsverzeichnis 5. Darf sich eine Aufsichtsbehörde öffentlich zu Bußgeldverfahren und Abhilfemaßnahmen gegen einzelne Unternehmen – per Pressemitteilung oder auf andere Weise – äußern? . . . . . . . . . . . .

Rz. Seite 406

97

I. Erster Teil: Klagen wegen Untätigkeit . . . . . . . . . . . . . . . . . . . . . . . 1. Kann ein Beschwerdeführer eine Aufsichtsbehörde wegen Untätigkeit verklagen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Wie geht der Beschwerdeführer vor, wenn die Aufsichtsbehörde ihm mitteilt, dass sie sich mit der Beschwerde nicht befasst? . . . . 3. Unterscheidet sich eine Untätigkeitsklage nach Art. 78 Abs. 2, 2. Fall DSGVO von einer Untätigkeitsklage nach § 75 VwGO? . 4. Welche Entscheidungsmöglichkeiten hat das Gericht bei allgemeinen Leistungsklagen nach Art. 78 Abs. 2, 2. Fall DSGVO? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5. Hat ein Beschwerdeführer Anspruch auf konkrete Maßnahmen der Behörde? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6. Kann ein Unternehmen von der Behörde eine Entscheidung verlangen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7. Kann ein Unternehmen gerichtlich die Feststellung verlangen, datenschutzkonform zu handeln? . . . . . . . . . . . . . . . . . . . . . . . . . . 8. Was sagt das Bundesverfassungsgericht? . . . . . . . . . . . . . . . . . . . . 9. Was sagt das Bundesverwaltungsgericht? . . . . . . . . . . . . . . . . . . . . 10. Kann die parallele Erhebung einer Feststellungsklage in einem Bußgeldverfahren nützlich sein? . . . . . . . . . . . . . . . . . . . . . . . . . . . 11. Lässt sich mit einer Feststellungsklage ein Bußgeldverfahren verhindern? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

409

99

410

99

413

100

419

101

423

102

426

102

428

103

431 434 437

103 104 105

440

106

442

106

II. Zweiter Teil: Klagen gegen Verwaltungsakte . . . . . . . . . . . . . . . . . . 1. Gibt es ein datenschutzrechtliches Vorverfahren? . . . . . . . . . . . . . 2. Welches Gericht ist zuständig? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3. Wer ist Beklagter? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4. Wann ist eine Anfechtungsklage die richtige Klageart? . . . . . . . . 5. Wie verfährt ein Kläger, wenn er sich nicht sicher ist, ob ein behördliches Schreiben ein Verwaltungsakt ist? . . . . . . . . . . . . . . . . 6. Welche Frist gilt für die Anfechtungsklage? . . . . . . . . . . . . . . . . . . 7. Wann beginnt die Klagefrist genau? . . . . . . . . . . . . . . . . . . . . . . . . 8. Besteht Anwaltszwang? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

443 444 446 448 449

108 108 108 108 108

453 455 456 458

109 109 110 110

C. Dritter Akt: Gerichtliche Verfahren

XVIII

Inhaltsverzeichnis 9. Wer ist vor dem Verwaltungsgericht vertretungsbefugt? . . . . . . . 10. Sind externe Datenschutzbeauftragte vor dem Verwaltungsgericht vertretungsbefugt? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11. Muss die Klage begründet werden? . . . . . . . . . . . . . . . . . . . . . . . . . 12. Muss in der Klage ein Antrag formuliert werden? . . . . . . . . . . . . . 13. Welche Angaben sind für eine Klage erforderlich? . . . . . . . . . . . . 14. Wie bestimmt sich der Streitwert einer verwaltungsrechtlichen Klage? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15. Kann das Gericht den Kläger unter Fristsetzung zur Begründung der Klage auffordern? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16. Welche Folgen hat es, wenn eine Frist zur Begründung der Klage versäumt wird? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17. Kann das Gericht verspätete Erklärungen und Beweismittel zurückweisen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18. Warum ist es dennoch sinnvoll, die Klage ausführlich zu begründen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19. Hat die Klage aufschiebende Wirkung? . . . . . . . . . . . . . . . . . . . . . 20. Welche Folgen hat die aufschiebende Wirkung der Anfechtungsklage? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21. Kann die Aufsichtsbehörde parallel zu einem Verwaltungsprozess einen Bußgeldbescheid erlassen? . . . . . . . . . . . . . . . . . . . . . . . 22. Wann kommt einstweiliger Rechtsschutz in Betracht? . . . . . . . . . 23. Nach welchen Maßstäben entscheidet das Gericht über einen Antrag nach § 80 Abs. 5 Satz 1 VwGO? . . . . . . . . . . . . . . . . . . . 24. Wie begründet man einen Antrag nach § 80 Abs. 5 Satz 1 VwGO am besten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25. Welche Regeln gelten für ein Verfahren nach § 80 Abs. 5 Satz 1 VwGO? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26. Kann das Verwaltungsgericht im Verfahren nach § 80 Abs. 5 Satz 1 VwGO einen Termin zur mündlichen Verhandlung anberaumen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27. Muss die Aufsichtsbehörde im Verwaltungsprozess Akten vorlegen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28. Welche Bedeutung haben die Verwaltungsvorgänge für den Kläger? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29. Hat der Kläger ein Recht auf Einsicht in die Verwaltungsvorgänge? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30. Welche Regeln gelten für Beweismittel? . . . . . . . . . . . . . . . . . . . . . 31. Welche Rolle spielen Beweisanträge der Parteien? . . . . . . . . . . . .

Rz. Seite 459 110 463 464 465 466

111 111 111 111

468

111

470

112

471

112

472

112

477 481

113 113

482

114

483 485

114 114

486

115

487

115

489

115

490

116

491

116

493

116

495 497 499

116 117 117 XIX

Inhaltsverzeichnis 32. Gibt es Besonderheiten bei der Beweislast, wenn es um Datenschutz geht? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33. Welche Regeln gelten für die Prozesskosten? . . . . . . . . . . . . . . . . . 34. Können auch Anwaltsgebühren erstattet werden, die im Verwaltungsverfahren angefallen sind? . . . . . . . . . . . . . . . . . . . . . . . . . . . 35. Welche Rechtsmittel gibt es im Verwaltungsprozess? . . . . . . . . . . 36. Wie können die Parteien eine Zulassung der Berufung durch das Verwaltungsgericht beeinflussen? . . . . . . . . . . . . . . . . . . . . . . . . . . 37. Wie kommt ein Fall zum Europäischen Gerichtshof? . . . . . . . . . . 38. Wie kommt ein Fall zum Bundesverfassungsgericht? . . . . . . . . . . III. Dritter Teil: Einspruch gegen Bußgeldbescheide . . . . . . . . . . . . . . 1. Welche Frist gilt für den Einspruch und an wen ist der Einspruch zu richten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Welches Strafgericht ist zuständig? . . . . . . . . . . . . . . . . . . . . . . . . . 3. Hat der Einspruch aufschiebende Wirkung? . . . . . . . . . . . . . . . . . 4. Besteht Anwaltszwang? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5. Wer kann den Betroffenen im Einspruchsverfahren vertreten? . . 6. Welche Bedeutung hat das Verbot der Mehrfachverteidigung? . . 7. Muss der Einspruch begründet werden? . . . . . . . . . . . . . . . . . . . . 8. Welche Verpflichtungen hat die Aufsichtsbehörde nach Eingang des Einspruchs? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9. Welche Regeln gelten eigentlich für die Verjährung? . . . . . . . . . . 10. Wie verfahren die Staatsanwaltschaft und das Gericht im Zwischenverfahren? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11. Welche Möglichkeiten bietet das Zwischenverfahren für die Verteidigung? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12. Welche Möglichkeiten der Verfahrenseinstellung gibt es? . . . . . . 13. Kann eine Verfahrenseinstellung von der Zahlung eines Geldbetrages an eine gemeinnützige Organisation abhängig gemacht werden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14. Welche Regeln gelten für die Verfahrenskosten? . . . . . . . . . . . . . . 15. Gibt es im Bußgeldprozess Besonderheiten bei der Beweislast, wenn es um Datenschutz geht? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16. Welche Rechtsmittel gibt es im Bußgeldprozess? . . . . . . . . . . . . . 17. Wie kommt ein Fall zum Europäischen Gerichtshof oder zum Bundesverfassungsgericht? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18. Wie wird ein Bußgeld beigetrieben? . . . . . . . . . . . . . . . . . . . . . . . .

XX

Rz. Seite 501 504

117 118

506 507

118 118

512 515 517

119 120 120

518

121

519 521 523 524 525 527 528

121 121 121 121 122 122 122

529 533

122 123

536

123

537 538

124 124

540 541

124 124

545 547

125 125

549 551

126 126

Inhaltsverzeichnis IV. Vierter Teil: Klagen gegen öffentliche Äußerungen . . . . . . . . . . . . 1. Welches Gericht ist zuständig? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2. Wie können die Klageanträge lauten? . . . . . . . . . . . . . . . . . . . . . . . 3. Gibt es Besonderheiten, wenn es um Äußerungen in einem Tätigkeitsbericht der Behörde geht? . . . . . . . . . . . . . . . . . . . . . . . . . . 4. Wann kommt einstweiliger Rechtsschutz in Betracht? . . . . . . . . . Stichwortverzeichnis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Rz. Seite 552 127 553 127 554 127 555 556

127 127 129

XXI

XXII

A. Erster Akt: Prüfung und Ermittlung Die Arbeit der Datenschutzbehörden beginnt stets mit der Ermittlung von Sachverhalten und der Prüfung möglicher Rechtsverletzungen. Dabei binden Auskunftsersuchen und mögliche Vor-Ort-Prüfungen erhebliche Kapazitäten. Anschließend entscheidet die Behörde über die Einleitung eines Bußgeldverfahrens.

1

I. Erster Teil: Auskunftsersuchen der Aufsichtsbehörde Datenschutzbehörden stellen gerne Fragen. Beschwert sich ein Bürger bei einer Datenschutzbehörde über ein Unternehmen, reagiert die Behörde typischerweise mit einem Schreiben an das Unternehmen. In dem Schreiben wird das Unternehmen – meist unter Fristsetzung – aufgefordert, Fragen zu beantworten.

2

Die meisten Verfahren der Datenschutzbehörden beginnen erfahrungsgemäß mit einer Beschwerde. Bürger beschweren sich über Videokameras, über Personalakten, die im Hausmüll gefunden wurden, oder über Fotos auf der Website einer Schule. Arbeitnehmer beschweren sich über Personalakten, die in unverschlossenen Schränken aufbewahrt werden, oder über Lebensläufe von Bewerbern, die auch nach vielen Jahren nicht gelöscht oder vernichtet wurden. Kunden beschweren sich über Werbemails oder über Nachlässigkeiten beim Umgang mit Betroffenenrechten.

3

Bisweilen suchen sich die Datenschutzbehörden auch ohne einen konkreten Anlass Unternehmen einer bestimmten Branche aus und übersenden Fragebögen. Mit diesen Fragebögen möchten sich die Behörden einen Überblick über die Verarbeitungspraxis in bestimmten Branchen verschaffen. Die Ergebnisse der Befragungen werden sodann vielfach veröffentlicht, samt Einschätzungen über die Datenschutzkonformität der Ergebnisse.

4

1. Kann eine Aufsichtsbehörde vom Datenverarbeiter Auskünfte verlangen? Ja. Die Befugnis der Aufsichtsbehörden, Auskünfte zu verlangen, ergibt sich aus Art. 58 Abs. 1 lit. a DSGVO. Danach sind die Behörden berechtigt, den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind.

5

Aus dem in Art. 2 EUV verankerten Grundsatz rechtsstaatlichen Handelns ergibt sich, dass eine nationale Datenschutz-Aufsichtsbehörde nur handeln darf, wenn ihr Aufgabenreich eröffnet ist (vgl. Art. 57 DSGVO) und sie durch eine konkrete Befugnisnorm zum Handeln ermächtigt wird (vgl. Art. 58 DSGVO). Art. 58 DSGVO differenziert zwischen den verschiedenen Arten von Befugnissen, den Untersuchungs-

6

1

A. Rz. 6 | Erster Akt: Prüfung und Ermittlung

befugnissen in Art. 58 Abs. 1 DSGVO und den Abhilfe-, Genehmigungs- und Beratungsbefugnissen in Art. 58 Abs. 2 und 3 DSGVO. 7

Ergänzend ergibt sich die Befugnis zu Auskunftsersuchen auch aus § 40 Abs. 4 Satz 1 BDSG. Hiernach haben die der Datenschutzaufsicht unterliegenden Stellen sowie die mit deren Leitung beauftragten Personen einer Aufsichtsbehörde auf Verlangen die für die Erfüllung ihrer Aufgaben erforderlichen Auskünfte zu erteilen. – Siehe auch: Erster Akt, Erster Teil, 3. Wer ist zur Auskunft verpflichtet: Nur das Unternehmen oder auch die Unternehmensleitung und/oder der Datenschutzbeauftragte? Rz. 10 f. – Siehe auch: Erster Akt, Erster Teil, 5. Bedarf es für ein behördliches Auskunftsersuchen eines konkreten Anlasses? Rz. 17 – Siehe auch: Erster Akt, Erster Teil, 38. Welche Maßnahmen kann die Behörde ergreifen, wenn der Datenverarbeiter einem Auskunftsersuchen nicht nachkommt? Rz. 100 ff.

2. Wie verhält sich Art. 58 Abs. 1 lit. a DSGVO zu § 40 Abs. 4 Satz 1 BDSG? 8

§ 40 BDSG übernimmt die Bestimmungen zu den Befugnissen der Aufsichtsbehörde, die sich in § 38 BDSG a.F. fanden, soweit diese Bestimmungen durch die DSGVO nicht überholt sind. Weshalb man meinte, die Befugnisse zu Auskunftsersuchen – in der DSGVO und im BDSG – gleich doppelt regeln zu müssen, erschließt sich aus den Gesetzesmaterialien nicht (BT-Drucks. 18/11325 v. 24.2.2017, S. 108).

9

Allerdings gibt Art. 58 Abs. 6 Satz 1 DSGVO den EU-Mitgliedsstaaten die Möglichkeit, durch Rechtsvorschriften vorzusehen, dass seine Aufsichtsbehörden neben den in Art. 58 Abs. 1 bis 3 DSGVO aufgeführten Befugnissen über zusätzliche Befugnisse verfügen. 3. Wer ist zur Auskunft verpflichtet: Nur das Unternehmen oder auch die Unternehmensleitung und/oder der Datenschutzbeauftragte?

10

Adressaten des Art. 58 Abs. 1 lit. a DSGVO sind der Verantwortliche, der Auftragsverarbeiter und der Vertreter eines nicht in der EU niedergelassenen Verantwortlichen oder Auftragsverarbeiters (Art. 27 DSGVO). Weder die Unternehmensleitung noch der betriebliche Datenschutzbeauftragte ist nach Art. 58 Abs. 1 lit. a DSGVO zur Auskunft verpflichtet.

11

Eine Auskunftsverpflichtung der Unternehmensleitung ergibt sich allerdings aus § 40 Abs. 4 Satz 1 BDSG. Adressat eines behördlichen Auskunftsersuchens kann somit auch der Vorsitzende eines Vereins, der Geschäftsführer einer GmbH oder der Vorstand einer Aktiengesellschaft sein.

12

Der betriebliche Datenschutzbeauftragte ist zwar nach Art. 39 Abs. 1 lit. d DSGVO zur Zusammenarbeit mit der zuständigen Aufsichtsbehörde verpflichtet und ist zugleich die „Anlaufstelle“ für alle mit der Datenverarbeitung zusammenhängenden Fragen (Art. 39 Abs. 1 lit. e DSGVO). Eine Befugnis der Aufsichtsbehörden, Auskunftsersuchen an den betrieblichen Datenschutzbeauftragten in Person zu richten, ergibt sich jedoch weder aus Art. 39 DSGVO noch aus Art. 58 DSGVO oder aus § 40

2

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 17 A.

BDSG. Der betriebliche Datenschutzbeauftragte ist zur Beantwortung von Fragen der Aufsichtsbehörde nicht verpflichtet. – Siehe auch: Erster Akt, Erster Teil, 1. Kann eine Aufsichtsbehörde vom Datenverarbeiter Auskünfte verlangen? Rz. 10 ff. – Siehe auch: Erster Akt, Erster Teil, 38. Welche Maßnahmen kann die Behörde ergreifen, wenn der Datenverarbeiter einem Auskunftsersuchen nicht nachkommt? Rz. 100 ff.

4. Wie sind Auskunftsverpflichtungen gegenüber Behörden in anderen Rechtsgebieten geregelt? Auskunftsverpflichtungen gegenüber einer Behörde sind stets mit einem Grundrechtseingriff verbunden, für den es einer gesetzlichen Ermächtigungsnorm bedarf. Entsprechende Normen finden sich beispielsweise im Gewerbe-, Steuer- und Sozialversicherungsrecht:

13

Nach § 29 Abs. 1 GewO sind Gewerbetreibende zu Auskünften verpflichtet:

14

„Gewerbetreibende [...] haben den Beauftragten der zuständigen öffentlichen Stelle auf Verlangen die für die Überwachung des Geschäftsbetriebs erforderlichen mündlichen und schriftlichen Auskünfte unentgeltlich zu erteilen.“

Auskunftsverpflichtungen bestehen nach § 93 Abs. 1 Satz 1 AO auch gegenüber dem Finanzamt:

15

„Die Beteiligten und andere Personen haben der Finanzbehörde die zur Feststellung eines für die Besteuerung erheblichen Sachverhalts erforderlichen Auskünfte zu erteilen.“

Nach § 98 Abs. 1 Satz 1 SGB X ist der Arbeitgeber in Angelegenheiten der Sozialversicherung auskunftspflichtig:

16

„Soweit es in der Sozialversicherung einschließlich der Arbeitslosenversicherung im Einzelfall für die Erbringung von Sozialleistungen erforderlich ist, hat der Arbeitgeber auf Verlangen dem Leistungsträger oder der zuständigen Einzugsstelle Auskunft über die Art und Dauer der Beschäftigung, den Beschäftigungsort und das Arbeitsentgelt zu erteilen.“

5. Bedarf es für ein behördliches Auskunftsersuchen eines konkreten Anlasses? Nein. Im Normalfall ist das Auskunftsersuchen zwar die Reaktion der Behörde auf die Beschwerde eines Bürgers, jedoch sind die Aufsichtsbehörden auch ohne eine solche Beschwerde oder einen anderen Anlass zu Auskunftsersuchen nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG berechtigt. Neben der Bearbeitung von Beschwerden (Art. 57 Abs. 1 lit. f DSGVO) gehören auch – ganz allgemein – sowohl die Überwachung und Durchsetzung DSGVO-konformen Handelns (Art. 57 Abs. 1 lit. a DSGVO) als auch Untersuchungen über die Anwendung der DSGVO (Art. 57 Abs. 1 lit. h DSGVO) zu den Aufgaben der Aufsichtsbehörden. Daher dürfen die Datenschutzbehörden zweifelslos Fragebögen an ausgesuchte Unternehmen versenden und sind im Übrigen berechtigt, anlasslos Auskünfte von Unternehmen zu verlangen, um zu prüfen, ob die Unternehmen die Bestimmungen der DSGVO einhalten. Ziel dieser deutlich konkreteren Aufgabenverteilung ist es, durch die Tätigkeiten und 3

17

A. Rz. 17 | Erster Akt: Prüfung und Ermittlung

die Verpflichtung der Aufsichtsbehörden auf europäischer Ebene ein zumindest ähnliches Datenschutzniveau zu etablieren. – Siehe auch: Erster Akt, Erster Teil, 1. Kann eine Aufsichtsbehörde vom Datenverarbeiter Auskünfte verlangen? Rz. 10 ff. – Siehe auch: Erster Akt, Dritter Teil, 10. Darf die Aufsichtsbehörde ein Bußgeldverfahren eröffnen, wenn ihr ein Unternehmen eine Datenpanne meldet? Rz. 188 – Siehe auch: Zweiter Akt, Zweiter Teil, 41. Darf die Aufsichtsbehörde in einem Bußgeldbescheid Erkenntnisse verwerten, die aus der pflichtgemäßen Meldung einer Datenpanne stammen? Rz. 370 ff.

6. Wann handelt es sich bei einem behördlichen Auskunftsersuchen um einen Verwaltungsakt? 18

Ein Verwaltungsakt ist jede Verfügung, Entscheidung oder andere hoheitliche Maßnahme, die eine Behörde zur Regelung eines Einzelfalls auf dem Gebiet des öffentlichen Rechts trifft und die auf unmittelbare Rechtswirkung nach außen gerichtet ist (§ 35 Satz 1 VwVfG). Bei behördlichen Auskunftsersuchen handelt es sich um eine hoheitliche Maßnahme mit Außenwirkung im Einzelfall. Ob ein Auskunftsersuchen die Qualität eines Verwaltungsakts hat, hängt somit jeweils davon ab, ob es sich um eine „Regelung“ handelt. Es kommt darauf an, ob die Behörde eine verbindliche Rechtsfolge setzen möchte und ob durch das Auskunftsersuchen eine erzwingbare Verpflichtung entstehen soll, die gestellten Fragen zu beantworten.

19

Die „Regelung“ umschreibt als Folge der behördlichen Maßnahme, dass und welche Rechtswirkungen eingetreten sind. Sie ist das Ergebnis der Maßnahme. Durch den Verwaltungsakt entstehen Rechte und Pflichten sowie eine Bindungswirkung. „Regelung“ bezeichnet somit den materiellen Zustand, der durch die hoheitliche Maßnahme herbeigeführt worden ist (Stelkens in Stelkens/Bonk/Sachs, VwVfG, 9. Aufl. 2018, § 35 Rz. 42).

20

Der BFH entschied im Jahre 2011, dass es sich bei Auskunftsersuchen des Finanzamts um Verwaltungsakte handelt (§ 118 AO), wenn die Finanzbehörde zu erkennen gibt, dass sie von einer erzwingbaren Auskunftsverpflichtung ausgeht (BFH v. 28.9.2011 – VIII R 8/09, Rz. 33): „Das FG hat ferner dem Vorlage- und Auskunftsverlangen des FA vom 8. März 2005 zu Unrecht die Eigenschaft als Verwaltungsakt (§ 118 AO) abgesprochen. Zwar ist im Umfeld von Außenprüfungen die Grenze zwischen reinen Hilfs- und Vorbereitungsmaßnahmen ohne Regelungscharakter und Verwaltungsakten nicht immer eindeutig. Im Streitfall zeigt aber die mit einer Androhung von Zwangsmitteln verbundene Wiederholung der Aufforderung zu einem späteren Zeitpunkt gerade, dass es sich um ein erzwingbares (Auskunfts-)Verlangen [...] und damit um einen den Fortgang des Verwaltungsverfahrens regelnden Verwaltungsakt i.S. von § 118 AO handelte.“ (Hervorhebungen hinzugefügt)

21

Entscheidend ist somit eine typische Auslegungsfrage: Sind die Fragen der Behörde so zu verstehen, dass die Behörde von einer Erzwingbarkeit der Antworten ausgeht?

4

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 24 A.

Für die Auslegung eines Verwaltungsakts ist der objektive Erklärungswert nach dem Empfängerhorizont maßgebend. Es kommt somit darauf an, ob der Empfänger des Auskunftsersuchens das Ersuchen so verstehen muss, dass die Behörde von einer erzwingbaren Antwortpflicht ausgeht. Alle Hinweise der Behörde auf bestehende rechtliche Verpflichtungen des Empfängers sprechen daher für das Vorliegen eines Verwaltungsakts. Hinweise auf die Freiwilligkeit von Antworten können dagegen dazu beitragen, das Vorliegen eines Verwaltungsakts zu verneinen.

22

Im Einzelnen sprechen u.a. folgende Indizien für einen Verwaltungsakt:

23

– Bußgeldtatbestand: Wenn die Behörde in ihrem Auskunftsersuchen auf den Bußgeldtatbestand des Art. 83 DSGVO hinweist, spricht dies für einen Verwaltungsakt. In diesem Fall muss der Empfänger das Schreiben als eine Drohung mit Sanktionen verstehen, sofern die Fragen nicht oder nur unzulänglich beantwortet werden. – Pflicht zur Zusammenarbeit: Ähnliches gilt für die – durchaus verbreiteten – Hinweise auf die gesetzliche Verpflichtung zur Zusammenarbeit gem. Art. 31 DSGVO. Derartige Hinweise vermitteln den Eindruck einer Antwortpflicht. – Rechtsgrundlage: Für einen Verwaltungsakt spricht es auch, wenn die Behörde ausdrücklich auf die gesetzlichen Grundlagen für behördliche Auskunftsersuchen (Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG) Bezug nimmt. Liest der Empfänger diese Normen, wird er von einer Antwortpflicht ausgehen. – Rechtsbehelfsbelehrung: Wird das Auskunftsersuchen ausdrücklich als Verwaltungsakt abgefasst und mit einer Rechtsbehelfsbelehrung versehen, ist für eine Auslegung kein Raum mehr. Es handelt sich dann zweifelsfrei um einen Verwaltungsakt. – Auskunftsverweigerungsrecht: Für einen Verwaltungsakt sprechen zudem Hinweise auf das Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG. Die Aufsichtsbehörde ist zwar auch bei Bitten um freiwillige Auskünfte gut beraten, auf das Auskunftsverweigerungsrecht hinzuweisen, um die Verwertbarkeit der Auskünfte nicht zu gefährden. Dennoch kann der Hinweis auf das Auskunftsverweigerungsrecht leicht als implizite Aussage missverstanden werden, dass eine Auskunftsverpflichtung besteht, wenn die Voraussetzungen des § 40 Abs. 4 Satz 2 BDSG nicht vorliegen. Möchte die Aufsichtsbehörde solche Missverständnisse vermeiden, muss sie klarstellen, dass die Antworten auch dann freiwillig sind, wenn sich der Empfänger nicht auf ein Auskunftsverweigerungsrecht stützen kann. Demgegenüber sprechen u.a. folgende Indizien gegen einen Verwaltungsakt:

24

– Freiwilligkeit: Die Behörde weist ausdrücklich auf die Freiwilligkeit einer Beantwortung hin. – Ankündigung: Wird ein solcher Hinweis mit der Ankündigung verbunden, einen Verwaltungsakt zu erlassen für den Fall, dass der Empfänger nicht freiwillig antwortet, führt diese Ankündigung nicht dazu, dass die Bitte um freiwillige Antwor5

A. Rz. 24 | Erster Akt: Prüfung und Ermittlung

ten zum Verwaltungsakt wird. Anderes kann jedoch bei missverständlichen Formulierungen gelten, die den Eindruck erwecken können, dass eine ausbleibende freiwillige Antwort nicht nur zum Erlass eines Auskunftsbescheids, sondern auch zu weiteren Sanktionen oder Nachteilen führen kann. – Anhörungsrecht: Hinweise auf das Anhörungsrecht des Beteiligten nach § 28 Abs. 1 VwVfG sind missverständlich. Eine Anhörung nach § 28 Abs. 1 VwVfG bereitet den Erlass eines belastenden Verwaltungsakts vor. Möchte die Behörde von dem Erlass eines Auskunftsbescheids zunächst absehen und um freiwillige Beantwortung ihrer Fragen bitten, so geht es ihr bei ihren Fragen nicht darum, dem Empfänger die Gelegenheit zu geben, Einwände gegen den Erlass eines Auskunftsbescheids zu erheben, wie dies bei einer Anhörung nach § 28 Abs. 1 VwVfG der Fall wäre. Es geht der Behörde nicht darum, Rechte des Empfängers zu wahren. Vielmehr bezweckt sie, die gewünschten Antworten zu erlangen, ohne die Förmlichkeiten eines Auskunftsbescheids wahren zu müssen. – Siehe auch: Erster Akt, Erster Teil, 7. Ist ein Auskunftsersuchen im Zweifel ein Verwaltungsakt? Rz. 25 f.

7. Ist ein Auskunftsersuchen im Zweifel ein Verwaltungsakt? 25

Ja. Dies ergibt sich aus den behördlichen Eingriffsbefugnissen der Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 2 BDSG.

26

Zwar ist es in jedem Einzelfall eine Frage der Auslegung, ob ein Auskunftsersuchen als Verwaltungsakt anzusehen ist. Allerdings ist zu berücksichtigen, dass Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 2 BDSG die Aufsichtsbehörden ermächtigen, Auskunftsersuchen als Verwaltungsakt zu erlassen. Dies spricht dafür, Auskunftsersuchen im Zweifel als Verwaltungsakt zu bewerten, wenn aus den Ersuchen nicht zweifelsfrei hervorgeht, dass der Empfänger zur Beantwortung der Fragen nicht verpflichtet ist. Tritt eine Behörde an den Bürger heran, die – wie die Datenschutzbehörden – mit weitreichenden gesetzlichen Zwangsbefugnissen ausgestattet ist, wird der Bürger im Zweifel davon ausgehen, dass die Behörde von diesen Befugnissen im konkreten Fall Gebrauch macht und nicht nur unverbindlich und ohne weitere rechtlichen Folgen Fragen stellt. – Siehe auch: Erster Akt, Erster Teil, 6. Wann handelt es sich bei einem behördlichen Auskunftsersuchen um einen Verwaltungsakt? Rz. 23

8. Was ist dem Empfänger eines unklaren Auskunftsersuchens zu raten? 27

Wenn sich der Empfänger eines Auskunftsersuchens Klarheit verschaffen möchte, ob die Aufsichtsbehörde von freiwilligen oder erzwingbaren Auskünften ausgeht, empfiehlt sich eine entsprechende Rückfrage. Es liegt dann an der Behörde klarzustellen, ob sie auf Antworten besteht und somit per Verwaltungsakt handelt oder ob sie dem Adressaten lediglich die Möglichkeit eröffnen möchte, die gestellten Fragen auf freiwilliger Basis zu beantworten.

6

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 31 A.

Rechtsweg: Eine Rückfrage nach Klarstellung kann für den Rechtsschutz bedeutsam sein. Geht die Behörde von einer Verpflichtung zur Antwort aus, eröffnet dies dem Adressaten die Möglichkeit, per Anfechtungsklage das zuständige Verwaltungsgericht anzurufen und eine gerichtliche Prüfung der Rechtmäßigkeit des behördlichen Handelns zu erwirken.

28

– Siehe auch: Erster Akt, Erster Teil, 9. Kann der Datenverarbeiter Akteneinsicht verlangen, bevor er die Auskunft erteilt? Rz. 29 f. – Siehe auch: Erster Akt, Erster Teil, 10. Ist eine Akteneinsicht stets ratsam? Rz. 31

9. Kann der Datenverarbeiter Akteneinsicht verlangen, bevor er die Auskunft erteilt? Auskunftsersuchen nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG sind Bestandteil eines aufsichtsbehördlichen Verwaltungsverfahrens. In einem solchen Verfahren ergibt sich ein Akteneinsichtsrecht aus § 29 Abs. 1 Satz 1 VwVfG:

29

„Die Behörde hat den Beteiligten Einsicht in die das Verfahren betreffenden Akten zu gestatten, soweit deren Kenntnis zur Geltendmachung oder Verteidigung ihrer rechtlichen Interessen erforderlich ist.“

Das Akteneinsichtsrecht ist weder Formalie noch Lappalie, sondern untrennbar verbunden mit dem Anspruch auf rechtliches Gehör (§ 28 VwVfG). Eine ausreichende Gewährung rechtlichen Gehörs setzt voraus, dass die Verfahrensbeteiligten erkennen können, auf welchen Tatsachenvortrag es für die Entscheidung ankommen kann. Das Akteneinsichtsrecht leitet sich daher auch aus der Menschenwürde (Art. 1 Abs. 1 GG) und dem Rechtsstaatsprinzip (Art. 20 Abs. 3 GG) ab und gehört zu einem fairen Verwaltungsverfahren, in dem der Bürger nicht als bloßes Objekt behördlicher Entscheidungen behandelt werden darf. Das Akteneinsichtsrecht ist zudem Ausdruck bürgerfreundlicher Verwaltung und stellt die Waffengleichheit von Bürger und Behörde bei der Kenntnis des entscheidungserheblichen Sachverhalts sicher. Es verhindert ein „geheimes“ Verfahren der Behörde mit „geheimen“ Entscheidungsgrundlagen und erhöht die Transparenz des Verfahrens (Kallerhoff/Mayen in Stelkens/ Bonk/Sachs, VwVfG, 9. Aufl. 2018, § 29 Rz. 4).

30

– Siehe auch: Erster Akt, Erster Teil, 10. Ist eine Akteneinsicht stets ratsam? Rz. 31

10. Ist eine Akteneinsicht stets ratsam? Ja. Ohne vorherige Akteneinsicht kommt die Beantwortung eines Auskunftsersuchens einem „Blindflug“ gleich. Nicht immer geht aus dem Behördenschreiben hervor, ob eine Beschwerde der Anlass für das Schreiben ist oder ob die Behörde anlasslos – etwa im Rahmen einer „Fragebogenaktion“ – handelt. Wenn es eine Beschwerde gab, ist meist unklar, wer sich bei der Behörde beschwert hat und welche Vorwürfe der Beschwerdeführer erhoben hat. Wer all dies nicht weiß, riskiert bei einer „blinden“ Beantwortung des Auskunftsersuchens Missverständnisse und Fehlschlüsse der Datenschutzbehörde.

7

31

A. Rz. 32 | Erster Akt: Prüfung und Ermittlung 32

Verfahrenspraxis: In Verfahren außerhalb des Datenschutzes ist die Akteneinsicht Routine. Kein Anwalt würde seiner Mandantin empfehlen, eine Anzeige wegen einer Verletzung von Arbeitsschutzvorschriften ohne vorherige Akteneinsicht zu beantworten. Ebenso ist die Akteneinsicht der erste Verfahrensschritt, wenn sich das Bauamt meldet, weil sich ein Nachbar über Baumängel beschwert hat. Auch wenn sich das Umweltamt meldet, weil es Beschwerden über eine nicht ordnungsgemäße Abfallentsorgung gegeben hat, würde keine Anwältin empfehlen, ein solches Schreiben ohne vorherige Akteneinsicht zu beantworten. Der in sämtlichen Rechtsgebieten übergreifende Ansatz muss es sein, den Sachverhalt vollumfänglich zu erschließen, bevor etwaige Sach- und Rechtsfragen erörtert werden.

33

Recht: Die Akteneinsicht ist das gute Recht jedes Bürgers. Dies gilt für Verfahren der Datenschutzbehörden genauso wie für jedes andere behördliche Verfahren. Die Akteneinsicht gehört daher auch in das Pflichtprogramm jeder Beratung in aufsichtsbehördliche Verfahren. So freundlich es gemeint sein mag, einer Datenschutzbehörde offenherzig Auskünfte zu erteilen, ein Verzicht auf das vorherige Einsichtsrecht kann dem Unternehmen teuer zu stehen kommen. 11. Welchen verfassungsrechtlichen Hintergrund hat das Akteneinsichtsrecht?

34

Das Recht auf Akteneinsicht hat einen verfassungsrechtlichen „Überbau“ und kann daher nicht einfachgesetzlich ausgeschlossen werden. Das Einsichtsrecht ist integraler Bestandteil des Grundrechts auf rechtliches Gehör (Art. 103 Abs. 1 GG). Nur wenn der Bürger die Tatsachen und Beweise kennt, auf die eine Behörde oder ein Gericht seine Maßnahmen stützen möchte, kann er sein Grundrecht aus Art. 103 Abs. 1 GG auch tatsächlich verwirklichen (BVerfG v. 13.4.2010 – 1 BvR 3515/08, Rz. 36): „Eine Art. 103 Abs. 1 GG genügende Gewährung rechtlichen Gehörs setzt voraus, dass die Verfahrensbeteiligten zu erkennen vermögen, auf welchen Tatsachenvortrag es für die Entscheidung ankommen kann. Sie müssen sich bei Anwendung der gebotenen Sorgfalt über den gesamten Verfahrensstoff informieren können [...]. Das Gebot rechtlichen Gehörs sichert daher den Beteiligten ein Recht auf Information, Äußerung und Berücksichtigung mit der Folge, dass sie ihr Verhalten im Prozess selbstbestimmt und situationsspezifisch gestalten können [...] Zum Recht auf rechtliches Gehör gehört daher auch die Möglichkeit der Akteneinsicht [...]“ (Hervorhebungen hinzugefügt)

35

Auf einfachgesetzlicher Ebene soll § 29 VwVfG das Anliegen des Art. 103 Abs. 1 GG verwirklichen, die Transparenz der Entscheidungsgrundlagen erhöhen und damit verhindern, dass der Beteiligte zum bloßen Objekt behördlichen Handelns gemacht wird (Kallerhoff/Mayen in Stelkens/Bock/Sachs, VwVfG, 9. Aufl. 2018, § 29 Rz. 4). 12. Was versteht man eigentlich unter „den Akten“?

36

Zu den Akten zählen alle Unterlagen, die das konkrete Verfahren betreffen, wie Schriftsätze, Gutachten, Aktenvermerke, Randbemerkungen auf Schriftstücken, sowie Fotos, Videos und der gesamte Inhalt einer elektronischen (Bei-)Akte. Es gilt dabei ein materieller Aktenbegriff. Alle das konkrete Verfahren betreffende Unterlagen werden von der Akte erfasst, gleichgültig ob sie in einem Ordner zusammengefasst 8

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 40 A.

sind oder auch auf andere Vorgänge verteilt sind. Schriftstücke müssen unverfälscht und unverändert zu den Akten genommen werden, Vermerke in der Form, in der sie zu Papier gebracht wurden (Herrmann in Bader/Ronellenfitsch, VwVfG, 46. Aufl. 2020, § 29 Rz. 9). Die Aufsichtsbehörde darf sich somit nicht darauf beschränken, eine Verfahrensakte zur Einsicht zugänglich zu machen. Sie muss darüber hinaus prüfen, ob sie noch über weitere Unterlagen verfügt, die für den jeweiligen Vorgang relevant sind. Gegebenenfalls muss die Behörde die Akte entsprechend ergänzen. Eine der Hauptaufgaben des rechtlichen Vertreters ist es im Rahmen der Akteneinsicht auf Vollständigkeit zu achten und im Falle des Falles bei der Behörde nachzuhaken.

37

– Siehe auch: Erster Akt, Erster Teil, 37. Wie kann der Datenverarbeiter verhindern, dass ein Beschwerdeführer über die Akteneinsicht Kenntnis von Geschäftsgeheimnissen erlangt? Rz. 99 – Siehe auch: Erster Akt, Dritter Teil, 19. Was ist unter „Akte“ i.S.d. § 49 OWiG zu verstehen? Rz. 203 f.

13. Wann darf die Aufsichtsbehörde die Akteneinsicht – ganz oder teilweise – verweigern? Das Akteneinsichtsrecht besteht nicht unbeschränkt, sondern nur, soweit die Kenntnis der Akten zur Geltendmachung oder Verteidigung der rechtlichen Interessen des Beteiligten erforderlich ist (§ 29 Abs. 1 Satz 1 VwVfG). Ausgenommen vom Einsichtsrecht sind zudem Vorgänge, die nach einem Gesetz oder ihrem Wesen nach, namentlich wegen der berechtigten Interessen der Beteiligten oder dritter Personen, geheim gehalten werden müssen. Dasselbe gilt, soweit durch eine Akteneinsicht die ordnungsgemäße Erfüllung der Aufgaben der Behörde beeinträchtigt oder das Bekanntwerden des Inhalts der Akten dem Wohl des Bundes oder eines Landes Nachteile bereiten würde (§ 29 Abs. 2 VwVfG).

38

Soweit sich in der Behördenakte beispielsweise Informationen befinden, die als Geschäftsgeheimnisse oder durch das Steuergeheimnis (§ 30 AO) geschützt sind, sind diese Informationen vom Akteneinsichtsrecht nicht erfasst. Dasselbe gilt für personenbezogene Daten Dritter, für deren Übermittlung das Akteneinsichtsrecht keine Grundlage bietet (vgl. Kallerhoff/Mayen in Stelkens/Bonk/Sachs, VwVfG, 9. Aufl. 2018, § 29 Rz. 68 ff.).

39

Allenfalls in seltenen Ausnahmefällen wird eine Aufsichtsbehörde zur vollständigen Verweigerung der Akteneinsicht berechtigt sein. Soweit sich in der Akte Informationen befinden, auf die sich das Einsichtsrecht nicht erstreckt, ist eine teilweise Schwärzung oder Anonymisierung von Aktenbestandteilen üblich und zulässig.

40

– Siehe auch: Erster Akt, Erster Teil, 15. Gibt es Rechtsbehelfe gegen eine vollständige oder teilweise Verweigerung der Akteneinsicht? Rz. 43

9

A. Rz. 41 | Erster Akt: Prüfung und Ermittlung

14. Muss die Aufsichtsbehörde die Namen von Personen preisgeben, die sich mit einer Beschwerde an die Behörde gewandt haben? 41

Nein. Die Behörde kann eine Preisgabe verweigern und den Namen anonymisieren und sich darauf berufen, dass ein schutzwürdiges Interesse an Informantenschutz besteht. Zur ordnungsgemäßen Erfüllung ihrer Aufgaben (§ 29 Abs. 2 VwVfG) sind die Datenschutzbehörden darauf angewiesen, dass sich Bürger an die Behörden mit Beschwerden wenden können, ohne befürchten zu müssen, dass ihre Identität dem Unternehmen bekannt wird, um dessen Datenverarbeitungsprozesse es geht.

42

Eine Einschränkung des Akteneinsichtsrecht unter dem Gesichtspunkt des Informantenschutzes ist beispielsweise auch im Kartellrecht anerkannt (BKartA, 4. Beschlussabteilung v. 11.7.2019 – B 4-21/19, Rz. 74): „Im Rahmen dieser Einschränkung des Akteneinsichtsrechts stellt der von der Beschlussabteilung herangezogene Informantenschutz einen gewichtigen Aspekt dar. So führt zum einen die Preisgabe von Tatsachen, die der Behörde von Dritten zur Kenntnis gebracht wurden, zu einer Beeinträchtigung der Aufgabenerfüllung, wenn die Behörde hierzu – wie im vorliegenden Fall – auf diese Information angewiesen ist, die Informanten jedoch nur bei Zusicherung der Geheimhaltung bereit sind, Angaben zu machen. Zudem kann in dieser Konstellation ein berechtigtes Interesse des Dritten an der Geheimhaltung bestehen.“

15. Gibt es Rechtsbehelfe gegen eine vollständige oder teilweise Verweigerung der Akteneinsicht? 43

Die (auch nur teilweise) Verweigerung der Akteneinsicht ist ein Verwaltungsakt gem. § 35 Satz 1 VwVfG, zugleich jedoch auch eine Verfahrenshandlung, die nach § 44a Satz 1 VwGO nicht selbstständig, sondern nur gleichzeitig mit der Sachentscheidung angefochten werden kann (BVerwG v. 22.9.2016 – 2 C 16.15, Rz. 21): „Dem Akteneinsichtsanspruch nach § 29 VwVfG kommt schon seiner Natur nach allein eine Funktion zu, die gegenüber der Sachentscheidung [...] nur vorbereitenden Charakter hat. Nach dem Wortlaut der Norm erfasst diese nur die das Verfahren betreffenden Akten. Sie setzt somit ein führendes, auf den Erlass der Sachentscheidung gerichtetes Verfahren voraus...“

44

Eine Ausnahme kommt nur dann in Betracht, wenn die (teilweise oder vollständige) Verweigerung der Akteneinsicht einen rechtlichen Nachteil zur Folge hat, der sich in einem, die abschließende Entscheidung betreffenden Verfahren nicht mehr oder jedenfalls nicht mehr vollständig beheben lässt (vgl. BVerwG v. 22.9.2016 – 2 C 16.15, Rz. 25). Dies ist in einem datenschutzrechtlichen Verwaltungsverfahren kaum denkbar. – Siehe auch: Erster Akt, Erster Teil, 13. Wann darf die Aufsichtsbehörde die Akteneinsicht – ganz oder teilweise – verweigern? Rz. 38 ff.

16. Gibt es Grenzen der Auskunftsverpflichtung? 45

Wenn die Aufsichtsbehörde ein Auskunftsersuchen in Form eines Verwaltungsakts abfasst, heißt dies nicht bereits automatisch, dass eine Antwortpflicht besteht. Nicht jede Frage, die eine Behörde in einem Auskunftsersuchen stellt, muss auch beantwortet werden. Keine Antwortpflicht besteht insbesondere bei unbestimmten, nicht er10

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 49 A.

forderlichen und unverhältnismäßigen Fragen sowie bei Fragen, die sich nicht auf Tatsachen beziehen. Keine Antwortpflicht besteht auch, soweit der Adressat sich auf ein Aussageverweigerungsrecht berufen kann (§ 40 Abs. 4 Satz 1 BDSG). – Siehe auch: Erster Akt, Erster Teil, 17. Welche Grenzen setzt das Bestimmtheitsgebot? Rz. 46 ff. – Siehe auch: Erster Akt, Erster Teil, 18. Welche Auskünfte sind für die Erfüllung der behördlichen Aufgaben „erforderlich“? Rz. 50 ff. – Siehe auch: Erster Akt, Erster Teil, 19. Beziehen sich Auskunftspflichten stets auf Tatsachen? Rz. 52 ff. – Siehe auch: Erster Akt, Erster Teil, 20. Wann sind Auskünfte erforderlich und verhältnismäßig? Rz. 57 ff. – Siehe auch: Erster Akt, Erster Teil, 21. Muss der Datenverarbeiter zur Erfüllung seiner Auskunftspflichten auch Geheimnisse preisgeben? Rz. 60 – Siehe auch: Erster Akt, Erster Teil, 35. Kann es notwendig sein, die Berechtigung von Fragen gerichtlich überprüfen zu lassen? Rz. 95 f.

17. Welche Grenzen setzt das Bestimmtheitsgebot? Ein Verwaltungsakt muss nach § 37 Abs. 1 VwVfG inhaltlich hinreichend bestimmt sein. Dies gilt auch für behördliche Auskunftsersuchen. Die Fragen der Behörde müssen so präzise formuliert sein, dass der Adressat erkennen kann, welche Informationen von ihm verlangt werden. Für den Adressaten muss ohne weiteres erkennbar sein, auf welche Verarbeitungsprozesse sich die Anfrage bezieht und welche Informationen die Behörde innerhalb welcher Frist verlangt.

46

Pauschaler Vorwurf: Ein Verstoß gegen das Bestimmtheitsgebot kann folglich bestehen, wenn ein Beschwerdeführer sehr pauschale Vorwürfe gegen ein Unternehmen erhebt und die Behörde das Unternehmen lediglich – ebenso pauschal – auffordert, zu diesen Vorwürfen Stellung zu nehmen. In einem solchen Fall sollte die Behörde vor einer Beantwortung der Frage um Präzisierung gebeten werden.

47

Pauschale Rechtspflicht: Ferner kommt ein Verstoß gegen das Bestimmtheitsgebot in Betracht, wenn eine Aufsichtsbehörde pauschal auf gesetzliche Vorschriften verweist und den Empfänger zum Nachweis auffordert, dass er diese gesetzlichen Bestimmungen einhält. Dies wäre etwa der Fall, wenn eine Aufsichtsbehörde auf die Rechenschaftsverpflichtung nach Art. 5 Abs. 2 DSGVO verweisen und den Empfänger dazu auffordern würde, die Rechtskonformität von Datenverarbeitungsprozessen nachzuweisen, ohne diese Aufforderung näher zu konkretisieren.

48

Auslegung: Können Zweifel über den Inhalt der gestellten Fragen durch Auslegung beseitigt werden, ist der Verwaltungsakt hinreichend bestimmt. Erst wenn auch unter Anwendung der anerkannten Auslegungsgrundsätze keine Klarheit über den Behördenwillen geschaffen werden kann, ist Unbestimmtheit anzunehmen (Stelkens in Stelkens/Bonk/Sachs, VwVfG, 9. Aufl. 2018, § 37 Rz. 7). Für die Auslegung maßgeblich ist der erklärte Wille, wie ihn der Adressat von seinem Standpunkt aus bei verständiger Würdigung verstehen durfte (§ 133 BGB; Stelkens in Stelkens/Bonk/Sachs, VwVfG, 9. Aufl. 2018, § 37 Rz. 7).

49

11

A. Rz. 49 | Erster Akt: Prüfung und Ermittlung – Siehe auch: Zweiter Akt, Erster Teil, 7. Wie verhält sich das Bestimmtheitsgebot zur Vollstreckbarkeit eines Verbots oder einer Anordnung? Rz. 228 ff.

18. Welche Auskünfte sind für die Erfüllung der behördlichen Aufgaben „erforderlich“? 50

Ebenso wie beispielsweise § 29 Abs. 1 GewO, § 93 Abs. 1 Satz 1 AO und § 98 Abs. 1 Satz 1 SGB X beschränkt sich auch die Auskunftsverpflichtung nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG auf Informationen, die für die Erfüllung der behördlichen Aufgaben „erforderlich“ sind. Daher dürfen beispielsweise die Finanzbehörden nicht ohne weiteres „ins Blaue hinein“ Ermittlungen führen und in diesem Zusammenhang ohne klares Ziel Auskunftsersuchen an Unternehmen verschicken (BFH v. 16.5.2013 – II R 15/12, Rz. 53): „Nach ständiger Rechtsprechung des BFH muss für Nachforschungen sowohl nach unbekannten Steuerpflichtigen als auch nach bisher unbekannten steuerlichen Sachverhalten ein hinreichender Anlass bestehen. Ein solcher liegt vor, wenn aufgrund konkreter Anhaltspunkte (z.B. wegen der Besonderheit des Objektes oder der Höhe des Wertes) oder aufgrund allgemeiner Erfahrung (auch konkreter Erfahrungen für bestimmte Gebiete) die Möglichkeit einer Steuerverkürzung in Betracht kommt und daher eine Anordnung bestimmter Art angezeigt ist. Ermittlungen ‚ins Blaue hinein‘, Rasterfahndungen, Ausforschungsdurchsuchungen oder ähnliche Ermittlungsmaßnahmen sind unzulässig. Für ein berechtigtes Auskunftsverlangen ist aber ausreichend, dass die Steuerfahndung im Rahmen einer Prognoseentscheidung im Wege vorweggenommener Beweiswürdigung nach pflichtgemäßem Ermessen zu dem Ergebnis gelangt, dass die Auskunft zu steuererheblichen Tatsachen zu führen vermag.“ (Hervorhebungen hinzugefügt)

51

Mit der Begrenzung der Auskunftspflicht auf Informationen, die für die Erfüllung der behördlichen Aufgaben „erforderlich“ sind, tragen Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG dem Verhältnismäßigkeitsgrundsatz Rechnung. Aus dem Verhältnismäßigkeitsgrundsatz kann sich auch im Einzelfall ergeben, dass die Beantwortung von Fragen unzumutbar ist, da sie einen Aufwand erfordern würde, der außer Verhältnis zu dem konkreten Untersuchungszweck steht. – Siehe auch: Erster Akt, Erster Teil, 20. Wann sind Auskünfte erforderlich und verhältnismäßig? Rz. 57 ff. – Siehe auch: Erster Akt, Erster Teil, 21. Muss der Datenverarbeiter zur Erfüllung seiner Auskunftspflichten auch Geheimnisse preisgeben? Rz. 60

19. Beziehen sich Auskunftspflichten stets auf Tatsachen? 52

Ja. Im Kern geht es um die Datenverarbeitungsprozesse in den Unternehmen. Um ihre Überwachungs- und Untersuchungsaufgaben gem. Art. 57 Abs. 1 lit. a, f und h DSGVO erfüllen zu können, sind die Aufsichtsbehörden darauf angewiesen zu verstehen, – welche personenbezogenen Daten im Unternehmen verarbeitet werden, – wie die Verarbeitungsprozesse funktionieren und

12

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 56 A.

– welche Maßnahmen ergriffen werden, um die zahlreichen Anforderungen der DSGVO zu erfüllen. Tatsachenfragen: Hierbei handelt es sich durchweg um Tatsachen, auch soweit es um die zur Einhaltung der DSGVO ergriffenen Maßnahmen geht. Welche Einwilligungen wie eingeholt werden, ob und wie Verarbeitungsverzeichnisse geführt werden, welche Sicherheitsmaßnahmen nach Art. 32 DSGVO ergriffen werden und welche Verträge gem. Art. 26 und 28 DSGVO bestehen. All diese Maßnahmen zur DSGVO-Konformität sind Tatsachen, die Gegenstand eines Auskunftsersuchens der Aufsichtsbehörden sein können. Die Auskunftspflicht beschränkt sich nicht auf aktuell vorhandenes Tatsachenwissen, sondern schließt die Verpflichtung zu Erkundigungen und Nachforschungen im eigenen Betrieb ein (vgl. Meßerschmidt in Pielow, BeckOK, § 29 GewO, Stand 1.6.2019, Rz. 13).

53

Rechtsfragen: Vermutungen und subjektive Beurteilungen von Sachverhalten sind ebenso wenig Gegenstand der Auskunftspflicht wie rechtliche Wertungen (vgl. Meßerschmidt in Pielow, BeckOK, § 29 GewO, Stand 1.6.2019, Rz. 13). Ob beispielsweise die Grundsätze des Art. 5 DSGVO eingehalten werden oder ob ein bestimmter Datenverarbeitungsvorgang aufgrund überwiegender berechtigter Interessen rechtmäßig ist (Art. 6 Abs. 1 Satz 1 lit. f DSGVO), sind Rechtsfragen, für die die Auskunftspflichten gem. Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG nicht gelten. Das Recht anzuwenden, ist eine originäre Aufgabe der Datenschutzbehörden, und für die Anwendung des Rechts benötigen die Aufsichtsbehörden keine Rechtsansichten der Datenverarbeiter.

54

Beispiel: Die Anwendung des Art. 6 Abs. 1 Satz 1 lit. f DSGVO ist eine Rechtsfrage, zu deren Klärung die zuständige Aufsichtsbehörde zwar mit den Datenverarbeitungsprozessen im Unternehmen vertraut gemacht werden muss, für die die Rechtsauffassung des Unternehmens jedoch ohne Belang ist. Wer per Auskunftsersuchen nach Art. 58 Abs. 1 lit. a DSGVO bzw. § 40 Abs. 4 Satz 1 BDSG somit zur Äußerung von Rechtsauffassung aufgefordert wird, kann eine Beantwortung verweigern, da das Auskunftsersuchen rechtswidrig ist.

55

Ähnlich verhält sich dies bei der sozialversicherungsrechtlichen Auskunftsverpflichtung Dritter gem. § 60 SGB II (Blüggel in Eicher/Luck, SGB II, 4. Aufl. 2017, Rz. 39):

56

„Auch wenn § 60 dies nicht ausdrücklich vorgibt, bezieht sich die Auskunft [...] grundsätzlich allein auf die Angabe von Tatsachen [...] Denn es ist kein Grund dafür zu ersehen, wieso das Gesetz von dem Dritten als Normadressaten eine rechtliche Wertung abverlangen sollte; eine solche ist und bleibt Aufgabe der Normanwender. Tatsachen sind alle vergangenen, gegenwärtigen, zukünftigen oder hypothetischen Geschehnisse, die entweder zum Zeitpunkt des Geschehens selbst mit den menschlichen Sinnen wahrnehmbar sind bzw. wären (äußere Tatsachen) oder zumindest dadurch erfahrbar sind bzw. wären, dass auf ihr Vorhandensein oder ihr Fehlen aus wahrnehmbaren Geschehnissen geschlossen werden kann bzw. könnte [...]“ (Hervorhebung hinzugefügt)

13

A. Rz. 57 | Erster Akt: Prüfung und Ermittlung

20. Wann sind Auskünfte erforderlich und verhältnismäßig? 57

Die Aufsichtsbehörden dürfen nicht willkürlich Fragen stellen. Vielmehr beschränken sich ihre Fragerechte auf Tatsachen, die die Behörden zur Erfüllung ihrer gesetzlichen Aufgaben benötigen. Zudem muss der Aufwand, der mit einer Beantwortung der Fragen verbunden ist, in angemessenem Verhältnis zu dem Zweck der Fragen stehen (Verhältnismäßigkeit im engeren Sinne).

58

Jede Auskunft muss demnach von einem legitimen Auskunftszweck gedeckt sein. Das Auskunftsverlangen darf nicht über das für den Auskunftszweck erforderliche Maß hinausgehen und darf für den Auskunftspflichtigen nicht zu einem Aufwand führen, der außer Verhältnis zu dem Auskunftszweck steht (vgl. Meßerschmidt in Pielow, BeckOK, § 29 GewO, Stand 1.6.2019, Rz. 12).

59

Wenn die Aufsichtsbehörde somit eine Beschwerde über gespeicherte Adressdaten eines Bürgers zum Anlass nimmt, einem Unternehmen eine Fragenliste zu übersenden, die in keinem erkennbaren Zusammenhang mit der Beschwerde steht, ist das Unternehmen nicht ohne weiteres zu der Beantwortung dieser Fragen verpflichtet. Eine Berechtigung der Aufsichtsbehörde, wahllos „ins Blaue hinein“ Fragen zu stellen, gibt es nicht (vgl. VG Regensburg v. 12.4.2012 – RO – 5 K 11.1956 Rz. 27 ff.). – Siehe auch: Erster Akt, Erster Teil, 18. Welche Auskünfte sind für die Erfüllung der behördlichen Aufgaben „erforderlich“? Rz. 50 f. – Siehe auch: Erster Akt, Erster Teil, 21. Muss der Datenverarbeiter zur Erfüllung seiner Auskunftspflichten auch Geheimnisse preisgeben? Rz. 60

21. Muss der Datenverarbeiter zur Erfüllung seiner Auskunftspflichten auch Geheimnisse preisgeben? 60

Ja. Weder die DSGVO noch § 40 BDSG enthalten Ausnahmen zum Schutz von Geheimnissen. Die Auskunftspflicht geht zudem auch einer möglichen Schweigepflicht vor. Die Verletzung der Schweigepflicht wird durch die gesetzliche Auskunftspflicht gem. Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG gerechtfertigt. Entsprechendes gilt bei steuerrechtlichen Auskunftspflichten sogar dann, wenn die Schweigepflicht durch § 203 Abs. 1 StGB strafrechtlich sanktioniert ist und die Preisgabe des Geheimnisses strafbar ist. Die gesetzlichen Auskunftspflichten sind dann ein strafrechtlicher Rechtfertigungsgrund, der eine Strafbarkeit nach § 203 Abs. 1 StGB ausschließt (BFH v. 21.12.1992 – XI B 55/92, Rz. 13). – Siehe auch: Erster Akt, Erster Teil, 18. Welche Auskünfte sind für die Erfüllung der behördlichen Aufgaben „erforderlich“? Rz. 50 f. – Siehe auch: Erster Akt, Erster Teil, 20. Wann sind Auskünfte erforderlich und verhältnismäßig? Rz. 57 ff.

22. Ergeben sich aus § 29 BDSG Einschränkungen bei den Auskunftspflichten der Berufsgeheimnisträger gegenüber der Aufsichtsbehörde? 61

Nein. § 29 Abs. 3 Satz 1 BDSG beschränkt die Untersuchungsbefugnisse der Aufsichtsbehörden nach Art. 58 Abs. 1 lit. e und f DSGVO (Zugang und Zutritt), nicht 14

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 68 A.

jedoch den Auskunftsanspruch nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG. Soweit Geheimhaltungspflichten bestehen, finden sich in § 29 Abs. 1 und 2 BDSG Einschränkungen der Betroffenenrechte auf Information (Art. 13 und 14 DSGVO) und Auskunft (Art. 15 DSGVO). Einschränkungen der behördlichen Auskunftsbefugnisse nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG finden sich auch in § 29 Abs. 1 und 2 BDSG nicht.

62

– Siehe auch: Erster Akt, Zweiter Teil, 19. Gibt es Ausnahmen von dem Zutrittsrecht? Rz. 164 f. – Siehe auch: Erster Akt, Zweiter Teil, 25. Gibt es Ausnahmen von dem Zugangsrecht? Rz. 173

23. Welche Bedeutung hat Art. 31 DSGVO für die Auskunftsersuchen? In den behördlichen Auskunftsersuchen finden sich gelegentlich Hinweise auf die Kooperationsverpflichtung gem. Art. 31 DSGVO.

63

Art. 31 DSGVO lautet:

64

„Der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.“

Art. 31 DSGVO regelt eine materiell-rechtliche Verpflichtung der Datenverarbeiter, ist aber keine Eingriffsnorm, aus der sich Befugnisse der Datenschutzbehörden ableiten lassen, die über Art. 58 Abs. 1 DSGVO hinausgehen (vgl. Martini in Paal/Pauly, DSGVO, 2. Aufl. 2018, Art. 31 Rz. 23 ff. m.w.N.).

65

Auskunftsverpflichtungen, die sich nicht aus Art. 58 Abs. 1 lit. a DSGVO ableiten lassen, können sich auch nicht aus Art. 31 DSGVO ergeben. Daher ist Art. 31 DSGVO für die Auskunftsverpflichtungen der Datenverarbeiter und die Eingriffsbefugnisse der Aufsichtsbehörden bedeutungslos. Die Aufsichtsbehörden sind gut beraten, in ihren Auskunftsersuchen darauf zu verzichten, auf Art. 31 DSGVO hinzuweisen. Aus Art. 31 DSGVO ergeben sich weder Auskunftspflichten noch Befugnisse der Aufsichtsbehörden, Auskünfte zu verlangen.

66

– Siehe auch: Erster Akt, Erster Teil, 26. Wann besteht ein Auskunftsverweigerungsrecht aus Gründen der Selbstbelastungsfreiheit? Rz. 73 ff.

24. Welche Bedeutung hat die Rechenschaftspflicht für Auskunftsersuchen? Die Rechenschaftspflicht der Verantwortlichen ist in Art. 5 Abs. 2 DSGVO geregelt:

67

„Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Pflicht: Zum Teil wird Art. 5 Abs. 2 DSGVO so verstanden, dass der Verantwortliche verpflichtet ist, gegenüber der zuständigen Aufsichtsbehörde die Rechtmäßigkeit der Datenverarbeitung nach Art. 5 Abs. 1 DSGVO nachzuweisen. Hieraus leiten die Behörden gelegentlich ab, dass Unternehmen nach Art. 5 Abs. 2 DSGVO verpflichtet seien, Fragen der Aufsichtsbehörden zu beantworten. 15

68

A. Rz. 69 | Erster Akt: Prüfung und Ermittlung 69

Irrelevant: Schon aus dem Wortlaut des Art. 5 Abs. 2 DSGVO ergibt sich, dass eine solche Lesart nicht richtig sein kann. Art. 5 Abs. 2 DSGVO regelt eine materiellrechtliche Verpflichtung des Verantwortlichen. Die Rechenschaftspflicht erweitert weder die Befugnisse der Aufsichtsbehörden nach Art. 58 Abs. 1 DSGVO noch ist Art. 5 Abs. 2 DSGVO überhaupt eine Regelung zu derartigen Eingriffsbefugnissen zu entnehmen. Für Auskunftsersuchen der Datenschutzbehörden ist Art. 5 Abs. 2 DSGVO irrelevant. – Siehe auch: Erster Akt, Erster Teil, 26. Wann besteht ein Auskunftsverweigerungsrecht aus Gründen der Selbstbelastungsfreiheit? Rz. 73 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 35. Kann die Rechenschaftspflicht den Nachweis eines Bußgeldtatbestands erleichtern? Rz. 355 ff. – Siehe auch: Dritter Akt, Zweiter Teil, 32. Gibt es Besonderheiten bei der Beweislast, wenn es um Datenschutz geht? Rz. 501 ff.

25. Kann die Aufsichtsbehörde die sofortige Vollziehung eines Auskunftsersuchens anordnen? 70

Wenn die Aufsichtsbehörde einen Auskunftsbescheid erlässt und verhindern möchte, dass eine Anfechtungsklage aufschiebende Wirkung hat (§ 80 Abs. 1 Satz 1 VwGO), muss sie die sofortige Vollziehung des Auskunftsersuchens anordnen (§ 80 Abs. 2 Satz 1 Nr. 4 VwGO). Nach § 80 Abs. 3 Satz 1 VwGO ist die Behörde in einem solchen Fall verpflichtet, das besondere Interesse an der sofortigen Vollziehung schriftlich zu begründen.

71

Besonderes Vollziehungsinteresse: Es wird für die Aufsichtsbehörden in vielen Fällen nicht allzu schwer sein, den Anforderungen des § 80 Abs. 3 Satz 1 VwGO zu genügen. Wenn etwa aufgrund der Beschwerde eines Bürgers der Verdacht von Datenschutzverstößen besteht und die Auskünfte der Aufklärung des Sachverhalts dienen sollen, darf ein rasches Handeln der Behörde erwartet werden, um die Verletzung der Rechte von Betroffenen zu beenden. Wenn Anlass zur Besorgnis fortdauernder Rechtsverletzungen besteht, liegt die Anordnung einer sofortigen Vollziehung nahe.

72

Regel: Gibt es für ein Auskunftsersuchen keinen konkreten Anlass, wird es in der Regel keine tragfähige Begründung für eine sofortige Vollziehung geben. Eine besondere Dringlichkeit und ein besonderes Vollziehungsinteresse, dass über das Interesse am Erlass des Auskunftsersuchens hinausgeht, wird sich kaum begründen lassen. – Siehe auch: Zweiter Akt, Erster Teil, 15. Was muss die Aufsichtsbehörde beachten, wenn sie die sofortige Vollziehung anordnet? Rz. 248 f. – Siehe auch: Zweiter Akt, Erster Teil, 16. Welche Anforderungen gelten für die Begründung des Vollziehungsinteresses? Rz. 250 ff. – Siehe auch: Zweiter Akt, Erster Teil, 17. Welche materiellen Anforderungen gelten für das Vollziehungsinteresse? Rz. 253

16

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 77 A.

26. Wann besteht ein Auskunftsverweigerungsrecht aus Gründen der Selbstbelastungsfreiheit? Die DSGVO verpflichtet den Datenverarbeiter zur Zusammenarbeit mit der für ihn zuständigen Datenschutzbehörde (Art. 31 DSGVO). Der Datenverarbeiter muss der Behörde Datenpannen melden (Art. 33 DSGVO). Er ist verpflichtet, Informationen bereitzustellen (Art. 58 Abs. 1 lit. a DSGVO) und unterliegt zudem einer umfassenden „Rechenschaftspflicht“ (Art. 5 Abs. 2 DSGVO). All diese Verpflichtungen kollidieren mit der Selbstbelastungsfreiheit und dem Schweigerecht des Betroffenen, die sich aus Art. 6 EMRK und Art. 1 Abs. 1, 2 Abs. 1 und 20 Abs. 3 GG ergeben.

73

Die Selbstbelastungsfreiheit wird durch § 40 Abs. 4 Satz 2 BDSG gesichert. Gemäß § 40 Abs. 4 Satz 2 BDSG kann der Auskunftspflichtige die Auskunft auf Fragen verweigern, deren Beantwortung ihn selbst oder einen der in §§ 383 Abs. 1 Nr. 1 bis 3 ZPO bezeichneten Angehörigen der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach OWiG aussetzen würde. Nach § 40 Abs. 4 Satz 3 BDSG ist der Auskunftsverpflichtete auf sein Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG hinzuweisen.

74

Gesetzliche Auskunftspflichten sind keine Besonderheit des Datenschutzrechts. In vielen Lebensbereichen sind Behörden zur Erfüllung ihrer Aufgaben auf Informationen angewiesen. Gesetzliche Auskunftspflichten gibt es im Gewerberecht ebenso wie im Umweltrecht, im Insolvenzrecht sowie im Steuerrecht. In all diesen Bereichen kann sich die Frage stellen, ob ein Betroffener Auskünfte verweigern darf, wenn er sich der Gefahr aussetzt, eine begangene Straftat oder eine Ordnungswidrigkeit zu offenbaren.

75

– Siehe auch: Erster Akt, Erster Teil, 23. Welche Bedeutung hat Art. 31 DSGVO für die Auskunftsersuchen? Rz. 65 f. – Siehe auch: Erster Akt, Erster Teil, 27. Sind Auskunftsverweigerungsrechte verfassungsrechtlich vorgegeben? Rz. 76 – Siehe auch: Erster Akt, Erster Teil, 30. Gilt das Auskunftsverweigerungsrecht auch für juristische Personen? Rz. 84 ff.

27. Sind Auskunftsverweigerungsrechte verfassungsrechtlich vorgegeben? Nein. Nach der Rechtsprechung des Bundesverfassungsgerichts sind gesetzliche Auskunftspflichten mit der Selbstbelastungsfreiheit grundsätzlich vereinbar. Gesetzliche Bestimmungen, die es einer Behörde ermöglichen, mit den Instrumenten des Verwaltungsrechts Auskünfte zu erzwingen, sind nicht per se verfassungswidrig. Allerdings ist eine zwangsweise herbeigeführte Selbstbezichtigung verfassungsrechtlich nur dann zulässig, wenn sie mit einem strafrechtlichen Verwertungsverbot einhergeht (vgl. BVerfG v. 15.10.2004 – 2 BvR 1316/04, Rz. 7 ff.).

76

Um den Anforderungen des Bundesverfassungsgerichts zu genügen, heißt es daher beispielsweise in § 97 Abs. 1 Insolvenzordnung (InsO):

77

„Der Schuldner ist verpflichtet, dem Insolvenzgericht, dem Insolvenzverwalter, dem Gläubigerausschuss und auf Anordnung des Gerichts der Gläubigerversammlung über alle das Verfahren betreffenden Verhältnisse Auskunft zu geben. Er hat auch Tatsachen zu offenbaren, die geeignet

17

A. Rz. 77 | Erster Akt: Prüfung und Ermittlung sind, eine Verfolgung wegen einer Straftat oder einer Ordnungswidrigkeit herbeizuführen. Jedoch darf eine Auskunft, die der Schuldner gemäß seiner Verpflichtung nach Satz 1 erteilt, in einem Strafverfahren oder in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Schuldner oder einen in § 52 Abs. 1 der Strafprozessordnung bezeichneten Angehörigen des Schuldners nur mit Zustimmung des Schuldners verwendet werden.“ (Hervorhebungen hinzugefügt)

78

Auskunft & Verwendungsverbot: Wenn somit Behörden in einem Verwaltungsverfahren von einem Bürger auf gesetzlicher Grundlage Auskünfte verlangen, lässt sich aus der Selbstbelastungsfreiheit kein Auskunftsverweigerungsrecht des Bürgers ableiten. Die im Verwaltungsverfahren erlangten Informationen dürfen jedoch nicht in einem Straf- oder Bußgeldverfahren verwendet werden, das gegen den Bürger geführt wird. – Siehe auch: Erster Akt, Erster Teil, 29. In welchem Verhältnis steht das Auskunftsverweigerungsrecht zu den Verwendungsverboten nach § 42 Abs. 4 und § 43 Abs. 4 BDSG? Rz. 82 f. – Siehe auch: Erster Akt, Erster Teil, 30. Gilt das Auskunftsverweigerungsrecht auch für juristische Personen? Rz. 84 ff.

28. Ist es ratsam, von dem Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG Gebrauch zu machen? 79

Das Datenschutzrecht ging seit jeher einen Sonderweg bei den Auskunftspflichten, indem es dem Datenverarbeiter in § 38 Abs. 3 Satz 2 BDSG a.F. ein Auskunftsverweigerungsrecht gewährte, wenn sich der Verpflichtete durch eine Aussage der Gefahr einer strafrechtlichen Verfolgung oder eines Verfahrens nach dem OWiG aussetzen würde. Diese Regelung wurde in § 40 Abs. 4 Satz 2 BDSG n.F. wortgleich übernommen: „Der Auskunftspflichtige kann die Auskunft auf solche Fragen verweigern, deren Beantwortung ihn selbst oder einen der in §§ 383 Absatz 1 Nummer 1 bis 3 der Zivilprozessordnung bezeichneten Angehörigen der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde.“

80

Alternative: Wer ein behördliches Auskunftsverlangen nach der DSGVO erhält und befürchten muss, dass wahrheitsgemäße Angaben zur Einleitung eines Bußgeldverfahrens führen werden, hat somit die Wahl: – Entweder er macht von seinem Auskunftsverweigerungsrecht Gebrauch und schweigt, – oder er sagt in der Hoffnung aus, dass die Datenschutzbehörde seine Aussage als „Zusammenarbeit“ versteht und dies bei der Verhängung eines Bußgelds zu seinen Gunsten berücksichtigt (Art. 83 Abs. 2 Satz 2 lit. f DSGVO).

81

Kontrollüberlegung: Ein Patentrezept gibt es für diese Entscheidung nicht. Wer jedoch in der Zwickmühle zwischen einer „Zusammenarbeit“ mit der Behörde und ungewollten Bußgeldern steckt, sollte bedenken, dass sich ein Verzicht auf das Schweigerecht nicht rückgängig machen lässt. Aussagen, die – nach einer ordnungsgemäßen Belehrung – getätigt werden, sind und bleiben in einem Bußgeldverfahren verwertbar. Ein Verwendungsverbot, wie es etwa das Insolvenzrecht kennt (§ 97 18

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 85 A.

Abs. 1 Satz 3 InsO), gibt es für Auskünfte gegenüber den Datenschutzbehörden nicht. – Siehe auch: Erster Akt, Erster Teil, 33. Bedarf es einer Begründung, wenn Fragen nicht beantwortet werden? Rz. 91 f.

29. In welchem Verhältnis steht das Auskunftsverweigerungsrecht zu den Verwendungsverboten nach § 42 Abs. 4 und § 43 Abs. 4 BDSG? Verwendungsverbote nach dem Vorbild des § 97 Abs. 1 Satz 3 InsO finden sich in § 42 Abs. 4 und § 43 Abs. 4 BDSG. Diese Verwendungsverbote knüpfen jedoch – anders als § 40 Abs. 4 Satz 2 BDSG – nicht an behördliche Auskunftsersuchen an, sondern an Mitteilungen des Datenverarbeiters an die Aufsichtsbehörden oder an Betroffene im Zusammenhang mit der Meldung von Datenschutzverstößen (Art. 33 DSGVO) und der Benachrichtigung von Betroffenen (Art. 34 DSGVO).

82

Hintergrund: Dass gesetzlich in § 40 Abs. 4 Satz 2 BDSG (Aussageverweigerungsrecht) und in § 42 Abs. 4 und § 43 Abs. 4 BDSG (Verwendungsverbote) unterschiedliche Wege gegangen werden, lässt sich wohl nur damit erklären, dass § 40 Abs. 4 Satz 2 BDSG unverändert aus dem früheren deutschen Datenschutzrecht übernommen wurde.

83

– Siehe auch: Zweiter Akt, Zweiter Teil, 41. Darf die Aufsichtsbehörde in einem Bußgeldbescheid Erkenntnisse verwerten, die aus der pflichtgemäßen Meldung einer Datenpanne stammen? Rz. 370 ff.

30. Gilt das Aussageverweigerungsrecht auch für juristischen Personen? Ja. Dies ist zwar nicht verfassungsrechtlich vorgegeben. Das Aussageverweigerungsrecht für juristische Personen ergibt sich jedoch aus dem Wortlaut des § 40 Abs. 4 Satz 2 BDSG, der nicht zwischen natürlichen und juristischen Personen unterscheidet.

84

GG: Verfassungsrechtlich können sich nur natürliche Personen auf die Selbstbelastungsfreiheit berufen. Dies hat das Bundesverfassungsgericht in seinem „Aufzeichnungspflicht“-Beschluss entschieden (BVerfG v. 26.2.1997 – 1 BvR 2172/96, Rz. 83 f.):

85

„Art. 19 Abs. 3 GG schließt es aber aus, dass der Schutz vor einem Zwang zur Selbstbezichtigung auch juristischen Personen zugutekommt. Danach gelten die Grundrechte für juristische Personen, soweit sie ihrem Wesen nach auf diese anwendbar sind. Ob das für das allgemeine Persönlichkeitsrecht überhaupt nicht der Fall sein kann, bedarf hier keiner Entscheidung. Jedenfalls dort, wo der Grundrechtsschutz an Eigenschaften, Äußerungsformen oder Beziehungen anknüpft, die nur natürlichen Personen wesenseigen sind, kommt eine Erstreckung auf juristische Personen als bloße Zweckgebilde der Rechtsordnung nicht in Betracht. Das wird umso eher der Fall sein, als der Grundrechtsschutz im Interesse der Menschenwürde gewährt wird, die nur natürliche Personen für sich in Anspruch nehmen können. Bei dem Zwang zur Selbstbezichtigung verhält es sich so. Der Zwiespalt, in den ein solcher Zwang den Einzelnen führt, muss vor allem aus Gründen der Menschenwürde vermieden werden. [...] Dieser Bezug schließt eine Erstreckung auf juristische Personen aus. Eine Lage, wie sie

19

A. Rz. 85 | Erster Akt: Prüfung und Ermittlung der Zwang zur Selbstbezichtigung für natürliche Personen heraufbeschwört, kann bei ihnen nicht eintreten. Sie bilden ihren Willen nur durch Organe und unterliegen im Hinblick auf Straftaten oder Ordnungswidrigkeiten nur einer eingeschränkten Verantwortlichkeit. Begeht ein Organwalter unter Verletzung von Pflichten der juristischen Person eine solche Tat, so ist allein er Täter. Gegen die juristische Person kann lediglich gemäß § 30 OWiG eine Geldbuße festgesetzt werden, die aber weder einen Schuldvorwurf noch eine ethische Missbilligung enthält, sondern einen Ausgleich für die aus der Tat gezogenen Vorteile schaffen soll.“ (Hervorhebungen hinzugefügt)

86

BDSG: Dies bedeutet jedoch nicht, dass § 40 Abs. 4 Satz 2 BDSG nur für natürliche Personen gilt. Das BDSG unterscheidet in § 40 Abs. 4 Satz 2 nicht zwischen natürlichen und juristischen Personen und gewährt somit weiterreichende Aussageverweigerungsrechte, als dies verfassungsrechtlich geboten ist. Dies steht dem einfachen Gesetzgeber ohne weiteres frei, so dass sich auch juristische Personen auf § 40 Abs. 4 Satz 2 BDSG berufen können. – Siehe auch: Erster Akt, Erster Teil, 26. Wann besteht ein Auskunftsverweigerungsrecht aus Gründen der Selbstbelastungsfreiheit? Rz. 73 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 42. Gilt das Verwendungsverbot des § 43 Abs. 4 BDSG auch für juristische Personen? Rz. 374 ff.

31. Welche Bedeutung hat das Aussageverweigerungsrecht für Unternehmen? 87

Auskunftsersuchen richten sich regelmäßig an Unternehmen. Bei den Unternehmen handelt es sich vielfach um juristische Personen oder Personenvereinigungen, für die das Aussageverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG ebenso gilt wie für natürliche Personen.

88

Risiko: Geht bei einem solchen Unternehmen ein Auskunftsersuchen ein, kann die Gefahr bestehen, dass Auskünfte verwendet werden, um ein Bußgeldverfahren gegen das Unternehmen nach Art. 83 DSGVO einzuleiten. Dies ist insbesondere dann der Fall, wenn sich aus den Auskünften ein Verstoß gegen Bestimmungen der DSGVO ergeben würde. Eine solche Situation ist keineswegs selten, sondern vielmehr als Regelfall anzusehen.

89

Abwägung: Das Unternehmen wird einerseits bedenken müssen, dass ihm ein Verzicht auf das Aussageverweigerungsrecht bei der Entscheidung über ein Bußgeld und über dessen Höhe als sanktionsmildernde „Zusammenarbeit“ gem. Art. 83 Abs. 2 Satz 2 lit. f DSGVO zugutekommen kann. Bevor sich das Unternehmen auf eine sanktionsmildernde „Zusammenarbeit“ einlässt, sollten Erfahrungen über die jeweilige Aufsichtsbehörde in vergleichbaren Fällen zwingend eingeholt werden. Zudem ist zu beachten, dass der Verzicht auf das Aussageverweigerungsrecht endgültig und unumkehrbar ist und die erteilten Auskünfte die Aufsichtsbehörde unter Umständen überhaupt erst die Fakten liefern, die für den Erlass eines Bußgeldbescheids erforderlich sind. Dies ist eine schwierige Abwägung in jedem Einzelfall, bei dem sich pauschale Empfehlungen verbieten. – Siehe auch: Erster Akt, Erster Teil, 28. Ist es ratsam, von dem Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG Gebrauch zu machen? Rz. 79 ff.

20

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 95 A.

32. Dürfen Fragen auch zusammenhängend beantwortet werden? Ja. Weder Art. 58 Abs. 1 lit. a DSGVO noch § 40 Abs. 4 Satz 1 BDSG schreiben eine bestimmte Form der Auskunftserteilung vor. Es ist daher zulässig, einen Fragenkatalog mit einem zusammenhängenden Text zu beantworten, ohne zwischen den gestellten Fragen zu unterscheiden. Ob dies eine kluge Vorgehensweise ist, ist eine taktische Frage im Einzelfall.

90

33. Bedarf es einer Begründung, wenn Fragen nicht beantwortet werden? Nein. Soweit Fragen wegen eines Auskunftsverweigerungsrechts nicht beantwortet werden, empfiehlt sich zwar ein kurzer Hinweis auf § 40 Abs. 4 Satz 2 BDSG, um zu verhindern, dass die Aufsichtsbehörde Zwangsmaßnahmen zur Durchsetzung des Auskunftsanspruchs ergreift. Das Aussageverweigerungsrecht besteht jedoch nicht nur dann, wenn der Adressat ausdrücklich von diesem Recht Gebrauch macht. Er ist auch berechtigt, einfach zu schweigen.

91

Wenn Fragen aus anderen Gründen nicht beantwortet werden – etwa weil Fragen nicht auf Tatsachen, sondern auf rechtliche Bewertungen abzielen – wird es in vielen Fällen klug sein, die Verweigerung der Antwort zu begründen. Eine Verpflichtung, die Gründe für die Verweigerung zu nennen, gibt es jedoch auch in einem solchen Fall nicht.

92

– Siehe auch: Erster Akt, Erster Teil, 28. Ist es ratsam, von dem Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG Gebrauch zu machen? Rz. 79 ff.

34. Reichen mündliche Auskünfte aus? Weder Art. 58 Abs. 1 lit. a DSGVO noch § 40 Abs. 4 Satz 1 BDSG schreibt für die zu erteilenden Auskünfte eine bestimmte Form vor. Daher können Auskünfte auch mündlich erteilt werden (Grittmann in Taeger/Gabel, DSGVO BDSG, Art. 58 DSGVO, Rz. 12). Die Aufsichtsbehörde ist nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG nicht berechtigt, auf schriftliche Auskunftserteilung zu bestehen.

93

Dennoch wird es in aller Regel sinnvoll sein, die Auskunftserteilung nicht dem flüchtigen Wort zu überlassen, um zu dokumentieren, dass Auskunftspflichten auch tatsächlich umfassend erfüllt worden sind.

94

35. Kann es notwendig sein, die Berechtigung von Fragen gerichtlich überprüfen zu lassen? Ja. Wenn die Aufsichtsbehörde per Verwaltungsakt vorgeht, wird der Verwaltungsakt bestandskräftig, wenn er nicht fristgerecht angefochten wird (§§ 58 und 74 VwGO). Mit der Bestandskraft steht dann fest, dass der Adressat zur Beantwortung verpflichtet ist. Eine Ausnahme gilt nur, wenn der Auskunftsbescheid nichtig ist (§ 44 VwVfG). Dies setzt voraus, dass der Bescheid an einem besonders schwerwiegenden Fehler leidet und dies bei verständiger Würdigung aller in Betracht kommenden Umstände offensichtlich ist (§ 44 Abs. 1 VwVfG). 21

95

A. Rz. 96 | Erster Akt: Prüfung und Ermittlung 96

Anfechtung: Wenn die Aufsichtsbehörde Fragen stellt, die der Adressat unter keinen Umständen beantworten möchte, nützt es ihm wenig, mit der Behörde endlos über die Berechtigung der Fragen zu diskutieren. Er muss sich darüber im Klaren sein, dass sich jedwede weitere Diskussion erübrigt, wenn der Auskunftsbescheid bestandskräftig wird. Die Bestandskraft kann er nur verhindern, indem er innerhalb der Fristen der §§ 58 und 74 VwGO Anfechtungsklage erhebt. – Siehe auch: Erster Akt, Erster Teil, 16. Gibt es Grenzen der Auskunftsverpflichtung? Rz. 45

36. Muss der Datenverarbeiter damit rechnen, dass ein Beschwerdeführer Kenntnis von seiner Auskunft erlangt? 97

Ja. Dies kann der Datenverarbeiter nicht verhindern. Zum einen gibt es eine verbreitete Praxis der Behörden, dem Beschwerdeführer die Auskünfte mit der Bitte um Stellungnahme zur Kenntnis zu geben. Zum anderen spricht vieles dafür, dass auch der Beschwerdeführer Beteiligter des Verwaltungsverfahrens ist und ein Akteneinsichtsrecht nach § 29 Abs. 1 VwVfG hat.

98

Das Akteneinsichtsrecht nach § 29 Abs. 1 VwVfG haben alle Beteiligten des Verwaltungsverfahrens. Zu den Beteiligten zählt nach § 13 Abs. 1 Nr. 1 VwVfG der Antragsteller. Betroffene Personen haben nach Art. 77 DSGVO das Recht, sich mit einer Beschwerde an die Aufsichtsbehörde zu wenden. Leitet die Aufsichtsbehörde daraufhin ein Verwaltungsverfahren ein, so ist dieses Verwaltungsverfahren durch die Beschwerde überhaupt erst in Gang gekommen. Dies spricht dafür, den Beschwerdeführer als Antragsteller nach § 13 Abs. 1 Nr. 1 VwGO zu behandeln mit der Folge, dass ein Akteneinsichtsrecht nach § 29 Abs. 1 Satz 1 VwVfG besteht (problematisch der Ausschluss in Art. 20 Abs. 2 BayDSG). – Siehe auch: Erster Akt, Erster Teil, 37. Wie kann der Datenverarbeiter verhindern, dass ein Beschwerdeführer über die Akteneinsicht Kenntnis von Geschäftsgeheimnissen erlangt? Rz. 99

37. Wie kann der Datenverarbeiter verhindern, dass ein Beschwerdeführer über die Akteneinsicht Kenntnis von Geschäftsgeheimnissen erlangt? 99

Nach § 30 VwVfG darf die Aufsichtsbehörde Geschäftsgeheimnisse nicht offenbaren. Damit die Behörde erkennt, dass Geschäftsgeheimnisse Gegenstand einer Auskunft sind, empfiehlt es sich, die Behörde in dem Auskunftsschreiben hierauf hinzuweisen. Auf diese Weise lässt sich das Risiko minimieren, dass der Beschwerdeführer oder andere unbefugte Dritte von den Geheimnissen Kenntnis erlangen. – Siehe auch: Erster Akt, Erster Teil, 36. Muss der Datenverarbeiter damit rechnen, dass eine Beschwerdeführer Kenntnis von seiner Auskunft erlangt? Rz. 97 f.

38. Welche Maßnahmen kann die Behörde ergreifen, wenn der Datenverarbeiter einem Auskunftsersuchen nicht nachkommt? 100

Wenn ein Auskunftsbescheid bestandskräftig oder sofort vollziehbar (§ 80 Abs. 2 Satz 1 Nr. 4 VwGO) ist, kann er mit den Zwangsmitteln des § 9 Verwaltungs-Voll22

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 104 A.

streckungsgesetz (VwVG) durchgesetzt werden (§ 6 Abs. 1 VwVG). Bei Auskünften handelt es sich um unvertretbare Handlungen, so dass eine Ersatzvornahme (§ 10 VwVG) nicht in Betracht kommt. Auch unmittelbarer Zwang (§ 12 VwVG) ist ausgeschlossen (Deusch/Burr in Bader/Ronellenfitsch, BeckOK VwVfG, Stand 1.1.2020, § 12 VwVG, Rz. 4). Zwangsgeld: Allein zulässig ist die Verhängung eines Zwangsgeldes nach § 11 Abs. 1 Satz 1 VwVG. Die Höchstsumme eines Zwangsgelds beträgt 25.000 € (§ 11 Abs. 3 VwVG). Ein solches Zwangsgeld muss in der Regel vorab schriftlich angedroht werden (§ 13 Abs. 1 VwVG). Die Androhung kann mit dem Auskunftsbescheid verbunden werden (§ 13 Abs. 2 Satz 1 VwVG). Für eine wirksame Androhung muss das Zwangsgeld genau beziffert werden, weshalb die Angabe eines bloßen Rahmens oder Höchstbetrages nicht genügt (§ 13 Abs. 5 VwVG). Insbesondere der für behördliche Schreiben typische Verweis auf ein Bußgeld von bis zu 25.000 € darf somit getrost als unzureichend angesehen werden.

101

Ersatzzwangshaft: Zwangsgelder können zusätzlich zu einem Bußgeld angedroht und so oft wiederholt oder erhöht werden, bis die Auskunftsverpflichtung erfüllt ist (§ 13 Abs. 6 Satz 1 VwVG). Ist das Zwangsgeld uneinbringlich, so kann das Verwaltungsgericht auf Antrag der Aufsichtsbehörde nach Anhörung des Pflichtigen durch Beschluss Ersatzzwangshaft anordnen, soweit bei Androhung des Zwangsgeldes hierauf hingewiesen worden ist (§ 16 Abs. 1 Satz 1 VwVG). Die Ersatzzwangshaft beträgt mindestens einen Tag, höchstens zwei Wochen (§ 16 Abs. 2 VwVG).

102

Rechtsmittel: Bei der Androhung und der Verhängung von Zwangsgeldern handelt es sich um Verwaltungsakte, gegen die jeweils eine Anfechtungsklage statthaft ist (§ 42 Abs. 1 VwGO).

103

– Siehe auch: Erster Akt, Erster Teil, 1. Kann eine Aufsichtsbehörde vom Datenverarbeiter Auskünfte verlangen? Rz. 5 ff. – Siehe auch: Erster Akt, Erster Teil, 3. Wer ist zur Auskunft verpflichtet: Nur das Unternehmen oder auch die Unternehmensleitung und/oder der Datenschutzbeauftragte? Rz. 10 ff. – Siehe auch: Erster Akt, Erster Teil, 39. Kann die Aufsichtsbehörde nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG auch die Herausgabe von Unterlagen, Dokumenten und Nachweisen verlangen? Rz. 104 ff. – Siehe auch: Erster Akt, Erster Teil, 40. Ergibt sich aus Art. 58 Abs. 1 lit. e DSGVO und § 40 Abs. 5 Satz 1 BDSG eine Befugnis der Aufsichtsbehörden zu Herausgabeanordnungen? Rz. 110 – Siehe auch: Erster Akt, Zweiter Teil: Vor-Ort-Prüfungen, Rz. 128–173 – Siehe auch: Erster Akt, Zweiter Teil, 6. Hat die Behörde das Recht, Geschäftsräume auch gegen den Willen des Betriebsinhabers zu betreten? Rz. 134

39. Kann die Aufsichtsbehörde nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG auch die Herausgabe von Unterlagen, Dokumenten und Nachweisen verlangen? Die Frage ist nicht einfach zu beantworten.

104

23

A. Rz. 105 | Erster Akt: Prüfung und Ermittlung 105

Wortlaut: Weder Art. 58 Abs. 1 lit. a DSGVO noch § 40 Abs. 4 Satz 1 BDSG sieht eine Verpflichtung des Datenverarbeiters zur Herausgabe von Unterlagen, Dokumenten und Nachweisen vor. Auch an anderer Stelle finden sich weder in der DSGVO noch im BDSG Herausgabeverpflichtungen.

106

Behauptung: In den Kommentaren zu Art. 58 Abs. 1 lit. a DSGVO findet sich zumeist die Behauptung, die Auskunftspflicht bedeute zugleich eine Pflicht zur „Bereitstellung von Informationen in Form von Kopien von Dokumenten und Dateien“ (Nguyen in Gola, DSGVO, 2. Aufl. 2018, Art. 58, Rz. 10; ebenso etwa Körffer in Paal/ Pauly, DSGVO BDSG, 2. Aufl. 2018, Art. 58, Rz. 7). Weshalb das so sein soll, wird jedoch nicht oder nur floskelhaft („funktionale Betrachtung gebietet“, Selmayr in Ehman/Selmayr, DSGVO, 2. Aufl. 2018, Art. 58, Rz. 11) begründet.

107

Grundrechtseingriff: Die Herausgabe von Unterlagen ist ein Grundrechtseingriff, der über den Eingriff hinausgeht, der mit bloßen Auskünften verbunden ist. Deshalb finden sich in anderen Eingriffsnormen in aller Regel Formulierungen, die beides aufzählen (z.B. § 44 Abs. 1 Satz 1 KWG: „Auskünfte über alle Geschäftsangelegenheiten zu erteilen, Unterlagen vorzulegen und erforderlichenfalls Kopien anzufertigen“; vgl. auch § 4 Abs. 3 Satz 1 Fahrpersonalgesetz (FpersG)).

108

Behördliche Aufgabenerfüllung: Eine Herausgabepflicht lässt sich auch nicht einfach daraus ableiten, dass die Unterlagen „erforderlich“ sind, damit die Aufsichtsbehörden ihre Überwachungs- und Untersuchungsaufgaben gem. Art. 57 Abs. 1 lit. a, f und h DSGVO wahrnehmen können (so aber Eichler in Gola, DSGVO, 2. Aufl. 2018, Rz. 6; Polenz in Simitis/Hornung/Spiecker gen. Döhmann, DSGVO 2019, Art. 58, Rz. 10). Die Befugnisse der Aufsichtsbehörden sind in Art. 58 DSGVO sehr detailliert aufgezählt und getrennt von den Aufgaben der Behörden, die in Art. 57 DSGVO definiert werden. Eine Norm, die den Datenverarbeiter verpflichtet, alles zu unternehmen (einschließlich Auskünften und der Herausgabe von Unterlagen), soweit dies zur Aufgabenerfüllung durch die Behörden „erforderlich“ ist, gibt es nicht. Vielmehr sind die Eingriffsbefugnisse der Behörden in Art. 58 DSGVO detailliert und abschließend geregelt. Eine Vorschrift, die den Datenverarbeiter zur Herausgabe von Unterlagen verpflichtet, gibt es in Art. 58 DSGVO nicht.

109

Verfassungsrechtlich ergibt sich aus dem Gesetzesvorbehalt und dem Wesentlichkeitsgrundsatz, dass sich aus Normen, die eine Auskunftsverpflichtung regeln (Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG), keine weitergehenden Verpflichtungen der Bürger zur Herausgabe von Unterlagen ableiten lassen. Eine tragfähige gesetzliche Grundlage für Herausgabeanordnungen der Aufsichtsbehörden ist Art. 58 Abs. 1 lit. a DSGVO somit nicht. Weder Art. 58 Abs. 1 lit. a DSGVO noch § 40 Abs. 4 Satz 1 BDSG berechtigt die Aufsichtsbehörden, die Herausgabe von Unterlagen anzuordnen. 40. Ergibt sich aus Art. 58 Abs. 1 lit. e DSGVO und § 40 Abs. 5 Satz 1 BDSG eine Befugnis der Aufsichtsbehörden zu Herausgabeanordnungen?

110

Nach Art. 58 Abs. 1 lit. e DSGVO sind die Aufsichtsbehörden befugt, von dem Verantwortlichen und dem Auftragsverarbeiter Zugang zu allen personenbezogenen Da24

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 115 A.

ten und Informationen zu erhalten, die zur Erfüllung ihrer Aufgaben notwendig sind. Zudem berechtigt § 40 Abs. 5 Satz 1 BDSG die Aufsichtsbehörden, Zugang zu allen Datenverarbeitungsanlagen und -geräten zu erhalten, soweit dies zur Erfüllung der Aufgaben der Aufsichtsbehörden erforderlich ist. Zugang und Herausgabe ist nicht dasselbe. Daher lässt sich auch weder aus Art. 58 Abs. 1 lit. e DSGVO noch aus § 40 Abs. 5 Satz 1 BDSG eine behördliche Befugnis zum Erlass von Herausgabeanordnungen ableiten.

111

41. Ist ein Aussageverweigerungsrecht stets mit einem Recht verbunden, die Herausgabe von Unterlagen zu verweigern? Nein. Ein Recht zur Herausgabeverweigerung kann nicht mit der Erwägung begründet werden, die gegenteilige Meinung entwerte das Auskunftsverweigerungsrecht. Vielmehr liegt in der Erzwingung nachteiliger Äußerungen eine besondere Qualität der Unzumutbarkeit, die nicht in gleicher Weise bei einer erzwungenen Herausgabe vorliegt. Dies hat das Bundesverwaltungsgericht bereits im Jahr 1982 entschieden (BVerwG v. 9.8.1982 – 1 C 7/82, Rz. 11).

112

Strafverfahren: Selbst im Strafverfahren kann der Beschuldigte zur Herausgabe von belastenden Unterlagen gezwungen werden (§§ 94, 98 StPO). Dabei bezichtigt sich der Auskunftspflichtige nicht selbst, sondern überlässt es den Aufsichtsbehörden, ob diese in den Unterlagen Anhaltspunkte dafür finden, dass er sich ordnungswidrig oder strafbar verhalten hat. Es fehlt deshalb an der Konfliktlage, die die Rechtsordnung bewogen hat, den Betroffenen von der Auskunftspflicht zu befreien, wenn er durch seine eigenen Angaben sich oder einen Angehörigen belasten müsste (Häberle in Erbs/Kohlhaas, Strafrechtliche Nebengesetze, Stand November 2019, § 4 FPersG, Rz. 10).

113

Keine Eingriffsnorm: Wer somit Unterlagen nicht an die Datenschutzbehörde herausgeben möchte, sollte sich auf das Fehlen einer entsprechenden Eingriffsnorm berufen, nicht aber auf das Aussageverweigerungsrecht gem. § 40 Abs. 4 Satz 2 BDSG, das nicht für die Herausgabe von Unterlagen gilt.

114

– Siehe auch: Erster Akt, Erster Teil, 42. Muss man dem Datenverarbeiter stets empfehlen, eine Herausgabe von Unterlagen zu verweigern, da es an einer entsprechenden Eingriffsnorm fehlt? Rz. 115 ff.

42. Muss man dem Datenverarbeiter stets empfehlen, eine Herausgabe von Unterlagen zu verweigern, da es an einer entsprechenden Eingriffsnorm fehlt? Nein. Es wird in vielen Fällen gute Gründe für eine Herausgabe geben. Insbesondere kann eine Herausgabe dazu geeignet sein, eine „Vor-Ort-Prüfung“ zu verhindern, zu der die Behörde nach Art. 58 Abs. 1 lit. f DSGVO und § 40 Abs. 5 Satz 1 BDSG befugt ist. Gibt man Unterlagen freiwillig heraus, bedarf es keines Ortstermins mehr, um der Behörde Einblick in die Unterlagen zu verschaffen.

25

115

A. Rz. 116 | Erster Akt: Prüfung und Ermittlung 116

Strategie: Nicht jedes Unternehmen wird zudem ein Interesse daran haben, mit der Aufsichtsbehörde darüber zu streiten, ob Art. 58 Abs. 1 lit. a und e DSGVO sowie § 40 Abs. 4 Satz 1 und Abs. 5 Satz 1 BDSG in verfassungsrechtlicher Hinsicht lückenhaft sind. Als Berater wird man ein Unternehmen, das eine Herausgabeanordnung erhält, auf die Lückenhaftigkeit der Normen hinweisen. Ob das Unternehmen dann tatsächlich mit der Aufsichtsbehörde – außergerichtlich und/oder gerichtlich – über das Bestehen einer Herausgabepflicht streiten möchte, ist von Fall zu Fall zu entscheiden. – Siehe auch: Erster Akt, Zweiter Teil: Vor-Ort-Prüfungen, Rz. 128–173

43. Muss der Datenverarbeiter Auskunftsersuchen persönlich beantworten? 117

Nein. Er kann sich durch einen Bevollmächtigten vertreten lassen (§ 14 Abs. 1 Satz 1 VwVfG). 44. Was muss die Behörde beachten, wenn sich der Datenverarbeiter anwaltlich vertreten lässt?

118

Hat der Datenverarbeiter für das behördliche Verfahren einen Anwalt oder eine andere Person als Bevollmächtigten bestellt, so ist die Behörde gehalten, sich ausschließlich an den Bevollmächtigten zu wenden und von unmittelbarer Korrespondenz mit dem Datenverarbeiter Abstand zu nehmen (§ 14 Abs. 3 Satz 1 VwVfG). Eine Sonderregelung gilt für die Zustellung von Verwaltungsakten, bei der die Behörde die Wahl hat, ob sie eine Zustellung an den Adressaten oder an den Bevollmächtigten vornimmt (§ 14 Abs. 3 Satz 4 i.V.m. § 41 Abs. 1 Satz 2 VwVfG). – Siehe auch: Erster Akt, Erster Teil, 46. Darf ein Anwalt, der externer Datenschutzbeauftragter eines Unternehmens ist, für das Unternehmen als Bevollmächtigter im Verwaltungsverfahren auftreten? Rz. 120 ff.

45. Ist eine schriftliche Vollmachtserteilung vorgeschrieben? 119

Nein. Eine mündliche Vollmacht genügt. Allerdings kann die Behörde von dem Bevollmächtigten jederzeit die Vorlage einer schriftlichen Vollmacht verlangen (§ 14 Abs. 1 Satz 3 VwVfG). Um unnötige Verzögerungen zu vermeiden, ist es als Anwalt des Datenverarbeiters ratsam, bei erstmaliger Korrespondenz mit der Behörde eine schriftliche Vollmacht beizulegen. 46. Darf ein Anwalt, der externer Datenschutzbeauftragter eines Unternehmens ist, für das Unternehmen als Bevollmächtigter im Verwaltungsverfahren auftreten?

120

Nein. Dies ist nach dem anwaltlichen Berufsrecht nicht erlaubt.

121

Berufsrechtlich ist die Tätigkeit als externer Datenschutzbeauftragter ein „Zweitberuf“ des Anwalts, und nach § 45 Abs. 1 Nr. 4 BRAO darf ein Rechtsanwalt nicht tätig werden 26

Erster Teil: Auskunftsersuchen der Aufsichtsbehörde | Rz. 127 A. „wenn er in derselben Angelegenheit außerhalb seiner Anwaltstätigkeit [...] bereits beruflich tätig war; dies gilt nicht, wenn die berufliche Tätigkeit beendet ist.“

Striktes Tätigkeitsverbot: Wer in seinem Zweitberuf in einer bestimmten Angelegenheit für einen Auftraggeber arbeitet, darf den Auftraggeber in dieser Angelegenheit nicht mehr anwaltlich beraten und vertreten. Es besteht ein striktes Tätigkeitsverbot. Der Architekt, der zugleich Anwalt ist, darf somit nicht zunächst die Baupläne zeichnen und anschließend seinen Auftraggeber als Anwalt gegenüber dem Bauamt vertreten.

122

Reichweite: Nichts Anderes kann für den betrieblichen Datenschutzbeauftragten gelten. Hat ein Unternehmen einen Anwalt zum betrieblichen Datenschutzbeauftragten bestellt, führt dies zu einem berufsrechtlichen Verbot, in datenschutzrechtlichen Angelegenheiten für das Unternehmen anwaltlich tätig zu werden. Dieses Tätigkeitsverbot beschränkt sich nicht auf die Person des Anwalts, sondern bezieht sich nach § 45 Abs. 3 BRAO auf

123

„die mit dem Rechtsanwalt in Sozietät oder in sonstiger Weise zur gemeinschaftlichen Berufsausübung verbundenen oder verbunden gewesenen Rechtsanwälte“.

Das Verbot gilt somit kanzleiweit und erstreckt sich sogar auf Anwälte, die in einer bloßen Bürogemeinschaft verbunden sind.

124

Grund: Auch wenn der Datenschutzbeauftragte nach Art. 39 Abs. 1 lit. e DSGVO „Anlaufstelle für die Aufsichtsbehörde“ in allen Fragen ist, die mit der Datenverarbeitung zusammenhängen, und der Datenschutzbeauftragte zudem nach Art. 39 Abs. 1 lit. d DSGVO zur „Zusammenarbeit mit der Aufsichtsbehörde“ verpflichtet ist, geht eine Tätigkeit als Bevollmächtigter im Verwaltungsverfahren nach § 14 Abs. 1 Satz 1 VwVfG über diese Aufgaben hinaus. Die Vertretung des Beteiligten im Verwaltungsverfahren ist eine rechtsbesorgende Tätigkeit, bei der der Anwalt den Hut des externen Datenschutzbeauftragten gegen den Anwaltshut tauscht. Genau dies ist dem Anwalt jedoch nach § 43 Abs. 3 BRAO nicht gestattet.

125

47. Darf ein externer Datenschutzbeauftragter eines Unternehmens, der kein Anwalt ist, für das Unternehmen als Bevollmächtigter im Verwaltungsverfahren auftreten? Nein. Als externer Datenschutzbeauftragter darf ein Berater, der kein Rechtsanwalt ist, nur tätig sein, solange der rechtsberatende oder rechtsbesorgende Teil seiner Tätigkeit nicht im Vordergrund steht, so dass sich sagen lässt, es handele sich um eine Nebenleistung, die zum Berufsbild des externen Datenschutzbeauftragten gehört (§ 5 Abs. 1 Satz 1 RDG, vgl. Paal/Nabulski, NJW 2019, 3673, 3676 ff.). Zu diesem Bild gehört die Vertretung eines Unternehmens im Verwaltungsverfahren nicht mehr, denn es handelt sich hierbei um eine rechtsbesorgende Tätigkeit, die zum Berufsbild des externen Datenschutzbeauftragten nicht gehört.

126

Dass die Vertretung im Verwaltungsverfahren eine rechtsbesorgende Tätigkeit ist, die über eine bloße Nebenleistung des externen Datenschutzbeauftragten hinausgeht, zeigt auch § 14 Abs. 5 VwVfG, die der Behörde die Befugnis gibt, Bevollmächtigte

127

27

A. Rz. 127 | Erster Akt: Prüfung und Ermittlung

zurückzuweisen, wenn sie entgegen § 3 RDG Rechtsdienstleistungen erbringen. Die Vertretung des Unternehmens im Verwaltungsverfahren ist eine solche Rechtsdienstleistung, bei der es die Aufsichtsbehörde nicht hinnehmen muss, mit nichtanwaltlichen Datenschutzbeauftragten rechtlich relevante Korrespondenz führen zu müssen.

28

Zweiter Teil: Vor-Ort-Prüfung | Rz. 131 A.

II. Zweiter Teil: Vor-Ort-Prüfung Datenschutzbehörden nehmen gelegentlich Vor-Ort-Prüfungen vor, zu denen sie nach Art. 58 Abs. 1 lit. f DSGVO und § 40 Abs. 5 Satz 1 BDSG befugt sind. Typischerweise kündigen sie ihren Besuch vorab an und teilen mit, welche Datenverarbeitungsvorgänge in den Betriebsräumen geprüft werden sollen. Üblich sind auch Hinweise darauf, dass die Anwesenheit des betrieblichen Datenschutzbeauftragten und weiterer (leitender) Mitarbeiter gewünscht ist.

128

1. Welche Regeln gelten für Fragen, die die Behörde bei einem Vor-OrtTermin stellt? Für Fragen „vor Ort“ gelten dieselben Regeln, die auch für Fragen gelten, die die Behörde in einem schriftlichen Auskunftsersuchen übermittelt. Dies heißt insbesondere:

129

– Alle Antworten sind freiwillig, solange die Behörde keinen Verwaltungsakt erlässt, der eine Antwortpflicht begründet. – Soweit ein Auskunftsverweigerungsrecht besteht (§ 40 Abs. 4 Satz 2 BDSG), ist die Behörde in keiner Weise gehindert, „freiwillige“ Antworten zu verwerten, wenn von dem Auskunftsverweigerungsrecht kein Gebrauch gemacht wird. – Auch für die Zulässigkeit von Fragen gelten dieselben Regeln wie bei schriftlichen Auskunftsersuchen. Auch „vor Ort“ besteht keine Verpflichtung, mit der Behörde Rechtsgespräche zu führen. – Siehe auch: Erster Akt, Zweiter Teil, 3. Sind Mitarbeiter zu Aussagen verpflichtet? Rz. 131 – Siehe auch: Erster Akt, Zweiter Teil, 4. Ist der betriebliche Datenschutzbeauftragte zu Aussagen verpflichtet? Rz. 132 – Siehe auch: Erster Akt, Zweiter Teil, 6. Hat die Behörde das Recht, Geschäftsräume auch gegen den Willen des Betriebsinhabers zu betreten? Rz. 134 – Siehe auch: Erster Akt, Zweiter Teil, 20. Kann die Behörde Zugang zu Daten verlangen, die sich auf betrieblichen Rechnern befinden? Rz. 166 f.

2. Ist die Behörde berechtigt, Mitarbeiter zu befragen? Ja. Die Aufsichtsbehörde ist nach § 26 Abs. 1 Satz 2 Nr. 2 VwVfG berechtigt Zeugen anzuhören. Dies gilt auch „vor Ort“. Mitarbeiter sind in diesem Zusammenhang als Zeugen zu bewerten.

130

3. Sind Mitarbeiter zu Aussagen verpflichtet? Nein. Auch „vor Ort“ sind lediglich der Betriebsinhaber (als Verantwortlicher bzw. Auftragsverarbeiter, Art. 58 Abs. 1 lit. a DSGVO) und Leitungspersonen (§ 40 Abs. 4 Satz 1 DSGVO) zu Auskünften verpflichtet. Gesetzliche Bestimmungen, die darüber hinaus Mitarbeiter dazu verpflichten, Fragen der Behörde (als Zeugen) zu beantworten, gibt es nicht. Ohne derartige Bestimmungen gibt es außerhalb des förmlichen Verwaltungsverfahrens (vgl. § 63 und § 65 Abs. 1 Satz 1 VwVfG) keine Pflicht von 29

131

A. Rz. 131 | Erster Akt: Prüfung und Ermittlung

Zeugen zur Aussage (§ 26 Abs. 3 Satz 1 VwVfG). Ein förmliches Verwaltungsverfahren der Aufsichtsbehörden sieht jedoch weder die DSGVO noch das BDSG vor. 4. Ist der betriebliche Datenschutzbeauftragte zu Aussagen verpflichtet? 132

Nein. Auch für den betrieblichen Datenschutzbeauftragten ergibt sich weder aus dem VwVfG noch aus Art. 58 Abs. 1 lit. a DSGVO oder § 40 Abs. 4 Satz 1 BDSG eine Aussagepflicht. 5. Besteht eine Verpflichtung, die Mitarbeiter der Datenschutzbehörde an dem gewünschten Termin zu einer Vor-Ort-Prüfung zu empfangen?

133

Eine solche Verpflichtung kann nur dann bestehen, wenn es sich bei dem Schreiben der Aufsichtsbehörde um einen Verwaltungsakt handelt. Ob dies der Fall ist, hängt davon ab, wie das Schreiben formuliert ist; Indizien: – Bußgeld: Wenn die Behörde in ihrem Auskunftsersuchen darauf hinweist, dass die Verweigerung des Zugangs mit einem Bußgeld geahndet werden kann (vgl. Art. 83 Abs. 5 lit. e DSGVO), ist dies ein starkes Indiz für einen Verwaltungsakt. Denn der Empfänger des Schreibens muss dies als Drohung mit einem Bußgeld verstehen für sofern er den vorgeschlagenen Termin ablehnt. – Behördliche Befugnis: Für einen Verwaltungsakt spricht auch, wenn die Behörde ausdrücklich auf ihre Befugnisse nach Art. 58 Abs. 1 DSGVO und § 40 BDSG Bezug nimmt. – Ausdrücklich: Wird das Auskunftsersuchen ausdrücklich als Verwaltungsakt abgefasst und mit einer Rechtsbehelfsbelehrung versehen, ist für eine Auslegung kein Raum. Es handelt sich dann um einen Verwaltungsakt. – Freiwilligkeit: Umgekehrt fehlt es an einem Verwaltungsakt, wenn die Behörde auf die Freiwilligkeit des Termins ausdrücklich hinweist. – Auskunftsverweigerungsrecht: Für einen Verwaltungsakt sprechen Hinweise auf das Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG. Die Aufsichtsbehörde ist zwar stets gut beraten, auf das Auskunftsverweigerungsrecht hinzuweisen, um die Verwertbarkeit von Auskünften nicht zu gefährden, die bei dem Termin erteilt werden. Dennoch kann der Hinweis auf das Auskunftsverweigerungsrecht leicht als implizite Aussage missverstanden werden, dass eine Auskunftsverpflichtung besteht, wenn die Voraussetzungen des § 40 Abs. 4 Satz 2 BDSG nicht vorliegen. Möchte die Aufsichtsbehörde solche Missverständnisse vermeiden, muss sie klarstellen, dass der Termin in jedem Fall freiwillig ist. – Siehe auch: Erster Akt, Zweiter Teil, 6. Hat die Behörde das Recht, Geschäftsräume auch gegen den Willen des Betriebsinhabers zu betreten? Rz. 134 – Siehe auch: Erster Akt, Zweiter Teil, 13. Ist das „Nachschaurecht“ an übliche Betriebs- und Geschäftszeiten gebunden? Rz. 156 – Siehe auch: Erster Akt, Zweiter Teil, 17. Welchen Rechtsschutz gibt es gegen eine „Nachschau“? Rz. 161

30

Zweiter Teil: Vor-Ort-Prüfung | Rz. 138 A.

6. Hat die Behörde das Recht, Geschäftsräume auch gegen den Willen des Betriebsinhabers zu betreten? Ja. Nach Art. 58 Abs. 1 lit. f DSGVO haben die Aufsichtsbehörden das Recht auf Zugang zu den Räumlichkeiten des Verantwortlichen und des Auftragsverarbeiters. § 40 Abs. 5 Satz 1 BDSG berechtigt zudem die von einer Aufsichtsbehörde mit der Überwachung der Einhaltung der Vorschriften über den Datenschutz beauftragten Personen, zur Erfüllung ihrer Aufgaben Grundstücke und Geschäftsräume des Datenverarbeiters zu betreten.

134

– Siehe auch: Erster Akt, Zweiter Teil, 18. Kann die Aufsichtsbehörde den Zutritt erzwingen? Rz. 162 f.

7. Wie verhält sich Art. 58 Abs. 1 lit. f DSGVO zu § 40 Abs. 5 Satz 1 BDSG? Art. 58 Abs. 6 Satz 1 DSGVO gibt einem EU-Mitgliedsstaat die Möglichkeit, durch Rechtsvorschriften vorzusehen, dass seine Aufsichtsbehörden neben den in Art. 58 Abs. 1 bis 3 DSGVO aufgeführten Befugnissen über zusätzliche Befugnisse verfügen. „Zusätzliche“ Befugnisse, die über Art. 58 Abs. 1 lit. f DSGVO hinausgehen, sind § 40 Abs. 5 Satz 1 BDSG allerdings nicht zu entnehmen.

135

Doppelung: § 40 BDSG übernimmt die Bestimmungen zu den Befugnissen der Aufsichtsbehörde, die sich in § 38 BDSG a.F. fanden, soweit diese Bestimmungen durch die DSGVO nicht überholt sind. Weshalb man meinte, die Zugangsbefugnisse – in der DSGVO und im BDSG -doppelt regeln zu müssen, erschließt sich aus den Gesetzesmaterialien nicht (BT-Drucks. 18/11325 v. 24.2.2017, S. 108).

136

8. Unter welchen Voraussetzungen dürfen die Aufsichtsbehörden nach Art. 58 Abs. 1 lit. f DSGVO und § 40 Abs. 5 Satz 1 BDSG von ihren Zugangsbefugnissen Gebrauch machen? Art. 58 Abs. 1 lit. f DSGVO verweist auf das Verfahrensrecht der EU-Mitgliedsstaaten und regelt keinerlei Voraussetzungen für die Zugangsbefugnisse. Weder wird der Zweck des Zugangsrechts definiert noch lässt sich Art. 58 Abs. 1 lit. f DSGVO eine Beschränkung entnehmen, die sich am Verhältnismäßigkeitsprinzip orientiert.

137

Auch § 40 Abs. 5 Satz 1 BDSG sind kaum Beschränkungen des Zugangsrechts zu entnehmen. Das Zugangsrecht wird lediglich – sehr allgemein – beschränkt auf den Zweck der Erfüllung der Aufgaben der Behörden. Möchte die Behörde die Räumlichkeiten des Datenverarbeiters betreten, wird sie dies mit Leichtigkeit begründen können.

138

– Siehe auch: Erster Akt, Zweiter Teil, 12. Lässt sich aus dem Verhältnismäßigkeitsprinzip ein „Primat des Auskunftsersuchens ableiten? Rz. 152 ff.

31

A. Rz. 139 | Erster Akt: Prüfung und Ermittlung

9. Wie sind „Nachschaurechte“ von Behörden in anderen Rechtsgebieten geregelt? 139

Zugangsrechte der Behörden werden auch als „Nachschaurechte“ bezeichnet. Behördliche „Nachschaurechte“ sind von Durchsuchungsbefugnissen zu unterscheiden. Sie beschränken sich auf das bloße Betreten und Besichtigen der Räumlichkeiten. Eine gezielte Suche nach bestimmten Sachen oder Unterlagen ist im Rahmen eines solchen Betretensrechts nicht zulässig (FG Münster v. 23.1.2018 – 10 V 3258/17 S, Rz. 34).

140

„Nachschaurechte“ finden sich in zahlreichen Vorschriften des öffentlichen Rechts:

141

§ 17 Abs. 2 Handwerksordnung (HwO) berechtigt die Beauftragten der Handwerkskammer dazu, Grundstücke und Geschäftsräume des Auskunftspflichtigen zu betreten und dort Prüfungen und Besichtigungen vorzunehmen: „Die Beauftragten der Handwerkskammer sind nach Maßgabe des § 29 Abs. 2 der Gewerbeordnung befugt, zu dem in Absatz 1 bezeichneten Zweck Grundstücke und Geschäftsräume des Auskunftspflichtigen zu betreten und dort Prüfungen und Besichtigungen vorzunehmen. Der Auskunftspflichtige hat diese Maßnahmen zu dulden. Das Grundrecht der Unverletzlichkeit der Wohnung (Artikel 13 des Grundgesetzes) wird insoweit eingeschränkt.“

142

§ 200 Abgabenordnung (AO) erlaubt der Finanzbehörde das Betreten von Betriebsräumen, soweit dies erforderlich ist, um im Besteuerungsinteresse Feststellungen zu treffen: „(1) Der Steuerpflichtige hat bei der Feststellung der Sachverhalte, die für die Besteuerung erheblich sein können, mitzuwirken. Er hat insbesondere Auskünfte zu erteilen, Aufzeichnungen, Bücher, Geschäftspapiere und andere Urkunden zur Einsicht und Prüfung vorzulegen, die zum Verständnis der Aufzeichnungen erforderlichen Erläuterungen zu geben und die Finanzbehörde bei Ausübung ihrer Befugnisse nach § 147 Abs. 6 zu unterstützen. Sind der Steuerpflichtige oder die von ihm benannten Personen nicht in der Lage, Auskünfte zu erteilen, oder sind die Auskünfte zur Klärung des Sachverhalts unzureichend oder versprechen Auskünfte des Steuerpflichtigen keinen Erfolg, so kann der Außenprüfer auch andere Betriebsangehörige um Auskunft ersuchen. § 93 Absatz 2 Satz 2 gilt nicht. (2) Die in Absatz 1 genannten Unterlagen hat der Steuerpflichtige in seinen Geschäftsräumen oder, soweit ein zur Durchführung der Außenprüfung geeigneter Geschäftsraum nicht vorhanden ist, in seinen Wohnräumen oder an Amtsstelle vorzulegen. Ein zur Durchführung der Außenprüfung geeigneter Raum oder Arbeitsplatz sowie die erforderlichen Hilfsmittel sind unentgeltlich zur Verfügung zu stellen. (3) Die Außenprüfung findet während der üblichen Geschäfts- oder Arbeitszeit statt. Die Prüfer sind berechtigt, Grundstücke und Betriebsräume zu betreten und zu besichtigen. Bei der Betriebsbesichtigung soll der Betriebsinhaber oder sein Beauftragter hinzugezogen werden.“

143

§ 11 Abs. 1 Produktsicherheitsgesetz (ProdSG) erlaubt der Aufsichtsbehörde das Betreten zur Erfüllung ihrer Überwachungsaufgaben: „Die Befugnis erteilende Behörde kann von den Konformitätsbewertungsstellen, denen sie die Befugnis zur Durchführung bestimmter Konformitätsbewertungstätigkeiten erteilt hat, die zur Erfüllung ihrer Überwachungsaufgaben erforderlichen Auskünfte und sonstige Unterstützung

32

Zweiter Teil: Vor-Ort-Prüfung | Rz. 147 A. verlangen sowie die dazu erforderlichen Anordnungen treffen. Die Befugnis erteilende Behörde ist insbesondere befugt zu verlangen, dass ihr die Unterlagen vorgelegt werden, die der Konformitätsbewertung zugrunde liegen. Sie und die von ihr beauftragten Personen sind befugt, zu den Betriebs- und Geschäftszeiten Betriebsgrundstücke und Geschäftsräume sowie Prüflaboratorien zu betreten und zu besichtigen, soweit dies zur Erfüllung ihrer Überwachungsaufgaben erforderlich ist.“

§ 4 Abs. 1 Schwarzarbeitsbekämpfungsgesetz (SchwarzArbG) erlaubt den behördlichen Zutritt zu Kontrollzwecken:

144

„Zur Durchführung der Prüfungen nach § 2 Absatz 1 sind die Behörden der Zollverwaltung und die sie gemäß § 2 Absatz 4 unterstützenden Stellen befugt, Geschäftsräume, mit Ausnahme von Wohnungen, und Grundstücke des Arbeitgebers, des Auftraggebers von Dienst- oder Werkleistungen, des Entleihers sowie des Selbstständigen während der Geschäftszeiten zu betreten und dort Einsicht in die Lohn- und Meldeunterlagen, Bücher und andere Geschäftsunterlagen zu nehmen, aus denen Umfang, Art oder Dauer von tatsächlich bestehenden oder vorgespiegelten Beschäftigungsverhältnissen oder Tätigkeiten hervorgehen oder abgeleitet werden können.“

§ 42 Abs. 2 Satz 1 Nr. 1 Lebensmittel- und Futtermittelgesetzbuch (LFGB) enthält die behördliche Befugnis, die Geschäftsräume während der üblichen Betriebszeiten zu Kontrollzwecken zu betreten:

145

„Soweit es zur Überwachung der Einhaltung der Rechtsakte der Europäischen Gemeinschaft oder der Europäischen Union, dieses Gesetzes und der aufgrund dieses Gesetzes erlassenen Rechtsverordnungen erforderlich ist, sind die mit der Überwachung beauftragten Personen, bei Gefahr im Verzug auch alle Beamten der Polizei, befugt, 1. Grundstücke, Betriebsräume und Transportmittel, in oder auf denen a) Erzeugnisse hergestellt, behandelt oder in den Verkehr gebracht werden, b) sich lebende Tiere im Sinne des § 4 Absatz 1 Nummer 1 befinden oder c) Futtermittel verfüttert werden, sowie die dazugehörigen Geschäftsräume während der üblichen Betriebs- oder Geschäftszeit zu betreten; [...]“

10. Welche verfassungsrechtlichen Rahmenbedingungen gelten für die „Nachschaurechte“? Das Bundesverfassungsgericht klärte bereits im Jahr 1971 die verfassungsrechtlichen Rahmenbedingungen behördlicher Nachschaurechte in einem Fall, in dem es um § 17 HwO ging. Dabei stellte das Bundesverfassungsgericht fest, dass Nachschaurechte in das Grundrecht gem. Art. 13 GG (Unverletzlichkeit der Wohnung) eingreifen, da sich der Schutzbereich des Art. 13 GG nicht auf Räume beschränke, die zu Wohnzwecken genutzt werden (BVerfG v. 13.10.1971 – 1 BvR 280/66, Rz. 39 ff.).

146

Zugleich verneinte das Bundesverfassungsgericht indes das Vorliegen eines Eingriffs bzw. einer Beschränkung gem. Art. 13 Abs. 7 GG unter folgenden Voraussetzungen (BVerfG v. 13.10.1971 – 1 BvR 280/66, Rz. 53 ff.):

147

– Ermächtigungsnorm: Eine besondere gesetzliche Vorschrift muss zum Betreten der Räume ermächtigen. 33

A. Rz. 147 | Erster Akt: Prüfung und Ermittlung

– Zweck: Das Betreten der Räume, die Vornahme der Besichtigungen und Prüfungen müssen einem erlaubten Zweck dienen und für dessen Erreichung erforderlich sein. – Transparenz: Das Gesetz muss den erlaubten Zweck des Betretens, den Gegenstand und den Umfang der zugelassenen Besichtigung und Prüfung deutlich erkennen lassen. – Zumutbarkeit: Das Betreten muss auf Zeiten beschränkt werden, in denen die Räume normalerweise für die betriebliche Nutzung zur Verfügung stehen. 148

Liegen diese Voraussetzungen vor, so ist die Nachschau erlaubt, auch wenn es an den für einen Eingriff in die Unverletzlichkeit der Wohnung geltenden Voraussetzungen (Art. 13 Abs. 7 GG) fehlt. 11. Welche Anforderungen an „Nachschaurechte“ ergeben sich aus dem Verhältnismäßigkeitsprinzip?

149

Aus dem Verhältnismäßigkeitsprinzip ergibt sich, dass ein „Nachschaurecht“ nur besteht, wenn es der Erlangung von Informationen dient, die sich die Behörde auf andere Weise nicht verschaffen kann.

150

Kein milderes Mittel: So gilt bei der Anwendung des § 11 ProdSG, dass das Betreten und Besichtigen der Betriebsgrundstücke, Geschäftsräume und Prüflaboratorien nur in Betracht kommt, wenn es für die Informationsbeschaffung kein milderes Mittel gibt. Kann die Behörde entsprechende Informationen auch im Wege des Auskunftsverlangens nach § 11 Abs. 1 Satz 1 ProdSG erlangen und besteht kein Anlass zur Befürchtung, dass die erbetenen Informationen auf diesem Weg nicht oder nicht rechtzeitig erlangt werden könnten, scheidet das Betreten und Besichtigen der Geschäftsräume gegen den Willen der betroffenen Stelle unter Verhältnismäßigkeitsgesichtspunkten aus (vgl. Klingt, Produktsicherheitsgesetz, 2. Aufl. 2015, § 11 Rz. 5).

151

Nur ausnahmsweise: Ebenso verhält es sich im bei der Anwendung des § 99 AO, der § 200 AO ähnelt. Auch hier kommt das der Aufsichtsbehörde eingeräumte Betretungsrecht, das es ermöglichen soll, im Besteuerungsinteresse Feststellungen zu treffen, nur ausnahmsweise dann zur Anwendung, wenn eine andere Vorgehensweise weniger erfolgversprechend ist (OVG Lüneburg v. 13.6.2001 – 9 K 1975/00, Rz. 19): „Allerdings dürfte ein Betreten der Ferienwohnung nur in Ausnahmefällen im Sinne von § 99 Abs. 1 Satz 1 AO erforderlich sein, um die Einhaltung der in § 8 der Satzung normierten Pflichten der Wohnungsgeber zu überprüfen. Regelmäßig wird es ausreichen, nur an der Tür der Ferienwohnung zu klingeln, um feststellen zu können, ob diese von Feriengästen bewohnt ist und wie viele Personen sich dort aufhalten. Auch das in der Wohnung auszulegende Exemplar der Satzung kann sich der Beauftragte der Antragsgegnerin an der Wohnungstür zeigen lassen. Hinsichtlich des zu führenden Gästeverzeichnisses dürfte ein Betreten der Wohnung schon deshalb nicht in Betracht kommen, weil dieses beim Vermieter der Wohnung geführt wird und sich nicht in der Ferienwohnung befindet.“ – Siehe auch: Erster Akt, Zweiter Teil, 12. Lässt sich aus dem Verhältnismäßigkeitsprinzip ein „Primat des Auskunftsersuchens ableiten? Rz. 152 ff.

34

Zweiter Teil: Vor-Ort-Prüfung | Rz. 156 A.

12. Lässt sich aus dem Verhältnismäßigkeitsprinzip ein „Primat des Auskunftsersuchens“ ableiten? Ja. Eine „Vor-Ort-Prüfung“ setzt voraus, dass sich die Aufsichtsbehörde bei einem solchen Termin, Informationen beschaffen kann, die sie sich nicht auch durch ein Auskunftsersuchen oder auf andere Weise beschaffen könnte.

152

Ziel: Geht es der Behörde beispielsweise um die Einsicht in Verfahrensverzeichnisse und Verträge, ist sie gehalten, sich diese Unterlagen zunächst durch ein Auskunftsersuchen zu beschaffen, da ein solches Ersuchen im Vergleich zu einer „Nachschau“ das mildere Mittel ist. Nur wenn das Auskunftsersuchen erfolglos bleibt, weil der Verantwortliche sich etwa auf den Standpunkt stellt, dass er zur Herausgabe nicht verpflichtet ist, kann die Behörde eine „Nachschau“ vornehmen und von ihren Befugnissen nach Art. 58 Abs. 1 lit. f DSGVO und § 40 Abs. 5 Satz 1 BDSG Gebrauch machen.

153

Verfügbare Informationen: Ähnliches gilt für den Fall, dass es der Behörde um Informationen – wie etwa Datenschutzerklärungen geht –, die über die Website des Unternehmens ohne weiteres abrufbar sind. Die Behörde ist in einem solchen Fall gehalten, sich diese Informationen durch Aufruf der Website zu verschaffen, und darf nicht stattdessen eine „Vor-Ort-Prüfung“ anberaumen.

154

Beispiel: Geht es der Behörde beispielsweise darum, IT-Sicherheitsmaßnahmen in Augenschein zu nehmen, steht das Verhältnismäßigkeitsprinzip einer „Nachschau“ nicht entgegen. In einem solchen Fall gibt es kein milderes Mittel, um die gewünschten Informationen zu den, von dem Verantwortlichen nach Art. 32 DSGVO zu treffenden Maßnahmen zu prüfen.

155

– Siehe auch: Erster Akt, Zweiter Teil, 11. Welche Anforderungen an „Nachschaurechte“ ergeben sich aus dem Verhältnismäßigkeitsprinzip? Rz. 149 ff.

13. Ist das „Nachschaurecht“ an übliche Betriebs- und Geschäftszeiten gebunden? Ja. Außerhalb der üblichen Betriebs- und Geschäftszeiten sind Büros und Geschäftsräume für die Aufsichtsbehörden tabu. Dies ergibt sich zum einen aus Art. 13 Abs. 7 GG, da ein Zutritt außerhalb der üblichen Zeiten nur aus den schwerwiegenden Gründen erlaubt ist, die in Art. 13 Abs. 7 GG genannt sind. Diese Voraussetzungen sind bei einer datenschutzrechtlichen „Vor-Ort-Prüfung“ nicht erfüllt. Zum anderen ergibt sich die Beschränkung auf die üblichen Betriebs- und Geschäftszeiten auch aus § 40 Abs. 5 Satz 3 i.V.m. § 16 Abs. 4 Satz 2 BDSG. – Siehe auch: Erster Akt, Zweiter Teil, 14. Bedarf es für eine „Nachschau“ eines richterlichen Beschlusses? Rz. 157 – Siehe auch: Erster Akt, Zweiter Teil, 15. Muss eine „Vor-Ort-Prüfung“ vorab angekündigt werden? Rz. 158 – Siehe auch: Erster Akt, Zweiter Teil, 16. Wie sollte der Betriebsinhaber bei einem unangekündigten Besuch der Aufsichtsbehörde reagieren? Rz. 159 f.

35

156

A. Rz. 157 | Erster Akt: Prüfung und Ermittlung

14. Bedarf es für eine „Nachschau“ eines richterlichen Beschlusses? 157

Nein. Das Erfordernis eines richterlichen Beschlusses gilt nur für Durchsuchungen (Art. 13 Abs. 2 GG), nicht jedoch für die behördliche „Nachschau“. 15. Muss eine „Vor-Ort-Prüfung“ vorab angekündigt werden?

158

Weder aus Art. 58 Abs. 1 lit. f DSGVO noch aus § 40 Abs. 5 Satz 1 BDSG ergibt sich eine solche Vorgabe (vgl. Polenz in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht 2019, Art. 58, Rz. 20). Allerdings ergibt sich aus dem Verhältnismäßigkeitsgrundsatz, dass die Aufsichtsbehörde gute Gründe haben muss, auf eine vorherige Ankündigung zu verzichten, da ein unangekündigter Besuch einen schwereren Eingriff in die Rechte des Datenverarbeiters darstellt als eine vorab angekündigte „Vor-Ort-Prüfung“. 16. Wie sollte der Betriebsinhaber bei einem unangekündigten Besuch der Aufsichtsbehörde reagieren?

159

Man sollte sich gut überlegen, ob man sich auf einen unvorbereiteten Besuch der Behörde einlässt. Denn selbst der stets vorbildlich handelnde und gut vorbereitete Datenverarbeiter wird vereinzelte Unachtsamkeit im Alltag nicht ausschließen können. Ratsam dürfte es zumeist sein, auf einen schriftlichen oder elektronischen Bescheid zu bestehen, dies kann der Adressat eines Verwaltungsakts verlangen (§ 37 Abs. 2 Satz 2 VwVfG).

160

Nur wenn es einen bestandskräftigen oder sofort vollziehbaren (§ 80 Abs. 2 Satz 1 Nr. 4 VwGO) Bescheid gibt, der den Zutritt verbindlich anordnet, besteht die Verpflichtung, den Mitarbeitern der Aufsichtsbehörde Zutritt zu den eigenen Betriebsund Geschäftsräumen zu gewähren. – Siehe auch: Erster Akt, Zweiter Teil, 19. Gibt es Ausnahmen vom Zutrittsrecht? Rz. 164 f.

17. Welchen Rechtsschutz gibt es gegen eine „Nachschau“? 161

Wenn die Behörde die „Vor-Ort-Prüfung“ per Verwaltungsakt anordnet, ist hiergegen eine Anfechtungsklage statthaft (§ 42 Abs. 1 VwGO). Die Anfechtungsklage hat aufschiebende Wirkung, solange keine sofortige Vollziehung gem. § 80 Abs. 2 Satz 1 Nr. 4 VwGO angeordnet ist (§ 80 abs. 1 VwGO). Bis zu einer rechtskräftigen gerichtlichen Entscheidung besteht keine Verpflichtung, den Mitarbeitern der Aufsichtsbehörde zwecks einer „Vor-Ort-Prüfung“ Zutritt zu den Geschäftsräumen zu gewähren. 18. Kann die Aufsichtsbehörde den Zutritt erzwingen?

162

Ja. Die Behörde kann einen Verwaltungsakt erlassen, der ein Unternehmen verpflichtet, Betriebs- und Geschäftsräume für eine „Vor-Ort-Prüfung“ zugänglich zu machen. Von Art. 58 Abs. 1 lit. f DSGVO und § 40 Abs. 5 Satz 1 BDSG gedeckt sind folgende Anordnungen, die die Behörde treffen kann: 36

Zweiter Teil: Vor-Ort-Prüfung | Rz. 166 A.

– Zutritt: Die Behörde kann das Unternehmen verpflichten, die Tür der Geschäftsräume zu öffnen. Dies ist von Bedeutung, wenn die Tür üblicherweise verschlossen ist. – Duldung: Die Behörde kann das Unternehmen verpflichtet, die Anwesenheit von Mitarbeitern in den Geschäftsräumen für die Dauer der „Vor-Ort-Prüfung“ zu dulden (vgl. § 40 Abs. 5 Satz 2 BDSG). Die Behörde wird im Zweifel gut beraten sein, beide Anordnungen zu treffen, da ihr dies die Vollstreckung des Bescheids erleichtert:

163

– Zwangsgeld: Bei der Gewährung des Zutritts handelt es sich um eine unvertretbare Handlung, da nur der Betriebsinhaber in der Lage ist, Zutritt zu den Räumen zu gewähren (vgl. OLG Zweibrücken v. 21.11.2003 – 3 W 104/03). Die Vollstreckung erfolgt per Zwangsgeld nach § 11 Abs. 1 VwVG. – Zwangsgeld: Auch die Duldungspflicht wird per Zwangsgeld durchgesetzt (§ 11 Abs. 2 VwVG). – Unmittelbarer Zwang: Wenn die Anordnung von Zwangsgeldern erfolglos bleibt und sich ein Betriebsinhaber trotz der Zwangsgelder beharrlich weigert, den Mitarbeitern der Aufsichtsbehörde Zutritt zu gewähren, ist dies ein Fall für die Polizei, die dann zwecks Ausübung unmittelbaren Zwangs herbeigerufen und Türen zwangsweise öffnen kann (§ 12 VwVG). – Siehe auch: Erster Akt, Zweiter Teil, 19. Gibt es Ausnahmen von dem Zutrittsrecht? Rz. 164 f.

19. Gibt es Ausnahmen von dem Zutrittsrecht? Ja. Gegenüber den in §§ 203 Abs. 1, 2 und 3 StGB genannten Personen oder deren Auftragsverarbeitern bestehen Befugnisse der Aufsichtsbehörden nach Art. 58 Abs. 1 lit. f DSGVO nicht, soweit die Inanspruchnahme der Befugnisse zu einem Verstoß gegen die Geheimhaltungspflichten dieser Personen führen würde (§ 29 Abs. 3 BDSG). Ausnahmen gelten somit für Ärzte, Anwälte, Apotheker, Steuerberater und zahlreiche andere Berufsgruppen.

164

Auch wenn § 29 Abs. 3 BDSG das Zutrittsrecht nicht völlig ausschließt, ist dieses Recht für die Aufsichtsbehörden bei den Berufsgruppen des § 203 StGB faktisch bedeutungslos, da beispielsweise das Betreten einer Arztpraxis zwecks einer „Vor-OrtPrüfung“ ohne eine Kollision mit dem Arztgeheimnis schwer vorstellbar ist.

165

– Siehe auch: Erster Akt, Erster Teil, 22. Ergeben sich aus § 29 BDSG Einschränkungen bei den Auskunftspflichten der Berufsgeheimnisträger gegenüber der Aufsichtsbehörde? Rz. 169 – Siehe auch: Erster Akt, Zweiter Teil, 25. Gibt es Ausnahmen von dem Zugangsrecht? Rz. 173

20. Kann die Behörde Zugang zu Daten verlangen, die sich auf betrieblichen Rechnern befinden? Ja. Dies ergibt sich aus drei verschiedenen Vorschriften:

166

37

A. Rz. 166 | Erster Akt: Prüfung und Ermittlung

– Art. 58 Abs. 1 lit. e DSGVO berechtigt die Aufsichtsbehörde gegenüber dem Verantwortlichen und dem Auftragsverarbeiter zum Zugang zu allen personenbezogenen Daten und Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind. – Art. 58 Abs. 1 lit. f DSGVO gewährt der Aufsichtsbehörde ein Zugangsrecht zu allen Datenverarbeitungsanlagen und -geräten, die sich in den Räumlichkeiten des Verantwortlichen und des Auftragsverarbeiters befinden. – § 40 Abs. 5 Satz 1 BDSG gewährt den Personen, die von einer Aufsichtsbehörde mit der Überwachung der Einhaltung der Vorschriften über den Datenschutz beauftragt sind, die Befugnis, zur Erfüllung ihrer Aufgaben Zugang zu allen Datenverarbeitungsanlagen und -geräten zu erhalten, die sich auf Grundstücken und Geschäftsräumen der nichtöffentlichen Stelle befinden. 167

Die drei Vorschriften lassen sich nicht randscharf abgrenzen. Es bestehen jedoch keine Zweifel, dass sich aus den drei Normen das Recht der Aufsichtsbehörden ergibt, zu allen Daten Zugang zu verlangen, die sich auf betrieblichen Rechnern befinden. – Siehe auch: Erster Akt, Zweiter Teil, 21. Gilt das Zugangsrecht auch für Daten, die außerhalb der Betriebsräume – etwa in einem Cloud-Dienst – gespeichert sind? Rz. 168 – Siehe auch: Erster Akt, Zweiter Teil, 22. Gilt das Zugangsrecht auch für Endgeräte der Mitarbeiter, wenn diese Geräte (auch) dienstlich genutzt werden? Rz. 169 – Siehe auch: Erster Akt, Zweiter Teil, 23. Wie lassen sich Geschäftsgeheimnisse gegen behördlichen Zugriff schützen? Rz. 170 – Siehe auch: Erster Akt, Zweiter Teil, 24. Kann die Aufsichtsbehörde den Zugang erzwingen? Rz. 171 f. – Siehe auch: Erster Akt, Zweiter Teil, 25. Gibt es Ausnahmen von dem Zugangsrecht? Rz. 173

21. Gilt das Zugangsrecht auch für Daten, die außerhalb der Betriebsräume – etwa in einem Cloud-Dienst – gespeichert sind? 168

Ja. Art. 58 Abs. 1 lit. f DSGVO und § 40 Abs. 5 Satz 1 BDSG knüpfen zwar an die Betriebsräume an, stellen aber zugleich auf die in den Räumlichkeiten befindliche Hardware ab. Softwareprogramme und Datenbanken sowie Anwendungen, die mit dieser Hardware verwaltet bzw. genutzt werden, sind von dem Zugangsrecht erfasst. Somit sind auch sämtliche Cloud-Dienste vom Zugangsrecht nach Art. 58 Abs. 1 lit. f DSGVO umfasst. 22. Gilt das Zugangsrecht auch für Endgeräte der Mitarbeiter, wenn diese Geräte (auch) dienstlich genutzt werden?

169

Nein. Auch wenn sich die Endgeräte der Mitarbeiter in den Räumlichkeiten des Unternehmens befinden, würde jeder Zugriff auf diese Geräte einen Eingriff in Eigentums- und Persönlichkeitsrechte der Mitarbeiter darstellen. Für einen solchen Eingriff gibt es keine Eingriffsnorm, die einen solchen Zugriff unmissverständlich erlaubt. Der Wortlaut des Art. 58 Abs. 1 lit. e und f DSGVO und des § 40 Abs. 5 Satz 1 BDSG genügt diesen Anforderungen nicht.

38

Zweiter Teil: Vor-Ort-Prüfung | Rz. 173 A.

23. Wie lassen sich Geschäftsgeheimnisse gegen behördlichen Zugriff schützen? Das Zugangsrecht erstreckt sich auch auf Informationen, die einem Geschäftsgeheimnis unterliegen. Allerdings sind die Mitarbeiter der Aufsichtsbehörden als Amtsträger (§ 11 StGB) verschwiegenheitspflichtig und dürfen Geschäftsgeheimnisse, von denen sie in Ausübung ihrer Tätigkeit erfahren, nicht preisgeben (§ 203 Abs. 2 Satz 1 Nr. 1 StGB).

170

24. Kann die Aufsichtsbehörde den Zugang erzwingen? Es gelten dieselben Regeln, die auch für den Zutritt zu den Betriebs- und Geschäftsräumen gelten. Die Behörde kann einen Verwaltungsakt erlassen, der ein Unternehmen verpflichtet, Zugang zu personenbezogenen Daten und Informationen (Art. 58 Abs. 1 lit. e DSGVO) sowie zu den in den Betriebs- und Geschäftsräumen befindlichen Endgeräten und Servern (Art. 58 Abs. 1 lit. f DSGVO und § 40 Abs. 5 Satz 1 BDSG) zu gewähren. Von Art. 58 Abs. 1 lit. e und f DSGVO und § 40 Abs. 5 Satz 1 BDSG gedeckt sind folgende Anordnungen, die die Behörde treffen kann:

171

– Daten & Informationen: Die Behörde kann das Unternehmen verpflichten, der Behörde Zugang zu personenbezogenen Daten und Informationen zu gewähren (Art. 58 Abs. 1 lit. e DSGVO). Um dem Bestimmtheitserfordernis des § 37 Abs. 1 VwVfG zu genügen, wird die Behörde sich bemühen müssen, die Daten und Informationen sehr genau zu bezeichnen, auf die sich die Zugangsanordnung bezieht. – Endgeräte & Server: Die Behörde kann das Unternehmen verpflichten, den Zugang zu den in den Betriebs- und Geschäftsräumen befindlichen Endgeräten und Servern (Art. 58 Abs. 1 lit. f DSGVO und § 40 Abs. 5 Satz 1 BDSG) zu ermöglichen und zu dulden. Auch bei einer solchen Anordnung sollte sich die Behörde im Hinblick auf § 37 Abs. 1 VwVfG um präzise Formulierungen bemühen. Der Zugang ist in allen Fällen eine unvertretbare Handlung, da nur der Betriebsinhaber in der Lage ist, den Zugang zu gewähren. Die Vollstreckung erfolgt per Zwangsgeld nach § 11 Abs. 1 VwVG. Wenn die Anordnung von Zwangsgeldern erfolglos bleibt, kommt unmittelbarer Zwang mit polizeilicher Hilfe in Betracht (§ 12 VwVG).

172

– Siehe auch: Erster Akt, Zweiter Teil, 18. Kann die Aufsichtsbehörde den Zutritt erzwingen? Rz. 162 f.

25. Gibt es Ausnahmen von dem Zugangsrecht? Auch hier gilt dasselbe wie beim Zutrittsrecht. Gegenüber den in § 203 Abs. 1, 2 und 3 StGB genannten Personen oder deren Auftragsverarbeitern bestehen keine Zugangsbefugnisse, soweit die Inanspruchnahme der Befugnisse zu einem Verstoß gegen die Geheimhaltungspflichten dieser Personen führen würde (§ 29 Abs. 3 BDSG). Wie das Zutrittsrecht ist daher auch das Zugangsrecht bei den Berufsgruppen des § 203 StGB faktisch bedeutungslos. 39

173

A. Rz. 173 | Erster Akt: Prüfung und Ermittlung – Siehe auch: Erster Akt, Erster Teil, 22. Ergeben sich aus § 29 BDSG Einschränkungen bei den Auskunftspflichten der Berufsgeheimnisträger gegenüber der Aufsichtsbehörde? Rz. 169 – Siehe auch: Erster Akt, Zweiter Teil, 19. Gibt es Ausnahmen von dem Zutrittsrecht? Rz. 164 f.

40

Dritter Teil: Bußgeldverfahren | Rz. 178 A.

III. Dritter Teil: Bußgeldverfahren Für Bußgeldverfahren gelten andere Regeln als für Verwaltungsverfahren der Datenschutzbehörden. Nach § 41 Abs. 2 BDSG sind auf Verfahren wegen eines Verstoßes nach Art. 83 Abs. 3 bis 6 DSGVO (mit wenigen Ausnahmen) die Bestimmungen des Gesetzes über Ordnungswidrigkeiten (OWiG) und die Strafprozessordnung (StPO) anwendbar.

174

Aus Art. 58 Abs. 2 lit. i DSGVO ergibt sich die Befugnis der Aufsichtsbehörden zur Verhängung von Bußgeldern nach Art. 83 DSGVO. Somit ist die Aufsichtsbehörde zugleich nach § 35 Abs. 1 OWiG als Verwaltungsbehörde für die Verfolgung von datenschutzrechtlichen Ordnungswidrigkeiten zuständig.

175

– Siehe auch: Zweiter Akt, Zweiter Teil: Bußgelder Rz. 284– 398 – Siehe auch: Dritter Akt, Dritter Teil: Einspruch gegen Bußgeldbescheide Rz. 518– 551

1. Wie unterscheidet sich das Bußgeldverfahren vom Verwaltungsverfahren? Die Verfahrensregeln unterscheiden sich. Soweit die Aufsichtsbehörde wegen einer Ordnungswidrigkeit nach Art. 83 DSGVO Ermittlungen anstellt, gelten für das Verfahren weder § 40 BDSG noch das VwVfG. Stattdessen sind die Bestimmungen des OWiG und der StPO anzuwenden. Das Bußgeldverfahren folgt somit ganz anderen Regeln als das Verwaltungsverfahren.

176

Die gleichzeitige Zuständigkeit für Verwaltungs- und Bußgeldverfahren mit unterschiedlichen Verfahrensregeln ist jedoch keine Besonderheit des Datenschutzrechts. Sie gilt immer dann, wenn Behörden gleichzeitig präventiv Aufgaben der Gefahrenabwehr und repressiv Aufgaben der Strafverfolgung (einschließlich Ordnungswidrigkeiten) wahrnehmen. Parallele präventive und repressive Aufgaben gibt es bei der Polizei, aber auch im gesamten Bereich der Gewerbeaufsicht. Wenn Unternehmen beispielsweise Bestimmungen des Arbeitsschutzrechts oder des Lebensmittelrechts verletzen, müssen sie sowohl mit einem Verwaltungsverfahren als auch mit Bußgeldverfahren rechnen. Für die Verwaltungsverfahren gelten andere Regeln als im Bußgeldverfahren.

177

2. Wie beginnt ein Bußgeldverfahren? Für die Einleitung eines Bußgeldverfahrens gelten keine Förmlichkeiten. Die Aufsichtsbehörde kann zwar durch einen förmlichen Beschluss ein Bußgeldverfahren einleiten. Ein Verfahren wird aber auch ohne einen solchen Beschluss eingeleitet, wenn die Aufsichtsbehörde eine Maßnahme trifft, die nach ihrem äußeren Erscheinungsbild darauf abzielt, gegen jemanden bußgeldrechtlich vorzugehen (vgl. BGH v. 28.2.1997 – StB 14/96, Rz. 4): „Die Beschuldigteneigenschaft eines Tatverdächtigen wird grundsätzlich durch einen Willensakt der zuständigen Strafverfolgungsbehörde begründet [...], die dies nach der Stärke des Tatverdachts pflichtgemäß zu beurteilen hat. Nur wenn sie trotz starken Tatverdachts nicht von der Zeugen- zur Beschuldigtenvernehmung übergeht und auf diese Weise die Beschuldigtenrechte umgeht, überschreitet sie die Grenzen des Beurteilungsspielraums [...]. Darüber hinaus ist ein

41

178

A. Rz. 178 | Erster Akt: Prüfung und Ermittlung Verfolgungswille auch dann anzunehmen, wenn eine Strafverfolgungsbehörde einen Verdächtigen zwar nicht ausdrücklich zum Beschuldigten erklärt, aber faktische Maßnahmen gegen ihn ergreift, die erkennbar darauf abzielen, gegen ihn wegen einer Straftat vorzugehen [...]. Dies entspricht dem Rechtsgedanken des § 397 Abs. 1 AO, wonach ein Steuerstrafverfahren für eingeleitet erklärt wird, sobald eine zuständige Behörde eine Maßnahme trifft, die erkennbar darauf abzielt, gegen jemanden wegen einer Steuerstraftat strafrechtlich vorzugehen.“ (Hervorhebungen hinzugefügt)

179

Rechtsfolge: Sobald ein Bußgeldverfahren eingeleitet ist, das sich gegen bestimmte Personen als Betroffene richtet (vgl. § 55 OWiG), stehen diesen Person die Verfahrensrechte nach dem OWiG und der StPO zu. Die Aufsichtsbehörde muss den Betroffenen vor dem Abschluss des Verfahrens die Gelegenheit geben, sich zu der Beschuldigung zu äußern (§ 55 Abs. 1 OWiG i.V.m. § 163a Abs. 1 StPO). Der Betroffene hat dabei ein umfassendes Schweigerecht (§ 55 Abs. 1 OWiG i.V.m. § 163a Satz 2 und § 136 Abs. 1 Satz 2 StPO). – Siehe auch: Erster Akt, Dritter Teil, 4. Gegen wen können Bußgeldverfahren geführt werden – nur gegen natürliche oder auch gegen juristische Personen? Rz. 181 f.

3. Gibt es eine Verpflichtung der Aufsichtsbehörden zur Einleitung von Bußgeldverfahren, wenn ein Anfangsverdacht für einen der Tatbestände des Art. 83 Abs. 3 bis 6 DSGVO besteht? 180

Nein. Es gilt das Opportunitätsprinzip. Wie bei anderen Bußgeldtatbeständen liegt es auch bei Datenschutzverstößen im pflichtgemäßen Ermessen der Behörde, über die Verfolgung einer Ordnungswidrigkeit zu entscheiden (§ 47 Abs. 1 Satz 1 OWiG). Die Aufsichtsbehörden sind bei einem Anfangsverdacht für einen der Tatbestände des Art. 83 Abs. 3 bis 6 DSGVO nicht zur Einleitung eines Bußgeldverfahrens verpflichtet. 4. Gegen wen können Bußgeldverfahren geführt werden – nur gegen natürliche oder auch gegen juristische Personen?

181

Bußgeldverfahren gegen natürliche Personen – auch Mitarbeiter eines Unternehmens – sind der Normalfall. Gegen juristische Personen und Personenvereinigungen können dagegen nur dann Bußgeldverfahren geführt werden, wenn der Verdacht einer Ordnungswidrigkeit nach § 30 Abs. 1 OWiG vorliegt.

182

Nach § 30 Abs. 1 OWiG kann gegen eine juristische Person oder eine Personenvereinigung ein Bußgeld verhängt werden, wenn eine Person mit Leitungsfunktion eine Straftat oder Ordnungswidrigkeit begangen hat, durch die Pflichten, welche die juristische Person oder die Personenvereinigung treffen, verletzt worden sind oder die juristische Person oder die Personenvereinigung bereichert worden ist oder werden sollte. Fehlt es an einem entsprechenden Verdacht, kann gegen die juristische Person oder Personenvereinigung kein Bußgeldverfahren geführt werden. – Siehe auch: Erster Akt, Dritter Teil, 5. Unter welchen Voraussetzungen können Bußgeldverfahren gegen den Inhaber eines Einzelunternehmens geführt werden? Rz. 183

42

Dritter Teil: Bußgeldverfahren | Rz. 185 A. – Siehe auch: Erster Akt, Dritter Teil, 6. Wer ist Betroffener, wenn ein Bußgeldverfahren gegen eine juristische Person geführt wird? Rz. 184 – Siehe auch: Erster Akt, Dritter Teil, 11. Gilt das Verwertungsverbot nach § 43 Abs. 4 BDSG auch für juristische Personen? Rz. 190

5. Unter welchen Voraussetzungen können Bußgeldverfahren gegen den Inhaber eines Einzelunternehmens geführt werden? Bei Einzelunternehmen ist § 30 OWiG ohne Bedeutung. Gegen den Inhaber eines Einzelunternehmens können Bußgeldverfahren geführt werden. Dies gilt allerdings nur, wenn der Verdacht besteht, dass nicht nur ein Mitarbeiter des Unternehmens einen Bußgeldtatbestand nach Art. 83 Abs. 3 bis 6 DSGVO verwirklicht hat, sondern der Betriebsinhaber selbst. Dabei ist zu berücksichtigen, dass § 130 Abs. 1 OWiG die bußgeldrechtliche Verantwortlichkeit des Betriebsinhabers um den Tatbestand der Aufsichtspflichtverletzung erweitert. Ein Bußgeld kann daher gegen den Betriebsinhaber auch dann verhängt werden, wenn er selbst keinen Tatbestand nach Art. 83 Abs. 3 bis 6 DSGVO verwirklicht, aber vorsätzlich oder fahrlässig Aufsichtsmaßnahmen unterlassen hat, die erforderlich sind, um Datenschutzverstöße zu verhindern.

183

6. Wer ist Betroffener, wenn ein Bußgeldverfahren gegen eine juristische Person geführt wird? Betroffener und Inhaber aller Betroffenenrechte in einem Bußgeldverfahren gegen eine juristische Person ist die juristische Person selbst. Die juristische Person übt ihre Betroffenenrechte durch ihre Organe aus. Wird daher beispielsweise ein Bußgeldverfahren gegen eine Aktiengesellschaft geführt, entscheidet deren Vorstand, ob und inwieweit man Gebrauch von dem Äußerungsrecht nach § 55 OWiG i.V.m. § 163a Abs. 1 StPO macht.

184

– Siehe auch: Erster Akt, Dritter Teil, 8. Welche Bedeutung hat eine Festlegung der Aufsichtsbehörde, gegen welche Personen Bußgeldverfahren geführt werden? Rz. 186 – Siehe auch: Erster Akt, Dritter Teil, 11. Gilt das Verwertungsverbot nach § 43 Abs. 4 BDSG auch für juristische Personen? Rz. 190

7. Kann ein Anwalt in einem Bußgeldverfahren sowohl die juristische Person als auch Organe oder Mitarbeiter vertreten? Nein. Es gilt das Verbot der Mehrfachverteidigung (§ 46 Abs. 1 OWiG i.V.m. § 146 StPO), dass auch in einem Ermittlungsverfahren nach dem OWiG Anwendung findet (Thomas/Kämpfer in MünchKomm 2014, § 146 StPO Rz. 7). Mehrere Anwälte einer Sozietät können allerdings mehrere Betroffene (und damit auch eine juristische Person und dessen Organe oder Mitarbeiter) in einem Bußgeldverfahren verteidigen (Willnow in Karlsruher Kommentar, 8. Aufl. 2019, § 146 StPO Rz. 9).

43

185

A. Rz. 186 | Erster Akt: Prüfung und Ermittlung

8. Welche Bedeutung hat eine Festlegung der Aufsichtsbehörde, gegen welche Personen Bußgeldverfahren geführt werden? 186

Personen, gegen die ein Bußgeldverfahren geführt wird, stehen die Betroffenenrechte nach dem OWiG und der StPO zur Seite. Von der Eigenschaft als Betroffener hängt somit ab, ob die Aufsichtsbehörde bei ihrer Ermittlungstätigkeit deren Rechte als Betroffene zu achten hat. Die Behörde ist daher gut beraten, Bußgeldverfahren nicht pauschal gegen „das Unternehmen“ zu führen, sondern eine genaue Festlegung zu treffen, gegen welche juristische und natürliche Personen das Ermittlungsverfahren geführt wird. 9. Muss der Betroffene informiert werden, wenn ein Bußgeldverfahren gegen ihn eröffnet wird?

187

Nein. Die Aufsichtsbehörde ist nicht verpflichtet, den Betroffenen zu informieren, sobald sie ein Ermittlungsverfahren wegen eines Bußgeldtatbestandes nach Art. 83 DSGVO eröffnet. Allerdings muss die Behörde den Betroffenen anhören, bevor sie einen Bußgeldbescheid erlässt (§ 55 Abs. 1 OWiG i.V.m. § 163a Abs. 1 StPO). 10. Darf die Aufsichtsbehörde ein Bußgeldverfahren eröffnen, wenn ihr ein Unternehmen eine Datenpanne meldet?

188

Ja. Ergibt sich aus einer solchen Meldung (Art. 33 DSGVO) der Verdacht eines bußgeldbewehrten Datenschutzverstoßes (Art. 83 Abs. 3 bis 6 DSGVO), kann die Aufsichtsbehörde, bei der die Meldung eingeht, ein Bußgeldverfahren einleiten.

189

Gesetzliches Verwertungsverbot: Die Meldepflicht nach Art. 33 DSGVO kann ebenso wie die Pflicht zur Benachrichtigung betroffener Personen nach Art. 34 Abs. 1 DSGVO zu einem Konflikt mit der Selbstbelastungsfreiheit führen. § 43 Abs. 4 BDSG löst diesen Konflikt durch ein Verwertungsverbot. Eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 Abs. 1 DSGVO darf in einem Verfahren nach dem OWiG gegen den Meldepflichtigen oder Benachrichtigenden oder seine in § 52 Abs. 1 StPO bezeichneten Angehörigen nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden verwendet werden. – Siehe auch: Erster Akt, Erster Teil, 5. Bedarf es für ein behördliches Auskunftsersuchen eines konkreten Anlasses? Rz. 17 – Siehe auch: Zweiter Akt, Zweiter Teil, 41. Darf die Aufsichtsbehörde in einem Bußgeldbescheid Erkenntnisse verwerten, die aus der pflichtgemäßen Meldung einer Datenpanne stammen? Rz. 370 ff.

11. Gilt das Verwertungsverbot nach § 43 Abs. 4 BDSG auch für juristische Personen? 190

Ja. Der Wortlaut des § 43 Abs. 4 BDSG unterscheidet nicht zwischen natürlichen und juristischen Personen. Daher darf auch eine juristische Person darauf vertrauen, dass die Meldung einer Datenpanne nach Art. 33 DSGVO oder die Benachrichtigung betroffener Personen nach Art. 34 Abs. 1 DSGVO nicht in einem Bußgeldverfahren gegen sie verwendet wird. 44

Dritter Teil: Bußgeldverfahren | Rz. 194 A.

Vertrauensschutz: Wenn es – wie in § 43 Abs. 4 BDSG – gesetzliche Bestimmungen gibt, die die Verfahrensrechte der Bürger schützen, dürfen die Bürger auf diese Bestimmungen auch vertrauen. Dies ergibt sich aus dem Rechtsstaatsprinzip (Art. 20 Abs. 4 GG), das i.V.m. Art. 2 Abs. 1 GG dem Bürger ein faires Verfahren als Prozessgrundrecht gewährleistet. Diskussionen um eine mögliche Europarechtswidrigkeit des § 43 Abs. 4 BDSG (vgl. Bergt in Kühling/Buchner, DSGVO BDSG, 2. Aufl. 2018, Rz. 11 ff.) sind daher für die Rechte der durch die Norm geschützten (natürlichen und juristischen) Personen bedeutungslos.

191

– Siehe auch: Erster Akt, Dritter Teil, 16. Welche Folgen hat es, wenn ein Betroffener nur über sein Auskunftsverweigerungsrecht nach dem BDSG, nicht jedoch über sein strafprozessuales Schweigerecht belehrt wurde? Rz. 196 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 41. Darf die Aufsichtsbehörde in einem Bußgeldbescheid Erkenntnisse verwerten, die aus der pflichtgemäßen Meldung einer Datenpanne stammen? Rz. 370 ff.

12. Welche Befugnisse hat die Aufsichtsbehörde in einem Bußgeldverfahren? Im Bußgeldverfahren hat die Aufsichtsbehörde umfassende Ermittlungsbefugnisse:

192

– Die Behörde kann nach Maßgabe der §§ 48 ff. StPO Zeugen laden und einvernehmen. – Die Behörde kann Sachverständige bestellen (§ 161a Abs. 1 und § 163 Abs. 1 i.V.m. § 73 StPO). – Die Behörde ist nach Maßgabe der §§ 94 ff. StPO zur Sicherstellung, Beschlagnahme und Durchsuchung befugt. 13. Dürfen Erkenntnisse aus Bußgeldverfahren in Verwaltungsverfahren verwendet werden? Ja. Ergeben sich beispielsweise aus einer Zeugenaussage in einem Bußgeldverfahren Anhaltspunkte für Datenschutzverstöße, die der Aufsichtsbehörde bis dato nicht bekannt waren, kann die Aufsichtsbehörde diese Erkenntnisse für gefahrenrechtliche Abhilfemaßnahmen heranziehen und auf die neuen Erkenntnisse beispielsweise ein Verbot der Datenverarbeitung nach Art. 58 Abs. 2 lit. f DSGVO stützen.

193

14. Dürfen Erkenntnisse aus Verwaltungsverfahren in Bußgeldverfahren verwendet werden? Auch dies ist grundsätzlich möglich. Allerdings dürfen durch eine solche Verwertung keine Betroffenenrechte umgangen werden. Dies gilt insbesondere für das Schweigerecht des Betroffenen (§ 55 Abs. 1 OWiG i.V.m. § 163a Satz 2 und § 136 Abs. 1 Satz 2 StPO). Sobald die Aufsichtsbehörde ein Bußgeldverfahren gegen einen Betroffenen beginnt, darf an diesen kein Auskunftsersuchen nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG mehr gerichtet werden, ohne dass er auf sein umfassendes strafprozessuales Schweigerecht hingewiesen wird.

45

194

A. Rz. 195 | Erster Akt: Prüfung und Ermittlung

15. Ist das Schweigerecht des Betroffenen nicht bereits durch § 40 Abs. 4 Satz 2 BDSG umfassend gesichert? 195

Nein. Das strafprozessuale Schweigerecht ist umfassend und bedingungslos (§ 55 Abs. 1 OWiG i.V.m. § 163a Satz 2 und § 136 Abs. 1 Satz 2 StPO). Der Betroffene, gegen den ein Bußgeldverfahren geführt wird, darf somit auch auf völlig unverfängliche Fragen schweigen, ohne dass es darauf ankommt, ob eine Beantwortung für ihn negative Folgen im Bußgeldverfahren hätte. Das Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG gilt dagegen nur bei Fragen, „deren Beantwortung ihn selbst oder einen der in §§ 383 Abs. 1 Nr. 1 bis 3 der Zivilprozessordnung bezeichneten Angehörigen der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde“. – Siehe auch: Erster Akt, Erster Teil, 26. Wann besteht ein Auskunftsverweigerungsrecht aus Gründen der Selbstbelastungsfreiheit? Rz. 73 ff.

16. Welche Folgen hat es, wenn ein Betroffener nur über sein Auskunftsverweigerungsrecht nach dem BDSG, nicht jedoch über sein strafprozessuales Schweigerecht belehrt wurde? 196

Der Spagat zwischen Auskunfts- und Mitwirkungspflichten im Verwaltungsverfahren und Schweigerechten in Bußgeldverfahren ist keine Besonderheit des Datenschutzrechts. Er durchzieht das gesamte Wirtschaftsverwaltungsrecht (vgl. Bärlein/ Pananis/Rehmsmeier, NJW 2002, 1825 ff.).

197

Verwertungsverbot: Nimmt man den „Gemeinschulder“-Beschluss des Bundesverfassungsgericht zum Maßstab (BVerfG v. 13.1.1981 – 1 BvR 116/77), gebietet die Selbstbelastungsfreiheit ein Verbot der Verwertung von Aussagen, die ein Betroffener zur Beantwortung eines Auskunftsersuchens getätigt hat, obwohl zu diesem Zeitpunkt objektiv bereits ein Anfangsverdacht gegen ihn wegen eines Bußgeldtatbestands nach Art. 83 Abs. 3 bis 6 DSGVO vorlag. Eine Verwertung der Aussagen ist nur erlaubt, wenn der Betroffene zustimmt.

198

Falsche Belehrung: Das Verwertungsverbot gilt auch dann, wenn das Auskunftsersuchen eine Belehrung nach § 40 Abs. 4 Satz 2 und 3 BDSG enthielt (vgl. Bärlein/ Pananis/Rehmsmeier, NJW 2002, 1825, 1828 ff.).

199

Folge: Die Aufsichtsbehörde ist somit gut beraten, bei der Versendung von Auskunftsersuchen nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG zu prüfen, ob bereits ein Sachverhalt bekannt ist, der den Anfangsverdacht der Verwirklichung eines Bußgeldtatbestandes (Art. 83 Abs. 3 bis 6 DSGVO) durch den Adressaten rechtfertigt. Wenn dies der Fall ist, bedarf es einer Belehrung über das Schweigerecht nach § 55 Abs. 1 OWiG i.V.m. § 163a Satz 2 und § 136 Abs. 1 Satz 2 StPO. – Siehe auch: Erster Akt, Dritter Teil, 14. Dürfen Erkenntnisse aus Verwaltungsverfahren in Bußgeldverfahren verwendet werden? Rz. 194

46

Dritter Teil: Bußgeldverfahren | Rz. 205 A.

17. Gibt es im Bußgeldverfahren ein Akteneinsichtsrecht des Betroffenen? Ja. Ein Akteneinsichtsrecht besteht, soweit der Untersuchungszweck, auch in einem anderen Straf- oder Bußgeldverfahren, nicht gefährdet werden kann und nicht überwiegende schutzwürdige Interessen Dritter entgegenstehen (§ 49 Abs. 1 Satz 1 OWiG). Schwärzungen zum Schutz personenbezogener Daten von Informanten und anderen Drittpersonen sind zulässig, soweit solche Schwärzungen nicht das Recht des Betroffenen, sich gegen staatliche Eingriffe möglichst effektiv zur Wehr setzen zu können, so stark beeinträchtigen, dass dieses Recht die Schutzinteressen der Drittpersonen überwiegt (vgl. LG Mühlhausen v. 26.1.2005 – 9 (8) Qs 20/04, Rz. 11).

200

– Siehe auch: Erster Akt, Erster Teil, 9. Kann der Datenverarbeiter Akteneinsicht verlangen, bevor er die Auskunft erteilt? Rz. 29 f.

18. Hat der Betroffene einen Anspruch auf Versendung der Akte oder muss er die Akte vor Ort bei der Aufsichtsbehörde einsehen und kopieren? Nein. Einen Anspruch auf Versendung der Akte oder einer Aktenkopie gibt es nicht. Ein Verteidiger (nicht der Betroffene selbst) kann allerdings beantragen, dass ihm die Originalakte mitgegeben wird (§ 32f Abs. 2 Satz 3 StPO, vgl. Lampe in Karlsruher Kommentar, 5. Aufl. 2018, § 49 OWiG, Rz. 7). In den allermeisten Fällen wird die Aktenkopie übermittelt und hierfür je nach Bundesland die entsprechenden Gebühren für die Fotokopie geltend gemacht.

201

Wenn Akten elektronisch geführt werden, ist die Versendung einer Aktenkopie üblich (§ 49 Abs. 1 Satz 2 OWiG).

202

19. Was ist unter der „Akte“ i.S.d. § 49 OWiG zu verstehen? Diese Frage stellt sich immer wieder, da häufig eine gesonderte Bußgeldakte erst angelegt wird, wenn dem Betroffenen die Einleitung eines Bußgeldverfahrens mitgeteilt und ihm Gelegenheit zur Äußerung gegeben wird (§ 55 Abs. 1 OWiG). Gelegentlich besteht dann die Akte nur aus dem Anhörungsschreiben an den Betroffenen.

203

Ziel: Das Recht auf Akteneinsicht soll dem Betroffenen eine angemessene Verteidigung gegen die erhobenen Vorwürfe ermöglichen. Daher sind dem Betroffenen nicht nur Schriftstücke zur Kenntnis zu geben, die – mehr oder minder „zufällig“ – in die Verfahrensakte gelangt sind, sondern alle Vorgänge und Unterlagen, über die die Aufsichtsbehörde verfügt und aus denen die Behörde ihren Vorwurf ableitet (AG Pfaffenhofen v. 22.11.2016 – 2 OWi 70/16).

204

– Siehe auch: Erster Akt, Erster Teil, 12. Was versteht man eigentlich unter „den Akten“? Rz. 36 f.

20. Wie endet ein Bußgeldverfahren? Wegen des Opportunitätsprinzips kann die Aufsichtsbehörde ein Bußgeldverfahren jederzeit einstellen, ohne dass dies einer Begründung bedarf (§ 47 Abs. 1 Satz 2 OWiG). Erfolgt die Einstellung jedoch, weil es an einem hinreichenden Tatverdacht 47

205

A. Rz. 205 | Erster Akt: Prüfung und Ermittlung

fehlt, bedarf es einer entsprechenden Feststellung und einer Einstellung nach § 46 Abs. 1 OWiG i.V.m. § 170 Abs. 2 StPO (Mitsch in Karlsruher Kommentar, 5. Aufl. 2018, § 47 OWiG, Rz. 101 ff.). 206

Nicht zulässig ist eine Einstellung gegen Zahlung eines Geldbetrages an eine gemeinnützige Einrichtung oder sonstige Stelle (§ 47 Abs. 3 OWiG). Dem Wortlaut nach schließt es jedoch § 47 Abs. 3 OWiG nicht aus, dass die Aufsichtsbehörde im Rahmen ihres Ermessens eine Einstellung nach § 47 Abs. 1 Satz 2 OWiG von der Erfüllung anderer Auflagen (beispielsweise der Beseitigung einer datenschutzwidrig betriebenen Videokamera) abhängig macht.

207

Zu guter Letzt kann das Bußgeldverfahren auch – vorbehaltlich einer gerichtlichen Prüfung im Einspruchsverfahren – mit einem Bußgeldbescheid enden (§ 66 OWiG). – Siehe auch: Zweiter Akt, Erster Teil, 29. Muss die Behörde einen Ablehnungsbescheid erlassen, wenn sie einer Beschwerde nicht weiter nachgehen möchte? Rz. 284 f.

48

B. Zweiter Akt: Maßnahmen und Entscheidungen Hat die Aufsichtsbehörde den Sachverhalt durch ihre Ermittlungsmaßnahmen aufgeklärt, muss sie entscheiden, ob sie Maßnahmen trifft und von ihren Abhilfebefugnissen Gebrauch macht. In Betracht kommt zum einen das verwaltungsrechtliche Instrumentarium der Verbote und Anordnungen. Zum anderen kann die Behörde auch – ergänzend zu oder anstelle von verwaltungsrechtlichen Maßnahmen – Bußgelder verhängen. Gelegentlich wird die Behörde zudem erwägen, einen konkreten Fall zum Anlass zu nehmen, um Öffentlichkeitsarbeit zu betreiben.

208

I. Erster Teil: Verbote und andere Anordnungen Die Aufsichtsbehörden können nicht nur Bußgelder verhängen. Sie können auch Verbote und Auflagen für die Datenverarbeitung anordnen und andere Abhilfemaßnahmen ergreifen.

209

1. Welche behördlichen Abhilfebefugnisse sieht die DSGVO vor? Die behördlichen Abhilfebefugnisse sind in Art. 58 Abs. 2 DSGVO geregelt. In dem Befugniskatalog befinden sich einerseits Maßnahmen, die einen tendenziell repressiven Charakter haben:

210

– Warnungen: die Befugnis, einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen (Art. 58 Abs. 2 lit. a DSGVO); – Verwarnungen: die Befugnis, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat (Art. 58 Abs. 2 lit. b DSGVO); – Geldbußen: die Befugnis, gegen einen Verantwortlichen oder einen Auftragsverarbeiter ein Bußgeld nach Art. 83 DSGVO zu verhängen (Art. 58 Abs. 2 lit. i DSGVO). Andererseits haben die Aufsichtsbehörden eine Vielzahl von Befugnissen für den Erlass von Anweisungen, Anordnungen, Verbote und Auflagen. Diese Befugnisse dienen – präventiv – der Gefahrenabwehr.

211

Die Aufsichtsbehörden sind – präventiv – zu einer Reihe von Anordnungen befugt:

212

– Betroffenenrechte (Art. 12 ff. DSGVO): die Befugnis, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach der DSGVO zustehenden Rechte zu entsprechen (Art. 58 Abs. 2 lit. c DSGVO). 49

B. Rz. 212 | Zweiter Akt: Maßnahmen und Entscheidungen

– Berichtigung, Löschung, Einschränkung der Verarbeitung (Art. 16 bis 19 DSGVO): die Befugnis, die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung gem. Art. 16, 17 und 18 DSGVO ebenso anzuordnen wie die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gem. Art. 17 Abs. 2 und Art. 19 offengelegt wurden, über diese Maßnahmen; – Benachrichtigung (Art. 34 DSGVO): die Befugnis, den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffene Person zu benachrichtigen (Art. 58 Abs. 2 lit. e DSGVO); – Übermittlung in Drittstaaten (Art. 44 ff. DSGVO): die Befugnis, die Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation zu untersagen (Art. 58 Abs. 2 lit. j DSGVO); – Zertifizierungen (Art. 42 und 43 DSGVO): die Befugnis, eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine von ihr erteilte Zertifizierung zu widerrufen oder keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden. 213

Am weitesten reichen die Präventivbefugnisse nach Art. 58 Abs. 2 lit. d und f DSGVO: – Anordnungen: die Befugnis, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser DSGVO zu bringen (Art. 58 Abs. 2 lit. d DSGVO); – Verbote: die Befugnis, eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen (Art. 58 Abs. 2 lit. f DSGVO). 2. Kann die Aufsichtsbehörde bestimmte Formen der Verarbeitung personenbezogener Daten verbieten?

214

Ja. Das Verbot nach Art. 58 Abs. 2 lit. f DSGVO ist das schärfste Schwert der Aufsichtsbehörden. Zugleich kann mit einem Verbot bestimmter Datenverarbeitungsverfahren ein empfindlicher Eingriff in Grundrechte des Datenverarbeiters verbunden sein. Für ein junges Unternehmen, das daraufsetzt, mit einer neu entwickelten App Geld zu verdienen und zu wachsen, kann ein Verbot einer solchen App existenzvernichtend sein.

215

Kein milderes Mittel: Nach dem Verhältnismäßigkeitsprinzip kommt ein Verbot nur in Betracht, wenn es kein milderes Mittel gibt, Datenschutzverstöße zu verhindern. Als milderes Mittel kommen insbesondere Anordnungen nach Art. 58 Abs. 2 lit. d DSGVO in Betracht. Können bei dem Betrieb einer App Datenschutzverstöße beispielsweise bereits durch Stilllegung einzelner Funktionen verhindert werden, wird die Aufsichtsbehörde die Stilllegung dieser Funktion anordnen müssen. Ein

50

Erster Teil: Verbote und andere Anordnungen | Rz. 219 B.

vollständiges Verbot des Betriebs der App würde gegen das Übermaßverbot verstoßen. Vorübergehende Beschränkungen: Als milderes Mittel gegenüber einem Verbot kommt auch eine Anordnung vorübergehender Beschränkungen bis zur Implementierung angemessener technischer Maßnahmen in Betracht. Abzuwägen ist zudem auch, ob ein vorübergehendes Verbot ausreicht (Polenz in Simitis/Hornung/Spiecker gen, Döhmann, DSGVO 2019, Art. 58 DSGVO, Rz. 40).

216

Die Anordnung von Verboten ist insbesondere dann verhältnismäßig, wenn etwa die Datenverarbeitung nach Art. 6 DSGVO nicht rechtmäßig gestaltet werden kann oder die Bedingungen für eine Einwilligung nach Art. 7 DSGVO in Bezug auf den Verarbeitungsvorgang nicht umsetzbar sind (Polenz in Simitis/Hornung/Spiecker gen. Döhmann, DSGVO 2019, Art. 58 DSGVO, Rz. 40).

217

– Siehe auch: Zweiter Akt, Erster Teil, 3. Muss die Aufsichtsbehörde erst warnen oder verwarnen, bevor sie ein Verbot anordnet? Rz. 218 – Siehe auch: Zweiter Akt, Erster Teil, 4. Kann die Aufsichtsbehörde Auflagen anordnen? Rz. 219 ff. – Siehe auch: Zweiter Akt, Erster Teil, 5. Kann die Aufsichtsbehörde die Demontage von Videokameras und anderer Hardware anordnen? Rz. 222 f. – Siehe auch: Zweiter Akt, Erster Teil, 6. Wie konkret müssen Verbote und Anordnungen formuliert sein? Rz. 224 ff.

3. Muss die Aufsichtsbehörde erst warnen oder verwarnen, bevor sie ein Verbot anordnet? Nein. Wenn mit einer Software, einer Datenbank, einer Anwendung oder einer Technologie Gefahren für den Datenschutz verbunden sind, sind Warnungen (Art. 58 Abs. 2 lit. a DSGVO) und Verwarnungen (Art. 58 Abs. 2 lit. b DSGVO) nicht in gleicher Weise wie ein Verbot geeignet, zukünftige Datenschutzverstöße zu verhindern. Warnungen und Verwarnungen wirken primär reaktiv und unterscheiden sich dadurch grundlegend von Verboten und Anordnungen. Die Aufsichtsbehörden können somit ohne weiteres Verbote und Auflagen anordnen, auch wenn sie den Adressaten zuvor weder gewarnt (Art. 58 Abs. 2 lit. a DSGVO) noch verwarnt (Art. 58 Abs. 2 lit. b DSGVO) haben.

218

4. Kann die Aufsichtsbehörde Auflagen anordnen? Ja. Art. 58 Abs. 2 lit. d DSGVO gibt den Aufsichtsbehörden die Befugnis, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser DSGVO zu bringen. Ist die Behörde daher beispielsweise der Auffassung, dass ein Unternehmen seinen Informationspflichten nach Art. 13 und 14 DSGVO unzureichend nachkommt, kann die Behörde eine Anordnung erlassen, die das Unternehmen verpflichtet, die Informationen nachzubessern bzw. nachzuholen. Eine solche Anordnung kann mit einer Fristsetzung verbunden werden.

51

219

B. Rz. 220 | Zweiter Akt: Maßnahmen und Entscheidungen 220

Unterlassung: Eine Anordnung nach Art. 58 Abs. 2 lit. d DSGVO kann auch auf eine Unterlassung gerichtet sein. Die Behörde kann etwa einem Unternehmen aufgeben, die Verarbeitung von Gesundheitsdaten zu unterlassen, wenn sie der Auffassung ist, dass eine Anwendung zwar die Voraussetzungen des Art. 6 Abs. 1 Satz 1 lit. f DSGVO (berechtigte Interessen) erfüllt, es aber an den besonderen Voraussetzungen für eine rechtmäßige Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 2 DSGVO fehlt.

221

Milderes Mittel: Anordnungen nach Art. 58 Abs. 2 lit. d DSGVO sind ein milderes Mittel als Verbote gem. Art. 58 Abs. 2 lit. f DSGVO. Bevor die Aufsichtsbehörde daher eine Untersagung nach Art. 58 Abs. 2 lit. f DSGVO ausspricht, wird sie stets prüfen müssen, ob eine Anordnung nach Art. 58 Abs. 2 lit. d DSGVO als milderes Mittel in Betracht kommt, um dem Grundsatz der Verhältnismäßigkeit zu genügen. 5. Kann die Aufsichtsbehörde die Demontage von Videokameras und anderer Hardware anordnen?

222

Nein. Weder aus Art. 58 Abs. 2 lit. d DSGVO noch aus Art. 58 Abs. 2 lit. f DSGVO ergibt sich eine solche Befugnis. Wegen des Gesetzesvorbehalts und des Wesentlichkeitsprinzips verbietet es sich auch, solch eine Befugnis in Art. 58 Abs. 2 lit. f DSGVO hineinzuinterpretieren (vgl. Selmayr in Ehmann/Selmayr, DSGVO, 2. Aufl. 2018, Art. 58, Rz. 24). Die Anordnung der Demontage einer Gerätschaft ist ein Grundrechtseingriff, zu dem eine Behörde nur befugt ist, wenn eine solche Befugnis nach dem Wortlaut der Norm besteht. Hieran fehlt es bei Art. 58 Abs. 2 lit. f DSGVO. Eine Erweiterung der Norm auf Demontageanordnungen wäre keine erweiternde Auslegung, sondern eine Analogie, die im Hinblick auf den Gesetzesvorbehalt unzulässig ist.

223

Ohne weiteres lässt sich jedoch auf Art. 58 Abs. 2 lit. f DSGVO ein Nutzungsverbot stützen. Die Aufsichtsbehörde kann die Nutzung einer Kamera oder einer anderen Gerätschaft untersagen, wenn deren Nutzung an dem Anbringungs-/Verwendungsort datenschutzwidrig ist. 6. Wie konkret müssen Verbote und Anordnungen formuliert sein?

224

Ein Verwaltungsakt muss nach § 37 Abs. 1 VwVfG inhaltlich hinreichend bestimmt sein. Dies gilt auch für Verbote und Anordnungen, die auch als Verwaltungsakte einzuordnen sind. Die Verbote und Anordnungen müssen so präzise formuliert sein, dass der Adressat erkennen kann, auf welche Verarbeitungsprozesse sich die Anordnungen beziehen und welche Handlungen zu unterlassen sind.

225

Das Bestimmtheitsgebot verlangt, dass der Adressat in die Lage versetzt wird, zu erkennen, was von ihm gefordert wird. Zudem muss der Verwaltungsakt eine geeignete Grundlage für Maßnahmen zu seiner zwangsweisen Durchsetzung sein können. Im Einzelnen richten sich die Anforderungen an die notwendige Bestimmtheit eines Verwaltungsakts nach den Besonderheiten des jeweils anzuwendenden und mit dem

52

Erster Teil: Verbote und andere Anordnungen | Rz. 229 B.

Verwaltungsakt umzusetzenden materiellen Rechts (BVerwG v. 19.6.2019 – 6 C 9/ 18, Rz. 10). Einzelfall: Es reicht aus, wenn sich die Regelung aus dem gesamten Inhalt des Bescheids, insbesondere seiner Begründung, sowie den weiteren, den Beteiligten bekannten oder ohne weiteres erkennbaren Umständen unzweifelhaft erkennen lässt (BVerwG v. 30.5.2018 – 6 A 3/16, Rz. 38). Daher ließ es das Oberverwaltungsgericht Sachsen für die Bestimmtheit eines Verwaltungsakts nach § 37 Abs. 1 VwVfG ausreichen, dass die Aufsichtsbehörde den Adressaten zu einer „aussagefähigen Darstellung aller Geschäftsprozesse“ aufforderte. Bei der Auslegung einer solchen Aufforderung kommt es darauf an, ob der Adressat verstehen musste, welche Geschäftsprozesse gemeint waren. Im konkreten Fall hatte es vorab eine Vorortkontrolle gegeben, in der bestimmte Datenverarbeitungsprozesse diskutiert worden waren. Es war daher nach Auffassung des Oberverwaltungsgericht Sachsen erkennbar, um welche Prozesse es ging, so dass das Auskunftsersuchen den Anforderungen des § 37 Abs. 1 VwVfG genügte (OVG Sachsen v. 17.7.2013 – 3 B 470/12, Rz. 32).

226

Ziel: Ein Verwaltungsakt kann lediglich das Ziel der Maßnahme vorgeben und die Wahl der Mittel dem Adressaten überlassen, wenn das Mittel sich aus der Sicht des Adressaten von selbst versteht oder der Verwaltungsaktadressat in der Lage ist das Mittel selbst festzulegen und dieses zur Zielerreichung geeignet ist (BVerwG v. 30.5.2018 – 6 A 3/16, Rz. 43). Daher kann eine Aufsichtsbehörde beispielsweise anordnen, dass in einer Publikation Schwärzungen vorzunehmen sind, ohne im Einzelnen vorzugeben, wie diese Schwärzungen beschaffen sein müssen.

227

– Siehe auch: Zweiter Akt, Erster Teil, 9. Wie allgemein dürfen Verbote und Anordnungen formuliert sein? Rz. 231 ff. – Siehe auch: Zweiter Akt, Erster Teil, 10. Wie klar muss eine behördliche Anordnung zwischen erlaubten und unerlaubten Handlungen unterscheiden? Rz. 234 ff. – Siehe auch: Zweiter Akt, Erster Teil, 13. Bedürfen Verbotsbescheide und Anordnungen einer Rechtsbehelfsbelehrung? Rz. 245 f.

7. Wie verhält sich das Bestimmtheitsgebot zur Vollstreckbarkeit eines Verbots oder einer Anordnung? Das Bestimmtheitserfordernis dient auch dazu, eine Vollstreckbarkeit des Verwaltungsakts nach den Bestimmungen des VwVG zu sichern. Unbestimmte Verwaltungsakte sind nicht vollstreckbar, da im Vollstreckungsverfahren kein Streit über die Reichweite eines Verbotsbescheids oder einer behördlichen Anordnung geführt werden kann, soll und darf. Dies gilt auch dann, wenn ein Verwaltungsakt nicht angefochten wurde und bestandskräftig ist. Der Einwand unzureichender Bestimmtheit des Grundverwaltungsakts kann auch noch erhoben werden, wenn die Behörde beispielsweise nach § 11 VwVG ein Zwangsgeld festsetzt, um einen Verbotsbescheid durchzusetzen.

228

Beispiel: Wenn eine Zahnarztkammer einer Gemeinschaftspraxis per Verwaltungsakt untersagt,

229

53

B. Rz. 229 | Zweiter Akt: Maßnahmen und Entscheidungen „für sämtliche Formen der Außendarstellung – insbesondere für Werbemaßnahmen, das Praxisschild, Briefbögen und die Praxis- Homepage – ..., sich oder in Ihrer Praxis Beschäftigte als ‚Kinderzahnarzt‘ [...] zu bezeichnen“,

verstößt ein solches Verbot nach Auffassung des Oberverwaltungsgericht Nordrhein-Westfalen gegen § 37 Abs. 1 VwVfG. Es werde nicht hinreichend deutlich, welche Beschäftigten konkret-individuell von der Untersagung betroffen sein sollen. Der Wortlaut der Regelung lasse bereits offen, ob mit der Bezeichnung „Beschäftigte“ ausschließlich die derzeit Beschäftigten gemeint sind – in diesem Fall wäre der Zahnarztkammer eine namentliche Nennung ohne weiteres möglich gewesen – oder ob auch künftig Beschäftigte erfasst sein sollen. Ferner sei unklar, ob außer den beschäftigen Zahnärzten auch die sonstigen Mitarbeiter der Praxis betroffen sein sollen. Diese Ungenauigkeiten hätten zur Folge, dass bei einer etwaigen Vollstreckung nicht hinreichend bestimmbar wäre, bei welchen Personen (genau) ein Verstoß gegen die Untersagungsverfügung gegeben wäre, wenn sie sich als „Kinderzahnarzt“ bezeichneten. Aber auch wenn die Bezeichnung „Beschäftigte“ nach ihrem objektiven Erklärungswert und unter Berücksichtigung von Treu und Glauben dahingehend auszulegen wäre, dass ausschließlich die (derzeit) in der Praxis beschäftigten Zahnärzte gemeint sein sollen, wäre deren konkret-individuelle Bezeichnung erforderlich gewesen (OVG NW v. 25.5.2012 – 13 A 1384/10, Rz. 86). – Siehe auch: Erster Akt, Erster Teil, 17. Welche Grenzen setzt das Bestimmtheitsgebot? Rz. 46 ff. – Siehe auch: Zweiter Akt, Erster Teil, 8. Was bedeutet das Bestimmtheitserfordernis für den Adressaten eines Verbotsbescheids oder einer behördlichen Anordnung? Rz. 230 – Siehe auch: Zweiter Akt, Erster Teil, 9. Wie allgemein dürfen Verbote und Anordnungen formuliert sein? Rz. 231 ff. – Siehe auch: Zweiter Akt, Erster Teil, 10. Wie klar muss eine behördliche Anordnung zwischen erlaubten und unerlaubten Handlungen unterscheiden? Rz. 234 ff.

8. Was bedeutet das Bestimmtheitserfordernis für den Adressaten eines Verbotsbescheids oder einer behördlichen Anordnung? 230

Aus Sicht des Adressaten bedeutet das Bestimmtheitserfordernis, dass es sich stets lohnt, die Bestimmtheit des Bescheids kritisch zu hinterfragen. Sind Fälle denkbar, in denen sich nicht klar sagen lässt, ob sie unter den Tenor des Bescheids fallen, lohnt sich die Anfechtung mit dem Einwand, dass der Bescheid den Anforderungen des § 37 Abs. 1 VwVfG nicht genügt. Dies ist beispielsweise der Fall, wenn die Aufsichtsbehörde per Bescheid eine Anonymisierung von Daten verlangt, ohne dass sich genau feststellen lässt, auf welche Daten sich die Anordnung bezieht. Selbst wenn über die zu anonymisierenden Daten kein Zweifel bestehen kann, wird sich einwenden lassen, dass der Begriff der „Anonymisierung“ nicht hinreichend bestimmt ist, da unklar bleibt, welche Maßnahmen von dem Adressaten genau verlangt werden. Die DSGVO definiert den Begriff nicht, und jeder Datenschützer weiß, dass es verschiedene Methoden der Anonymisierung gibt, die eine Re-Identifizierung zum Teil nur erschweren und zum Teil gänzlich unmöglich machen. Welche Methode genau gemeint ist, bleibt offen, wenn lediglich eine „Anonymisierung“ verlangt wird.

54

Erster Teil: Verbote und andere Anordnungen | Rz. 236 B.

9. Wie allgemein dürfen Verbote und Anordnungen formuliert sein? Verbote und Auflagen dürfen sich nicht in einer bloßen Anordnung erschöpfen, gesetzliche Vorschriften zu beachten. Auch dies ergibt sich aus dem Bestimmtheitsgebot gem. § 37 Abs. 1 VwVfG, das eine Konkretisierung der angeordneten Handlungs- oder Unterlassungspflichten verlangt.

231

Wird einem Unternehmen lediglich unter Hinweis auf eine Verbotsnorm untersagt, in einem Bundesland öffentliches Glücksspiel zu veranstalten, und erschöpft sich die Anordnung in einer Wiedergabe des gesetzlichen Tatbestands, so handelt es sich um keine hinreichend bestimmte, konkrete Einzelfallregelung, die den Anforderungen des § 37 Abs. 1 VwVfG genügt (BVerwG v. 16.10.2013 – 8 C 21/12, Rz. 15).

232

Rechtswidrig wegen eines Verstoßes gegen das Bestimmtheitsgebots wäre beispielsweise eine behördliche Anordnung, die von einem Unternehmen verlangt, bei der Verarbeitung von Gesundheitsdaten den Art. 9 DSGVO zu beachten. Eine solche Anordnung erschöpft sich in einer Verpflichtung zur Beachtung gesetzlicher Vorschriften und ist daher nicht konkret genug, um den Anforderungen des § 37 Abs. 1 VwVfG zu genügen.

233

– Siehe auch: Zweiter Akt, Erster Teil, 6. Wie konkret müssen Verbote und Anordnungen formuliert sein? Rz. 224 ff. – Siehe auch: Zweiter Akt, Erster Teil, 10. Wie klar muss eine behördliche Anordnung zwischen erlaubten und unerlaubten Handlungen unterscheiden? Rz. 234 ff.

10. Wie klar muss eine behördliche Anordnung zwischen erlaubten und unerlaubten Handlungen unterscheiden? Der Adressat eines Verwaltungsakts muss erkennen können, welche Handlungen ihm durch einen behördlichen Bescheid verboten werden. Diese Handlungen müssen von erlaubten Tätigkeiten abgrenzbar sein. Auch dies ergibt sich aus dem Bestimmtheitsgebot (§ 37 Abs. 1 VwVfG).

234

Ausnahmen des Verbots: Für den Adressaten muss bei einem (teilweisen) Verbot konkret bestimmbar sein, welche Handlungen er trotz des Verbots vornehmen darf (BVerwG v. 13.12.2012 – 3 C 26/11, Rz. 25). Eine Anordnung, die für den Einsatz von Cookies Einwilligungen verlangt und zugleich „notwendige“ Cookies von dem Einwilligungserfordernis ausnimmt, würde daher gegen § 37 Abs. 1 VwVfG verstoßen, da die Anordnung offenlässt, was unter „notwendigen“ Cookies zu verstehen sein soll.

235

Beispiel: In einem ähnlichen Fall verbot die Bundesnetzagentur einem Unternehmen, Werbung mit Telefonanrufen gegenüber Verbrauchern selbst durchzuführen oder durch Dritte durchführen zu lassen, „wenn die Angerufenen im Vorfeld nicht gesetzeskonform in den Erhalt derartiger Telefonwerbung eingewilligt haben“. Dabei stütze sich die Bundesnetzagentur auf § 67 Abs. 1 Satz 1 TKG i.V.m. § 7 Abs. 2 Nr. 2 Alt. 1 UWG. Das Oberverwaltungsgericht Nordrhein-Westfahlen sah hierin einen Verstoß gegen das Bestimmtheitsgebot des § 37 Abs. 1 VwVfG (OVG NW v. 22.10.2019 – 13 B 600/19).

236

55

B. Rz. 237 | Zweiter Akt: Maßnahmen und Entscheidungen 237

Rechtsklarheit: § 37 Abs. 1 VwVfG sei den Erfordernissen gewidmet, die an die Rechtsklarheit eines Verwaltungsakts zu stellen sind. Dies verlange, dass der Adressat des Verwaltungsakts sein Verhalten nach dem ihm aufgegebenen Tun, Dulden oder Unterlassen ausrichten kann und die Behörde, die mit dem Vollzug des Verwaltungsakts betraut ist oder für deren sonstiges Verwaltungshandeln der Verwaltungsakt von Bedeutung ist, seinen Inhalt etwaigen Vollstreckungshandlungen oder sonstigen Entscheidungen zugrunde legen kann. Die Erkennbarkeit des Inhalts müsse sich zwar nicht notwendig aus dem isolierten Wortlaut der Entscheidungssätze ergeben. Es müsse jedoch möglich sein, den Inhalt hinreichend sicher durch eine Auslegung der Entscheidungssätze zu ermitteln. Hierzu seien insbesondere die Gründe des Verwaltungsakts heranzuziehen. Neben den Gründen des Bescheids könnten auch solche Umstände zur Auslegung der Regelung des Verwaltungsakts von Bedeutung sein, die aus seinem gesamten Text zwar nicht ausdrücklich hervorgehen, aber den Beteiligten etwa aus dem Gang des Verwaltungsverfahrens bekannt oder ohne weiteres erkennbar sind. Welche Umstände insoweit in Betracht kommen, könne nur im jeweiligen Einzelfall geklärt werden (OVG NW v. 22.10.2019 – 13 B 600/19, Rz. 11).

238

Wiederholung des Gesetzeswortlauts: Nach diesen Grundsätzen könne gegen die Bestimmtheit der Untersagungsverfügung zwar nicht schon per se eingewandt werden, dass sie sich mit dem Erfordernis einer „gesetzeskonformen Einwilligung“ im Wesentlichen auf eine Wiederholung des Gesetzeswortlauts von § 7 Abs. 2 Nr. 2 Alt. 1 UWG beschränkt. Dies wäre unschädlich, wenn der gesetzliche Verbotstatbestand selbst entsprechend eindeutig und konkret gefasst oder jedenfalls sein Anwendungsbereich durch eine in der Rechtsprechung gefestigte Auslegung hinreichend geklärt wäre. Gleiches wäre anzunehmen, wenn für die Beteiligten nach den schriftlichen Gründen für den Erlass der Untersagungsverfügung oder zumindest anhand der näheren Umstände des Verwaltungsverfahrens klar erkennbar wäre, welche konkrete Verhaltensweise bzw. Geschäftspraxis durch die Antragsgegnerin als Verstoß gegen § 7 Abs. 2 Nr. 2 Alt. 1 UWG gewertet wird und für die Zukunft unter Androhung von Zwangsmitteln untersagt werden soll (OVG NW v. 22.10.2019 – 13 B 600/19, Rz. 13).

239

Ungenannte Anforderungen: Diese Voraussetzungen seien im konkreten Fall indes nicht gegeben. Mit der Untersagungsverfügung werde der Antragstellerin in pauschaler Weise verboten, Werbeanrufe bei Verbrauchern ohne eine nach § 7 Abs. 2 Nr. 2 Alt. 1 UWG erforderliche ausdrückliche vorherige Einwilligung durchzuführen bzw. durchführen zu lassen. Das damit in Bezug genommene Erfordernis der Einwilligung solle nach dem aus den Gründen der Untersagungsverfügung erkennbar werdenden Willen der Antragsgegnerin nicht bereits dann erfüllt sein, wenn der Verbraucher überhaupt eine ausdrückliche vorherige Einwilligungserklärung in die Telefonwerbung abgegeben hat. In Übereinstimmung mit der zu § 7 Abs. 2 Nr. 2 Alt. 1 UWG ergangenen Rechtsprechung der Zivilgerichte verlange die Bundesnetzagentur im Ausgangspunkt vielmehr, dass die Einwilligungserklärung des Verbrauchers auch wirksam ist. Dies solle namentlich dann der Fall sein, wenn die Willensbekundung ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolge, wobei eine Einwilligung dann als in Kenntnis der Sachlage erteilt gelte, wenn der Verbrau56

Erster Teil: Verbote und andere Anordnungen | Rz. 243 B.

cher wisse, dass seine Erklärung ein Einverständnis darstelle und worauf sie sich beziehe. Für die Antragstellerin, die die Einwilligung von Verbrauchern in Telefonwerbung für die von ihr vertriebene Tiernahrung gemäß ihrer Geschäftspraxis regelmäßig mit der Veranstaltung von Glücksspielen im Internet generiere, bleibe auf dieser Grundlage jedenfalls teilweise offen, unter welchen konkreten Voraussetzungen die Bundesnetzagentur Einwilligungserklärungen als unwirksam, insbesondere als nicht in Kenntnis der Sachlage abgegeben, erachte (OVG NW v. 22.10.2019 – 13 B 600/19, Rz. 15). Unbestimmte Rechtsbegriffe: Der Fall zeigt, dass sich aus dem Bestimmtheitsgebot (§ 37 Abs. 1 VwVfG) sehr weitreichende Anforderungen an die Behörden ableiten lassen, Verbote und Anordnungen zu präzisieren. Dies gilt insbesondere bei gesetzlichen Bestimmungen, die sich auf unbestimmte Rechtsbegriffe stützen. Ein Musterbeispiel für eine solche Bestimmung sind die Anforderungen an eine „freiwillige“ Einwilligung, die sich in Art. 7 Abs. 4 DSGVO finden. Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss nach Art. 7 Abs. 4 DSGVO

240

„dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“

Beispiel: Eine behördliche Anordnung, die vom Adressaten die Einholung „freiwilliger“ Einwilligungen verlangt, wäre rechtswidrig, solange die Anforderungen an eine „Freiwilligkeit“ nicht für den konkreten Fall präzisiert werden. Die Behörden müssen in einem solchen Fall Farbe bekennen und eine klare Grenzziehung vornehmen, unter welchen Umständen der Adressat den Anforderungen des Art. 7 Abs. 4 DSGVO genügt. Es würde gegen das Bestimmtheitserfordernis (§ 37 Abs. 1 VwVfG) verstoßen, diese Grenzziehung und damit das Risiko eines Verstoßes gegen die behördliche Anordnung dem Adressaten zu überlassen, da sich allein aus der abstrakten Norm (Art. 7 Abs. 4 DSGVO) keine klaren Handlungsanweisungen ableiten lassen.

241

– Siehe auch: Zweiter Akt, Erster Teil, 6. Wie konkret müssen Verbote und Anordnungen formuliert sein? Rz. 224 ff. – Siehe auch: Zweiter Akt, Erster Teil, 9. Wie allgemein dürfen Verbote und Anordnungen formuliert sein? Rz. 231 ff.

11. Was muss die Behörde beachten, wenn sie in einem Verbotsbescheid oder einer Anordnung Fristen setzt? Eine Behörde kann Verbote und Anordnungen mit der Setzung einer Frist verbinden und dem Adressaten beispielsweise aufgeben, eine bestimmte Datenbank innerhalb einer solchen Frist zu löschen.

242

Auch für Fristen gilt das Bestimmtheitsgebot des § 37 Abs. 1 VwVfG. Daher kann es gegen das Bestimmtheitsgebot verstoßen, wenn eine Frist nicht nach dem Kalender bestimmt wird, sondern von einem zu wertenden Verhalten des Adressaten abhängig ist, wie dies der Fall ist, wenn eine Verpflichtung zu „unverzüglichem“ Handeln angeordnet wird. Ob ein solches Handeln ohne schuldhaftes Zögern erfolgt

243

57

B. Rz. 243 | Zweiter Akt: Maßnahmen und Entscheidungen

(§ 121 Abs. 1 BGB), bedarf einer Bewertung des Einzelfalls, so dass es an einer hinreichenden Bestimmtheit der Frist fehlt (OVG NW v. 12.3.2019 – 13 A 2785/17, Rz. 94). 12. Kann die Behörde eine unbestimmte Anordnung oder ein unbestimmtes Verbot nachträglich konkretisieren und „heilen“? 244

Ja. Die Behörde ist befugt, einen unklaren Verwaltungsakt zu präzisieren und seine hinreichende Bestimmtheit nachträglich herbeizuführen. Dies kann sogar noch durch Erklärung gegenüber dem Gericht erfolgen, nachdem der Bescheid angefochten worden ist (BVerwG v. 2.7.2008 – 7 C 38/07, Rz. 18). 13. Bedürfen Verbotsbescheide und Anordnungen einer Rechtsbehelfsbelehrung?

245

Ja. Verbote und Anordnungen sind stets behördliche Maßnahmen zur Regelung eines Einzelfalls und richten sich zudem auf unmittelbare Rechtswirkung nach außen, sodass es sich um Verwaltungsakte handelt (§ 35 Satz 1 VwVfG). Daher ist eine Rechtsbehelfsbelehrung stets notwendig (§ 37 Abs. 6 VwVfG).

246

Nach Art. 78 Abs. 1 DSGVO hat zudem jede natürliche oder juristische Person unbeschadet anderweitiger Rechtsbehelfe das Recht auf einen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss der Aufsichtsbehörde. Dies betrifft nach Erwägungsgrund 143 Satz 5 DSGVO insbesondere die Ausübung von Untersuchungs-, Abhilfe- und Genehmigungsbefugnissen durch die Aufsichtsbehörde. Wann auch immer daher eine Aufsichtsbehörde von Abhilfebefugnissen nach Art. 58 Abs. 2 DSGVO Gebrauch macht, muss der Adressat einen Rechtsbehelf haben, über den er dann auch nach § 37 Abs. 6 VwVfG belehrt werden muss. – Siehe auch: Zweiter Akt, Erster Teil, 6. Wie konkret müssen Verbote und Anordnungen formuliert werden? Rz. 224 ff. – Siehe auch: Zweiter Akt, Erster Teil, 9. Wie allgemein dürfen Verbote und Anordnungen formuliert sein? Rz. 231 ff.

14. Kann die Behörde die sofortige Vollziehung von Verboten und Anordnungen anordnen? 247

Ja. Die Behörde kann unter den Voraussetzungen des § 80 Abs. 2 Satz 1 Nr. 4 VwGO die sofortige Vollziehung von Verboten und Auflagen anordnen. Hierdurch verhindert die Behörde den Suspensiveffekt der Anfechtungsklage (§ 80 Abs. 1 Satz 1 VwGO). Erhebt der Adressat die Anfechtungsklage, so hat die Klage keine aufschiebende Wirkung, wenn die sofortige Vollziehung nach § 80 Abs. 2 Satz 1 Nr. 4 VwGO angeordnet wurde.

58

Erster Teil: Verbote und andere Anordnungen | Rz. 252 B.

15. Was muss die Aufsichtsbehörde beachten, wenn sie die sofortige Vollziehung anordnet? Materiell bedarf es für die Anordnung der sofortigen Vollziehung eines öffentlichen Interesses oder des überwiegenden Interesses eines Beteiligten an einer solchen Vollziehung (§ 80 Abs. 2 Satz 1 Nr. 4 VwGO). Erforderlich ist ein besonderes Interesse gerade an der sofortigen Vollziehung des Verbots oder der Anordnung. Es müssen besondere Gründe dafür sprechen, dass der Verwaltungsakt sofort und nicht erst nach Eintritt der Bestands- und Rechtskraft verwirklicht, umgesetzt oder vollzogen wird (vgl. Gernsdorf in BeckOK, Stand 1.10.2019, § 80 VwGO, Rz. 99).

248

Formell ist die Aufsichtsbehörde gem. § 80 Abs. 3 Satz 1 VwGO verpflichtet, das besondere Interesse an der sofortigen Vollziehung schriftlich zu begründen. Eine besondere Begründung ist nur dann entbehrlich, wenn die Behörde bei Gefahr im Verzug, insbesondere bei drohenden Nachteilen für Leben, Gesundheit oder Eigentum vorsorglich eine als solche bezeichnete Notstandsmaßnahme im öffentlichen Interesse trifft (§ 80 Abs. 3 Satz 2 VwGO).

249

– Siehe auch: Zweiter Akt, Erster Teil, 16. Welche Anforderungen gelten für die Begründung des Vollziehungsinteresses? Rz. 250 ff. – Siehe auch: Zweiter Akt, Erster Teil, 17. Welche materiellen Anforderungen gelten für das Vollziehungsinteresse? Rz. 253 f.

16. Welche Anforderungen gelten für die Begründung des Vollziehungsinteresses? Das Begründungserfordernis nach § 80 Abs. 3 Satz 1 VwGO ist ein reines Formalerfordernis. Die Behörde muss sich zwar der Mühe unterziehen, das besondere Vollziehungsinteresse zu begründen. Ob diese Begründung tatsächlich tragfähig ist, ist indes für § 80 Abs. 3 Satz 1 VwGO unerheblich. Es genügt jede schriftliche Begründung, die zu erkennen gibt, dass die Behörde aus Gründen des zu entscheidenden Einzelfalles eine sofortige Vollziehung ausnahmsweise für geboten hält. Zugleich kommt es dabei nicht darauf an, ob die zur Begründung der Vollziehungsanordnung angeführten Gründe den Sofortvollzug tatsächlich rechtfertigen und ob die für die sofortige Vollziehung angeführten Gründe erschöpfend und zutreffend dargelegt sind (BVerwG v. 21.4.1995 – 1 VR 9/94, Rz. 4; OVG NW v. 17.1.2020 – 13 B 1282/ 19, Rz. 5).

250

Für Textbausteine eignet sich das Begründungserfordernis indes nicht. Die Aufsichtsbehörde muss – bezogen auf die Umstände im konkreten Fall – das besondere Interesse an der sofortigen Vollziehung sowie die Ermessenserwägungen, die sie zur Anordnung der sofortigen Vollziehung bewogen haben, darlegen. Formelhafte, also für beliebige Fallgestaltungen passende Wendungen, formblattmäßige oder pauschale Argumentationsmuster sowie die bloße Wiederholung des Gesetzestextes reichen nicht aus (Gernsdorf in BeckOK, Stand 1.10.2019, § 80 VwGO, Rz. 87).

251

Beispiel: Geht es beispielsweise um das Verbot des Betriebs einer Videokamera, kann die Behörde ein Vollziehungsinteresse damit begründen, dass sich das sofortige Vollziehungsinteresse aus der Vielzahl der Betroffenen ergibt, in deren Recht bis zur

252

59

B. Rz. 252 | Zweiter Akt: Maßnahmen und Entscheidungen

Bestandskraft des Verbots eingegriffen würde, wenn man von einer Anordnung nach § 80 Abs. 2 Satz 1 Nr. 4 VwGO absehen würde. Mit einer solchen Begründung genügt die Behörde den Anforderungen des § 80 Abs. 3 Satz 1 VwGO. Damit ist allerdings noch nichts über die Tragfähigkeit der Begründung gesagt, die das Verwaltungsgericht im Falle eines Verfahrens nach § 80 Abs. 5 VwGO eigenständig beurteilen muss. 17. Welche materiellen Anforderungen gelten für das Vollziehungsinteresse? 253

In materieller Hinsicht kann die sofortige Vollziehung angeordnet werden, wenn sie im öffentlichen Interesse oder im überwiegenden Interesse eines Beteiligten bzw. Betroffenen liegt. Ob ein überwiegendes Interesse gegeben ist, ist anhand einer Interessenabwägung festzustellen. Es ist eine umfassende Abwägung der für die sofortige Vollziehung sprechenden Interessen und des Aufschubinteresses des Adressaten vorzunehmen (Schoch in Schoch/Schneider/Bier, VwGO, Stand Juli 2019, Rz. 202). Dabei ist zu beachten, dass es eines Vollziehungsinteresses bedarf, das über das Interesse hinausgeht, das den Erlass des Verwaltungsaktes rechtfertigt. Notwendig ist in aller Regel eine besondere Eilbedürftigkeit bzw. Dringlichkeit (Gernsdorf in BeckOK, Stand 1.10.2019, § 80 VwGO, Rz. 99).

254

Alternative Gründe: Kommt es zu einem Verfahren nach § 80 Abs. 5 VwGO, wird das Vorliegen eines überwiegenden Vollziehungsinteresses vom Verwaltungsgericht eigenständig geprüft. Dabei ist das Gericht nicht an die Abwägung gebunden, die die Aufsichtsbehörde vorgenommen hat. Auch wenn das Verwaltungsgericht der Auffassung ist, die Behörde habe bei der Abwägung Fehler gemacht, kann das Gericht davon absehen, die aufschiebende Wirkung einer Anfechtungsklage wiederherzustellen, wenn es der Auffassung ist, dass die Interessen, die für eine sofortige Vollziehung sprechen, aus anderen Gründen überwiegen. Dies bedeutet zugleich, dass Fehler der Aufsichtsbehörde bei der Anwendung des § 80 Abs. 2 Satz Nr. 4 VwGO weitgehend folgenlos bleiben, solange die Behörde das Vollziehungsinteresse nach § 80 Abs. 3 Satz 1 VwGO hinreichend begründet. 18. Welche Möglichkeiten hat die Behörde, wenn sich der Datenverarbeiter nicht an Verbote oder Anordnungen hält?

255

Hält sich der Datenverarbeiter nicht an behördliche Verbote und Anordnungen, können die Verbote und Anordnungen mit den Zwangsmitteln des § 9 VwVG durchgesetzt werden (§ 6 Abs. 1 VwVG). Dies setzt voraus, dass die Verbote und Anordnungen nicht mehr angefochten werden können und somit bestandskräftig sind oder der sofortige Vollzug der Verbote nach § 80 Abs. 2 Satz 1 Nr. 4 VwGO angeordnet wurde. – Siehe auch: Zweiter Akt, Erster Teil, 19. Bedarf es zur Durchsetzung behördlicher Verbote und Anordnungen einer Rechtsbehelfsbelehrung? Rz. 256 f. – Siehe auch: Zweiter Akt, Erster Teil, 20. Wie werden behördliche Verbote und Anordnungen letztlich durchgesetzt? Rz. 258 – Siehe auch: Zweiter Akt, Erster Teil, 21. Macht es einen Unterschied, ob ein Datenverarbeiter zu einer Handlung oder einer Unterlassung verpflichtet ist? Rz. 259 ff.

60

Erster Teil: Verbote und andere Anordnungen | Rz. 260 B. – Siehe auch: Zweiter Akt, Erster Teil, 22. Wann kommt eine Ersatzvornahme in Betracht? Rz. 262 ff. – Siehe auch: Zweiter Akt, Erster Teil, 23. Wann kommt ein Zwangsgeld in Betracht? Rz. 266 ff. – Siehe auch: Zweiter Akt, Erster Teil, 25. Wann kommt unmittelbarer Zwang in Betracht? Rz. 272 – Siehe auch: Zweiter Akt, Erster Teil, 26. Kann die Behörde neben einem Zwangsmittel auch Bußgelder verhängen, wenn Verbote und Anordnungen missachtet werden? Rz. 273

19. Bedarf es zur Durchsetzung behördlicher Verbote und Anordnungen einer Rechtsbehelfsbelehrung? Fehlerhafte oder fehlende Rechtsbehelfsbelehrungen erschweren die Durchsetzung behördlicher Verbote und Anordnungen, da sich die Klagefrist auf ein Jahr verlängert (§ 58 Abs. 2 Satz 1 i.V.m. § 74 Abs. 1 Satz 2 VwGO).

256

Nach § 6 Abs. 1 VwVG kann ein Verwaltungsakt, der auf die Herausgabe einer Sache, auf die Vornahme einer Handlung oder auf Duldung oder Unterlassung gerichtet ist, mit den Zwangsmitteln nach § 9 VwVG nur dann durchgesetzt werden, wenn er unanfechtbar ist oder wenn sein sofortiger Vollzug angeordnet oder dem Rechtsmittel keine aufschiebende Wirkung beigelegt ist. Eine Verlängerung der Klagefrist nach § 58 Abs. 2 Satz 1 i.V.m. § 74 Abs. 1 Satz 2 VwGO bedeutet daher zugleich einen erheblichen Aufschub der Vollziehbarkeit eines Verbots oder einer Anordnung, wenn die Behörde keine sofortige Vollziehung nach § 80 Abs. 2 Satz 1 Nr. 4 VwGO angeordnet hat.

257

20. Wie werden behördliche Verbote und Anordnungen letztlich durchgesetzt? Nach § 9 Abs. 1 VwVG stehen der Behörde mit der Ersatzvornahme, Zwangsgeldern und unmittelbarem Zwang drei Zwangsmittel zur Verfügung. Das gewählte Zwangsmittel muss in einem angemessenen Verhältnis zu seinem Zweck stehen (§ 9 Abs. 2 Satz 1 VwVG), und das Zwangsmittel ist möglichst so zu bestimmen, dass der Adressat und die Allgemeinheit am wenigsten beeinträchtigt werden (§ 9 Abs. 2 Satz 2 VwVG).

258

21. Macht es einen Unterschied, ob ein Datenverarbeiter zu einer Handlung oder einer Unterlassung verpflichtet ist? Ja. Die Durchsetzung von Handlungs- und Unterlassungspflichten erfolgt nach unterschiedlichen Regeln.

259

Eine Handlungspflicht liegt beispielsweise vor, wenn der Datenverarbeiter zur Benachrichtigung von Betroffenen (Art. 34 DSGVO), zu Informationen (Art. 13 und 14 DSGVO), Auskünften (Art. 15 DSGVO) oder auch zur Berichtigung oder Löschung von Daten (Art. 16 und 17 DSGVO) verpflichtet wird. Dagegen geht es bei Verboten meist um Unterlassung wie bei einem Verbot der Verarbeitung von Ge-

260

61

B. Rz. 260 | Zweiter Akt: Maßnahmen und Entscheidungen

sundheitsdaten (Art. 4 Nr. 15 DSGVO) oder der Videoüberwachung oder bei einem Verbot, eine bestimmte Software im Rahmen von Bewerbungsverfahren zu nutzen. 261

Bei einer Unterlassung kommen als Zwangsmittel nur Zwangsgelder (§ 11 VwVG) und unmittelbarer Zwang (§ 12 VwVG) in Betracht. Nur bei Handlungsanordnungen tritt die Ersatzvornahme (§ 10 VwVG) als weitere behördliche Durchsetzungsmethode hinzu. 22. Wann kommt eine Ersatzvornahme in Betracht?

262

Bei der Ersatzvornahme kommt es zunächst darauf an, ob Bundesrecht (§ 10 VwVG) oder Landesrecht gilt. Bundesrechtlich ist die Ersatzvornahme stets die Vornahme einer Handlung durch einen (privaten) Dritten. Das Landesrecht gibt den Behörden dagegen vielfach die Möglichkeit, im Wege der Ersatzvornahme selbst tätig zu werden (z.B. § 59 Abs. 1 Satz 1 VwVG NRW).

263

Selbstvornahme: Kann die Behörde – wie in Nordrhein-Westfalen (§ 59 Abs. 1 Satz 1 VwVG NRW) – selbst anstelle des Datenverarbeiters im Wege der Ersatzvornahme dessen Handlungspflichten erfüllen, so kann sie beispielsweise bei Datenpannen Betroffene benachrichtigen (Art. 34 DSGVO) oder auch Auskünfte erteilen (Art. 15 DSGVO). Dies setzt stets voraus, dass die Behörde über die Informationen verfügt, die für diese Handlungen erforderlich sind. Fehlen ihr diese Informationen, so handelt es sich um unvertretbare Handlungen, die nur der Verpflichtete selbst vornehmen kann. In einem solchen Fall scheidet eine Selbst- bzw. Ersatzvornahme aus.

264

Ersatzvornahme: Fehlt es – wie auf Bundesebene (§ 10 VwVG) – an einer Befugnis der Behörde, die Ersatzvornahme selbst vorzunehmen, kommt nur eine Beauftragung von Dritten auf der Grundlage privatrechtlicher Verträge in Betracht (Deusch/ Burr in Bader/Ronellenfitsch, BeckOK VwVfG, Stand 1.1.2020, § 10 VwVG, Rz. 4). Dies ist bei Pflichten wie Art. 34 DSGVO oder Art. 13 ff. DSGVO aus praktischen Gründen kaum vorstellbar.

265

Unmittelbarer Zwang: Wo es an einer Befugnis zu eigenem behördlichen Handeln per Ersatzvornahme fehlt, kommt eine Selbstvornahme nur auf der Grundlage unmittelbaren Zwangs in Betracht (§ 12 VwVG), sofern die Voraussetzungen für eine solche Befugnis vorliegen. 23. Wann kommt ein Zwangsgeld in Betracht?

266

Die Aufsichtsbehörde kann Verbote und Anordnungen per Zwangsgeld durchsetzen (§ 11 VwVG). Die Höhe des Zwangsgelds beträgt bis zu 25.000 € (§ 11 Abs. 3 VwVG).

267

Ersatzvornahme untunlich: Zwangsgelder können verhängt werden, wenn es um die Durchsetzung von Duldungs- und Unterlassungspflichten geht (§ 11 Abs. 2 VwVG) oder auch um die Durchsetzung von Verpflichtungen zu vertretbaren oder unvertretbaren Handlungen (§ 11 Abs. 1 VwVG). Bei vertretbaren Handlungen gilt dies allerdings nur, wenn die Ersatzvornahme untunlich ist, besonders, wenn der 62

Erster Teil: Verbote und andere Anordnungen | Rz. 271 B.

Pflichtige außerstande ist, die Kosten zu tragen, die aus der Ausführung durch einen anderen entstehen (§ 11 Abs. 1 Satz 2 VwVG). Kann daher eine Landesbehörde – wie in Nordrhein-Westfalen (§ 59 Abs. 1 Satz 1 VwVG NRW) – Handlungen per Ersatzvornahme selbst vornehmen und beispielsweise Betroffene von einer Datenpanne selbst benachrichtigen, ist sie gehalten, zunächst eine solche Ersatzvornahme zu prüfen, bevor sie ein Zwangsgeld verhängt. Nur wenn eine Ersatzvornahme „untunlich“ ist, darf das Zwangsgeld verhängt werden. Die „Untunlichkeit“ ist eine hohe Hürde, da sie so verstanden wird, dass ein Zwangsgeld nur zulässig ist, wenn eine Ersatzvornahme schlechterdings oder auch in hohem Maße unangemessen und unzweckmäßig ist (Deusch/Burr in Bader/Ronellenfitsch, BeckOK VwVfG, Stand 1.1.2020, § 11 VwVG, Rz. 7). Formales: Ein Zwangsgeld muss in der Regel vorab schriftlich angedroht werden (§ 13 Abs. 1 VwVG). Eine solche Androhung kann mit dem Verbotsbescheid oder der Anordnung verbunden werden (§ 13 Abs. 2 Satz 1 VwVG). Für eine wirksame Androhung muss das Zwangsgeld genau beziffert werden, die Angabe eines bloßen Rahmens oder Höchstbetrages genügt nicht (§ 13 Abs. 5 VwVG).

268

Eskalation: Zwangsgelder können zusätzlich zu einem Bußgeld angedroht und so oft wiederholt bzw. erhöht werden, bis die Auskunftsverpflichtung erfüllt ist (§ 13 Abs. 6 Satz 1 VwVG). Ist das Zwangsgeld uneinbringlich, so kann das Verwaltungsgericht auf Antrag der Aufsichtsbehörde nach Anhörung des Pflichtigen durch Beschluss Ersatzzwangshaft anordnen, wenn bei Androhung des Zwangsgeldes hierauf hingewiesen worden ist (§ 16 Abs. 1 Satz 1 VwVG). Die Ersatzzwangshaft beträgt mindestens einen Tag, höchstens zwei Wochen (§ 16 Abs. 2 VwVG).

269

– Siehe auch: Zweiter Akt, Erster Teil, 24. Wie kann man sich gegen ein Zwangsgeld wehren? Rz. 270 f.

24. Wie kann man sich gegen ein Zwangsgeld wehren? Bei der Androhung und der Verhängung von Zwangsgeldern handelt es sich jeweils um Verwaltungsakte, gegen die eine Anfechtungsklage statthaft ist (§ 42 Abs. 1 VwGO). Eine solche Anfechtungsklage hat auch aufschiebende Wirkung, so dass der Adressat die Beitreibung eines Zwangsgelds und damit die Durchsetzung einer behördlichen Anordnung erheblich erschweren und verzögern kann.

270

Nicht vollstreckungsfähig: In einem verwaltungsgerichtlichen Verfahren über Zwangsgelder wird der Kläger mit Einwendungen gegen den Grundverwaltungsakt nicht gehört, sofern dieser unanfechtbar oder sofort vollziehbar ist. Allerdings kann der Kläger beispielsweise einwenden, der Verwaltungsakt sei mangels hinreichender Bestimmtheit nicht vollziehbar. Ist ein Verwaltungsakt wegen inhaltlicher Unbestimmtheit nicht vollstreckungsfähig, schließt dieser Mangel Maßnahmen in der Verwaltungsvollstreckung aus. Das gilt auch dann, wenn der Bestimmtheitsmangel nur zur Rechtswidrigkeit, nicht aber zur Unwirksamkeit des Verwaltungsakts infolge Nichtigkeit (§ 43 Abs. 3 i.V.m. § 44 VwVfG) führt. Ist der Grundverwaltungsakt – ob bestandskräftig oder nicht – nicht hinreichend bestimmt, kann er keine Grund-

271

63

B. Rz. 271 | Zweiter Akt: Maßnahmen und Entscheidungen

lage für eine Vollstreckung und somit auch keine Grundlage für ein Zwangsgeld sein (VGH Mannheim v. 10.1.2013 – 8 S 2919/11). 25. Wann kommt unmittelbarer Zwang in Betracht? 272

Unmittelbarer Zwang kommt nach § 12 VwVG nur in Betracht, wenn sowohl die Ersatzvornahme als auch Zwangsgelder untunlich oder nicht zielführend sind. Dies wird allenfalls selten vorkommen und erscheint beispielsweise vorstellbar, wenn sich ein Datenverarbeiter weigert, Daten zu löschen und sich auch von angeordneten Zwangsgeldern nicht beeindrucken lässt. Erscheint – etwa wegen eines unbekannten Aufenthalts – auch die Androhung und Anordnung von Ersatzzwanghaft (§ 16 VwVG) wenig erfolgversprechend, wird die Aufsichtsbehörde eine zwangsweise Selbstvornahme in Erwägung ziehen. Muss sie zu diesem Zweck zwangsweise Zugang in Wohn- oder Geschäftsräume erhalten, wird die Behörde hierfür eine richterliche Anordnung benötigen (Art. 13 Abs. 2 GG). 26. Kann die Behörde neben einem Zwangsmittel auch Bußgelder verhängen, wenn Verbote und Anordnungen missachtet werden?

273

Ja. Dies ergibt sich aus § 13 Abs. 6 Satz 1 VwVG. Die Zwangsmittel des VwVG haben keinen Strafcharakter, so dass Art. 103 Abs. 3 GG der gleichzeitigen Verhängung von Bußgeldern nicht entgegensteht (Deusch/Burr in Bader/Ronellenfitsch, BeckOK VwVfG, Stand 1.1.2020, § 13 VwVG, Rz. 28). 27. Kann ein Betroffener von der Behörde Verbote oder Anordnungen gegen einen Datenverarbeiter verlangen?

274

Jeder Betroffene hat nach Art. 77 Abs. 1 DSGVO das Recht, sich mit einer Beschwerde an eine Datenschutzbehörde zu wenden, wenn er der Auffassung ist, durch eine datenschutzwidrige Verarbeitung personenbezogener Daten in seinen Rechten verletzt zu sein. Der Betroffene kann von der Behörde auch verlangen, dass sie sich mit der Beschwerde befasst und ihn über den Stand und das Ergebnis der Beschwerde informiert (Art. 77 Abs. 2 DSGVO).

275

Anspruch auf Abhilfe: Der Bürger, der durch die Datenverarbeitung in seinen Rechten verletzt ist, hat auch einen Anspruch auf Abhilfe. Diese gestaltet sich in Form eines Anspruches gegen die Aufsichtsbehörde auf Erlass eines abhelfenden Verwaltungsakts gem. Art. 58 Abs. 2 DSGVO.

276

Kein Entschließungsermessen: Voraussetzung eines Anspruchs auf Erlass eines Verwaltungsakts ist das Vorliegen eines Rechtssatzes, der die Verwaltung zu einem Tun, Dulden oder Unterlassen objektiv verpflichtet (Verpflichtungsnorm). Die Abhilfebefugnisse nach Art. 58 Abs. 2 DSGVO dienen dazu, rechtmäßige Zustände wiederherzustellen, wenn Bürger durch eine Datenverarbeitung in ihren Rechten verletzt werden. Wendet sich ein Bürger mit einer Beschwerde gem. Art. 77 DSGVO an die Aufsichtsbehörde und stellt die Aufsichtsbehörde einen Rechtsverstoß fest, so ermächtigt Art. 58 Abs. 2 DSGVO die Behörde, eine Durchsetzung der Rechte des 64

Erster Teil: Verbote und andere Anordnungen | Rz. 281 B.

Schutzsuchenden Bürgers zu ermöglichen. Diesem Schutzanliegen des Art. 58 Abs. 2 DSGVO lässt sich nur dadurch angemessen Rechnung tragen, dass man die Abhilfebefugnisse als Befugnisse versteht, von denen die Aufsichtsbehörde auch tatsächlich Gebrauch machen muss, wenn sich der Bürger mit einer (begründeten) Beschwerde an die Aufsichtsbehörde wendet. Art. 58 Abs. 2 DSGVO ist somit als Verpflichtungsnorm zu verstehen, die einen Anspruch des Bürgers auf behördliches Handeln begründet, wenn ein Unternehmen oder eine Behörde rechtswidrig personenbezogene Daten des Bürgers verarbeitet oder in anderer Weise Rechte verletzt, die die DSGVO dem Bürger einräumt (insbesondere die Betroffenenrechte gem. Art. 12 ff. DSGVO) Auswahlermessen: Art. 58 Abs. 2 DSGVO lässt den Aufsichtsbehörden somit kein Entschließungsermessen. Stellen die Behörden einen Datenschutzverstoß fest, sind sie zur Abhilfe verpflichtet. Den Behörden bleibt lediglich das (Auswahl-)Ermessen, welche der Maßnahmen des Art. 58 Abs. 2 DSGVO sie ergreifen (Härting/Flisek/ Thiess, CR 2018, 296, 299 f.).

277

28. Ist die Beschwerde mehr als ein „Petitionsrecht“? Ja. Anders als nach früherem Recht kann von einem bloßen „Petitionsrecht“ nicht die Rede sein (undeutlich Boehm in Simitis/Hornung/Spiecker gen. Döhmann, DSGVO 2019, Art. 77, Rz. 16).

278

Rechtsmittel: Die Bearbeitung von Beschwerden nach Art. 77 Abs. 1 DSGVO zählt zu den größten Herausforderungen, die die DSGVO für die Aufsichtsbehörden bereithält. Das Beschwerderecht wird verstärkt durch ein Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen Beschlüsse der Aufsichtsbehörden (Art. 78 DSGVO) und ist mit diesem Recht eng verzahnt, wie sich aus Erwägungsgrund 141 DSGVO erschließt:

279

„Jede betroffene Person sollte das Recht haben, bei einer einzigen Aufsichtsbehörde insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts eine Beschwerde einzureichen und gem. Art. 47 der Charta einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn sie sich in ihren Rechten verletzt sieht oder wenn die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird, eine Beschwerde teilweise oder ganz abweist oder ablehnt oder nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist.“ (Hervorhebungen hinzugefügt)

Gestuftes Verfahren: Hieraus lässt sich die Absicht des Verordnungsgebers entnehmen, ein gestuftes Verfahren zu schaffen:

280

– Im ersten Schritt soll die Aufsichtsbehörde für Beschwerden des Bürgers zuständig sein. – Im zweiten Schritt schafft die Behörde daraufhin keine (oder nur eine teilweise) Abhilfe oder lehnt sie ein Tätigwerden ab, ist der Bürger berechtigt, die Behörde auf ein Tätigwerden zu verklagen. Obligatorische Rechtsbehelfsbelehrung: Die enge Verzahnung zwischen dem Beschwerderecht gem. Art. 77 Abs. 1 DSGVO und dem Klagerecht gem. Art. 78 65

281

B. Rz. 281 | Zweiter Akt: Maßnahmen und Entscheidungen

DSGVO zeigt sich auch an der Verpflichtung der Behörde zur Rechtsbehelfsbelehrung. Nach Art. 77 Abs. 2 DSGVO muss die Behörde jeden Beschwerdeführer nicht nur über den Stand und die Ergebnisse der Beschwerde unterrichten, sondern auch über die Möglichkeit eines gerichtlichen Rechtsbehelfs nach Art. 78 DSGVO (Härting/Flisek/Thiess, CR 2018, 296, 296 f.). 29. Muss die Behörde einen Ablehnungsbescheid erlassen, wenn sie einer Beschwerde nicht weiter nachgehen möchte? 282

Kommt die Behörde auf die Beschwerde eines Bürgers zu dem Ergebnis, dass eine Verletzung der Rechte des Beschwerdeführers nicht vorliegt, so hat sie dessen Beschwerde abzuweisen. Der Abweisungsbeschluss ist dem Betroffenen mitzuteilen. Die Mitteilung ist nach Art. 77 Abs. 2 DSGVO mit einer Belehrung über den Rechtsbehelf nach Art. 78 DSGVO zu versehen.

283

Der Abweisungsbeschluss stellt einen Verwaltungsakt gem. § 35 Satz 1 VwVfG dar, da die Behörde mit dem Beschluss Abhilfemaßnahmen gem. Art. 58 Abs. 2 DSGVO ablehnt. An einem solchen Ablehnungsbescheid führt kein Weg vorbei, wenn die Aufsichtsbehörde den Beschwerdefall beenden möchte, ohne weitere Maßnahmen zu ergreifen (Härting/Flisek/Thiess, CR 2018, 296, 300). – Siehe auch: Erster Akt, Dritter Teil, 20. Wie endet ein Bußgeldverfahren? Rz. 205 ff.

66

Zweiter Teil: Bußgelder | Rz. 288 B.

II. Zweiter Teil: Bußgelder Die Bußgeldbefugnisse der Aufsichtsbehörden sind durch die DSGVO erheblich erweitert worden. Zugleich erwartet die Öffentlichkeit von den Behörden, dass sie von diesen Befugnissen auch tatsächlich Gebrauch machen. Dies stellt die Behörden vor die Aufgabe, rechtlich einwandfreie Bußgeldbescheide zu erlassen, die sich im weiteren Fortgang nach Möglichkeit auch als gerichtsfest erweisen.

284

– Siehe auch: Erster Akt, Dritter Teil: Bußgeldverfahren, Rz. 174–207 – Siehe auch: Dritter Akt, Dritter Teil: Einspruch gegen Bußgeldbescheide, Rz. 518–551

1. Gibt es Fälle, in denen die Aufsichtsbehörde verpflichtet ist, ein Bußgeld zu verhängen? Nein. Zum einen ist die Frage sehr theoretisch, da es jedenfalls kein Recht eines Betroffenen gibt, von einer Aufsichtsbehörde die Verhängung eines Bußgelds gegen einen Datenverarbeiter zu verlangen. Art. 77 Abs. 1 DSGVO gibt dem Betroffenen zwar ein Beschwerderecht. Nach Art. 77 Abs. 2 DSGVO ist die Aufsichtsbehörde jedoch nur zur Bearbeitung der Beschwerde und zur Unterrichtung des Beschwerdeführers über den Stand und das Ergebnis des Verfahrens verpflichtet. Ein Recht des Betroffenen, von der Behörde eine konkrete Maßnahme oder gar die Verhängung eines Bußgelds zu verlangen, gibt es nach der DSGVO nicht.

285

Zum anderen legt Art. 83 Abs. 2 Satz 2 DSGVO eine Vielzahl von Kriterien fest, die nicht nur für die Bemessung eines Bußgelds gelten, sondern auch für die Entscheidung, ob überhaupt ein Bußgeld verhängt wird. Die Bußgeldtatbestände finden sich in Art. 83 Abs. 4 bis 6 DSGVO. Wäre die Behörde in allen Fällen des Art. 83 Abs. 4 bis 6 DSGVO zur Verhängung eines Bußgelds verpflichtet, wäre es sinnlos, in Art. 83 Abs. 2 Satz 2 DSGVO zugleich Kriterien für die Entscheidung festzulegen, ob überhaupt ein Bußgeld verhängt wird.

286

2. Kann die Aufsichtsbehörde wegen jedes Datenschutzverstoßes Bußgelder verhängen? Nein. Die Aufsichtsbehörde darf nur dann ein Bußgeld verhängen, wenn einer der Tatbestände des Art. 83 Abs. 4 bis 6 DSGVO erfüllt ist. Allerdings zählt Art. 83 Abs. 4 und 5 DSGVO eine Vielzahl von Bestimmungen der DSGVO auf, deren Verletzung zur Verhängung eines Bußgelds führen kann. Zudem ordnet Art. 83 Abs. 6 DSGVO an, dass Verstöße gegen einen Bescheid einer Behörde, der auf der Grundlage des Art. 58 Abs. 2 DSGVO erlassen wurde, durch eigenständige Bußgelder geahndet werden können. Die Befugnisse der Aufsichtsbehörden zur Verhängung von Bußgeldern reichen somit sehr weit.

287

3. Handelt es sich bei Art. 83 Abs. 3 bis 6 DSGVO um Blankettgesetze? Ja. Bei den Bußgeldnormen des Art. 83 Abs. 4 bis 6 DSGVO handelt es sich durchweg um Blankettgesetze. 67

288

B. Rz. 289 | Zweiter Akt: Maßnahmen und Entscheidungen 289

Mit einem Blankettgesetz ist eine Strafnorm gemeint, deren Tatbestand nur zusammen mit einer Ausfüllungsnorm ein konkretes Verhaltensgebot oder -verbot aufstellt (Sternberg-Lieben/Schuster in Schönke/Schröder, StGB, 30. Aufl. 2019, § 15 Rz. 99). Diese Voraussetzungen erfüllen sämtliche Tatbestände des Art. 83 Abs. 4 und 5 DSGVO, da – mit Ausnahme von Art. 83 Abs. 5 lit. d DSGVO – jeweils auf andere Normen der DSGVO verwiesen wird. In Art. 83 Abs. 5 lit. d DSGVO findet sich gleichfalls lediglich eine Verweisung, und zwar auf nicht näher bezeichnete Rechtsvorschriften der EU-Mitgliedstaaten, die im Rahmen des Kapitels IX der DSGVO erlassen wurden.

290

Auch Art. 83 Abs. 6 DSGVO ist eine Blankettnorm. Danach kann die Nichtbefolgung einer Anweisung der Aufsichtsbehörde gem. Art. 58 Abs. 2 DSGVO mit einer Geldbuße geahndet werden. Dasselbe gilt für Zutritts- und Zugangsanordnungen nach Art. 83 Abs. 5 lit. e i.V.m. Art. 58 Abs. 1 lit. e und f DSGVO. Anders als Art. 83 Abs. 4 und 5 lit. a bis d DSGVO verweisen Art. 83 Abs. 6 und Art. 83 Abs. 5 lit. e DSGVO letztlich nicht auf eine andere Norm, sondern auf einen behördlichen Verwaltungsakt. 4. Lässt sich gegen einen Bußgeldbescheid einwenden, dass der gesetzliche Tatbestand der Bußgeldnorm zu unbestimmt ist?

291

Ja. Nach Art. 103 Abs. 2 GG kann ein Bürger für eine Tat nur bestraft werden, wenn die Strafbarkeit gesetzlich bestimmt war, bevor die Tat begangen wurde („nulla poena sine lege“). Hieraus leitet sich das Erfordernis ab, dass eine Strafnorm nur dann Grundlage einer Verurteilung sein kann, wenn sich die Strafbarkeit der konkreten Tat aus der Norm hinreichend ableiten lässt.

292

Strenger Gesetzesvorbehalt: Der deutsche Gesetzgeber ist nach Art. 103 Abs. 2 GG verpflichtet, die Voraussetzungen der Strafbarkeit oder Bußgeldbewehrung so konkret zu umschreiben, dass Anwendungsbereich und Tragweite der Straf- oder Ordnungswidrigkeitentatbestände zu erkennen sind und sich durch Auslegung ermitteln lassen. Diese Verpflichtung dient einem doppelten Zweck: Sie soll einerseits sicherstellen, dass die Normadressaten vorhersehen können, welches Verhalten verboten und mit Strafe bedroht ist. Andererseits soll sie gewährleisten, dass der Gesetzgeber über die Strafbarkeit oder die Bußgeldvoraussetzungen entscheidet. Insoweit enthält Art. 103 Abs. 2 GG einen strengen Gesetzesvorbehalt, der es der vollziehenden und der rechtsprechenden Gewalt verwehrt, die normativen Voraussetzungen einer Bestrafung oder einer Verhängung von Geldbußen festzulegen (BVerfG v. 17.11.2009 – 1 BvR 2717/08, Rz. 16).

293

Grundsatz der Normenklarkeit: Für den deutschen Gesetzgeber enthält Art. 103 Abs. 2 GG in seiner Funktion als Bestimmtheitsgebot die Verpflichtung, wesentliche Fragen der Strafwürdigkeit oder Straffreiheit im demokratisch-parlamentarischen Willensbildungsprozess zu klären und die Voraussetzungen der Strafbarkeit so konkret zu umschreiben, dass Tragweite und Anwendungsbereich der Straftatbestände zu erkennen sind und sich durch Auslegung ermitteln lassen. Die allgemeinen rechtsstaatlichen Grundsätze, dass der Gesetzgeber im Bereich der Grundrechtsaus68

Zweiter Teil: Bußgelder | Rz. 296 B.

übung alle wesentlichen Entscheidungen selbst treffen und dass er Rechtsvorschriften so genau fassen muss, wie dies nach der Eigenart der zu ordnenden Lebenssachverhalte mit Rücksicht auf den Normzweck möglich ist (Grundsatz der Normenklarheit), gelten danach für den besonders grundrechtssensiblen Bereich des materiellen Strafrechts besonders strikt (BVerfG v. 23.6.2010 – 2 BvR 2559/08, 2 BvR 105/09, 2 BvR 491/09, Rz. 71). – Siehe auch: Zweiter Akt, Erster Teil, 6. Wie konkret müssen Verbote und Anordnungen formuliert sein? Rz. 224 ff. – Siehe auch: Zweiter Akt, Erster Teil, 7. Wie verhält sich das Bestimmtheitsgebot zur Vollstreckbarkeit eines Verbots oder einer Anordnung? Rz. 228 f. – Siehe auch: Zweiter Akt, Erster Teil, 9. Wie allgemein dürfen Verbote und Anordnungen formuliert sein? Rz. 231 ff. – Siehe auch: Zweiter Akt, Erster Teil, 10. Wie klar muss eine behördliche Anordnung zwischen erlaubten und unerlaubten Handlungen unterscheiden? Rz. 234 ff.

5. Gilt der verfassungsrechtliche Bestimmtheitsgrundsatz auch für Normen des europäischen Rechts? Ja. Der Grundsatz der Bestimmtheit von Gesetzen ist auch im Recht der EU ein fundamentaler Rechtssatz (Art. 49 Abs. 1 GRCh). Sanktionen dürfen daher nur verhängt werden, wenn sie auf einer klaren und unzweideutigen Rechtsgrundlage beruhen und die abzuleitenden Rechtsfolgen vorhersehbar festgelegt werden. Alle wesentlichen Entscheidungen zu den Sanktionen müssen zudem durch den Gesetzgeber getroffen werden (Holländer in Wolff/Brink, BeckOK, Stand 1.11.2019, Art. 83 DSGVO, Rz. 5).

294

– Siehe auch: Zweiter Akt, Zweiter TeilZweiter Teil, 6. Genügt Art. 25 Abs. 1 DSGVO (Privacy by Design) den verfassungsrechtlichen Anforderungen? Rz. 295 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 7. Genügt Art. 5 Abs. 1 DSGVO den verfassungsrechtlichen Anforderungen? Rz. 298 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 9. Sind einzelne Bußgeldtatbestände eng auszulegen? Rz. 302 ff.

6. Genügt Art. 25 Abs. 1 DSGVO (Privacy by Design) den verfassungsrechtlichen Anforderungen? Dies ist äußerst zweifelhaft. Art. 25 Abs. 1 DSGVO verpflichtet den Verantwortlichen,

295

„sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung – (zu treffen), die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.“ (Hervorhebung hinzugefügt)

Konkrete Verhaltensanforderungen lassen sich Art. 25 Abs. 1 DSGVO nicht entnehmen. Vielmehr überlässt es Art. 25 Abs. 1 DSGVO dem Verantwortlichen, selbst über solche Maßnahmen zu entscheiden 69

296

B. Rz. 296 | Zweiter Akt: Maßnahmen und Entscheidungen „unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen“.

297

Im Hinblick auf die abstrakten Vorgaben mit einer Vielzahl unbestimmter Rechtsbegriffe, mit denen die Pflichten gem. Art. 25 Abs. 1 DSGVO normiert sind (Lang in Taeger/Gabel, DSGVO, 3. Aufl. 2019, Art. 25, Rz. 82), lässt sich allein auf Art. 25 Abs. 1 DSGVO kein Bußgeldbescheid stützen, ohne dass das verfassungsrechtliche Bestimmtheitsgebot verletzt wird. 7. Genügt Art. 5 Abs. 1 DSGVO den verfassungsrechtlichen Anforderungen?

298

Hier wird man differenzieren müssen.

299

Die Grundsätze des Art. 5 Abs. 1 DSGVO sind – jedenfalls teilweise – so allgemein gefasst, dass sich nicht erschließt, welche konkreten Verhaltensanforderungen sich aus der Norm ergeben. Auf reine Grundsätze wie Art. 5 Abs. 1 DSGVO lassen sich daher Bußgeldbescheide mangels hinreichender Bestimmtheit der Tatbestände nicht ohne weiteres stützen (Holländer in Wolff/Brink, BeckOK, Stand 1.11.2019, Art. 83 DSGVO, Rz. 6; Frenzel in Paal/Pauly, DSGVO, 2. Aufl. 2018, Art. 83, Rz. 24). Dies gilt insbesondere für Art. 5 Abs. 1 lit. a DSGVO, der den Verantwortlichen verpflichtet, personenbezogene Daten „auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise“

zu verarbeiten („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Es ist schlechterdings nicht ersichtlich, wie der Verantwortliche vorhersehen soll, ob sein Umgang mit Personendaten diesen Grundsätzen genügt. 300

Konkurrenz & Kumulation: Dies gilt umso mehr, als die Anforderungen des Art. 5 Abs. 1 lit. a DSGVO in anderen Bestimmungen der DSGVO konkretisiert werden, deren Verletzung durch eigenständige Bußgeldtatbestände (Art. 83 Abs. 4 und 5 DSGVO) sanktioniert wird. Unklar ist, welcher Anwendungsbereich Art. 5 Abs. 1 lit. a DSGVO daneben noch bleibt. So dienen beispielsweise die Informationspflichten gem. Art. 13 und 14 DSGVO der Transparenz, Verstöße hiergegen sind bußgeldbewehrt (Art. 83 Abs. 5 lit. b DSGVO). Ob und inwieweit (andere) Verstöße gegen den Grundsatz der Transparenz daneben noch unter den Bußgeldtatbestand des Art. 83 Abs. 5 lit. a i.V.m. Art. 5 Abs. 1 lit. a DSGVO fallen sollen, lässt sich anhand des Wortlauts der Normen in keiner Weise nachvollziehen. Art. 5 Abs. 1 lit. a DSGVO kann daher aus verfassungsrechtlichen Gründen keine Grundlage für Bußgeldbescheide sein. 8. Kommt es für die Bestimmtheit einzelner Bußgeldtatbestände auch auf die Rechtsprechung an?

301

Ja. Gerichte können Bußgeldtatbestände konkretisieren und dazu beitragen, dass diese Tatbestände den Anforderungen des Art. 103 Abs. 2 GG und des Art. 49 Abs. 1 70

Zweiter Teil: Bußgelder | Rz. 304 B.

GRCh genügen. Ein Beispiel hierfür ist der Untreuetatbestand des § 266 StGB, der nach Auffassung des Bundesverfassungsgerichts nur deshalb Art. 103 Abs. 2 GG standhält, weil er durch die Rechtsprechung nach und nach hinreichende Konturen erhalten hat (BVerfG v. 23.6.2010 – 2 BvR 2559/08, 2 BvR 105/09, 2 BvR 491/09, Rz. 105 ff.). 9. Sind einzelne Bußgeldtatbestände eng auszulegen? Ja. Soweit die Bußgeldtatbestände des Art. 83 Abs. 4 und 5 DSGVO dem Bestimmtheitsgrundsatz des Art. 103 Abs. 2 GG zwar genügen, aber nach der Art von Generalklauseln formuliert sind und unbestimmte Rechtsbegriffe enthalten, bedürfen diese Tatbestände der einschränkenden Auslegung.

302

Das Bestimmtheitsgebot schließt die Verwendung unbestimmter, konkretisierungsbedürftiger Begriffe bis hin zu Generalklauseln nicht aus. Gegen ihre Verwendung bestehen jedenfalls dann keine Bedenken, wenn sich mit Hilfe der üblichen Auslegungsmethoden, insbesondere durch Heranziehung anderer Vorschriften desselben Gesetzes, durch Berücksichtigung des Normzusammenhangs oder aufgrund einer gefestigten Rechtsprechung eine zuverlässige Grundlage für eine Auslegung und Anwendung der Norm gewinnen lässt. Dabei lässt sich der Grad der für eine Norm jeweils erforderlichen Bestimmtheit nicht abstrakt festlegen, sondern hängt von den Besonderheiten des jeweiligen Tatbestandes einschließlich der Umstände ab, die zur gesetzlichen Regelung geführt haben (BVerfG v. 21.9.2016 – 2 BvL 1/15, Rz. 41).

303

Funktion der Rechtsprechung: Art. 103 Abs. 2 GG enthält Vorgaben für die Handhabung weit gefasster Tatbestände und Tatbestandselemente. Die Gerichte dürfen nicht durch eine fernliegende Interpretation oder ein Normverständnis, das keine klaren Konturen mehr erkennen lässt, dazu beitragen, bestehende Unsicherheiten über den Anwendungsbereich einer Norm zu erhöhen, und sich damit noch weiter vom Ziel des Art. 103 Abs. 2 GG entfernen. Zugleich ist die Rechtsprechung gehalten, verbleibende Unklarheiten über den Anwendungsbereich einer Norm durch Präzisierung und Konkretisierung im Wege der Auslegung nach Möglichkeit auszuräumen (Präzisierungsgebot). Besondere Bedeutung hat diese Pflicht bei solchen Tatbeständen, die der Gesetzgeber im Rahmen des Zulässigen durch Verwendung von Generalklauseln verhältnismäßig weit und unscharf gefasst hat. Gerade in Fallkonstellationen, in denen der Normadressat nach dem gesetzlichen Tatbestand nur noch die Möglichkeit einer Bestrafung erkennen kann und in denen sich erst aufgrund einer gefestigten Rechtsprechung eine zuverlässige Grundlage für die Auslegung und Anwendung der Norm gewinnen lässt, trifft die Rechtsprechung eine besondere Verpflichtung, an der Erkennbarkeit der Voraussetzungen der Strafbarkeit mitzuwirken (BVerfG v. 23.6.2010 – 2 BvR 2559/08, 2 BvR 105/09, 2 BvR 491/09, Rz. 80).

304

71

B. Rz. 305 | Zweiter Akt: Maßnahmen und Entscheidungen

10. Kann ein Bußgeld verhängt werden, wenn ein Datenverarbeiter gegen eine behördliche Anordnung verstoßen hat? 305

Ja. Art. 83 Abs. 6 DSGVO sieht dies ausdrücklich vor. Geldbußen können nach Art. 83 Abs. 6 DSGVO verhängt werden, wenn Anweisungen der Aufsichtsbehörde nach Art. 58 Abs. 2 DSGVO nicht befolgt werden. Dasselbe gilt nach Art. 58 Abs. 5 lit. e DSGVO für die Nichtgewährung von Zutritt und Zugang nach Art. 58 Abs. 1 lit. e und f DSGVO, wobei sich Art. 83 Abs. 5 lit. e und Art. 83 Abs. 6 DSGVO überschneiden.

306

Verfassungsrechtlich (Art. 103 Abs. 2 GG und Art. 49 Abs. 1 GRCh) ist es zulässig, in einem Bußgeldtatbestand auf einen Verwaltungsakt zu verweisen und die Verhängung eines Bußgelds von der Nichtbefolgung einer behördlichen Anordnung abhängig zu machen. Der Gesetzgeber darf auch verwaltungsrechtliche Pflichten und verwaltungsbehördliche Anordnungen mit Strafen oder Geldbußen bewehren, um auf diese Weise der Gehorsamspflicht Nachdruck zu verleihen. Selbst Blanketttatbestände, die erst durch verwaltungsrechtliche Vorschriften ausgefüllt werden, können mit dem Grundgesetz und der Grundrechte-Charta (GRCh) vereinbar sein. Es ist jedoch erforderlich, dass sich die Voraussetzungen der Strafbarkeit sowie Art und Maß der Sanktion bereits aus dem Blankettgesetz selbst mit hinreichender Deutlichkeit ablesen lassen. Knüpft ein Straf- oder Ordnungswidrigkeitentatbestand an den Erlass eines Verwaltungsakts an, so hat das Gesetz Typus und Regelungsumfang der betreffenden Verwaltungsakte jedenfalls so weit festzulegen, wie der Verstoß gegen die entsprechende Verhaltenspflicht strafbewehrt sein soll. Darüber hinaus muss auch der die gesetzliche Regelung ausfüllende Verwaltungsakt in seinem konkreten Regelungsgehalt hinreichend bestimmt sein (BVerfG v. 15.9.2011 – 1 BvR 519/10, Rz. 37). 11. Liegt in den Fällen des Art. 83 Abs. 6 DSGVO nicht zugleich ein Datenschutzverstoß vor, der nach Art. 83 Abs. 4 und 5 DSGVO mit einem Bußgeld geahndet werden kann?

307

Ja. Das wird vielfach der Fall sein. Ordnet beispielsweise eine Aufsichtsbehörde nach Art. 58 Abs. 2 lit. c DSGVO an, dass ein Verantwortlicher einem Beschwerdeführer pflichtgemäß Auskunft nach Art. 15 DSGVO erteilt, kann sie nach Art. 83 Abs. 6 DSGVO ein Bußgeld verhängen, wenn der Verantwortliche dieser Anordnung nicht nachkommt. Zugleich erfüllt das Verhalten des Verantwortlichen den Bußgeldtatbestand des Art. 83 Abs. 5 lit. b i.V.m. Art. 15 DSGVO. 12. Was haben die Aufsichtsbehörden im Hinblick auf das Bestimmtheitserfordernis zu beachten, wenn sie Bußgeldbescheide erlassen?

308

Für die Aufsichtsbehörden ergibt sich aus Art. 103 Abs. 2 GG und Art. 49 Abs. 1 GRCh das Erfordernis, Bußgeldbescheide auf möglichst präzise DSGVO-Tatbestände zu stützen und im Zweifel nicht auf Generalklauseln auszuweichen. Wird beispielsweise einem Verantwortlichen vorgeworfen, Personendaten entgegen Art. 17 72

Zweiter Teil: Bußgelder | Rz. 313 B.

DSGVO nicht gelöscht zu haben, sollte der Bußgeldbescheid auf Art. 83 Abs. 5 lit. b i.V.m. Art. 17 DSGVO gestützt werden. Ergänzend mag die Behörde noch Art. 5 Abs. 1 lit. c und e DSGVO (Grundsätze der Datenminimierung und Speicherbegrenzung) anwenden, sollte sich jedoch nicht auf diese Grundsätze beschränken und sich nicht auf Art. 83 Abs. 5 lit. a DSGVO verlassen, der eine Verletzung der Grundsätze des Art. 5 Abs. 1 DSGVO für ein Bußgeld ausreichen lässt. Verfassungsrechtliche Pflicht: Ob und inwieweit Art. 83 Abs. 4 bis 6 DSGVO Einwänden der unzureichenden Bestimmtheit ausgesetzt ist, wird noch lange streitig bleiben. Dass die Bußgeldtatbestände indes den Anforderungen des Art. 103 Abs. 2 GG und des Art. 49 Abs. 1 GRCh nicht uneingeschränkt gerecht werden, ist offensichtlich. Umso mehr sind die Aufsichtsbehörden und die Gerichte in der (verfassungsrechtlichen) Pflicht, den Tatbeständen Konturen zu verleihen und die Bußgeldnormen durch eine präzise Auslegung zu konkretisieren.

309

Konsequenz: Mit einer oberflächlichen Subsumtion oder einer extensiven Auslegung der Bußgeldnormen werden sich die Behörden auf mittlere Sicht keine Vorteile verschaffen und mehr Arbeit einhandeln, als ihnen lieb sein kann. Nur durch eine sorgfältige, tendenziell restriktive Auslegung können die Behörden aufwendige gerichtliche Verfahren und eine Aufhebung von Bußgeldbescheiden vermeiden.

310

– Siehe auch: Zweiter Akt, Zweiter Teil, 4. Lässt sich gegen einen Bußgeldbescheid einwenden, dass der gesetzliche Tatbestand der Bußgeldnorm zu unbestimmt ist? Rz. 291 ff.

13. Was haben Datenverarbeiter im Hinblick auf das Bestimmtheitserfordernis zu beachten, wenn gegen sie ein Bußgeldbescheid erlassen wird? Bei der Verteidigung gegen einen Bußgeldbescheid ist das Bestimmtheitserfordernis ein starkes Schwert. Stets sollte man kritisch prüfen, ob sich ein Bußgeldbescheid – zumindest teilweise – auf Generalklauseln, Grundsätze und unbestimmte Rechtsbegriffe stützt, deren Bestimmtheit zumindest fraglich ist. Auch wird man stets prüfen müssen, ob die Aufsichtsbehörde eine überzeugende, präzise Begründung geliefert hat, weshalb ein bestimmtes Verhalten einen der in Art. 83 Abs. 4 bis 6 DSGVO genannten Tatbestände erfüllt haben soll. Es ist das gute Recht des Adressaten eines Bußgeldbescheids, eine präzise, tendenziell restriktive Auslegung der Normen einzufordern, die den Anforderungen des Art. 103 Abs. 2 GG und des Art. 49 Abs. 1 GRCh hinreichend Rechnung trägt.

311

– Siehe auch: Zweiter Akt, Zweiter Teil, 4. Lässt sich gegen einen Bußgeldbescheid einwenden, dass der gesetzliche Tatbestand der Bußgeldnorm zu unbestimmt ist? Rz. 291 ff.

14. Setzt ein Bußgeldbescheid stets Vorsatz oder Fahrlässigkeit einer konkreten Person voraus? Ja. Dies ergibt sich aus dem Schuldgrundsatz des Grundgesetzes („nulla poena sine culpa“).

312

Art. 83 Abs. 2 DSGVO lädt zu einem Missverständnis ein, indem in lit. b die „Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes“ nur als eines von zahlreichen Krite-

313

73

B. Rz. 313 | Zweiter Akt: Maßnahmen und Entscheidungen

rien aufgezählt wird, anhand derer zu entscheiden ist, ob und in welcher Höhe ein Bußgeld verhängt wird. Hieraus lässt sich schon aus verfassungsrechtlichen Gründen nicht ableiten, dass Bußgelder zulässig sind, ohne dass es einer Feststellung eines vorsätzlichen oder fahrlässigen Verhaltens bedarf. 314

Unverfügbare Verfassungsidentität: Das Strafrecht beruht auf dem Schuldgrundsatz, und der den gesamten Bereich staatlichen Strafens beherrschende Grundsatz ist in der Garantie der Würde (Art. 1 Abs. 1 GG) und Eigenverantwortlichkeit des Menschen sowie im Rechtsstaatsprinzip (Art. 20 Abs. 3 GG) verankert. Mit seiner Grundlage in der Menschenwürdegarantie gehört der Schuldgrundsatz zu der wegen Art. 79 Abs. 1 GG unverfügbaren Verfassungsidentität, die auch vor Eingriffen durch die supranational ausgeübte öffentliche Gewalt geschützt ist (BVerfG v. 30.6.2009 – 2 BvE 2/08, 2 BvE 5/08, 2 BvR 1010/08, 2 BvR 1022/08, 2 BvR 1259/08, 2 BvR 182/09, Rz. 364; BVerfG v. 15.12.2015 – 2 BvR 2735/14, Rz. 53). Schon aus diesem Grund darf keine deutsche Aufsichtsbehörde ohne eine Schuldfeststellung einen Bußgeldbescheid erlassen, ohne dass es darauf ankommt, wie Art. 83 Abs. 2 GG im Lichte der GRCh zu verstehen ist. – Siehe auch: Zweiter Akt, Zweiter Teil, 20. Welche Anforderungen an ein Bußgeld ergeben sich aus § 130 OWiG? Rz. 323 f. – Siehe auch: Zweiter Akt, Zweiter Teil, 29. Und was sagt der BGH? Rz. 343 f.

15. Gibt es auch nach europäischem Recht einen Schuldgrundsatz? 315

Weder in der GRCh noch in der EMRK findet sich das Schuldprinzip. Allerdings gilt sowohl nach Art. 48 Abs. 1 GRCh als auch nach Art. 6 Abs. 2 EMRK eine Unschuldsvermutung (die sich wiederum im GG nicht ausdrücklich findet). Aus der Unschuldsvermutung lässt sich ableiten, dass der Schuldgrundsatz („nulla poena sine culpa“) auch auf europäischer Ebene gilt. Daher bedarf es für Bußgeldbescheide europaweit einer Feststellung schuldhaften Handelns (Hochmayr, ZIS 2016, 226, 227). 16. Gilt das Schuldprinzip auch für juristische Personen?

316

Ja. Jedenfalls nach deutschem Verfassungsrecht gilt der Grundsatz „nulla poena sine culpa“ auch für juristische Personen (BVerfG v. 25.10.1966 – 2 BvR 506/63, Rz. 45 ff.; Kubiciel, ZRP 2014, 133, 135). 17. Welche Auswirkungen hat das Schuldprinzip auf Bußgelder gegen Unternehmen?

317

Dass Unternehmen Datenschutzverstöße begehen und dafür bestraft werden können, ist gar nicht so selbstverständlich, wie es auf den ersten Blick scheint. Denn das Unternehmen ist ein rechtliches Gebilde (meist eine juristische Person), das selbst nicht handeln kann. Handeln können nur die Mitarbeiter und die Geschäftsleitung oder Dienstleister – allesamt natürliche Personen. Eine Bestrafung des Unternehmens setzt daher voraus, dass

74

Zweiter Teil: Bußgelder | Rz. 322 B.

– Handlung: eine Person einen Datenschutzverstoß begangen hat und – Verantwortlichkeit: das Unternehmen für diesen Verstoß verantwortlich ist. Wenn der Hausmeister eines Unternehmens sensible Personendaten ausplaudert oder wenn der Mitarbeiter eines IT-Dienstleisters bei der Fernwartung sensible Daten des Unternehmens ausspäht, muss man fragen, ob das Unternehmen für dieses Fehlverhalten per Bußgeldbescheid zur Verantwortung gezogen werden kann. In der DSGVO findet man auf diese Frage weder in Art. 83 DSGVO noch an anderer Stelle eine Antwort und überlässt somit alle Zurechnungsfragen dem Recht der Mitgliedsstaaten.

318

18. Ist das OWiG auf Datenschutzverstöße anwendbar? Ja. Nach § 41 BDSG findet das Gesetz über Ordnungswidrigkeiten (OWiG) auf DSGVO-Bußgelder mit wenigen Ausnahmen Anwendung. Dies gilt nicht nur für das Bußgeldverfahren (§ 41 Abs. 2 BDSG), sondern auch für das materielle Bußgeldrecht (§ 41 Abs. 1 BDSG). Anwendbar sind daher insbesondere auch die Bestimmungen der §§ 30 und 130 OWiG.

319

– Siehe auch: Zweiter Akt, Zweiter Teil, 19. Welche Anforderungen an ein Bußgeld ergeben sich aus § 30 OWiG? Rz. 320 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 20. Welche Anforderungen an ein Bußgeld ergeben sich aus § 130 OWiG? Rz. 323 f. – Siehe auch: Zweiter Akt, Zweiter Teil, 21. Wie hoch sind die Hürden für DSGVO-Bußgelder, die sich aus § 30 und § 130 OWiG ergeben? Rz. 325 ff.

19. Welche Anforderungen an ein Bußgeld ergeben sich aus § 30 OWiG? Gegen Unternehmen kann nach geltendem deutschen Recht keine strafrechtliche Sanktion verhängt werden, wenn nicht die Voraussetzungen des § 30 OWiG erfüllt sind.

320

§ 30 OWiG erlaubt ein Bußgeld gegen ein Unternehmen nur,

321

– Handlung: wenn ein Organ oder ein Mitarbeiter in leitender Position eine Straftat oder Ordnungswidrigkeit begangen hat und – Verantwortlichkeit: wenn hierdurch Pflichten des Unternehmens verletzt worden sind oder das Unternehmen bereichert wurde. Das Fehlverhalten eines Hausmeisters reicht nach § 30 OWiG für ein Bußgeld eben so wenig aus wie kriminelle Handlungen, die ein Mitarbeiter eines Dienstleisters begangen hat. Ohne dass festgestellt wird, dass ein leitender Mitarbeiter des Unternehmens eine Straftat oder Ordnungswidrigkeit begangen hat, kann gegen das Unternehmen kein Bußgeld verhängt werden.

75

322

B. Rz. 323 | Zweiter Akt: Maßnahmen und Entscheidungen

20. Welche Anforderungen an ein Bußgeld ergeben sich aus § 130 OWiG? 323

§ 130 OWiG hat einen anderen Blickwinkel und erlaubt ein Bußgeld gegen ein Unternehmen, wenn – Schuldhaftes Unterlassen: der Inhaber eines Unternehmens oder ein Organ des Unternehmens vorsätzlich oder fahrlässig Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um Zuwiderhandlungen gegen Straf- oder Bußgeldnormen zu verhindern und – Zuwiderhandlung: es zu einer Zuwiderhandlung gekommen ist, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre.

324

Für das Fehlverhalten eines Hausmeisters oder Dienstleisters bedeutet dies, dass ein solches Fehlverhalten nach § 130 OWiG nur dann durch ein Bußgeld gegen das Unternehmen geahndet werden kann, wenn feststeht, dass – Handlung: der Inhaber oder ein Organ des Unternehmens vorsätzlich oder fahrlässig Aufsichtspflichten verletzt hat und – Verantwortlichkeit: das Fehlverhalten durch pflichtgemäße Aufsichtsmaßnahmen zumindest wesentlich erschwert worden wäre. 21. Wie hoch sind die Hürden für DSGVO-Bußgelder, die sich aus § 30 und § 130 OWiG ergeben?

325

Die Hürden für Bußgelder, die sich aus § 30 und § 130 OWiG ergeben, sind nicht zu unterschätzen. Die bloße Feststellung eines Datenschutzverstoßes reicht noch lange nicht aus, um ein Bußgeld gegen ein Unternehmen zu verhängen. Es bedarf jedenfalls der Feststellung, dass – Täter: eine Person aus der Führungsebene einen Datenschutzverstoß begangen oder Aufsichtspflichten verletzt und dabei – Schuld: vorsätzlich oder fahrlässig gehandelt hat.

326

Der Nachweis dieser Voraussetzungen stellt die Aufsichtsbehörden vor die Aufgabe, entsprechende Ermittlungen anzustellen und einen Tatbestand festzustellen, der den Anforderungen der §§ 30 und 130 OWiG genügt.

327

Strafgerichtliche Prüfung: Die Datenschutzbehörden werden sich an der DSGVO in den nächsten Jahren den ein oder anderen rechtsstaatlichen Zahn ausbeißen. Wenn Bußgeldbescheide vor den Strafgerichten angegriffen werden, wird es den Strafrichtern nicht ausreichen, dass die Behörden einen Datenschutzverstoß nachweisen, der „durch das Unternehmen“ begangen worden ist. Die Strafgerichte werden fragen, welche Person durch welche Handlungen oder Unterlassungen gegen Bestimmungen der DSGVO verstoßen haben. Sie werden den Nachweis von Vorsatz oder Fahrlässigkeit einfordern. Und sie werden verlangen, dass festgestellt wird, dass einem Mitarbeiter in leitender Funktion ein Verschulden (§ 30 OWiG) oder die Verletzung einer Aufsichtspflicht (§ 130 OWiG) nachgewiesen wird. Dies stellt die Auf76

Zweiter Teil: Bußgelder | Rz. 331 B.

sichtsbehörden vor gewaltige Herausforderungen, um die die Behörden nicht zu beneiden sind. – Siehe auch: Zweiter Akt, Zweiter Teil, 30. Sind § 30 und § 130 OWiG mit Art. 83 DSGVO vereinbar? Rz. 345 f. – Siehe auch: Zweiter Akt, Zweiter Teil, 31. Darf eine deutsche Aufsichtsbehörde die §§ 30 und 130 OWiG unbeachtet lassen, wenn sie der Auffassung ist, dass die Bestimmungen mit Art. 83 DSGVO unvereinbar sind? Rz. 347 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 32. Was haben die Aufsichtsbehörden im Hinblick auf die §§ 30 und 130 OWiG zu beachten, wenn sie Bußgeldbescheide erlassen? Rz. 350 f.

22. Welche Anforderungen an Tatbestandsfeststellungen lassen sich aus der Rechtsprechung zu den §§ 30 und 130 OWiG ableiten? Möchte man sich einen Eindruck über die Anforderungen der Rechtsprechung an Bußgeldbescheide gegen Unternehmen verschaffen, führt kein Weg an Entscheidungen zahlreicher Oberlandesgerichte (OLGs) vorbei, die sich mit den §§ 30 und 130 OWiG befasst haben. Amtsgericht und Landgericht „winken“ so manchen Bußgeldbescheid gerne einmal im Massenbetrieb durch, in der Rechtsbeschwerde neigen die OLGs dann zu einer sehr kritischen Prüfung. – – – – – – –

328

Siehe auch: Zweiter Akt, Zweiter Teil, 23. Was sagt das OLG Jena? Rz. 329 ff. Siehe auch: Zweiter Akt, Zweiter Teil, 24. Was sagt das OLG Celle? Rz. 333 f. Siehe auch: Zweiter Akt, Zweiter Teil, 25. Was sagt das OLG Rostock? Rz. 335 f. Siehe auch: Zweiter Akt, Zweiter Teil, 26. Was sagt das OLG Hamm? Rz. 337 f. Siehe auch: Zweiter Akt, Zweiter Teil, 27. Was sagt das OLG Dresden? Rz. 339 f. Siehe auch: Zweiter Akt, Zweiter Teil, 28. Was sagt das OLG Düsseldorf? Rz. 341 f. Siehe auch: Zweiter Akt, Zweiter Teil, 29. Und was sagt der BGH? Rz. 343 f.

23. Was sagt das OLG Jena? In einer Entscheidung des OLG Jena ging es um die ungenehmigte Ablagerung von Abfällen in der Nähe eines Flusslaufes (Beschl. v. 2.11.2005 – 1 Ss 242/05).

329

Konkrete Handlung: Das OLG Jena ging davon aus, dass im Zusammenhang mit einer Ordnungswidrigkeit des Geschäftsführers einer GmbH gegen die juristische Person gem. § 30 Abs. 1 Nr. 1 OWiG eine Geldbuße festgesetzt werden kann. Die Festsetzung einer Geldbuße gegen die juristische Person sei aber von der Feststellung einer von ihrem Organ begangenen Ordnungswidrigkeit abhängig. Das OLG Jena beanstandete, dass sich den Feststellungen des Tatgerichts nicht zweifelsfrei entnehmen lasse, welcher Geschäftsführer der GmbH konkret eine solche Ordnungswidrigkeit begangen haben soll. Vor allem aber fehle es an hinreichenden Feststellungen, die ein ordnungswidriges Verhalten des betreffenden Geschäftsführers aufzeigen und hinreichend beweisen.

330

Zurechnung: Die Stellung als gesetzlicher Vertreter der juristischen Person führe nicht schon für sich allein über § 9 Abs. 1 OWiG zur Verantwortlichkeit für einen von (irgendwelchen) Mitarbeitern der juristischen Person begangenen Verstoß. Der Vorwurf der Begehung einer Ordnungswidrigkeit gegenüber dem gesetzlichen Vertreter setze vielmehr grundsätzlich voraus, dass ihm diese Ordnungswidrigkeit nach

331

77

B. Rz. 331 | Zweiter Akt: Maßnahmen und Entscheidungen

den allgemeinen Grundsätzen zu Täterschaft und Teilnahme, Tun und Unterlassen zugerechnet werden kann. 332

Konkretes Unterlassen: Auch eine Verletzung der Aufsichtspflicht gem. § 130 Abs. 1 OWiG gehe aus den Feststellungen des Tatgerichts nicht hinreichend hervor. Es fehle nämlich an einer Feststellung, dass das Organ die bei der juristischen Person beschäftigten Mitarbeiter im Hinblick auf die Einhaltung der entsprechenden abfallund wasserrechtlichen Vorschriften nicht hinreichend eingewiesen und überwacht hat. Da das Ausmaß der Aufsichts- und Kontrollpflichten von den Umständen des Einzelfalles abhängt, müssten diese im tatrichterlichen Urteil in einer nachprüfbaren Weise dargelegt werden. Dazu bedürfe es insbesondere Angaben zu Betriebsaufbau und -organisation, zur Aufgabenverteilung innerhalb des Betriebes sowie zu Art und Umfang der vom Betroffenen durchgeführten Kontrollmaßnahmen sowohl bezüglich der Mitarbeiter als auch der behandelten Abfälle. 24. Was sagt das OLG Celle?

333

In einer Entscheidung des OLG Celle ging es um ein Bußgeld gegen ein polnisches Unternehmen nach dem Arbeitnehmer-Entsendegesetz wegen Unterschreitung des tariflichen Mindestlohns (Beschl. v. 30.11.2001 – 322 Ss 217/01 (OWiz).

334

Das OLG Celle bemängelte unvollständige Feststellungen des Erstgerichts, die nicht geeignet seien, gem. § 30 OWiG den Vorwurf einer Ordnungswidrigkeit gegen die juristische Person zu begründen. Ein Bußgeld könne nur verhängt werden, wenn eine natürliche Person als Organ oder als Mitarbeiter in leitender Position betriebsbezogene Pflichten vorwerfbar verletzt und dadurch eine Ordnungswidrigkeit begangen hat. Insoweit müssten die Urteilsgründe Feststellungen zur betrieblichen Organisation der Betroffenen enthalten. Dazu seien die Betriebsabläufe, die getroffenen und unterlassenen Maßnahmen im Einzelnen bzw. die von den Betroffenen getroffenen Anordnungen anzugeben. Die Feststellung, es sei „Aufgabe des Geschäftsführers“ der juristischen Person gewesen, genüge diesen Anforderungen nicht, weil dessen rechtliche und tatsächliche Befugnis und Stellung im Unternehmen und seine Einbindung in die Betriebsabläufe ebenso offen bleibe wie die Frage, ob er allein als Verantwortlicher in Betracht kommt. 25. Was sagt das OLG Rostock?

335

In einer Entscheidung des OLG Rostock ging es um ein naturschutzrechtliches Bußgeld gegen eine Genossenschaft wegen der Umwandlung von Dauergrünland in ein Maisanbaugebiet (Beschl. v. 14.1.2013 – 2 Ss (OWi) 254/12 I 276/12).

336

Das OLG Rostock führte aus, dass gegen eine juristische Person gem. § 30 OWiG eine Geldbuße festgesetzt werden kann bei entsprechendem Zusammenhang mit einer Ordnungswidrigkeit eines Organs. Voraussetzung dafür sei die Feststellung einer von dem Organ begangenen Ordnungswidrigkeit, durch die Pflichten, die die juristische Person treffen, verletzt worden sind oder durch die die juristische Person bereichert ist oder werden sollte. Das Gericht betonte, dass der Verantwortliche und die konkrete ordnungswidrige Handlung genau bezeichnet werden müssen. 78

Zweiter Teil: Bußgelder | Rz. 342 B.

26. Was sagt das OLG Hamm? In einer Entscheidung des OLG Hamm ging es um einen Bußgeldbescheid wegen eines Verstoßes gegen Aufzeichnungspflichten nach dem Sortenschutzrecht (Beschl. v. 17.12.2012 – 2 RBs 109/12).

337

Das OLG Hamm betonte, dass die Festsetzung einer Geldbuße gegen eine juristische Person nach § 30 OWiG die Feststellung einer Ordnungswidrigkeit erfordere, die von ihrem Organ oder einer anderen in § 30 Abs. 1 OWiG genannten Personen begangen wurde. Durch diese Tat müssten zudem Pflichten, die juristische Personen oder Personenvereinigungen betreffen, verletzt worden sein. Es müsse im konkreten Fall hinreichend deutlich werden, welches konkrete Unterlassen dem für die juristische Person verantwortlich Handelnden vorgeworfen werden kann. Es müsse beispielsweise deutlich werden, wann der Handelnde zur Auskunftserteilung aufgefordert wurde und in welchem Tatzeitraum und in wie vielen Fällen er gegen etwaige Mitteilungspflichten verstoßen haben soll. Es müssten zudem tragfähige Feststellungen dazu vorliegen, aus welchen konkreten Gründen dem Handelnden ein schuldhaftes Verhalten vorzuwerfen sei.

338

27. Was sagt das OLG Dresden? In einer Entscheidung des OLG Dresden ging es um ein Bußgeld wegen der ungenehmigten Aufstellung großer Werbetafeln auf einem Grünstreifen (Beschl. v. 20.3.1996 – 2 Ss (OWi) 116/95).

339

Auch das OLG Dresden sah sich zu dem Hinweis veranlasst, dass eine Geldbuße gegen eine juristische Person nur dann festgesetzt werden kann, wenn ihr vertretungsberechtigtes Organ oder eine andere der in § 30 Abs. 1 OWiG genannten Personen eine Ordnungswidrigkeit begangen hat, durch die eine die juristische Person treffende Pflicht verletzt worden ist. Das Tatgericht habe zu klären, ob eine Leitungsperson selbst schuldhaft eine Ordnungswidrigkeit begangen hat. Sollte sich nicht feststellen lassen, dass der Geschäftsführer oder eine andere Leitungsperson selbst schuldhaft gegen Vorschriften verstoßen hat, müsse das Tatgericht prüfen, ob der Geschäftsführer seiner ihm gem. § 130 OWiG obliegenden Aufsichtspflicht vorsätzlich oder fahrlässig nicht nachgekommen ist und dadurch die Zuwiderhandlungen gegen die Vorschriften durch einen Dritten ermöglicht hat.

340

28. Was sagt das OLG Düsseldorf? In einer Entscheidung des OLG Düsseldorf ging es um ein Bußgeld wegen des Vertriebs eines Bierschinkens, der nicht den für einen Bierschinken maßgeblichen lebensmittelrechtlichen Bestimmungen entsprach (Beschl. v. 8.3.1992 – 2 Ss (OWi) 48/92).

341

Das OLG Düsseldorf wies darauf hin, dass eine Verurteilung wegen einer fahrlässigen Tatbegehung einer Ordnungswidrigkeit gem. § 30 Abs. 1 OWiG nur dann möglich sei, wenn in den Urteilsgründen diejenigen Tatsachen angegeben seien, aus denen auf die Pflichtwidrigkeit des Handelns und die Vermeidbarkeit des Erfolges ge-

342

79

B. Rz. 342 | Zweiter Akt: Maßnahmen und Entscheidungen

schlossen worden ist. Es reiche nicht aus, wenn das Gericht lediglich ausführt, dass die Leitungsperson fahrlässig gehandelt habe. Es müsse erkennbar sein, aufgrund welcher tatsächlichen Feststellungen das Gericht zum Ergebnis gelangt ist, der Geschäftsführer der juristischen Person habe fahrlässig gehandelt. Es müssten insbesondere Ausführungen dazu vorhanden sein, ob dem Geschäftsführer der juristischen Person die zu einem ordnungswidrigen Fehlverhalten führenden Umstände bekannt waren oder aus welchen Gründen ihm diese Umstände hätten bekannt sein müssen, ob er selbst an dem konkreten Geschäftsvorgang mitgewirkt hat, ob Beauftragte oder Mitarbeiter bestehende Vorschriften verletzt haben bzw. ob der Geschäftsführer seiner Aufsichtspflicht als für den gesamten Betrieb Verantwortlicher (§ 130 OWiG) nicht nachgekommen ist. 29. Und was sagt der BGH? 343

Wesentlicher Tatbeitrag: In einem Fall, in dem es um Bestechung im geschäftlichen Verkehr (§ 299 StGB) und Untreue (§ 266 StGB) gingt, hat der BGH unlängst noch betont, dass es für die Verurteilung des Vorstandsvorsitzenden einer Aktiengesellschaft nicht ausreicht, dass dieser eine „herausragende Stellung“ im Unternehmen hatte. Vielmehr bedürfe es der konkreten Feststellung wesentlicher Tatbeiträge des Angeklagten. Hierfür reiche die bloße Feststellung, der Angeklagte hätte „jederzeit auf die Taten Einfluss nehmen können und die Handelnden als beliebig austauschbare Rädchen im Getriebe abberufen können“ nicht aus. Eine „Vorgesetztenverantwortlichkeit“ sei dem Haftungssystem des deutschen Strafrechts fremd (BGH v. 12.12.2017 – 2 StR 308/16, Rz. 31).

344

Übertragung: Dies lässt sich auf DSGVO-Bußgelder ohne weiteres übertragen. Kommt es beispielsweise zu einer Datenpanne oder einem Datenleck, reicht es für ein Bußgeld nicht aus, allgemein davon auszugehen, die Panne oder das Leck hätte sich durch geeignete Anweisungen der Unternehmensspitze verhindern lassen. Vielmehr bedarf es konkreter Feststellungen, welche Handlungen welcher Leitungsperson zu dem Vorfall geführt haben bzw. welche Handlungen den Vorfall hätten verhindern können. Wenn § 130 OWiG zur Anwendung kommen soll, bedarf es einer Feststellung, welche Aufsichtsmaßnahmen eine Person aus der Führungsebene versäumt hat. Stets notwendig sind zudem Feststellungen zu den Umständen, aus denen sich Vorsatz oder Fahrlässigkeit der verantwortlichen Person ergeben. 30. Sind § 30 und § 130 OWiG mit Art. 83 DSGVO vereinbar?

345

Die §§ 30 und 130 OWiG erschweren die Verhängung von Bußgeldern gegen Unternehmen ganz erheblich. Zugleich ist es evident, dass dies zwar möglicherweise nicht dem Wortlaut, wohl aber der Intention des Art. 83 DSGVO widerspricht, so dass sich die Frage stellt, ob die §§ 30 und 130 OWiG europarechtskonform einschränkend ausgelegt werden müssen oder gar nicht angewendet werden dürfen (vgl. Golla in Auernhammer, DSGVO/BDSG, 6. Aufl. 2018, § 41 BDSG, Rz. 6; Ehmann in Gola/ Heckmann, 13. Aufl. 2019, § 41 Rz. 19 ff.; Bergt in Kühling/Buchner DSGVO/BDSG, 2. Aufl. 2018, § 41 BDSG, Rz. 7; Brodowski/Nowak in Wolff/Brink, BeckOK Datenschutzrecht, Stand 1.11.2019, § 41 BDSG, Rz. 11 ff.). 80

Zweiter Teil: Bußgelder | Rz. 348 B.

Drei Gründe sprechen dafür, dass § 30 und § 130 OWiG uneingeschränkt anwendbar sind:

346

– Lücke: Art. 83 DSGVO lässt die zentrale Frage von Zurechnungskriterien für das Fehlverhalten von Mitarbeitern und Dienstleistern vollständig offen. Dies ist ein Vakuum, das nur durch das Recht der Mitgliedsstaaten gefüllt werden kann. – Reichweite: Art. 83 DSGVO lässt sich kein tauglicher Maßstab entnehmen, um zu entscheiden, wie weit die Einschränkungen bei der Anwendung des § 30 und des § 130 OWiG gehen sollen. – Schuldprinzip: Den §§ 30 und 130 OWiG liegt das Schuldprinzip zugrunde („nulla poena sine culpa“). Das Schuldprinzip ist „europafest“, da es zu der wegen Art. 79 Abs. 3 GG unverfügbaren Verfassungsidentität gehört. Dies hat das BVerfG in seinem Urteil zu dem Vertrag von Lissabon ausdrücklich festgestellt (BVerfG v. 30.6.2009 – 2 BvE 2/08, 2 BvE 5/08, 2 BvR 1010/08, 2 BvR 1022/08, 2 BvR 1259/08, 2 BvR 182/09, Rz. 364; ebenso BVerfG v. 15.12.2015 – 2 BvR 2735/ 14, Rz. 53). – Siehe auch: Zweiter Akt, Zweiter Teil, 18. Ist das OWiG auf Datenschutzverstöße anwendbar? Rz. 319 – Siehe auch: Zweiter Akt, Zweiter Teil, 31. Darf eine deutsche Aufsichtsbehörde die §§ 30 und 130 OWiG unbeachtet lassen, wenn sie der Auffassung ist, dass die Bestimmungen mit Art. 83 DSGVO unvereinbar sind? Rz. 347 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 32. Was haben die Aufsichtsbehörden im Hinblick auf die §§ 30 und 130 OWiG zu beachten, wenn sie Bußgeldbescheide erlassen? Rz. 350 f.

31. Darf eine deutsche Aufsichtsbehörde die §§ 30 und 130 OWiG unbeachtet lassen, wenn sie der Auffassung ist, dass die Bestimmungen mit Art. 83 DSGVO unvereinbar sind? Nein. Die deutschen Aufsichtsbehörden sind verpflichtet, geltendes Recht anzuwenden. Sie haben nicht die Befugnis, einfachgesetzliche Normen wie § 41 Abs. 1 OWiG i.V.m. den §§ 30 und 130 OWiG unangewendet zu lassen mit der Begründung, dass diese Normen mit höherrangigem (europäischen) Recht unvereinbar seien.

347

Gewaltenteilung: Das Verwaltungsgericht Hamburg hat dies für einen Fall entschieden, in dem sich die Hamburger Aufsichtsbehörde über § 48 BDSG hinwegsetzte mit der Begründung, dass die Norm nach Auffassung der Behörde verfassungswidrig sei. Dies veranlasste das Verwaltungsgericht Hamburg zu überaus grundsätzlichen Ausführungen zur Gewaltenteilung (VG Hamburg v. 23.10.2019 – 17 K 203/19, UA, S. 20):

348

„Indem er (der Hamburgische Beauftragten für Datenschutz und Informationsfreiheit) die Vorschrift des § 48 BDSG für verfassungsrechtlich nicht hinreichend bestimmt erklärt, nimmt der Beklagte für sich in Anspruch, über die Reichweite und damit die Anwendbarkeit des Gesetzes zu entscheiden. Diese Entscheidung ergeht als Verwaltungsakt, was im Ergebnis bedeutet, dass der Beklagte mit einer exekutiven Einzelfallentscheidung für die Klägerin die Anwendbarkeit eines Gesetzes – des § 48 BDSG als rechtliche Grundlage für die Verarbeitung der in Rede stehenden personenbezogenen Daten – sperrt. Insofern der Beklagte durch den Erlass der Löschungsanordnung qua Verwaltungsakt über den, wie oben ausgeführt, unbeschränkt erhobe-

81

B. Rz. 348 | Zweiter Akt: Maßnahmen und Entscheidungen nen Geltungsanspruch eines Parlamentsgesetzes disponiert, liegt die Annahme eines Verstoßes gegen den Grundsatz des Vorranges des Gesetzes nahe. Der vom Beklagten erlassene Verwaltungsakt negiert nämlich den Anspruch des Gesetzes, nach Maßgabe seiner Tatbestandsvoraussetzungen sämtliche Fälle der Verarbeitung besonderer Kategorien personenbezogener Daten zu regeln. Es liegt nicht fern, hierin einen Fall zu sehen, in dem das Gesetz durch einen Verwaltungsakt ‚außer Kraft gesetzt‘ und somit ‚durchbrochen‘ worden ist.“ (Hervorhebung hinzugefügt)

349

Verfassungsrechtlicher Vertrauensschutz: Bei den §§ 30 und 130 OWiG kommt noch ein ganz wesentlicher verfassungsrechtlicher Aspekt hinzu: Nach dem Grundsatz „nulla poena sine lege“ (Art. 103 Abs. 2 GG und Art. 49 Abs. 1 GRCh) können deutsche Unternehmen darauf vertrauen, dass sie sich nur unter den Voraussetzungen der §§ 30 und 130 OWiG der Gefahr eines Bußgelds aussetzen. Denn die §§ 30 und 130 OWiG sind – i.V.m. § 41 Abs. 1 BDSG – geltendes Recht, das den Sanktionsmöglichkeiten der Aufsichtsbehörden nach Art. 83 DSGVO Grenzen setzt. Selbst wenn § 41 Abs. 1 BDSG i.V.m. den §§ 30 und 130 OWiG – ganz oder vollständig – gegen Art. 83 DSGVO verstoßen sollte, leitet sich aus Art. 103 Abs. 2 GG und Art. 49 Abs. 1 GRCh jedenfalls ein verfassungsrechtlicher Vertrauensschutz ab, der der Verhängung eines Bußgelds entgegensteht, wenn es an den Voraussetzungen der §§ 30 und 130 OWiG fehlt. 32. Was haben die Aufsichtsbehörden im Hinblick auf die §§ 30 und 130 OWiG zu beachten, wenn sie Bußgeldbescheide erlassen?

350

Wenn den Aufsichtsbehörden an gerichtsfesten Bußgeldbescheiden gelegen ist, sollten sie die Anforderungen ernst nehmen, die sich aus den §§ 30 und 130 OWiG ergeben. Dies gilt insbesondere bei Datenpannen und Datenlecks. Sind beispielsweise aufgrund einer Datenpanne Personendaten online abrufbar, ohne dass dies beabsichtigt war, kann es sehr verschiedene Ursachen geben. Die technischen Abläufe, die zu der Datenpanne geführt haben, sind oft komplex und nicht leicht rekonstruierbar.

351

„Teufel im Detail“: Bei einer solchen Datenpanne reicht es für einen gerichtsfesten Bußgeldbescheid nicht aus, Feststellungen zu dem Vorfall zu treffen und die genauen Abläufe offenzulassen, die zu dem Vorfall geführt haben. Ohne Feststellungen zu diesen Abläufen wird nämlich gleichfalls offenbleiben, welche Personen für die Panne verantwortlich waren. Erst recht werden sich keine Feststellungen zu Versäumnissen von Personen mit Leitungsfunktion und einem vorsätzlichen oder fahrlässigen Handeln treffen lassen. Damit ist die Wahrscheinlichkeit groß, dass ein Einspruch gegen den Bußgeldbescheid (§ 67 OWiG) erfolgreich sein wird. 33. Welche Auswirkungen könnte ein neues Verbandssanktionengesetz auf Bußgeldverfahren nach der DSGVO haben?

352

In einem neuen Verbandssanktionengesetz könnten schon bald neue Regelungen geschaffen werden, die § 30 OWiG ergänzen. Ob sich dies auch auf Bußgeldverfahren nach der DSGVO auswirken wird, lässt sich noch nicht absehen.

82

Zweiter Teil: Bußgelder | Rz. 358 B.

34. Muss die Behörde den vollen Nachweis eines Bußgeldtatbestands führen oder gibt es Beweiserleichterungen? Die Unschuldsvermutung (Art. 6 Abs. 2 EMRK und Art. 48 Abs. 1 GRCh) hat einen hohen verfassungsrechtlichen Stellenwert. Sie schließt Beweiserleichterungen aus (Moos/Schefzig in Taeger/Gabel, DSGVO BDSG, 3. Aufl. 2019, Art. 83 DSGVO, Rz. 133). Daher darf eine Aufsichtsbehörde erst dann einen Bußgeldbescheid erlassen, wenn sie Tatsachen festgestellt hat, die einen Bußgeldtatbestand vollständig nachweisen.

353

Die Nachweispflicht ist eine große Herausforderung für die Aufsichtsbehörden. Steht – beispielsweise aufgrund der datenschutzwidrigen Verwendung von Personendaten zu Werbezwecken – fest, dass es einen Datenschutzverstoß gegeben hat, darf sich die Behörde nicht mit der Feststellung dieses Verstoßes begnügen. Denn der Verstoß besagt noch nichts über die betriebsinternen Abläufe, die zu dem Vorkommnis geführt haben. Auch stehen allein aufgrund des Verstoßes weder die verantwortlichen Personen noch deren vorsätzliches oder fahrlässiges Handeln fest.

354

– Siehe auch: Zweiter Akt, Zweiter Teil, 35. Kann die Rechenschaftspflicht den Nachweis eines Bußgeldtatbestands erleichtern? Rz. 355 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 36. Was muss die Behörde einem Unternehmen nachweisen, wenn ein Bußgeldbescheid auf den Datenschutzverstoß eines Mitarbeiters gestützt werden soll? Rz. 360 ff.

35. Kann die Rechenschaftspflicht den Nachweis eines Bußgeldtatbestands erleichtern? Es versteht sich angesichts der Normenhierarchie von selbst, dass die Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO die Unschuldsvermutung (Art. 6 Abs. 2 EMRK und Art. 48 Abs. 1 GRCh) weder entkräften noch außer Kraft setzen oder auch abschwächen kann.

355

Kein Nachweis der Rechtmäßigkeit: Die Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO wird zum Teil so verstanden, dass der Verantwortliche verpflichtet ist, gegenüber der zuständigen Aufsichtsbehörde die Rechtmäßigkeit der Datenverarbeitung nach Art. 5 Abs. 1 DSGVO nachzuweisen. Schon aus dem Wortlaut des Art. 5 Abs. 2 DSGVO ergibt sich indes, dass eine solche Lesart nicht richtig sein kann.

356

Pflicht des Verantwortlichen: Art. 5 Abs. 2 DSGVO regelt materiell-rechtliche Verpflichtungen des Verantwortlichen, die er bei der Datenverarbeitung zu beachten hat. Zum einen knüpft Art. 5 Abs. 2 DSGVO an Art. 5 Abs. 1 DSGVO an und schreibt die Verantwortung des Verantwortlichen für die Einhaltung der Grundsätze des Art. 5 Abs. 1 DSGVO fest. Zum anderen verpflichtet Art. 5 Abs. 2 DSGVO den Verantwortlichen, die Einhaltung dieser Grundsätze erforderlichenfalls „nachweisen [zu] können“.

357

Sinn & Zweck: Die Nachweispflicht nach Art. 5 Abs. 2 DSGVO ist eine materiellrechtliche Verpflichtung, die die Befugnisse der Aufsichtsbehörden nicht erweitert. Diese Verpflichtung steht im Kontext anderer materiell-rechtlicher Verpflichtungen

358

83

B. Rz. 358 | Zweiter Akt: Maßnahmen und Entscheidungen

in Art. 5 Abs. 1 DSGVO, die dem Schutz der Betroffenen und nicht der erleichterten Kontrolle durch die Aufsichtsbehörden dienen. Die Befugnisse der Aufsichtsbehörden sind in Art. 58 DSGVO geregelt. Art. 5 Abs. 2 DSGVO erweitert den Befugniskatalog des Art. 58 DSGVO nicht (a.A. wohl Bergt in Kühling/Buchner, DSGVO, 2. Aufl. 2018, Art. 83, Rz. 11). 359

Umgehung: Da aus Art. 5 Abs. 2 DSGVO keine Verpflichtungen des Verantwortlichen gegenüber den Aufsichtsbehörden abgeleitet werden können, lässt sich die Unschuldsvermutung der Art. 6 Abs. 2 EMRK und Art. 48 Abs. 1 GRCh auch nicht dadurch umgehen, dass die Aufsichtsbehörde den Verantwortlichen zum Nachweis rechtmäßigen Handelns auffordert und für den Fall, dass ein solcher Nachweis nicht gelingt, einen Bußgeldbescheid nach Art. 83 Abs. 5 lit. a i.V.m. Art. 5 Abs. 2 DSGVO erlässt. Dies wäre eine plumpe und geradezu brutale Umgehung der verfassungsrechtlichen Unschuldsvermutung, und die Aufsichtsbehörden sind gut beraten, von derartigen (rechtswidrigen) Umgehungsversuchen Abstand zu nehmen. – Siehe auch: Erster Akt, Erster Teil, 24. Welche Bedeutung hat die Rechenschaftspflicht für Auskunftsersuchen? Rz. 67 ff. – Siehe auch: Dritter Akt, Zweiter Teil, 32. Gibt es Besonderheiten bei der Beweislast, wenn es um Datenschutz geht? Rz. 501 ff.

36. Was muss die Behörde einem Unternehmen nachweisen, wenn ein Bußgeldbescheid auf den Datenschutzverstoß eines Mitarbeiters gestützt werden soll? 360

Steht fest, dass der Mitarbeiter eines Unternehmens datenschutzwidrig gehandelt hat und beispielsweise Kundendaten an unbefugte Dritte weitergegeben hat, reicht dies für einen Bußgeldbescheid gegen das Unternehmen noch lange nicht aus, wenn das Unternehmen einer juristischen Person oder Personenvereinigung gehört und wenn es sich bei dem Mitarbeiter nicht um eine der Personen handelt, die in § 30 Abs. 1 OWiG genannt werden.

361

Relevanter Personenkreis: Nach § 30 Abs. 1 OWiG kann gegen eine juristische Person oder eine Personenvereinigung nur dann ein Bußgeld verhängt werden, wenn die Ordnungswidrigkeit begangen wurde: – durch ein als vertretungsberechtigtes Organ einer juristischen Person oder durch ein Mitglied eines solchen Organs (§ 30 Abs. 1 Nr. 1 OWiG); – durch den Vorstand eines nicht rechtsfähigen Vereins oder durch das Mitglied eines solchen Vorstandes (§ 30 Abs. 1 Nr. 2 OWiG); – durch den vertretungsberechtigten Gesellschafter einer rechtsfähigen Personengesellschaft (§ 30 Abs. 1 Nr. 3 OWiG); – durch einen Generalbevollmächtigten einer juristischen Person, eines nicht rechtsfähigen Vereins oder einer rechtsfähigen Personengesellschaft (§ 30 Abs. 1 Nr. 4, 1. Fall OWiG);

84

Zweiter Teil: Bußgelder | Rz. 363 B.

– durch einen Prokuristen oder Handlungsbevollmächtigten einer juristischen Person, eines nicht rechtsfähigen Vereins oder einer rechtsfähigen Personengesellschaft, wenn die Prokura oder Handlungsvollmacht mit einer leitenden Stellung verbunden ist (§ 30 Abs. 1 Nr. 4, 2. Fall OWiG); – durch eine sonstige Person, die für die Leitung des Betriebs oder Unternehmens einer juristischen Person, eines nicht rechtsfähigen Vereins oder einer rechtsfähigen Personengesellschaft, verantwortlich handelt (§ 30 Abs. 1 Nr. 5, 1. Fall OWiG); – durch eine sonstige Person, die für Überwachung der Geschäftsführung oder die sonstige Ausübung von Kontrollbefugnissen in dem Betrieb oder Unternehmen einer juristischen Person, eines nicht rechtsfähigen Vereins oder einer rechtsfähigen Personengesellschaft, zuständig ist, wenn diese Zuständigkeit mit einer leitenden Stellung verbunden ist (§ 30 Abs. 1 Nr. 5, 2. Fall OWiG). Mitwirkung: Nur wenn feststeht, dass der Mitarbeiter, der den Datenschutzverstoß begangen hat, entweder selbst zum Personenkreis des § 30 Abs. 1 OWiG zählt, oder wenn feststeht, dass eine Person, die zu diesem Personenkreis gehört, an dem Datenschutzverstoß mitgewirkt hat (§ 14 OWiG), kann ein Bußgeldbescheid gegen die juristische Person oder Personenvereinigung erlassen werden, zu der die Person gehört. Für eine solche Mitwirkung kann es allerdings bereits ausreichen, dass einer Person aus dem Personenkreis des § 30 Abs. 1 OWiG vorgeworfen werden kann, vorsätzlich oder fahrlässig notwendige Aufsichtsmaßnahmen unterlassen zu haben (§ 130 OWiG).

362

– Siehe auch: Zweiter Akt, Zweiter Teil, 37. Welche Anforderungen gelten für eine Leitungsverantwortung nach § 30 Abs. 1 Nr. 5 OWiG? Rz. 363 – Siehe auch: Zweiter Akt, Zweiter Teil, 38. Welche Anforderungen gelten für eine Kontrollverantwortung nach § 30 Abs. 1 Nr. 5 OWiG? Rz. 364 – Siehe auch: Zweiter Akt, Zweiter Teil, 39. Kann gegen Unternehmen ein Bußgeld verhängt werden, wenn der betriebliche Datenschutzbeauftragte einen Datenschutzverstoß begeht? Rz. 365 – Siehe auch: Zweiter Akt, Zweiter Teil, 40. Welche Besonderheiten gibt es bei einzelkaufmännischen Unternehmen? Rz. 366 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 43. Kann ein Bußgeld gegen den Mitarbeiter eines Unternehmens verhängt werden, wenn der Mitarbeiter einen Datenschutzverstoß begangen hat? Rz. 378 ff.

37. Welche Anforderungen gelten für eine Leitungsverantwortung nach § 30 Abs. 1 Nr. 5 OWiG? Von dem Personenkreis des § 30 Abs. 1 Nr. 5 OWiG sind alle Personen mit Leitungsbefugnissen erfasst. Die Leitungsverantwortung bezieht sich auf den Betrieb oder das Unternehmen einer juristischen Person oder Personenvereinigung. Wenn Gegenstand des Geschäftsbetriebs einer juristischen Person oder Personenvereinigung nur ein Betrieb oder Unternehmen ist, betrifft die nach dem Gesetz geforderte Leitungsverantwortung die juristische Person oder Personenvereinigung selbst. Stets bedarf es ausreichender Feststellungen im Bußgeldbescheid, aus denen sich ergibt, 85

363

B. Rz. 363 | Zweiter Akt: Maßnahmen und Entscheidungen

dass eine dem Gesetz entsprechende Leitungsbefugnis besteht (Rogall in Karlsruher Kommentar, 5. Aufl. 2018, § 30 OWiG, Rz. 83). Eine faktische Leitungsbefugnis reicht aus, auf die Wirksamkeit eines Bestellungsakts kommt es nicht an (Meyberg in Graf, BeckOK, Stand 1.1.2020, § 30 OWiG, Rz. 48). 38. Welche Anforderungen gelten für eine Kontrollverantwortung nach § 30 Abs. 1 Nr. 5 OWiG? 364

Erfasst von § 30 Abs. 1 Nr. 5 OWiG sind auch Personen mit Überwachungs- und Kontrollbefugnissen. Dabei ist der Begriff der Kontrolle so zu verstehen, dass der Täter aufgrund einer Befugnis zur Überwachung der Verwaltung eine Führungsposition innerhalb der juristischen Person oder Personenvereinigung innehat. Hierzu zählen beispielsweise Personen, die innerhalb des Unternehmens die Verantwortung für einen bestimmten Unternehmensbereich (Finanzkontrolle, Rechnungsprüfung) tragen und die Mitglieder eines Kontroll- oder Aufsichtsgremiums innerhalb der juristischen Person oder Personenvereinigung, soweit diese Positionen mit einer Leitungsverantwortung und der Möglichkeit einer Einflussnahme auf die Verwaltung verbunden sind. Mitglieder des Aufsichtsrats gehören zu dem Personenkreis des § 30 Abs. 1 Nr. 5 OWiG, aber auch Compliance- oder Geldwäsche-Beauftragte, sofern sie – wie vielfach – in leitender Stellung verantwortlich handeln (Rogall in Karlsruher Kommentar, 5. Aufl. 2018, § 30 OWiG, Rz. 84). 39. Kann gegen Unternehmen ein Bußgeld verhängt werden, wenn der betriebliche Datenschutzbeauftragte einen Datenschutzverstoß begeht?

365

Nein. Der betriebliche Datenbeauftragte hat zwar Kontrollverantwortung, aber keine leitende Stellung, so dass er nicht zum Personenkreis des § 30 Abs. 1 Nr. 5 DSGVO zählt. Verstößt somit der Datenschutzbeauftragte bei seiner Tätigkeit für eine juristische Person oder Personenvereinigung gegen Bestimmungen der DSGVO, kann gegen das Unternehmen kein Bußgeld verhängt werden. 40. Welche Besonderheiten gibt es bei einzelkaufmännischen Unternehmen?

366

Bei einzelkaufmännischen Unternehmen gilt § 30 OWiG nicht, wohl aber § 130 OWiG. Begeht der Mitarbeiter eines Einzelkaufmanns einen Datenschutzverstoß und möchte die Aufsichtsbehörde einen Bußgeldbescheid gegen den Unternehmensinhaber verhängen, so bedarf es des Nachweises, dass der Inhaber Aufsichtspflichten vorsätzlich oder fahrlässig verletzt hat (§ 130 Abs. 1 OWiG).

367

Verantwortlichkeit: § 130 Abs. 1 Satz 1 OWiG begründet eine Verantwortlichkeit des Unternehmensinhabers für das vorsätzliche oder fahrlässige Unterlassen von Aufsichtsmaßnahmen, die erforderlich sind, um in dem Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist. Die Verantwortlichkeit besteht allerdings nur, wenn eine solche Zuwiderhandlung (z.B. ein Datenschutzverstoß) begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. 86

Zweiter Teil: Bußgelder | Rz. 373 B.

Folgende Voraussetzungen müssen also vorliegen:

368

– Unterlassung: Die Aufsichtsbehörde muss Feststellungen über Aufsichtsmaßnahmen treffen, die unterlassen worden sind (z.B. innerbetriebliche Anweisungen oder Kontrollen oder auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen, § 130 Abs. 1 Satz 2 OWiG). – Erschwerung: Die Aufsichtsbehörde muss feststellen, dass die versäumten Aufsichtsmaßnahmen den Datenschutzverstoß zumindest „wesentlich erschwert“ hätten. – Schuld: Die Aufsichtsbehörde muss feststellen, dass dem Unternehmensinhaber Vorsatz oder Fahrlässigkeit vorgeworfen werden kann. Nur wenn die Aufsichtsbehörde all diese Feststellungen getroffen hat, darf sie einen Bußgeldbescheid auf § 130 Abs. 1 OWiG stützen.

369

41. Darf die Aufsichtsbehörde in einem Bußgeldbescheid Erkenntnisse verwerten, die aus der pflichtgemäßen Meldung einer Datenpanne stammen? Nein. Meldet ein Datenverarbeiter pflichtgemäß eine Datenpanne nach Art. 33 DSGVO, dürfen die Erkenntnisse aus der Meldung nicht ohne Zustimmung des Datenverarbeiters in einem Bußgeldverfahren verwendet werden. Dasselbe gilt für den Fall einer pflichtgemäßen Benachrichtigung von Betroffenen nach Art. 34 DSGVO (§ 43 Abs. 4 BDSG).

370

Verwertungs- & Verwendungsverbot: § 43 Abs. 4 BDSG ist nicht nur als Verwertungsverbot, sondern – wie § 97 Abs. 1 Satz 3 InsO – als Verwendungsverbot formuliert. Daher ist nicht nur die Verwertung der Meldung oder Benachrichtigung in einem Bußgeldverfahren unzulässig. Vielmehr darf die Aufsichtsbehörde die Meldung oder Benachrichtigung auch nicht zum Anlass für weitere Ermittlungen nehmen (vgl. BGH v. 26.7.2017 – 3 StR 52/17).

371

Reichweite: Das Verwendungsverbot gem. § 43 Abs. 4 BDSG bezieht sich nur auf Tatsachen, die durch die Meldung oder Benachrichtigung (Art. 33 und 34 DSGVO) offenbart wurden. Verwertbar sind und bleiben alle Tatsachen, die der Datenschutzbehörde zum Zeitpunkt der Meldung oder Benachrichtigung schon bekannt waren oder die der Behörde aus anderen Quellen zu einem späteren Zeitpunkt bekannt werden, selbst wenn diese Tatsachen zugleich Bestandteil der Meldung oder Benachrichtigung sind. Auch Auskünfte, die der Datenverarbeiter der Aufsichtsbehörde freiwillig bereits vor der Meldung oder Benachrichtigung erteilt hatte, unterliegen keinem Verwendungsverbot (vgl. Werner in Fridgen/Geiwitz/Göpfert, BeckOK, Stand 15.1.2020, § 97 InsO Rz. 18).

372

Keine Immunität: Das Verwendungsverbot des § 43 Abs. 4 BDSG schafft keine Immunität und bedeutet daher nicht, dass Datenschutzverstöße schon dann nicht mit einem Bußgeld geahndet werde können, wenn der Datenverarbeiter seinen Verpflichtungen nach Art. 33 und 34 DSGVO nachgekommen ist. Wird der Aufsichts-

373

87

B. Rz. 373 | Zweiter Akt: Maßnahmen und Entscheidungen

behörde ein Datenschutzverstoß auch auf anderem Wege – etwa durch die Beschwerde von Betroffenen (Art. 77 DSGVO) – bekannt, ist die Datenschutzbehörde nicht gehindert, weitere Ermittlungen anzustellen und einen Bußgeldbescheid auf die Ergebnisse dieser Ermittlungen zu stützen. Ferner ist zu beachten, dass, sofern keine oder eine verspätete Meldung Erfolg, dies ebenfalls mit einem Bußgeld geahndet werden kann. Sollte keine Meldung vorgenommen werden, weil kein oder ein nur geringfügiges Risiko für die Rechte und Freiheiten natürlicher Personen bestand, so hat eine entsprechend ausführliche Dokumentation zu erfolgen. – Siehe auch: Erster Akt, Erster Teil, 5. Bedarf es für ein behördliches Auskunftsersuchen eines konkreten Anlasses? Rz. 17 – Siehe auch: Erster Akt, Dritter Teil, 10. Darf die Aufsichtsbehörde ein Bußgeldverfahren eröffnen, wenn ihr ein Unternehmen eine Datenpanne meldet? Rz. 188 f.

42. Gilt das Verwendungsverbot des § 43 Abs. 4 BDSG auch für juristische Personen? 374

Ja. Zwar ist das Verwendungsverbot gem. § 43 Abs. 4 BDSG für juristische Personen verfassungsrechtlich nicht zwingend vorgegeben. Der Wortlaut der Norm unterscheidet jedoch nicht zwischen natürlichen und juristischen Personen, so dass auch juristische Personen auf das Verwendungsverbot vertrauen dürfen.

375

Gewissenskonflikt der Selbstbezichtigung: § 43 Abs. 4 BDSG schützt den Datenverarbeiter vor einem Zwang zur Selbstbezichtigung. Nach Art. 19 Abs. 3 GG gelten die Grundrechte für juristische Personen, soweit sie ihrem Wesen nach auf diese anwendbar sind. Dies schließt nach Auffassung des Bundesverfassungsgerichts aus, dass der Schutz vor einem Zwang zur Selbstbezichtigung auch juristischen Personen zugutekommt. Jedenfalls dort, wo der Grundrechtsschutz an Eigenschaften, Äußerungsformen oder Beziehungen anknüpft, die nur natürlichen Personen wesenseigen sind, kommt eine Erstreckung des Persönlichkeitsschutzes auf juristische Personen als bloße Zweckgebilde der Rechtsordnung nicht in Betracht. Das ist umso eher der Fall, als der Grundrechtsschutz im Interesse der Menschenwürde gewährt wird, die nur natürliche Personen für sich in Anspruch nehmen können (BVerfG v. 26.2.1997 – 1 BvR 2172/96, Rz. 83).

376

Übertragbarkeit auf juristische Personen: Bei dem Zwang zur Selbstbezichtigung geht es nach Auffassung des Bundesverfassungsgerichts primär um die Menschenwürde. Der Zwiespalt, in den ein Zwang zur Selbstbezichtigung den Einzelnen führt, müsse vor allem aus Gründen der Menschenwürde vermieden werden. Dieser Bezug schließe eine Erstreckung auf juristische Personen aus. Eine Lage, wie sie der Zwang zur Selbstbezichtigung für natürliche Personen heraufbeschwört, könne bei ihnen nicht eintreten. Denn juristische Personen bilden ihren Willen nur durch Organe und unterliegen im Hinblick auf Straftaten oder Ordnungswidrigkeiten nur einer eingeschränkten Verantwortlichkeit (§ 30 OWiG). Werde gegen eine juristische Person eine Geldbuße nach § 30 OWiG festgesetzt, sei hiermit weder ein Schuldvorwurf noch eine ethische Missbilligung verbunden, es werde lediglich ein Ausgleich für die aus der Tat gezogenen Vorteile geschaffen (BVerfG v. 26.2.1997 – 1 BvR 2172/96, Rz. 84). 88

Zweiter Teil: Bußgelder | Rz. 380 B.

Vertrauensschutz: Dennoch steht es dem einfachen Gesetzgeber frei, auch dann Verwertungs- und Verwendungsverbote zu regeln, wenn ein solches Verbot verfassungsrechtlich nicht erforderlich ist. § 43 Abs. 4 BDSG differenziert nicht zwischen natürlichen und juristischen Personen und ist daher auch auf juristische Personen anwendbar. Ob und inwieweit dies von Art. 83 Abs. 8 DSGVO gedeckt ist (vgl. Brodowski/Nowak in Wolff/Brink, BeckOK Datenschutzrecht, Stand 1.11.2019, § 43 BDSG, Rz. 26 f.), ist für die Praxis der Aufsichtsbehörden unerheblich, da sie an Recht und Gesetz gebunden sind und sich über geltende gesetzliche Vorschriften des nationalen Rechts nicht mit der Begründung hinwegsetzen dürfen, diese Vorschriften seien mit höherrangigem (europäischen) Recht unvereinbar (vgl. VG Hamburg v. 23.10.2019 – 17 K 203/19, UA, S. 20). Jedenfalls aber schafft § 43 Abs. 4 BDSG für juristische Personen Vertrauensschutz. Der Grundsatz des fairen Verfahrens gilt auch in Verwaltungsverfahren (Schmitz in Stelkens/Bonk/Sachs, VwVfG, 9. Aufl. 2018, § 9 Rz. 60).

377

– Siehe auch: Erster Akt, Erster Teil, 29. In welchem Verhältnis steht das Auskunftsverweigerungsrecht zu den Verwendungsverboten nach § 42 Abs. 4 und § 43 Abs. 4 BDSG? Rz. 82 f.

43. Kann ein Bußgeld gegen den Mitarbeiter eines Unternehmens verhängt werden, wenn der Mitarbeiter einen Datenschutzverstoß begangen hat? Ja. Dies ist denkbar, wenn ein Mitarbeiter missbräuchlich mit Daten umgeht und Maßnahmen ergreift, die dem Unternehmen weder nach Art. 4 Nr. 7 DSGVO noch nach Art. 4 Nr. 8 DSGVO zugerechnet werden können.

378

Exzess: Adressat eines Bußgeldbescheids kann nach Art. 83 Abs. 4 bis 6 DSGVO nur der Auftragsverarbeiter, der Verantwortliche oder (Art. 83 Abs. 4 lit. b und c DSGVO) eine Zertifizierungs- oder Überwachungsstelle sein. Bußgeldbescheide gegen einzelne Mitarbeiter kommen daher nur in Exzessfällen in Betracht, in denen Mitarbeiter ihre unternehmensinternen Befugnisse krass überschreiten und daher selbst als Verantwortliche gem. Art. 4 Nr. 7 DSGVO anzusehen sind.

379

Beispiel: Verschafft sich beispielsweise der Mitarbeiter eines Hosting-Dienstleisters durch Hacking Zugriff auf Personendaten eines Kunden und gibt er diese Daten an Dritte weiter, sind dies keine Handlungen, die der Dienstleister im Auftrag seines Kunden vornimmt. Die Handlungen sind daher keine Handlungen des Dienstleisters als Auftragsverarbeiter. Vielmehr schwingt sich der Mitarbeiter (rechtswidrig) zum Verantwortlichen für die Weitergabe der Daten auf, so dass gegen ihn in seiner Eigenschaft als Verantwortlicher (Art. 4 Nr. 7 DSGVO) ein Bußgeld nach Art. 83 DSGVO verhängt werden kann (vgl. Moos/Schefzig in Taeger/Gabel, DSGVO BDSG, 3. Aufl. 2019, Art. 83 DSGVO, Rz. 92). Daneben kommt auch die Haftung des Hosting-Dienstleisters nach § 130 OWiG in Betracht, sofern dem Vorstand, Geschäftsführer oder Betriebsleiter über § 9 OWiG ein Aufsichts- oder Organisationsverschulden nachweisbar wäre.

380

– Siehe auch: Erster Akt, Dritter Teil, 5. Unter welchen Voraussetzungen können Bußgeldverfahren gegen den Inhaber eines Einzelunternehmens geführt werden? Rz. 183 – Siehe auch: Erster Akt, Dritter Teil, 6. Wer ist Betroffener, wenn ein Bußgeldverfahren gegen eine juristische Person geführt wird? Rz. 184

89

B. Rz. 380 | Zweiter Akt: Maßnahmen und Entscheidungen – Siehe auch: Zweiter Akt, Zweiter Teil, 36. Was muss die Behörde einem Unternehmen nachweisen, wenn ein Bußgeldbescheid auf den Datenschutzverstoß eines Mitarbeiters gestützt werden soll? Rz. 360

44. Wie berechnet die Behörde die Höhe des Bußgelds? 381

Die gesetzlichen Vorgaben für die Bußgeldhöhe finden sich in Art. 83 Abs. 1 und Abs. 2 Satz 2 DSGVO. Nach Art. 83 Abs. 1 DSGVO sollen Bußgelder „in jedem Einzelfall wirksam, verhältnismäßig und abschreckend“ sein.

382

Bemessungsmerkmale: In Art. 83 Abs. 2 Satz 2 DSGVO findet sich ein Katalog mit Kriterien, die bei der Bemessung des Bußgelds zu berücksichtigen sind: – Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens (Art. 83 Abs. 2 Satz 2 lit. a DSGVO); – Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Art. 83 Abs. 2 Satz 2 lit. b DSGVO); – jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens (Art. 83 Abs. 2 Satz 2 lit. c DSGVO); – Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Art. 25 und 32 getroffenen technischen und organisatorischen Maßnahmen (Art. 83 Abs. 2 Satz 2 lit. d DSGVO); – etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters (Art. 83 Abs. 2 Satz 2 lit. e DSGVO); – Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern (Art. 83 Abs. 2 Satz 2 lit. f DSGVO); – Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind (Art. 83 Abs. 2 Satz 2 lit. g DSGVO); – Kommunikation: Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat (Art. 83 Abs. 2 Satz 2 lit. h DSGVO); – Kooperation: Einhaltung der nach Art. 58 Abs. 2 DSGVO früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden (Art. 83 Abs. 2 Satz 2 lit. i DSGVO); – Einhaltung von genehmigten Verhaltensregeln nach Art. 40 DSGVO oder genehmigten Zertifizierungsverfahren nach Art. 42 DSGVO (Art. 83 Abs. 2 Satz 2 lit. j DSGVO); 90

Zweiter Teil: Bußgelder | Rz. 387 B.

– jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste (Art. 83 Abs. 2 Satz 2 lit. k DSGVO). Eine Hilfestellung zur Gewichtung dieser Kriterien bei der Bemessung eines Bußgelds findet sich in Art. 83 DSGVO nicht.

383

– Siehe auch: Zweiter Akt, Zweiter Teil, 45. Ist der Gewinn oder der Umsatz des Unternehmens, das den Datenschutzverstoß begangen hat, für die Bemessung des Bußgelds relevant? Rz. 384 f. – Siehe auch: Zweiter Akt, Zweiter Teil, 46. Was ist von dem „Bußgeldkonzept“ der Datenschutzkonferenz (DSK) zu halten? Rz. 386 ff.

45. Ist der Gewinn oder der Umsatz des Unternehmens, das den Datenschutzverstoß begangen hat, für die Bemessung des Bußgelds relevant? Ja. In dem Kriterienkatalog des Art. 83 Abs. 2 Satz 2 DSGVO werden weder der Gewinn noch der Umsatz eines Unternehmens als Bemessungsmerkmale für Bußgelder benannt. Allerdings klingt in Art. 83 Abs. 2 Satz 2 lit. k DSGVO eine Bezugnahme zu dem Gewinn an, wenn dort „erlangte finanzielle Vorteile oder vermiedene Verluste“ erwähnt werden, die ein Unternehmen aufgrund eines Datenschutzverstoßes verzeichnet. Dass Gewinn und Umsatz eines Unternehmens gleichwohl für die Bemessung des Bußgelds von Relevanz sind, lässt sich zudem aus dem Grundsatz schließen, dass Bußgelder „wirksam, verhältnismäßig und abschreckend“ sein sollen (Art. 83 Abs. 1 DSGVO).

384

Die Jahresumsätze eines Unternehmens sind für die maximale Höhe von Bußgeldern von Bedeutung, die auf 2 % bzw. 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs gedeckelt ist (Art. 83 Abs. 4 bis 6 DSGVO).

385

46. Was ist von dem „Bußgeldkonzept“ der Datenschutzkonferenz (DSK) zu halten? Konzept: Nach dem „Konzept der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder zur Bußgeldzumessung in Verfahren gegen Unternehmen“ vom 14.10.2019 („Bußgeldkonzept“ der „Datenschutzkonferenz“: https://www.datenschutzkonferenz-online.de/media/ah/20191016_bu%C3 %9Fgeldkonzept.pdf) sollen Bußgelder anhand von „Tagessätzen“ berechnet werden. Unternehmen werden nach Größe in Gruppen unterteilt und der durchschnittliche Jahresumsatz der jeweiligen Gruppe wird durch 360 geteilt, um einen „Tagessatz“ festzustellen. Dieser „Tagessatz“ wird dann mit Faktoren zwischen 1 und 12 multipliziert, wobei bei sehr schweren Datenschutzverstößen auch ein höherer Faktor zum Tragen kommen kann.

386

Kritik: Die Tragfähigkeit des „Bußgeldkonzepts“ der deutschen Datenschutzkonferenz erscheint in mehrfacher Hinsicht zweifelhaft:

387

91

B. Rz. 387 | Zweiter Akt: Maßnahmen und Entscheidungen

– Pauschalierung: Wenn die Umsatzhöhe ein Faktor ist, der in Art. 83 Abs. 2 Satz 2 DSGVO zwar nicht ausdrücklich genannt wird, aber dennoch in die Bemessung der Bußgeldhöhe einfließen darf (Art. 83 Abs. 1 DSGVO), heißt dies noch lange nicht, dass die Datenschutzbehörden anhand des Umsatzes „Tagessätze“ bilden und bei jedem Bußgeldbescheid von Umsatzgrößen ausgehen dürfen. – Bestimmtheit: Nach Art. 103 Abs. 2 GG und Art. 49 Abs. 1 Satz 1 GRCh gilt für Strafgesetze das Bestimmtheitsgebot, das sich nicht auf die gesetzlich festzulegende Straftat, sondern auch auf deren Folge – die Strafe – erstreckt (Jarass in Jarass, CRCh, 3. Aufl. 2016, Art. 49, Rz. 11). Dies spricht dagegen, bei der Strafzumessung zentral auf „Tagessätze“ abzustellen, obwohl der Umsatz als Kriterium für die Strafzumessung in Art. 83 Abs. 2 Satz 2 DSGVO nicht einmal erwähnt wird (Timner/Radlanski/Eisenfeld, CR 2019, 782, 784 Rz. 22 und 25 ff.). – Grundrechtseingriff: Das europäische Datenschutzrecht dient erklärtermaßen dem Schutz der Grundrechte europäischer Bürger (vor allem Art. 8 GRCh). Und der Grundrechtsschutz unterscheidet und gewichtet nicht nach Unternehmensgrößen. Ein kleines Unternehmen, das seine Mitarbeiter und Kunden bis in die Intimsphäre ausspioniert, greift deutlich tiefer in Grundrechte ein als ein großer Konzern, der Vertragsinformationen unzureichend gegen den Zugriff Dritter schützt (vgl. Timner/Radlanski/Eisenfeld, CR 2019, 782, 787 Rz. 44 ff.). – Unterschied zum Kartellrecht: Es gibt zu guter Letzt auch keine tragfähige Parallele zum Kartellrecht, bei dem sich Bußgelder maßgeblich an Umsätzen orientieren. Das Datenschutzrecht hat Schutzanliegen, die mit dem Kartellrecht nicht vergleichbar sind. Das Kartellrecht schützt die Funktionstüchtigkeit des Marktes und möchte beispielsweise verhindern, dass sich Unternehmen durch Preisabsprachen unlautere Vorteile verschaffen. Diese Vorteile lassen sich in Euro und Cent beziffern, so dass es nur logisch erscheint, Strafen anhand der entsprechenden Beträge zu ermessen. Die Vorteile eines Datenschutzverstoßes sind dagegen zumeist schwer messbar. Wer Mitarbeiter und Kunden ausspioniert, verschafft sich hierdurch oft keine in Geld messbaren Vorteile. Der Datenschutzverstoß ist dennoch gravierend wegen der gezielten Missachtung der Rechte der Betroffenen. Möchte man hierfür einen Ausgleich schaffen, wäre eine Orientierung an „Tagessätzen“ willkürlich. – Kartellrechtliche Bußgeldpraxis: Selbst wenn man sich bei der Bußgeldbemessung am Kartellrecht orientieren könnte, gibt die kartellrechtliche Praxis nichts für „Tagessätze“ her. Denn die kartellrechtliche Bußgeldpraxis orientiert sich keineswegs an „Tagessätzen“, sondern an einem „Grundbetrag“. Bei der Bemessung dieses „Grundbetrages“ schaut die Europäische Kommission nicht auf den Jahresumsatz des jeweiligen Unternehmens, sondern auf den Wert der „verkauften Waren oder Dienstleistungen, die mit dem Verstoß in einem unmittelbaren oder mittelbaren Zusammenhang stehen“ (Leitlinien für das Verfahren zur Festsetzung von Geldbußen gem. Art. 23 Abs. 2 Buchstabe a) der Verordnung (EG) Nr. 1/ 2003, 2006/C 210/02, Amtsblatt der Europäischen Union v. 1.9.2006). Die Bußgeldhöhe legitimiert sich somit nicht aus der Größe des jeweiligen Unternehmens,

92

Zweiter Teil: Bußgelder | Rz. 392 B.

sondern aus den Vorteilen, die das Unternehmen aus dem Rechtsverstoß gezogen hat. Ausblick: Ob das „Bußgeldkonzept“ der Datenschutzkonferenz den gesetzlichen Anforderungen gerecht wird, werden die Gerichte in anstehenden Bußgeldprozessen zu klären haben. Parallel bleibt abzuwarten, ob sich die europäischen Datenschutzbehörden auf ein einheitliches Konzept für die Bemessung von DSGVO-Bußgeldern in der gesamten EU über kurz oder lang verständigen werden. Sollte es eines Tages entsprechende Leitlinien des Europäischen Datenschutzausschusses geben, wird das „Bußgeldkonzept“ der Datenschutzkonferenz in jedem Fall obsolet.

388

47. Bedarf der Bußgeldbescheid einer Rechtsbehelfsbelehrung? Ja. § 66 Abs. 2 OWiG schreibt eine Rechtsbehelfsbelehrung vor.

389

48. Welche weiteren Bestandteile muss ein Bußgeldbescheid enthalten? Welche weiteren Bestandteile ein Bußgeldbescheid enthalten muss, ist in § 66 Abs. 1 OWIG geregelt. Danach bedarf es folgender Angaben:

390

– Angaben zur Person des Betroffenen und etwaiger Nebenbeteiligter; – Name und Anschrift des Verteidigers; – Bezeichnung der Tat, die dem Betroffenen zur Last gelegt wird; – Zeit und Ort der Tatbegehung; – gesetzliche Merkmale der Ordnungswidrigkeit; – angewendete Bußgeldvorschriften; – Beweismittel; – Geldbuße und Nebenfolgen. Fehler: Unterlaufen der Aufsichtsbehörde bei der Abfassung des Bußgeldbescheids Fehler, bleibt der Bußgeldbescheid dennoch wirksam, solange der Bescheid keine besonders schwerwiegenden Mängel aufweist (Kurz in Karlsruher Kommentar, 5. Aufl. 2018, § 66 OWiG, Rz. 42).

391

49. Welche Folgen haben schwerwiegende Mängel eines Bußgeldbescheids? Bei schwerwiegenden Mängeln ist der Bußgeldbescheid unwirksam. Legt der Betroffene Einspruch ein, wird das Verfahren ohne sachliche Prüfung des Vorwurfs wegen eines Verfahrenshindernisses eingestellt (§ 46 Abs. 1 OWiG i.V.m. § 206a StPO). Die Staatskasse trägt die Verfahrenskosten und die notwendigen Auslagen des Betroffenen (§ 46 Abs. 1 OWiG i.V.m. § 467 Abs. 1 StPO).

93

392

B. Rz. 393 | Zweiter Akt: Maßnahmen und Entscheidungen

50. Wie genau muss die Tat in dem Bußgeldbescheid geschildert werden? 393

Ziel: Mit der „Tat“ ist der historische Lebenssachverhalt gemeint, der so eindeutig und konkret geschildert werden muss, dass der Betroffene und Dritte den Vorwurf, der Gegenstand des Verfahrens ist, erkennen und von ähnlichen Sachverhalten unterscheiden können. In der Schilderung müssen sich die objektiven Merkmale des jeweiligen DSGVO-Tatbestandes finden. Zudem bedarf es Feststellungen zu den Tatsachen, aus denen sich Vorsatz oder Fahrlässigkeit ableiten lassen (Sackreuther in Graf, BeckOK, Stand 1.1.2020, § 66 OWiG, Rz. 21).

394

Schwerwiegender Mangel: Erfüllt der Bußgeldbescheid seine Aufgabe nicht, den Tatvorwurf in persönlicher, sachlicher und rechtlicher Hinsicht von anderen denkbaren Tatvorwürfen abzugrenzen, so liegt ein schwerwiegender Mangel vor, der zur Unwirksamkeit des Bescheids führt, wobei die Frage, ob der Bußgeldbescheid seiner Abgrenzungsfunktion gerecht wird, allein aus dem Bußgeldbescheid ohne Hilfe anderer Erkenntnisquellen, wie etwa des Akteninhalts, zu beantworten ist (OLG Karlsruhe v. 23.1.2020 – 1 Rb 21 Ss 967/19, Rz. 7).

395

Akteninhalte: Dies bedeutet allerdings nicht, dass der Bußgeldbescheid wegen der Einzelheiten des Sachverhalts nicht auf den Akteninhalt verweisen darf. § 66 Abs. 1 Nr. 3 OWiG verlangt nicht, dass das Gericht bereits allein aus dem Inhalt des Bußgeldbescheids endgültig entnehmen kann, welche konkrete Handlung dem Betroffenen zur Last gelegt wird. In Ergänzung des Bußgeldbescheids kann auf den gesamten Akteninhalt Bezug genommen werden, um zu klären, welcher Sachverhalt auch für den Betroffenen erkennbar und unverwechselbar gemeint ist (KG v. 15.10.2018 – 3 Ws (B) 238/18, 3 Ws (B) 238/18 – 122 Ss 111/18, Rz. 2). 51. Was ist den Aufsichtsbehörden bei der Abfassung von Bußgeldbescheiden zu raten?

396

Ermittlungsarbeit: Die Verpflichtung zur konkreten Schilderung der Tat ist eine nicht zu unterschätzende Herausforderung für die Aufsichtsbehörden. Besteht bei den Behörden nur eine oberflächliche Vorstellung, wie es beispielsweise zu einem festgestellten Datenabfluss kam, so ist die Behörde nicht imstande, eine Tat so konkret zu beschreiben, dass sich aus ihr ein Verstoß gegen Art. 32 DSGVO (Sicherheit der Verarbeitung) ableiten lässt. Die Feststellung des Datenabflusses reicht für sich allein bei weitem nicht aus. Hinzukommen müssen Feststellungen von Handlungen oder Unterlassungen konkreter Personen, die zu dem Abfluss geführt haben. Dabei bedarf es auch Angaben zur Tatzeit und zum Tatort sowie Angaben zu den Tatsachen, aus denen die Behörde ein vorsätzliches oder fahrlässiges Handeln ableitet, sowie – bei Bußgeldbescheiden gegen juristische Personen oder Personenvereinigungen – Feststellungen, aus denen sich eine Verantwortlichkeit der juristischen Person oder Personenvereinigung gem. § 30 OWiG ergibt.

397

Bußgeldbescheid: All diesen Anforderungen werden die Aufsichtsbehörden nur durch eine sorgfältige Ermittlungsarbeit nachkommen können. Nur wenn eine Behörde einen Sachverhalt genau aufarbeitet und nachvollzieht, wird sie imstande sein, 94

Zweiter Teil: Bußgelder | Rz. 398 B.

einen Bußgeldbescheid zu formulieren, der den Anforderungen des § 66 Abs. 1 OWiG entspricht. – Siehe auch: Zweiter Akt, Zweiter Teil, 47. Bedarfs der Bußgeldbescheid einer Rechtsbehelfsbelehrung? Rz. 389 – Siehe auch: Zweiter Akt, Zweiter Teil, 48. Welche weiteren Bestandteile muss ein Bußgeldbescheid enthalten? Rz. 390 f. – Siehe auch: Zweiter Akt, Zweiter Teil, 49. Welche Folgen haben schwerwiegende Mängel eines Bußgeldbescheids? Rz. 392 – Siehe auch: Zweiter Akt, Zweiter Teil, 50. Wie genau muss die Tat in dem Bußgeldbescheid geschildert werden? Rz. 393 ff.

52. Welche Relevanz hat § 66 OWiG für den Adressaten eines Bußgeldbescheids? Auf Betroffenenseite ist § 66 OWiG von hoher Wichtigkeit. Liegt ein Bußgeldbescheid vor, ist die Prüfung des § 66 OWiG erste Beraterpflicht, da eine mögliche Unwirksamkeit des Bescheids den Weg ebnet, Einspruch einzulegen (§ 67 OWiG) und eine Einstellung des Bußgeldverfahrens nach (§ 46 Abs. 1 OWiG i.V.m. § 206a StPO) zu erwirken, ohne dass es zu einer sachlichen Prüfung des Tatvorwurfs kommt.

95

398

B. Rz. 399 | Zweiter Akt: Maßnahmen und Entscheidungen

III. Dritter Teil: Öffentlichkeitsarbeit 399

„Blaming and shaming“. Die Öffentlichkeitsarbeit kann ein wirkungsmächtiges Instrument der Aufsichtsbehörden sein. Allerdings bewegt sie sich in einem rechtlich nur wenig regulierten Raum. – Siehe auch: Dritter Akt, Vierter Teil: Klagen gegen öffentliche Äußerungen, Rz. 552–556

1. Welche Rechtsgrundlagen gibt es für die Öffentlichkeitsarbeit der Aufsichtsbehörden? 400

Recht: Im Befugniskatalog des Art. 58 DSGVO findet die Öffentlichkeitsarbeit in Art. 58 Abs. 3 lit. b DSGVO Erwähnung. Danach dürfen die Aufsichtsbehörden zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Anfrage Stellungnahmen an die Öffentlichkeit richten.

401

Pflicht: Nach Art. 57 Abs. 1 lit. b DSGVO haben die Aufsichtsbehörden die Öffentlichkeit für die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung zu sensibilisieren und sie darüber aufzuklären, wobei spezifische Maßnahmen für Kinder besondere Beachtung finden. Art. 59 Satz 1 DSGVO verpflichtet die Aufsichtsbehörden zudem zu jährlichen Tätigkeitsberichten, die der Öffentlichkeit nach Art. 59 Satz 3 DSGVO zugänglich zu machen sind. Verpflichtungen zu jährlichen Tätigkeitsberichten ergeben sich auch aus § 15 BDSG und den Landesdatenschutzgesetzen. – Siehe auch: Zweiter Akt, Dritter Teil, 2. Darf eine Aufsichtsbehörde in ihren Tätigkeitsberichten über Einzelfälle berichten? Rz. 402 – Siehe auch: Zweiter Akt, Dritter Teil, 3. Welche Grenzen gelten für die behördliche Öffentlichkeitsarbeit? Rz. 403 f. – Siehe auch: Zweiter Akt, Dritter Teil, 4. Ist „Blaming“ und „Shaming“ erlaubt? Rz. 405 – Siehe auch: Zweiter Akt, Dritter Teil, 5. Darf sich eine Aufsichtsbehörde öffentlich zu Bußgeldverfahren und Abhilfemaßnahmen gegen einzelne Unternehmen – per Pressemitteilung oder auf andere Weise – äußern? Rz. 406 f.

2. Darf eine Aufsichtsbehörde in ihren Tätigkeitsberichten über Einzelfälle berichten? 402

Namentliche Nennung: Die Öffentlichkeitsarbeit von Aufsichtsbehörden kann für Unternehmen empfindliche Folgen haben, wenn sie namentlich genannt werden oder wenn es um Fälle geht, bei denen auch ohne eine Namensnennung leicht erkennbar ist, welches Unternehmen gemeint ist. Dennoch lässt sich Art. 59 DSGVO kein Verbot entnehmen, einzelne Unternehmen in dem jährlich gem. Art. 59 DSGVO zu erstellenden Tätigkeitsbericht namentlich zu erwähnen oder erkennbar werden zu lassen. 3. Welche Grenzen gelten für die behördliche Öffentlichkeitsarbeit?

403

Die Befugnis der Aufsichtsbehörden zur Öffentlichkeitsarbeit und zu jährlichen Tätigkeitsberichten bedeutet nicht, dass die Behörden von den verfassungsrechtlichen 96

Dritter Teil: Öffentlichkeitsarbeit | Rz. 406 B.

Grenzen freigestellt sind, die für die Öffentlichkeitsarbeit von Behörden gelten. Diese Grenzen (Härting, CR 2011, 585, 587) liegen darin, dass – sich die Behörde auf das Vorliegen einer staatlichen Aufgabe berufen kann (unproblematisch wegen Art. 57 Abs. 1 lit. b, Art. 58 Abs. 3 lit. b, Art. 59 DSGVO und § 15 BDSG); – die Zuständigkeitsordnung eingehalten wird; – die Richtigkeit und Sachlichkeit der Informationen gewährleistet ist und – die Öffentlichkeitsarbeit in der Zielsetzung und ihren Wirkungen kein Ersatz für eine staatliche Maßnahme ist, die als Grundrechtseingriff zu qualifizieren wäre. Die Aufsichtsbehörden sind somit gehalten, ihre Öffentlichkeitsarbeit auf Unternehmen zu beschränken, für deren Überwachung sie zuständig sind (vgl. OLG Schleswig v. 28.2.2014 – 4 MB 82/13). Sie dürfen zudem keine falschen Tatsachen verbreiten (vgl. OLG Münster v. 23.4.2012 – 13 B 127/12) und müssen schrille, unsachlich Töne vermeiden. Außerdem darf die Öffentlichkeitsarbeit kein Ersatz sein für Abhilfemaßnahmen (Art. 58 Abs. 2 DSGVO). Wenn eine Aufsichtsbehörde datenschutzwidrige Praktiken eines Unternehmens feststellt, ist sie gehalten, mit den Maßnahmen gem. Art. 58 Abs. 2 DSGVO gegen diese Praktiken vorzugehen. Die Möglichkeiten des Rechtsschutzes, den das Unternehmen gegen Maßnahmen nach Art. 58 Abs. 2 DSGVO ergreifen kann, darf die Behörde nicht durch gezielte Öffentlichkeitsarbeit umgehen oder aushebeln.

404

4. Ist „Blaming“ und „Shaming“ erlaubt? Nein. Die Öffentlichkeitsarbeit ist kein Ersatz für Abhilfemaßnahmen, die die Aufsichtsbehörde zunächst ergreifen muss (BVerfG v. 26.6.2002 – 1 BvR 558/91, 1 BvR 1428/91, Rz. 62):

405

„Der Gewährleistungsbereich des Grundrechts aus Art. 12 Abs. 1 GG wird durch die staatliche Tätigkeit allerdings dann beeinträchtigt, wenn sie sich nicht darauf beschränkt, den Marktteilnehmern marktrelevante Informationen bereitzustellen, auf deren Grundlage diese eigenbestimmte, an ihren Interessen ausgerichtete Entscheidungen über ihr Marktverhalten treffen können. Insbesondere kann die staatliche Informationstätigkeit eine Beeinträchtigung im Gewährleistungsbereich des Grundrechts sein, wenn sie in der Zielsetzung und ihren Wirkungen Ersatz für eine staatliche Maßnahme ist, die als Grundrechtseingriff zu qualifizieren wäre. Durch Wahl eines solchen funktionalen Äquivalents eines Eingriffs können die besonderen Bindungen der Rechtsordnung nicht umgangen werden; vielmehr müssen die für Grundrechtseingriffe maßgebenden rechtlichen Anforderungen erfüllt sein.“ (Hervorhebungen hinzugefügt)

5. Darf sich eine Aufsichtsbehörde öffentlich zu Bußgeldverfahren und Abhilfemaßnahmen gegen einzelne Unternehmen – per Pressemitteilung oder auf andere Weise – äußern? Eingriff in Berufsfreiheit: Dies ist letztlich eine Frage der Verhältnismäßigkeit. Ein generelles Verbot, „Ross und Reiter“ zu nennen, gibt es nicht. Allerdings liegt in ei97

406

B. Rz. 406 | Zweiter Akt: Maßnahmen und Entscheidungen

ner Namensnennung ein Eingriff in die Berufsfreiheit (BVerfG v. 21.3.2018 – 1 BvF 1/13, Rz. 28): „Die Grundrechtsbindung aus Art. 12 Abs. 1 GG besteht jedoch dann, wenn Normen, die zwar selbst die Berufstätigkeit nicht unmittelbar berühren, aber Rahmenbedingungen der Berufsausübung verändern, in ihrer Zielsetzung und ihren mittelbar-faktischen Wirkungen einem Eingriff als funktionales Äquivalent gleichkommen [...], die mittelbaren Folgen also kein bloßer Reflex einer nicht entsprechend ausgerichteten gesetzlichen Regelung sind [...]. Das gilt auch für die Grundrechtsbindung des Staates bei amtlichem Informationshandeln. Die amtliche Information der Öffentlichkeit kann in ihrer Zielsetzung und ihren mittelbar-faktischen Wirkungen einem Eingriff als funktionales Äquivalent jedenfalls dann gleichkommen, wenn sie direkt auf die Marktbedingungen konkret individualisierter Unternehmen zielt, indem sie die Grundlagen der Entscheidungen am Markt zweckgerichtet beeinflusst und so die Markt- und Wettbewerbssituation zum wirtschaftlichen Nachteil der betroffenen Unternehmen verändert.“ (Hervorhebungen hinzugefügt)

407

Gründe für Namensnennung: Wegen des Eingriffs in die Berufsfreiheit, der mit einer namentlichen Berichterstattung über Bußgelder und über Verfahren der Aufsichtsbehörde verbunden ist, bedarf die Namensnennung stets eines guten Grundes, der beispielsweise darin liegen kann, dass es um Vorgänge geht, über die in den Medien bereits berichtet wurde und die daher ohnehin bekannt sind. Für eine Namensnennung kann auch sprechen, dass es sich um ein Unternehmen handelt, das eine monopolähnliche Stellung hat, so dass jedwede Berichterstattung ohne weiteres eine Identifizierung des Unternehmens ermöglicht. Letztlich wird jedoch die namentliche Nennung des Unternehmens stets die Ausnahme bleiben müssen, da eine Pressemitteilung oder anderweitige Berichterstattung oder auch eine Erwähnung im jährlichen Tätigkeitsbericht ohne Namensnennung stets das mildere Mittel sein wird und den Informationsinteressen der Öffentlichkeit (Art. 58 Abs. 3 lit. b DSGVO) durch eine anonyme Mitteilung meist genau so wirkungsvoll gedient ist, wie dies bei einer Namensnennung der Fall wäre.

98

C. Dritter Akt: Gerichtliche Verfahren Die Aufsichtsbehörden müssen ihre Entscheidungen vor den Verwaltungs- und Strafgerichten verteidigen, wenn Bürger oder Unternehmen gegen Verwaltungsakte klagen oder Einspruch gegen Bußgeldbescheide der Behörden einlegen. Zudem müssen die Aufsichtsbehörden damit rechnen, von Beschwerdeführern oder auch von Unternehmen wegen Untätigkeit verklagt zu werden. Auch kann es vorkommen, dass Unternehmen die Behörden verklagen, um gerichtlich eine Bestätigung rechtskonformen Handelns zu erlangen.

408

I. Erster Teil: Klagen wegen Untätigkeit Beschwerdeführer sind oft ungeduldig. Art. 78 Abs. 2 DSGVO gibt ihnen das Recht, Aufsichtsbehörden wegen Untätigkeit zu verklagen. Zudem können auch Unternehmen ungeduldig werden, wenn Aufsichtsbehörden Anfragen nicht beantworten oder allzu zögerlich agieren. Hier kann sich gleichfalls die Frage stellen, ob behördliche Entscheidungsprozesse durch ein gerichtliches Verfahren beschleunigt werden können.

409

1. Kann ein Beschwerdeführer eine Aufsichtsbehörde wegen Untätigkeit verklagen? Ja. Art. 78 Abs. 2 DSGVO sieht dies ausdrücklich vor und bestimmt, dass jede betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn die nach den Art. 55 und 56 DSGVO zuständige Aufsichtsbehörde sich nicht mit einer Beschwerde (Art. 77 Abs. 1 DSGVO) befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

410

Die Untätigkeitsklage nach Art. 78 Abs. 2 DSGVO setzt somit voraus, dass die Aufsichtsbehörde

411

– Ablehnung: sich nicht mit einer Beschwerde (Art. 77 Abs. 1 DSGVO) befasst (erster Fall) oder – Untätigkeit: den Beschwerdeführer nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat (vgl. Art. 77 Abs. 2 DSGVO, zweiter Fall). Von einer „Untätigkeit“ der Behörde kann nur im zweiten Fall gesprochen werden, denn mit dem ersten Fall ist ersichtlich die Situation gemeint, dass die Behörde dem Beschwerdeführer mitteilt, sie werde sich mit der Beschwerde nicht befassen. Die Behörde ist im ersten Fall somit zwar tätig geworden, indem sie den Beschwerdeführer 99

412

C. Rz. 412 | Dritter Akt: Gerichtliche Verfahren

über die fehlende Absicht einer Befassung (und somit über den Stand der Beschwerde) informiert hat, ohne dass die Beschwerde jedoch irgendein Ergebnis hat. – Siehe auch: Dritter Akt, Erster Teil, 3. Unterscheidet sich eine Untätigkeitsklage nach Art. 78 Abs. 2, 2. Fall DSGVO von einer Untätigkeitsklage nach § 75 VwGO? Rz. 419 ff.

2. Wie geht der Beschwerdeführer vor, wenn die Aufsichtsbehörde ihm mitteilt, dass sie sich mit der Beschwerde nicht befasst? 413

Die Beschwerde nach Art. 77 Abs. 1 DSGVO ist in aller Regel darauf gerichtet, dass die Aufsichtsbehörde Abhilfemaßnahmen gegen Datenverarbeiter nach Art. 58 Abs. 2 DSGVO ergreift. Dem Beschwerdeführer kann es beispielsweise um Durchsetzung seiner Betroffenenrechte gehen, so dass er die Behörde zum Erlass einer entsprechenden Anordnung nach Art. 58 Abs. 2 lit. c DSGVO auffordert. Dem Beschwerdeführer kann es auch darum gehen, dass die Behörde gegen Verarbeitungspraktiken einschreitet und Beschränkungen oder ein Verbot verhängt (Art. 58 Abs. 2 lit. f DSGVO).

414

Konkreter Bezug: Bei vielen Beschwerden wird sich ein solcher Bezug zu konkreten Abhilfemaßnahmen nach Art. 58 Abs. 2 DSGVO nicht ohne weiteres herstellen lassen. Wenn ein Bürger beispielsweise nur sehr allgemein bis diffus Datenpraktiken einzelner Unternehmen oder ganzer Branchen anprangert, lässt sich ein solches Begehr nicht auf ein konkretes Behördenhandeln beziehen.

415

Ablehnung: Beschließt die Aufsichtsbehörde, sich nicht mit einer Beschwerde zu befassen, stellt dies jedenfalls dann einen Verwaltungsakt gem. § 35 Satz 1 VwVfG dar, wenn sich der Beschluss so verstehen lässt, dass die Behörde Abhilfemaßnahmen gem. Art. 58 Abs. 2 DSGVO ablehnt. Die Ablehnung eines beantragten Verwaltungsakts stellt stets einen Verwaltungsakt dar (Härting/Flisek/Thiess, CR 2018, 296, 300).

416

Einstellung des Beschwerdeverfahrens: Aber auch dann, wenn sich kein Bezug des Ablehnungsbeschlusses zu konkreten Abhilfemaßnahmen feststellen lässt, steht aufgrund des Beschlusses fest, dass die Behörde keine Verpflichtung zum (weiteren) Tätigwerden sieht. Auch dies ist eine hoheitliche Maßnahme zur Regelung eines Einzelfalls mit unmittelbarer Außenwirkung und somit ein Verwaltungsakt gem. § 35 Satz 1 VwVfG.

417

Wenn der Beschwerdeführer daraufhin mit seiner Klage eine Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO und somit einen Verwaltungsakt begehrt, ist die Verpflichtungsklage in der Variante der Bescheidungsklage nach § 42 Abs. 1, 1. Fall VwGO die statthafte Klageart. Einen Anspruch auf Vornahme einer bestimmten Maßnahme hat der Beschwerdeführer gegenüber der Aufsichtsbehörde nur bei einer Ermessensreduzierung auf Null. In einem solchen Fall ist es statthaft, mit der Klage nicht nur eine Bescheidung, sondern den Erlass der entsprechenden Abhilfemaßnahme geltend zu machen (Härting/Flisek/Thiess, CR 2018, 296, 300).

418

Geht es dem Beschwerdeführer dagegen nur um eine Wiederaufnahme des Beschwerdeverfahrens, ohne dass er konkrete Abhilfemaßnahmen nach § 58 Abs. 2 DSGVO begehrt, wird er den Ablehnungsbeschluss anfechten (§ 42 Abs. 1., 2. Fall 100

Erster Teil: Klagen wegen Untätigkeit | Rz. 422 C.

VwGO) und die Anfechtung mit einem Leistungsantrag nach § 113 Abs. 4 VwGO verbinden, der auf eine Verpflichtung der Behörde zur Wiederaufnahme des Beschwerdeverfahrens gerichtet ist (vgl. Decker in Posser/Wolff, BeckOK VwGO, Stand 1.1.2020, § 113 Rz. 64 ff.). 3. Unterscheidet sich eine Untätigkeitsklage nach Art. 78 Abs. 2, 2. Fall DSGVO von einer Untätigkeitsklage nach § 75 VwGO? Ja. Die Untätigkeitsklage nach Art. 78 Abs. 2, 2.Fall DSGVO ist nicht deckungsgleich mit der Untätigkeitsklage nach § 75 VwGO. Letztere ist keine besondere Klageart, sondern nur eine besondere Variante der Anfechtungs- oder Verpflichtungsklage. Sie setzt einen Widerspruch (§ 69 VwGO) oder einen Antrag auf Vornahme eines Verwaltungsakts voraus. § 75 VwGO befreit den Kläger im Falle einer Untätigkeit der Behörde von dem Erfordernis, vor Klageerhebung eine behördliche Entscheidung über den Widerspruch oder über den Antrag auf Vornahme eines Verwaltungsakts vorzunehmen. Abgesehen von dieser Besonderheit unterscheidet sich die Untätigkeitsklage jedoch nicht von anderen Anfechtungs- und Verpflichtungsklagen (§ 42 Abs. 1 VwGO). Es muss dem Kläger entweder um den Erlass eines (beantragten) Verwaltungsakts oder um die Aufhebung eines Verwaltungsakts gehen, gegen den er Widerspruch eingelegt hat.

419

Verpflichtungsklage: In den Fällen des Art. 78 Abs. 2, 2. Fall DSGVO geht es nie um die Aufhebung eines Verwaltungsakts. Allerdings kann eine Beschwerde (Art. 77 Abs. 1 DSGVO) so zu verstehen sein, dass der Beschwerdeführer eine Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO und somit den Erlass eines Verwaltungsakts verlangt, wenn er beispielsweise rügt, dass ein Unternehmen seiner Auskunftspflicht nach Art. 15 DSGVO nicht nachgekommen ist. Eine solche Rüge lässt sich als Antrag auf Erlass eines Anordnungsbescheids gem. Art. 58 Abs. 2 lit. c DSGVO verstehen.

420

Allgemeine Leistungsklage: Nicht jede Beschwerde (Art. 77 Abs. 1 DSGVO) ist jedoch auf eine konkrete Maßnahme der Aufsichtsbehörde gerichtet. Manche Beschwerden haben eine sehr diffuse Zielrichtung, andere sind so zu verstehen, dass der Beschwerdeführer die Aufsichtsbehörde zu Ermittlungen auffordert, ohne dass sich eine konkrete Maßnahme bezeichnen lässt, auf die die Beschwerde abzielt. Bleibt die Aufsichtsbehörde daraufhin untätig und informiert sie den Beschwerdeführer drei Monate lang weder über den Stand noch über Ergebnisse des Beschwerdeverfahrens (vgl. Art. 77 Abs. 2 DSGVO), kommt keine Verpflichtungsklage, sondern nur eine allgemeine Leistungsklage, gerichtet auf den Fortgang des Beschwerdeverfahrens, in Betracht. Für eine solche allgemeine Leistungsklage ist § 75 VwGO keine Grundlage, wohl aber Art. 78 Abs. 2, 2. Fall DSGVO. Daher lässt sich sagen, dass Art. 78 Abs. 2, 2. Fall DSGVO das Klagespektrum des § 75 VwGO um eine allgemeine Leistungsklage im Untätigkeitsfall erweitert, wenn die Voraussetzungen des Art. 78 Abs. 2, 2. Fall DSGVO vorliegen.

421

Klageziele: Wenn der Kläger somit mit einer Klage nach Art. 78 Abs. 2, 2. Fall DSGVO nicht unmittelbar einen Anspruch auf Erlass eines Verwaltungsaktes geltend macht, sondern nur einen verfahrensrechtlichen Anspruch auf Befassung mit

422

101

C. Rz. 422 | Dritter Akt: Gerichtliche Verfahren

seiner Beschwerde, ist die Klage in der Systematik der VwGO als allgemeine Leistungsklage zu führen (Sydow in Sydow, DSGVO, 2. Aufl. 2018, Art. 78, Rz. 26). 4. Welche Entscheidungsmöglichkeiten hat das Gericht bei allgemeinen Leistungsklagen nach Art. 78 Abs. 2, 2. Fall DSGVO? 423

Diese Frage ist schwer zu beantworten. Sicher lässt sich lediglich sagen, dass das zuständige Verwaltungsgericht die Aufsichtsbehörde verpflichten kann, den Beschwerdeführer und Kläger über den Stand und die (bisherigen) Ergebnisse des Beschwerdeverfahrens zu informieren. Denn der Beschwerdeführer hat einen Rechtsanspruch auf eine solche Information (Art. 77 Abs. 2 DSGVO).

424

Information: In praktischer Hinsicht dürfte es nie zu einer entsprechenden Verurteilung kommen, da die Aufsichtsbehörde eine Untätigkeitsklage nach Art. 78 Abs. 2, 2. Fall DSGVO spätestens in der Klageerwiderung zum Anlass nehmen wird, die Information über den Verfahrensstand nachzuholen. Damit hat sich dann aber der Streit über die Verpflichtung der Behörde gem. Art. 77 Abs. 2 DSGVO prozessual erledigt und das Gericht hat nur noch über die Kosten des Rechtsstreits zu entscheiden (§ 161 Abs. 2 VwGO).

425

Ermittlungen: Man wird Art. 78 Abs. 2, Alt. 2 DSGVO so verstehen dürfen, dass sich das Klagerecht nicht in einer Klage auf Mitteilung des Sachstands nach Art. 77 Abs. 2 DSGVO erschöpft und der Beschwerdeführer das weitergehende Recht hat, die Aufsichtsbehörde auf dem Klageweg zu verpflichten, das Beschwerdeverfahren durch geeignete Ermittlungsmaßnahmen zu führen. Ob sich allerdings Klageanträge formulieren lassen, die für den Fall einer Klagestattgabe tatsächlich eine Handhabe bieten, die Aufsichtsbehörde zu einer effektiven Ermittlungstätigkeit zu motivieren, bleibt abzuwarten. 5. Hat ein Beschwerdeführer Anspruch auf konkrete Maßnahmen der Behörde?

426

Einen Anspruch auf konkrete Maßnahmen hat der Beschwerdeführer nur im Ausnahmefall, wenn das Ermessen der Behörde bei der Auswahl von Maßnahmen nach Art. 58 Abs. 2 DSGVO auf Null reduziert ist.

427

Eine Ermessensreduzierung auf Null kommt in Betracht, wenn ein Bürger erfolglos seine Rechte aus den Art. 12 ff. DSGVO gegenüber einem Unternehmen oder einer Behörde geltend gemacht hat. In diesen Fällen wird die Aufsichtsbehörde in der Regel verpflichtet sein, das jeweilige Unternehmen bzw. die Behörde anzuweisen, den Anträgen der Bürger nach Art. 12 ff. DSGVO zu entsprechen (Art. 58 Abs. 2 lit. c DSGVO, Härting/Flisek/Thiess, CR 2018, 296, 300). – Siehe auch: Dritter Akt, Erster Teil, 6. Kann ein Unternehmen von der Behörde eine Entscheidung verlangen? Rz. 428 ff. – Siehe auch: Dritter Akt, Erster Teil, 7. Kann ein Unternehmen gerichtlich die Feststellung verlangen, datenschutzkonform zu handeln? Rz. 431 ff.

102

Erster Teil: Klagen wegen Untätigkeit | Rz. 433 C.

6. Kann ein Unternehmen von der Behörde eine Entscheidung verlangen? Auch Unternehmen können ein Interesse am Abschluss eines aufsichtsbehördlichen Verfahrens haben. Ziehen sich Beschwerdeverfahren oder anlasslose Kontrollverfahren in die Länge, herrscht aus Sicht des Unternehmens Ungewissheit, ob die Behörde am Ende des Verfahrens Datenverarbeitungsprozesse beanstanden, Maßnahmen anordnen und Sanktionen verhängen wird. Dies ist ein Risiko, das Geschäftsprozesse erheblich behindern und verlangsamen kann.

428

Kein Anspruch auf Beschluss: Art. 78 Abs. 1 DSGVO gewährt jeder natürlichen oder juristischen Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Im Umkehrschluss bedeutet dies, dass sich aus Art. 78 Abs. 1 DSGVO kein Anspruch eines Unternehmens gegen eine Aufsichtsbehörde ergibt, über eine Beschwerde per Beschluss zu entscheiden. Auch die Untätigkeitsklage nach Art. 78 Abs. 2 DSGVO sieht nur ein Klagerecht betroffener Personen vor, nicht jedoch das Recht eines Unternehmens, das von einer Beschwerde betroffen ist, auf dem Klageweg eine behördliche Entscheidung zu erwirken.

429

Kein Anspruch auf Beschleunigung: Auch aus anderen Bestimmungen der DSGVO, des BDSG und des deutschen Verwaltungs- und Verwaltungsprozessrechts ergibt sich kein Anspruch eines Unternehmens auf eine zügige Entscheidung der Aufsichtsbehörde in einem Beschwerdeverfahren oder einem sonstigen aufsichtsbehördlichen Verfahren.

430

7. Kann ein Unternehmen gerichtlich die Feststellung verlangen, datenschutzkonform zu handeln? In aufsichtsbehördlichen Verfahren werden Rechtsansichten zwischen den Beteiligten oft in längerer Korrespondenz ausgetauscht, ohne dass eine Verständigung erzielt wird. Für die Unternehmen, um deren Datenverarbeitungsprozesse es geht, ist dies misslich, da mögliche behördliche Anordnungen und Sanktionen wie ein „Damokles-Schwert“ wirken und Geschäfts- und Entscheidungsprozesse behindern oder gar lähmen. In einer solchen Situation kann es im Interesse des Unternehmens liegen, die Rechtslage gerichtlich durch eine Feststellungsklage klären zu lassen. Das Ziel einer solchen Klage ist die gerichtliche Feststellung, dass die streitigen Datenverarbeitungsprozesse datenschutzkonform und somit rechtmäßig sind.

431

Um Gerichte nicht mit abstrakten Rechtsfragen zu befassen, ist eine Feststellungsklage nach § 43 Abs. 1 VwGO nur zulässig, wenn der Kläger ein berechtigtes Interesse an der baldigen Feststellung hat. Zudem bedarf es eines Rechtsverhältnisses, dessen Bestehen oder Nichtbestehen festgestellt werden soll.

432

Für ein Feststellungsinteresse reicht es nicht aus, dass eine Aufsichtsbehörde die Auffassung vertritt, Datenverarbeitungsprozesse eines Unternehmens seien mit der DSGVO nicht vereinbar. Vielmehr besteht das für eine Klage nach § 43 Abs. 1 VwGO erforderliche Feststellungsinteresse erst, wenn dem Unternehmen Bußgelder oder andere behördliche Maßnahmen drohen (sog. „Damokles-Rechtsprechung“,

433

103

C. Rz. 433 | Dritter Akt: Gerichtliche Verfahren

dazu nachfolgend 8. Was sagt das Bundesverfassungsgericht Rz. 434 ff. + 9. Was sagt das Bundesverwaltungsgericht Rz. 437 ff.). 8. Was sagt das Bundesverfassungsgericht? 434

Das Bundesverfassungsgericht hatte einen Fall zu entscheiden, in dem ein Zimmermann mit der Verwaltung über Einsichtnahmerechte nach § 17 HandwO und um die Frage stritt, ob er sein Handwerk ohne Meisterbrief und ohne Eintragung in die Handwerksrolle ausüben darf. Die zuständige Behörde leitete ein Bußgeldverfahren ein. Das Verwaltungsgericht Oldenburg und das Oberverwaltungsgericht Lüneburg lehnten einen Eilantrag nach § 123 Abs. 1 OWiG ab. Es fehle an einem Feststellungsinteresse, da es dem Handwerker zumutbar sei, den Ausgang des eingeleiteten Bußgeldverfahrens abzuwarten.

435

Zumutbarkeit: Das Bundesverfassungsgericht gab der Verfassungsbeschwerde, die sich auf die Rechtsweggarantie des Art. 19 Abs. 4 GG stützte, statt mit der Begründung, dass es dem Antragsteller nicht zuzumuten sei, „die Klärung verwaltungsrechtlicher Zweifelsfragen auf der Anklagebank erleben zu müssen“ (BVerfG v. 7.4.2003, 1 BvR 2129/02, Rz. 14 f.): „Durch die beiden angegriffenen Entscheidungen wurde dem Beschwerdeführer einstweiliger Rechtsschutz vollständig verwehrt, indem er auf die ihm zur Verfügung stehenden Rechtsmittel im angekündigten Bußgeldverfahren verwiesen wurde. Einen im dargelegten Sinne verfassungsrechtlich ausreichenden effektiven Rechtsschutz stellt jedoch in einem Falle wie dem vorliegenden das Bußgeldverfahren nicht dar. Wirkungsvoller Rechtsschutz ist nach ständiger Rechtsprechung des Bundesverfassungsgerichts nur gewährleistet, wenn der Rechtsweg nicht in unzumutbarer, durch Sachgründe nicht mehr zu rechtfertigender Weise erschwert wird. Die Effektivität der Rechtsschutzgewährung durch den Weg zu den Gerichten ist daher (auch) anhand der Frage der Zumutbarkeit für den Einzelnen zu beurteilen... Dem folgend ist nach ständiger Rechtsprechung des Bundesverwaltungsgerichts einem Betroffenen nicht zuzumuten, die Klärung verwaltungsrechtlicher Zweifelsfragen auf der Anklagebank erleben zu müssen. Der Betroffene hat vielmehr ein schutzwürdig anzuerkennendes Interesse daran, den Verwaltungsrechtsweg als „fachspezifischere“ Rechtsschutzform einzuschlagen, insbesondere wenn dem Betroffenen ein Ordnungswidrigkeitenverfahren droht... Diesen Maßstab haben die Gerichte in den angegriffenen Entscheidungen verfehlt, obwohl eine fachgerichtliche Kontrolle bei unbestimmten Rechtsbegriffen in besonderem Maße angezeigt ist. Die Handwerksordnung definiert den Meisterzwang lediglich anhand von Berufs-Oberbegriffen. Welche Tätigkeiten diesen Begriffen und den durch sie beschriebenen Berufsfeldern zuzuordnen sind, ist gesetzlich nicht geregelt und damit der Auslegung durch Behörden und die sie kontrollierenden Verwaltungsgerichte überlassen. Es wäre für Berufstätige mit erheblichen Nachteilen verbunden, müssten sie erst im Bußgeldverfahren klären, ob die ausgeübte berufliche Tätigkeit ohne Eintragung in die Handwerksrolle vorgenommen werden darf. Ihnen stünde der Rechtsweg nur im Zusammenhang mit möglicherweise erheblichen Sanktionen offen. Von einer wirksamen und zumutbaren gerichtlichen Kontrolle der Rechtmäßigkeit einer beruflichen Tätigkeit könnte dann nicht mehr die Rede sein. Sind die Gerichte zur Sachprüfung verpflichtet, können sie sich auch einer Entscheidung im einstweiligen Rechtsschutzverfahren insoweit nicht entziehen.“ (Hervorhebungen hinzugefügt)

104

Erster Teil: Klagen wegen Untätigkeit | Rz. 439 C.

Feststellungsinteresse ab Bußgeldverfahren: Aus dieser Entscheidung lässt sich ableiten, dass eine Feststellungsklage bereits dann zulässig sein kann, wenn die Aufsichtsbehörde ein Bußgeldverfahren einleitet. Auch einem Unternehmen ist es nicht zuzumuten, schwierige datenschutzrechtliche Auslegungsfragen von einer Anklagebank ausdiskutieren zu müssen.

436

9. Was sagt das Bundesverwaltungsgericht? Das Bundesverwaltungsgericht hatte einen Fall zu entscheiden, in dem sich der Dekan einer bayerischen Jurafakultät vorbeugend dagegen wandte, dass an ihn Arbeitgeberpflichten nach § 13 Abs. 2 Arbeitsschutzgesetz (ArbSchG) übertragen werden sollten.

437

Zumutbarkeit: Das Bundesverwaltungsgericht bejahte ein Feststellungsinteresse unter Hinweis darauf, dass es dem Professor nicht zugemutet werden könne, ein Ordnungswidrigkeitenverfahren abzuwarten (BVerwG v. 23.6.2016 – 2 C 18/15, Rz. 18 ff.):

438

„Die Beteiligten streiten aus konkretem Anlass über Umfang und Inhalt des Rechtsverhältnisses zwischen dem Beklagten und dem Kläger zu 3. in seiner Funktion als Dekan der Juristischen Fakultät. Der Beklagte hat auch im Revisionsverfahren bekräftigt, dass eine Übertragung der arbeitsschutzrechtlichen Dienstherrnpflichten auf den Kläger zu 3., wie in der Verfügung vom 8. April 2009 an seinen Amtsvorgänger geschehen, beabsichtigt ist und im Falle eines Obsiegens im anhängigen Rechtsstreit unmittelbar bevorsteht. Der Kläger zu 3. hat damit ein rechtliches Interesse an der alsbaldigen Klärung der streitigen Fragen. Allerdings ist der verwaltungsgerichtliche Rechtsschutz grundsätzlich nicht vorbeugend konzipiert. Um den Grundsatz der Gewaltenteilung und das der Verwaltung zugewiesene Handlungsfeld nicht übermäßig und „anlasslos“ zu beeinträchtigen, setzt die den Gerichten übertragene Kontrollfunktion gegen Maßnahmen der Behörden grundsätzlich erst nachgelagert ein. Die Inanspruchnahme gerichtlichen Rechtsschutzes erfordert daher regelmäßig den Erlass einer Maßnahme, der nachfolgend Gegenstand gerichtlicher Überprüfung ist. Vorbeugender Rechtsschutz gegen erwartete oder befürchtete Anordnungen der Verwaltung ist daher grundsätzlich unzulässig. Etwas anderes gilt indes dann, wenn dem Betroffenen ein weiteres Zuwarten, ob und wie die Behörde tätig werden wird, nicht zugemutet werden kann und daher ein schutzwürdiges Interesse an einer alsbaldigen gerichtlichen Klärung besteht. Eine derartige Ausnahmekonstellation liegt insbesondere bei drohenden Sanktionen vor, die – wie hier in § 25 Abs. 1 Nr. 2a und § 26 Nr. 2 ArbSchG – an verwaltungsrechtliche Vorfragen anknüpfen. Denn es ist nicht zumutbar, die Klärung verwaltungsrechtlicher Zweifelsfragen „von der Anklagebank herab“ führen zu müssen. Der Kläger hat ein schutzwürdiges Interesse daran, den Verwaltungsrechtsweg als sachnähere und „fachspezifischere“ Rechtsschutzform einzuschlagen, wenn ihm wegen verwaltungsrechtlicher Fragen ein Straf- oder Ordnungswidrigkeitenverfahren droht... Es ist weder sinnvoll noch zumutbar, dem Bürger in einem derartigen Schwebezustand die Möglichkeit der verbindlichen Klärung streitiger Fragen des öffentlichen Rechts zu verwehren.“ (Hervorhebungen hinzugefügt)

Feststellungsinteresse ab Möglichkeit eines Bußgeldverfahrens: Das Bundesverwaltungsgericht geht damit noch weiter als das Bundesverfassungsgericht (ausdrücklich ablehnend daher FG Niedersachsen v. 25.7.2019 – 6 K 298/18, Rz. 41) und bejaht ein Feststellungsinteresse nicht erst bei einem bereits eingeleiteten oder konkret dro105

439

C. Rz. 439 | Dritter Akt: Gerichtliche Verfahren

henden Bußgeldverfahren, sondern bereits dann, wenn die (gesetzliche) Möglichkeit eines Bußgeldverfahrens besteht und die Bußgeldtatbestände an verwaltungsrechtliche Vorfragen anknüpfen, wie dies bei Art. 83 Abs. 4 bis 6 DSGVO ausnahmslos der Fall ist. 10. Kann die parallele Erhebung einer Feststellungsklage in einem Bußgeldverfahren nützlich sein? 440

Für das Bußgeldverfahren eröffnet die vom Bundesverfassungsgericht entschiedene und vom Bundesverwaltungsgericht bekräftigte Variante der „Damokles-Rechtsprechung“ eine interessante Perspektive. Unternehmen, denen ein Bußgeldbescheid angedroht wird, sollten stets ernsthaft erwägen und prüfen, ob sie parallel zu dem Bußgeldverfahren eine verwaltungsgerichtliche Klärung streitiger Auslegungsfragen per Feststellungsklage (§ 43 VwGO) erwirken.

441

Prozesstaktik: Einer der Vorteile einer solchen Vorgehensweise ist die Möglichkeit, auf eine Aussetzung des Bußgeldverfahrens hinzuwirken (§ 46 Abs. 1 OWiG i.V.m. § 262 Abs. 2 StPO, vgl. Ott in Karlsruher Kommentar, 8. Aufl. 2019, § 262 StPO Rz. 7 ff.). – Siehe auch: Dritter Akt, Erster Teil, 7. Kann ein Unternehmen gerichtlich die Feststellung verlangen, datenschutzkonform zu handeln? Rz. 431 ff.

11. Lässt sich mit einer Feststellungsklage ein Bußgeldverfahren verhindern? 442

Nein. Verhindern lässt sich ein Bußgeldverfahren durch eine Feststellungsklage nicht, aber seit dem Urteil des Bundesverwaltungsgerichts (BVerwG v. 23.6.2016 – 2 C 18/15, s. Frage 9, Rz. 437) stehen die Chancen nicht schlecht, in Streitigkeiten mit den Aufsichtsbehörden eine verwaltungsgerichtliche Klärung zu erwirken mit der Begründung, dass es nicht zumutbar sei, die Einleitung eines Bußgeldverfahrens abzuwarten. Dies zeigt nachfolgende Rechtsprechungslinie: – OVG Rheinland-Pfalz v. 28.8.2019 – 8 A 10060/19, Rz. 30: Die Klägerin begehrte die Feststellung, dass die von ihr betriebenen Abfülleinrichtungen, die zur Herstellung von Mineralwasser mit pflanzlichen Zusatzstoffen genutzt werden, keiner Anzeigepflicht nach dem Bundesimmissionsschutzgesetz (BImSchG) unterliegen. Ein schutzwürdiges Interesse der Klägerin, die Frage der Anzeigepflicht durch die VG klären zu lassen (§ 43 Abs. 1 VwGO), ergebe sich bereits daraus, dass sie Gefahr laufe, gem. § 62 Abs. 2 Nr. 6 BImSchG mit einem Bußgeld überzogen zu werden, wenn sie ihrer gesetzlichen Anzeigepflicht zu Unrecht nicht nachkommt. Ihr sei es aber nicht zumutbar, zunächst eine ihr drohende Sanktion abzuwarten und verwaltungsrechtliche Zweifelsfragen gewissermaßen „von der Anklagebank herab“ zu klären. Vielmehr habe sie in diesem Fall ein schutzwürdiges Interesse daran, den Verwaltungsrechtsweg als sachnähere und „fachspezifischere“ Rechtsschutzform zu beschreiten. – OVG Schleswig-Holstein v. 21.3.2019 – 1 A 109/18: Die Klägerin ist Herstellerin von Medizinprodukten und begehrte die Feststellung, dass die Übergangsvorschriften aus Art. 120 der VO (EU) 2017/745 über Medizinprodukte auch auf Me106

Erster Teil: Klagen wegen Untätigkeit | Rz. 442 C.

dizinprodukte mit lebensfähigen biologischen Substanzen oder lebensfähigen Organismen zur Behandlung vaginaler Erkrankungen anwendbar sind. Ein Feststellungsinteresse (§ 43 Abs. 1 VwGO) sei zu bejahen, wenn ohne die Inanspruchnahme vorbeugenden Rechtsschutzes die Gefahr bestehe, dass vollendete, nicht mehr rückgängig zu machende Tatsachen geschaffen würden oder dass ein nicht mehr wiedergutzumachender Schaden entstünde. Letzteres sei insbesondere dann der Fall, wenn dem Betroffenen bußgeldrechtliche oder strafrechtliche Sanktionen drohen, die an die streitigen verwaltungsrechtlichen Zweifelsfragen anknüpfen. Dem Betroffenen sei es nämlich nicht zumutbar, das Risiko eines derart sanktionsbewehrten Pflichtenverstoßes einzugehen und den Rechtsstreit über dessen Vorliegen erst im Nachhinein „von der Anklagebank herab“ führen zu müssen. – VGH BW v. 18.12.2018 – 6 S 2789/17, Rz. 26: Die Klägerin betreibt zwei Supermärkte und begehrte die Feststellung, dass das Unterhalten von Fleischtheken in zwei von ihr betriebenen Lebensmittelmärkten keiner Eintragung in die Handwerksrolle bedarf. Ein Kläger habe ein schutzwürdiges Interesse (§ 43 Abs. 1 VwGO) daran, den Verwaltungsrechtsweg als sachnähere und „fachspezifischere“ Rechtsschutzform einzuschlagen, wenn ihm wegen verwaltungsrechtlicher Fragen ein Straf- oder Ordnungswidrigkeitenverfahren drohe. Es sei weder sinnvoll noch zumutbar, dem Bürger in einem derartigen Schwebezustand die Möglichkeit der verbindlichen Klärung streitiger Fragen des öffentlichen Rechts zu verwehren. – VG Berlin v. 16.8.2019 – 4 K 537.17, Rz. 18: Ein Einzelhändler habe ein berechtigtes Interesse an der Feststellung, dass er eine „Verkaufsstelle für den Bedarf von Touristen“ betreibt und daher sein Ladengeschäft sonntags öffnen darf. Das Feststellungsinteresse gem. § 43 Abs. 1 VwGO ergebe sich einerseits aus „ihm drohenden Sanktionen aufgrund von Ordnungswidrigkeitenverfahren wegen Öffnung seines Ladengeschäfts an Sonn- und Feiertagen“. Andererseits habe er ein wirtschaftliches Interesse an der Klärung wegen der an Sonn- und Feiertagen erzielbaren Umsätze“ (ebenso VG Berlin v. 18.7.2017 – 4 K 43.16, Rz. 18, bestätigt durch OVG Berlin-Bdb. v. 19.4.2018 – OVG 1 B 17.17, Rz. 14).

107

C. Rz. 443 | Dritter Akt: Gerichtliche Verfahren

II. Zweiter Teil: Klagen gegen Verwaltungsakte 443

Wenn die Aufsichtsbehörde Verbote, Anordnungen oder andere Verwaltungsakte nach Art. 58 Abs. 2 DSGVO erlässt, steht der Weg zum Verwaltungsgericht offen. 1. Gibt es ein datenschutzrechtliches Vorverfahren?

444

Nein. Der gerichtliche Rechtsschutz gegen Maßnahmen und Entscheidungen der Aufsichtsbehörden ist in § 20 BDSG geregelt. § 20 BDSG verweist in Abs. 2 weitgehend auf die VwGO. Ein Vorverfahren findet gem. § 20 Abs. 6 BDSG nicht statt. § 68 Abs. 1 Satz 2 VwGO lässt derartige gesetzliche Ausnahmen ausdrücklich zu.

445

Gegen Verwaltungsakte der Aufsichtsbehörden ist daher eine Anfechtungsklage zulässig, ohne dass es eines vorherigen Widerspruchsverfahrens bedarf. 2. Welches Gericht ist zuständig?

446

Fachlich: Zuständig sind die Verwaltungsgerichte. Dies ergibt sich aus § 20 Abs. 1 Satz 1 BDSG. Danach ist der Verwaltungsrechtsweg eröffnet für Streitigkeiten zwischen einer natürlichen oder einer juristischen Person und einer Aufsichtsbehörde des Bundes oder eines Landes über Rechte gem. Art. 78 Abs. 1 und 2 DSGVO.

447

Örtlich: Nach § 20 Abs. 3 BDSG ist das Verwaltungsgericht örtlich zuständig, in dessen Bezirk die Aufsichtsbehörde ihren Sitz hat. Wegen des Bonner Sitzes der Bundesdatenschutzbehörde ist daher das Verwaltungsgericht Köln für Klagen gegen den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) zuständig. 3. Wer ist Beklagter?

448

Nach § 20 Abs. 5 Satz 1 Nr. 2 BDSG ist die jeweilige Aufsichtsbehörde Beklagte bzw. Antragsgegnerin. 4. Wann ist eine Anfechtungsklage die richtige Klageart?

449

Wenn es dem Kläger um die Aufhebung eines belastenden Verwaltungsakts der Aufsichtsbehörde geht, ist die Anfechtungsklage nach § 42 Abs. 1, 1. Fall VwGO die richtige Klageart.

450

Verwaltungsakt: Die Anfechtungsklage setzt voraus, dass der Gegenstand der Klage tatsächlich ein Verwaltungsakt ist. Ist die angegriffene Handlung kein Verwaltungsakt, sondern beispielsweise eine schlichte Handlung, eine öffentlich-rechtliche Willenserklärung oder ein privatrechtlicher Akt, so ist die Anfechtungsklage abzuweisen, da es an einem aufzuhebenden Verwaltungsakt fehlt (Pietzcker in Schoch/Schneider/ Bier, VwGO, Stand Juli 2019, § 42 Abs. 1, Rz. 19).

451

Gerichtliche Prüfung: Ob ein Verwaltungsakt vorliegt, bestimmt sich allein an den Maßstäben des § 35 Satz 1 VwVfG. Daher ist es unerheblich, ob die Behörde selbst 108

Zweiter Teil: Klagen gegen Verwaltungsakte | Rz. 455 C.

davon ausging, per Verwaltungsakt zu handeln. Maßgeblich ist allein, ob eine behördliche Maßnahme aus der verständigen Sicht des Adressaten (§ 133 BGB) als eine Einzelfallregelung zu verstehen ist, die die Merkmale des § 35 Satz 1 VwVfG erfüllt. Praxis: In ihrer bisherigen Praxis sind die Aufsichtsbehörden noch sehr zögerlich, per Verwaltungsakt zu handeln. Rechtsbehelfsbelehrungen sind eher selten, dasselbe gilt für eine Unterscheidung zwischen dem verfügenden Teil und der Begründung (vgl. Stelkens in Stelkens/Bonk/Sachs, VwVfG, 9. Aufl. 2018, § 37 Rz. 109 f.). Insbesondere Auskunftsersuchen sind häufig der Form nach nicht als Verwaltungsakte gestaltet, erfüllen inhaltlich aber dennoch alle Merkmale des § 35 Satz 1 VwVfG. Möchte der Adressat eine gerichtliche Entscheidung über die Rechtmäßigkeiten eines solchen Auskunftsersuchens erwirken, ist eine Anfechtungsklage geboten (§ 42 Abs. 1, 1. Fall VwGO).

452

– Siehe auch: Dritter Akt, Zweiter Teil, 6. Welche Frist gilt für die Anfechtungsklage? Rz. 455 – Siehe auch: Dritter Akt, Zweiter Teil, 7. Wann beginnt die Klagefrist genau? Rz. 456 f.

5. Wie verfährt ein Kläger, wenn er sich nicht sicher ist, ob ein behördliches Schreiben ein Verwaltungsakt ist? Wenn ein behördliches Schreiben als Verwaltungsakt angesehen werden kann (§ 35 Satz 1 VwVfG), ist eine Anfechtungsklage (§ 42 Abs. 1, 1. Fall VwGO) stets zu empfehlen. Bei Unsicherheiten, ob das Schreiben tatsächlich die Voraussetzungen des § 35 Satz 1 VwVfG erfüllt, gibt es zwei Möglichkeiten:

453

– Klageformen: Entweder der Kläger beantragt hilfsweise eine Feststellung (§ 43 VwVfG) oder eine (einfache) Leistung (allgemeine Leistungsklage). – Gerichtliche Umdeutung: Oder der Kläger setzt auf § 88 VwGO. Danach ist das Gericht nicht an die Fassung der Anträge gebunden und hat daher beispielsweise die Möglichkeit, eine Anfechtungsklage in eine allgemeine Leistungsklage umzudeuten. Vor einer Umdeutung (§ 88 VwGO) wirkt das Gericht nach § 86 Abs. 3 VwGO in aller Regel von sich aus auf eine Änderung des Antrags hin. Nur wenn der Kläger trotz eines entsprechenden Hinweises des Gerichts auf der Wahl der unstatthaften Klageart beharrt, scheidet eine Umdeutung aus. Dies gilt insbesondere, wenn der Kläger anwaltlich vertreten ist (Pietzcker/Märsch in Schoch/Schneider/Bier, VwGO, Stand Juli 2019, Vor § 42 Abs. 1, Rz. 29).

454

6. Welche Frist gilt für die Anfechtungsklage? Die Klagefrist beträgt einen Monat und beginnt mit Bekanntgabe des Verwaltungsakts (§ 74 Abs. 1 Satz 2 VwGO). Die Frist verlängert sich auf ein Jahr ab Zustellung, Eröffnung oder Verkündung, wenn der Verwaltungsakt keine oder eine fehlerhafte Rechtsbehelfsbelehrung enthält (§ 58 Abs. 2 Satz 1 VwGO)

109

455

C. Rz. 456 | Dritter Akt: Gerichtliche Verfahren

7. Wann beginnt die Klagefrist genau? 456

Die Klagefrist nach § 74 Abs. 1 Satz 2 VwGO beginnt mit der Bekanntgabe des Verwaltungsakts. Die Bekanntgabe ist in § 41 VwVfG geregelt. Sie erfolgt meist durch Zustellung nach den Bestimmungen des Verwaltungszustellungsgesetzes (VwZG). An dem Tag, an dem eine Zustellung nach Maßgabe des VwZG erfolgt ist (dokumentiert beispielsweise durch ein Empfangsbekenntnis, § 5 VwZG), beginnt die einmonatige Klagefrist.

457

Widerlegliche Vermutung: Bei einfacher Zustellung per Post im Inland gilt ein schriftlicher Verwaltungsakt am dritten Tag nach der Aufgabe zur Post als bekannt gegeben (§ 41 Abs. 2 Satz 1 VwVfG). Dies ist indes eine widerlegliche Vermutung, die durch den Nachweis eines späteren Zugangsdatums jederzeit entkräftet werden kann (Stelkens in Stelkens/Bonk/Sachs, VwVfG, 9. Aufl. 2018, § 41 Rz. 109). 8. Besteht Anwaltszwang?

458

Nein. Vor dem Verwaltungsgericht können die Beteiligten den Rechtsstreit selbst führen (§ 67 Abs. 1 VwGO). Anwaltszwang herrscht allerdings bei den nachfolgenden Instanzen, also den Oberverwaltungsgerichten und beim Bundesverwaltungsgericht (§ 67 Abs. 4 VwGO). 9. Wer ist vor dem Verwaltungsgericht vertretungsbefugt?

459

Auch wenn kein Anwaltszwang vor dem Verwaltungsgericht besteht, heißt dies noch lange nicht, dass jedermann befugt ist, die Beteiligten zu vertreten.

460

Postulationsfähig und somit zur Vertretung vor den Verwaltungsgericht befugt sind nach § 67 Abs. 2 Satz 1 und 2 VwGO u.a.: – Rechtsanwälte, § 67 Abs. 2 Satz 1 VwGO; – Hochschullehrer und andere Personen mit Befähigung zum Richteramt (2. Juristisches Staatsexamen), § 67 Abs. 2 Satz 1 und Satz 2 Nr. 3 VwGO.

461

Volljuristen, die weder Rechtsanwälte noch Hochschullehrer sind, sind nur dann zur Prozessführung befugt, wenn die Prozessführung in keinem Zusammenhang mit einer entgeltlichen Tätigkeit steht. Eine entsprechende Formulierung findet sich in § 6 Abs. 1 RDG; danach sind Rechtsdienstleistungen erlaubt, die nicht im Zusammenhang mit einer entgeltlichen Tätigkeit stehen. Schon aus dem Wortlaut ergibt sich, dass eine unentgeltliche Tätigkeit nicht schon dann vorliegt, wenn gerade für die Prozessvertretung kein Entgelt (in Form einer Geldleistung oder einer sonstigen Leistung, die über einen reinen Auslagenersatz hinausgeht) vereinbart wird (Schenk in Schoch/Schneider/Bier, VwGO, Stand Juli 2019, § 67 Abs. 1, Rz. 50).

462

Syndikusrechtsanwälte sind gemäß § 46 c Abs. 2 BRAO nicht berechtigt, ihren Arbeitgeber in Straf- oder Bußgeldverfahren zu vertreten, die sich gegen den Arbeitgeber oder dessen Mitarbeiter richten. Insofern besteht ein partielles gesetzliches Vertretungsverbot. 110

Zweiter Teil: Klagen gegen Verwaltungsakte | Rz. 469 C.

10. Sind externe Datenschutzbeauftragte vor dem Verwaltungsgericht vertretungsbefugt? Nein. Selbst wenn sie Volljuristen sind und für die Prozessvertretung kein gesondertes Entgelt nähmen, stünde eine Prozessvertretung im Zusammenhang mit ihrer sonstigen (entgeltlichen) Tätigkeit, so dass nach § 67 Abs. 2 Satz Nr. 3 VwGO keine Vertretungsbefugnis besteht.

463

11. Muss die Klage begründet werden? Nein. In der Klage sollen zwar zur Begründung dienende Tatsachen und Beweismittel angegeben werden (§ 82 Abs. 1 Satz 3 VwGO). Verpflichtend ist dies jedoch nicht.

464

– Siehe auch: Dritter Akt, Zweiter Teil, 15. Kann das Gericht den Kläger unter Fristsetzung zur Begründung der Klage auffordern? Rz. 470 – Siehe auch: Dritter Akt, Zweiter Teil, 16. Welche Folgen hat es, wenn eine Frist zur Begründung der Klage versäumt wird? Rz. 471 – Siehe auch: Dritter Akt, Zweiter Teil, 17. Kann das Gericht verspätete Erklärungen und Beweismittel zurückweisen? Rz. 472 ff. – Siehe auch: Dritter Akt, Zweiter Teil, 18. Warum ist es dennoch sinnvoll, die Klage ausführlich zu begründen? Rz. 477 ff.

12. Muss in der Klage ein Antrag formuliert werden? Nein. Ein Klageantrag soll zwar gestellt werden (§ 82 Abs. 1 Satz 2 VwGO). Verpflichtend ist dies jedoch nicht.

465

13. Welche Angaben sind für eine Klage erforderlich? Notwendig sind lediglich Angaben zum Kläger, zum Beklagten und zum Klagegegenstand (§ 82 Abs. 1 Satz 1 VwGO).

466

Mit dem Klagegegenstand ist nicht der Streitgegenstand (§ 121 VwGO) gemeint, sondern eine Kennzeichnung dessen, worum es dem Kläger geht. Dies ist auf vielfältige Weise möglich und – insbesondere bei anwaltlich nicht vertretenen Klägern – gegebenenfalls durch Auslegung zu ermitteln (Ortloff/Riese in Schoch/Schneider/ Bier, VwGO, Stand Juli 2019, § 82 Rz. 6).

467

14. Wie bestimmt sich der Streitwert einer verwaltungsrechtlichen Klage? Maßgeblich für den Streitwert ist die sich aus dem Antrag des Klägers für ihn ergebende Bedeutung der Sache und wird durch das Gericht nach Ermessen festsetzt (§ 52 Abs. 1 GKG). Lässt sich dieser Wert nicht hinreichend genau bestimmten, ist ein Streitwert von 5.000 € anzunehmen (§ 52 Abs. 2 GKG).

468

Datenschutzrechtlicher Regelstreitwert: Fehlen der Klage Angaben zum Streitwert, setzt das Gericht in datenschutzrechtlichen Verfahren den Wert einer Anfechtungsklage nach Eingang der Klage in aller Regel per Beschluss auf den Regelstreitwert von 5.000 € vorläufig fest (§ 63 Abs. 1 Satz 1 GFG).

469

111

C. Rz. 470 | Dritter Akt: Gerichtliche Verfahren

15. Kann das Gericht den Kläger unter Fristsetzung zur Begründung der Klage auffordern? 470

Ja. Der Vorsitzende einer Kammer ist zu einer solchen Aufforderung und auch zu einer Fristsetzung befugt (§ 86 Abs. 4 Satz 2 VwGO). Fristsetzungen sind auch üblich. 16. Welche Folgen hat es, wenn eine Frist zur Begründung der Klage versäumt wird?

471

Die Versäumung einer Frist nach § 86 Abs. 4 Satz 2 VwGO hat keine unmittelbaren Folgen. Im Verwaltungsprozess herrscht der Untersuchungsgrundsatz und nicht – wie im Zivilprozess – der Beibringungsgrundsatz, so dass das Schweigen einer Partei grundsätzlich folgenlos bleibt und nichts daran ändert, dass das Gericht den Sachverhalt in vollem Umfang aufklären muss. 17. Kann das Gericht verspätete Erklärungen und Beweismittel zurückweisen?

472

Ja, aber nur unter den Voraussetzungen der Präklusionsvorschrift des § 87b Abs. 3 VwGO.

473

Befugnis: Nach § 87b Abs. 1 Satz 1 VwGO kann der Vorsitzende oder der Berichterstatter dem Kläger eine Frist setzen zur Angabe der Tatsachen, durch deren Berücksichtigung oder Nichtberücksichtigung im Verwaltungsverfahren er sich beschwert fühlt. Zudem kann der Vorsitzende oder der Berichterstatter gem. § 87b Abs. 2 VwGO jedem Beteiligten unter Fristsetzung aufgeben, zu bestimmten Vorgängen – Vortrag: Tatsachen anzugeben oder Beweismittel zu bezeichnen (§ 87b Abs. 2 Nr. 1 VwGO) oder – Dokumente: Urkunden oder andere bewegliche Sachen vorzulegen sowie elektronische Dokumente zu übermitteln, soweit der Beteiligte dazu verpflichtet ist (§ 87b Abs. 2 Nr. 2 VwGO).

474

Gerichtlicher Hinweis: Der Vorsitzende oder der Berichterstatter kann zugleich darauf hinweisen, dass das Gericht im Falle der Fristversäumnis unter den Voraussetzungen des § 87b Abs. 3 VwGO befugt ist, Erklärungen und Beweismittel zurückzuweisen und ohne weitere Ermittlungen zu entscheiden.

475

Wird die gesetzte Frist versäumt, kann das Gericht Erklärungen und Beweismittel dennoch nur zurückweisen, wenn – Verzögerung: ihre Zulassung nach der freien Überzeugung des Gerichts die Erledigung des Rechtsstreits verzögern würde (§ 87b Abs. 3 Satz 1 Nr. 1 VwGO), – Entschuldigung: der Beteiligte die Verspätung nicht genügend entschuldigt (§ 87b Abs. 3 Satz 1 Nr. 2 VwGO) und

112

Zweiter Teil: Klagen gegen Verwaltungsakte | Rz. 481 C.

– Unerheblichkeit: der Sachverhalt nicht auch ohne Mitwirkung des Beteiligten ohne großen Aufwand ermittelt werden kann (§ 87b Abs. 3 Satz 3 VwGO). Praxis: Die Voraussetzungen für eine Präklusion nach § 87b Abs. 3 VwGO sind somit hoch, und die Verwaltungsgerichte machen von der Möglichkeit einer Fristsetzung nach § 87b Abs. 1 und 2 VwGO nicht allzu häufig Gebrauch.

476

18. Warum ist es dennoch sinnvoll, die Klage ausführlich zu begründen? Auch wenn sich der Kläger mit einer Begründung der Klage keine große Mühe geben braucht, ist es stets ratsam, eine Anfechtungsklage ausführlich zu begründen. Dies gilt sowohl für den Sachverhalt als auch für die rechtliche Würdigung:

477

Sachverhalt: Jeder erfahrene Prozessanwalt weiß, dass Gerichtsverfahren oft über den Sachverhalt gewonnen werden. Das „A und O“ ist nicht selten die „Hoheit“ über den Sachverhalt. Diese „Hoheit“ liegt zunächst bei der Aufsichtsbehörde, die ihren Verwaltungsakt auf Feststellungen zu einem Sachverhalt stützt. In dem angegriffenen Bescheid werden sich Beschreibungen von Verarbeitungsprozessen, technische Erläuterungen oder auch die Darlegung von Ereignissen finden, die zu einer Datenpanne oder einem anderen Datenschutzverstoß führten. Die Schilderung des Sachverhalts wird nicht immer fehlerfrei sein. Selbst wenn alles stimmt, wird es sich um eine verkürzte Darstellung handeln, die sich auf die Tatsachen beschränkt, auf die die Aufsichtsbehörde ihren Bescheid stützt.

478

Eigener Narrativ: In der Klage muss selbstverständlich der Finger auf Sachverhaltsfehler gelegt werden, die der Aufsichtsbehörde unterlaufen sind. Zudem müssen Tatsachen benannt werden, die die Behörde fortgelassen oder ausgeblendet hat. Ein guter Sachvortrag lässt es hierbei jedoch nicht bewenden, sondern bemüht sich um eine freie eigene „Geschichte“, die sich von der Sachverhaltsschilderung der Behörde vollständig löst und den Fall anschaulich und kohärent aus der Sicht des Klägers schildert. Auf diese Weise kann sich der Kläger aus einer reinen Verteidigungsecke herausbegeben und selbst die Themen und Akzente setzen, um die es in dem weiteren Verfahren gehen wird.

479

Rechtliche Beurteilung: Aus der eigenen Schilderung des Sachverhalts sollten sich dann die Rechtsausführungen möglichst organisch ableiten. Man trägt ja – jedenfalls im Kern – zum Tatsächlichen nur vor, worauf es rechtlich dann auch ankommt. Auch hier sind eigene Akzente gefragt. Die gute Klageschrift begnügt sich nicht damit, die Argumente der Aufsichtsbehörde zu widerlegen. Vielmehr wird aus eigener Sicht schlüssig argumentiert, weshalb der Kläger der Auffassung ist, datenschutzkonform gehandelt zu haben, so dass es an einer rechtlichen Grundlage für den angefochtenen Bescheid fehlt.

480

19. Hat die Klage aufschiebende Wirkung? Nach § 80 Abs. 1 Satz 1 VwGO hat die Anfechtungsklage aufschiebende Wirkung. Die Aufsichtsbehörde kann dies nur verhindern, wenn sie nach § 80 Abs. 2 Satz 1 Nr. 4 VwGO die sofortige Vollziehung anordnet. Hierzu bedarf es (formell) einer 113

481

C. Rz. 481 | Dritter Akt: Gerichtliche Verfahren

besonderen Begründung (§ 80 Abs. 3 Satz 1 VwGO) und materiell eines öffentlichen Interesses oder eines überwiegenden Interesses eines Beteiligten (§ 80 Abs. 2 Satz 1 Nr. 4 VwGO). – Siehe auch: Dritter Akt, Zweiter Teil, 20. Welche Folgen hat die aufschiebende Wirkung der Anfechtungsklage? Rz. 482 – Siehe auch: Dritter Akt, Zweiter Teil, 21. Kann die Aufsichtsbehörde parallel zu einem Verwaltungsprozess einen Bußgeldbescheid erlassen? Rz. 483 f.

20. Welche Folgen hat die aufschiebende Wirkung der Anfechtungsklage? 482

Solange die aufschiebende Wirkung besteht, ist eine Vollstreckung ausgeschlossen (§ 6 Abs. 1 VwVG). 21. Kann die Aufsichtsbehörde parallel zu einem Verwaltungsprozess einen Bußgeldbescheid erlassen?

483

Ja. Der Bußgeldbescheid ist eine Sanktion, die die Behörde parallel zu weiteren Abhilfemaßnahmen verhängen darf (Art. 58 Abs. 2 lit. i DSGVO). Ist die Aufsichtsbehörde daher der Auffassung, ein Unternehmen verstoße durch die Verarbeitung von Gesundheitsdaten gegen Art. 9 DSGVO, so kann sie einerseits einen Verbotsbescheid erlassen (Art. 58 Abs. 2 lit. f DSGVO) und andererseits ein Bußgeld verhängen.

484

Prozessuale Verknüpfung: Die aufschiebende Wirkung einer Anfechtungsklage gegen den Verbotsbescheid ist für ein paralleles Bußgeldverfahren zunächst einmal bedeutungslos. In einem Einspruchsverfahren wird das Strafgericht jedoch erwägen müssen, ob es das Verfahren nach § 46 Abs. 1 OWiG i.V.m. § 262 Abs. 2 StPO bis zum rechtskräftigen Abschluss des Verwaltungsprozesses aussetzt. 22. Wann kommt einstweiliger Rechtsschutz in Betracht?

485

Einstweiliger Rechtsschutz kommt in Betracht, wenn die Aufsichtsbehörde nach § 80 Abs. 2 Satz 1 Nr. 4 VwGO die sofortige Vollziehung des Verwaltungsakts angeordnet hat. Nach § 80 Abs. 5 Satz 1 VwGO kann der Adressat des Verwaltungsakts dann beantragen, dass das Verwaltungsgericht die aufschiebende Wirkung der Anfechtungsklage wiederherstellt. – Siehe auch: Dritter Akt, Zweiter Teil, 23. Nach welchen Maßstäben entscheidet das Gericht über einen Antrag nach § 80 Abs. 5 Satz 1 VwGO? Rz. 486 – Siehe auch: Dritter Akt, Zweiter Teil, 24. Wie begründet man einen Antrag nach § 80 Abs. 5 Satz 1 VwGO am besten? Rz. 487 f. – Siehe auch: Dritter Akt, Zweiter Teil, 25. Welche Regeln gelten für ein Verfahren nach § 80 Abs. 5 Satz 1 VwGO? Rz. 489 – Siehe auch: Dritter Akt, Zweiter Teil, 26. Kann das VG im Verfahren nach § 80 Abs. 5 Satz 1 VwGO einen Termin zur mündlichen Verhandlung anberaumen? Rz. 490

114

Zweiter Teil: Klagen gegen Verwaltungsakte | Rz. 489 C.

23. Nach welchen Maßstäben entscheidet das Gericht über einen Antrag nach § 80 Abs. 5 Satz 1 VwGO? Das Verwaltungsgericht entscheidet im Verfahren nach § 80 Abs. 5 Satz 1 VwGO einerseits anhand einer Interessenabwägung. Andererseits werden die Erfolgsaussichten der Hauptsacheklage maßgeblich mitberücksichtigt, soweit sie „offensichtlich“ sind (Schoch in Schoch/Schneider/Bier, VwGO, Stand Juli 2019, § 80 Rz. 372). In die Interessenabwägung wird einerseits das Interesse an einer sofortigen Vollziehung und andererseits das von dem Antragsteller geltend gemachte Aussetzungsinteresse eingestellt.

486

24. Wie begründet man einen Antrag nach § 80 Abs. 5 Satz 1 VwGO am besten? Drei Gesichtspunkte sind für einen solchen Antrag wesentlich:

487

– Das Aussetzungsinteresse des Antragstellers bedarf einer eingehenden Begründung. Dieses Interesse liegt regemäßig in finanziellen Einbußen, die mit der sofortigen Befolgung der angegriffenen Anordnung verbunden sind. Diese Folgen sollten möglichst genau und anschaulich dargestellt werden. – Des Weiteren sind gute Argumente gegen ein sofortiges Vollziehungsinteresse gefragt. Es ist darzulegen, weshalb weder der Öffentlichkeit noch anderen Beteiligten unerträgliche Nachteile entstehen, wenn man den Ausgang des Hauptsacheverfahrens abwartet. – Zu guter Letzt ist mit großer Sorgfalt darzulegen, dass die Anfechtungsklage gute Erfolgsaussichten hat. Dies erfordert meist einen ähnlichen argumentativen Aufwand und ein ähnliches Geschick wie die Formulierung der Klagebegründung. Prozesstaktik: Ein Erfolg im Verfahren nach § 80 Abs. 5 Satz 1 VwGO hat doppelte Vorteile. Zum einen lässt sich verhindern, dass Umstellungen, die die Behörde per Verwaltungsakt anordnet, schnell vorgenommen werden müssen. Man gewinnt Zeit. Zum anderen bietet der einstweilige Rechtsschutz die Gelegenheit, Zweifel an der Rechtmäßigkeit des behördlichen Bescheids deutlich zum Ausdruck zu bringen. Ein Erfolg im einstweiligen Rechtsschutz kann daher auch den Weg zum Erfolg im Hauptsacheverfahren ebnen.

488

25. Welche Regeln gelten für ein Verfahren nach § 80 Abs. 5 Satz 1 VwGO? In aller Regel entscheidet das Gericht nach Anhörung der Gegenseite per Beschluss, ohne dass eine mündliche Verhandlung anberaumt wird. Es handelt sich um ein selbstständiges Verfahren neben dem Hauptsacheverfahren (Schoch in Schoch/ Schneider/Bier, VwGO, Stand Juli 2019, § 80 Rz. 518).

115

489

C. Rz. 490 | Dritter Akt: Gerichtliche Verfahren

26. Kann das Verwaltungsgericht im Verfahren nach § 80 Abs. 5 Satz 1 VwGO einen Termin zur mündlichen Verhandlung anberaumen? 490

Ja, diese Möglichkeit besteht. Wenn das Gericht einen solchen Termin anberaumt, ist das meist ein Zeichen dafür, dass das Gericht dem Verfahren eine erhebliche Bedeutung beimisst oder dass das Gericht im Dialog mit den Prozessparteien einen komplexen Sachverhalt oder auch komplexe Rechtsfragen besser verstehen möchte. Ein Verhandlungstermin im einstweiligen Rechtsschutz kann auch eine Gelegenheit zu Vergleichsgesprächen sein. Im optimalen Fall wird dann ein Vergleich geschlossen, der das Hauptsachenverfahren gleich mit erledigt. 27. Muss die Aufsichtsbehörde im Verwaltungsprozess Akten vorlegen?

491

Ja. Die Vorlageverpflichtung ergibt sich aus § 99 Abs. 1 Satz 1 VwGO. Sie umfasst alle Verwaltungsvorgänge: Akten, Urkunden und elektronische Dokumente. Akten und Urkunden sind dem Gericht jeweils im Original zu übermitteln.

492

Die Vorlageverpflichtung setzt eine Aufforderung des Gerichts voraus. Bei vielen Kammern gehört eine solche Aufforderung zur Routine. Wenn der Behörde, die den Verwaltungsakt erlassen hat, die Klage zugestellt wird mit der Aufforderung zur Stellungnahme, wird mit dieser Aufforderung vielfach auch eine Aufforderung nach § 99 Abs. 1 Satz 1 VwGO verbunden. 28. Welche Bedeutung haben die Verwaltungsvorgänge für den Kläger?

493

Der Kläger sollte stets darauf achten, dass das Gericht die Verwaltungsvorgänge tatsächlich anfordert und dass die Behörde ihrer Vorlagepflicht nach § 99 Abs. 1 Satz 1 VwGO auch nachkommt. Anhand der Verwaltungsvorgänge lässt sich die Vorgehensweise der Aufsichtsbehörde im Einzelnen nachvollziehen einschließlich möglicher Verfahrensfehler, die die Behörde begangen hat, oder sachwidriger Erwägungen, die die Behörde in ihre Entscheidung hat einfließen lassen.

494

Legt die Behörde die Verwaltungsvorgänge nicht vollständig vor, sollte der Kläger – erforderlichenfalls durch einen entsprechenden Beweisantrag – auf eine vollständige Vorlage hinwirken. 29. Hat der Kläger ein Recht auf Einsicht in die Verwaltungsvorgänge?

495

Ja. Nach § 100 Abs. 1 VwGO können die Beteiligten die Gerichtsakten und die dem Gericht vorgelegten Akten einsehen. Von diesem Recht sollte der Kläger stets Gebrauch machen, auch wenn er der Meinung ist, die Akten bereits aufgrund einer Akteneinsicht zu kennen, die er im Verwaltungsverfahren vorgenommen hatte (§ 29 Abs. 1 Satz 1 VwVfG).

496

Es lässt sich nie ausschließen, dass sich aus einer Einsicht in die Verwaltungsvorgänge nach § 100 Abs. 1 VwGO neue Erkenntnisse über das Verwaltungshandeln ergeben, die für den Prozess von Bedeutung sein können. Die Regeln und Gepflogenheiten, wie in den Behörden Akten geführt werden, sind sehr unterschiedlich. So 116

Zweiter Teil: Klagen gegen Verwaltungsakte | Rz. 502 C.

kann es durchaus vorkommen, dass die Verwaltungsvorgänge ganz anders zusammengestellt sind als die Akte, in die der Kläger im Vorfeld des Prozesses Einblick genommen hatte. Dies kann Rückschlüsse auf die Arbeitsweise der Behörde, möglicherweise sogar auf eine Voreingenommenheit gegenüber dem Kläger zulassen, die für den Rechtsstreit von Bedeutung sein können. 30. Welche Regeln gelten für Beweismittel? Da der Untersuchungsgrundsatz gilt (§ 86 Abs. 1 Satz 1 VwGO), ist das Gericht an Beweisangebote und -anträge der Parteien nicht gebunden und muss von Amts wegen den Sachverhalt aufklären und die tatsächlichen Entscheidungsgrundlagen beschaffen.

497

Bei den Beweismitteln verweist § 98 VwGO auf die §§ 358 ff. ZPO. Eine Ausnahme gibt es nur für die zivilprozessualen Beschränkungen der Parteivernehmung (§§ 445 bis 449 ZPO), die im Verwaltungsprozess nicht gelten.

498

31. Welche Rolle spielen Beweisanträge der Parteien? Zur guten Vorbereitung einer mündlichen Verhandlung gehört die Vorbereitung von Beweisanträgen. Denn nach § 86 Abs. 2 VwGO kann ein Beweisantrag, der in der mündlichen Verhandlung gestellt wird, nur durch einen Gerichtsbeschluss abgelehnt werden. Dieser Gerichtsbeschluss muss separat vor einem Urteil erlassen und begründet werden.

499

Prozesstaktik: Ist der Kläger der Auffassung, das Gericht könne den Fall nicht entscheiden, ohne bestimmte Zeugen zu vernehmen, einen Sachverständigen zu bestellen oder die Aufsichtsbehörde zur Vorlage weiterer Akten oder Dokumente zu verpflichten, führt an einem Beweisantrag nach § 86 Abs. 2 VwGO kein Weg vorbei. Dies gilt umso mehr, als eine fehlerhafte Ablehnung eines solchen Beweisantrags im Falle der Klageabweisung für die Berufung oder die Nichtzulassungsbeschwerde von Bedeutung sein kann (vgl. § 124 Abs. 2 Nr. 5 VwGO).

500

32. Gibt es Besonderheiten bei der Beweislast, wenn es um Datenschutz geht? Nein. Zwar liest man immer wieder, dass die Nachweispflicht des Verantwortlichen nach Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) eine „Darlegungs- und Beweislast des Verantwortlichen“ begründe und zu

501

„einer Beweislastumkehr in dem Sinne (führe), dass nicht der Betroffene oder die Aufsichtsbehörde eine Verletzung der DSGVO nachweisen müssen, sondern umgekehrt der Verantwortliche nachweisen muss, dass die Verarbeitung der DSGVO entspricht“ (Heberlein in Ehmann/ Selmayr, DSGVO, 2. Aufl. 2018, Art. 5, Rz. 32). (Hervorhebung hinzugefügt)

Dabei bleibt jedoch völlig offen, in welchem Kontext sich eine solche „Darlegungsund Beweislast“ bzw. „Beweislastumkehr“ bewegen soll. Für die prozessualen Rechte des Klägers ist Art. 5 Abs. 2 DSGVO jedenfalls ohne Bedeutung. Art. 5 Abs. 2 DSGVO wirkt sich auch nicht auf die Verpflichtung des Gerichts aus, den Sachverhalt von Amts wegen aufzuklären (§ 86 Abs. 1 Satz 1 VwGO). 117

502

C. Rz. 503 | Dritter Akt: Gerichtliche Verfahren 503

Verwaltungsgerichtlicher Untersuchungsgrundsatz: Wenn die Aufsichtsbehörde ein Verarbeitungsverfahren für DSGVO-widrig hält und beispielsweise einen Verbotsbescheid nach Art. 58 Abs. 2 lit. f DSGVO erlässt, muss sich das Verwaltungsgericht einen umfassenden Eindruck über dieses Verfahren verschaffen, ohne dass sich Darlegungs- und Beweislastfragen stellen. Sodann ist es die Aufgabe des Gerichts, die DSGVO und andere Rechtsvorschriften auf diesen Sachverhalt anzuwenden. Bei der Rechtsanwendung stellen sich Fragen der Darlegungs- und Beweislast nach keiner Prozessordnung, so dass auch hier nicht ersichtlich ist, welche Bedeutung Art. 5 Abs. 2 DSGVO in diesem Zusammenhang haben soll. – Siehe auch: Erster Akt, Erster Teil, 24. Welche Bedeutung hat die Rechenschaftspflicht für Auskunftsersuchen? Rz. 67 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 35. Kann die Rechenschaftspflicht den Nachweis eines Bußgeldtatbestands erleichtern? Rz. 355 ff. – Siehe auch: Dritter Akt, Dritter Teil, 15. Gibt es im Bußgeldprozess Besonderheiten bei der Beweislast, wenn es um Datenschutz geht? Rz. 545 f.

33. Welche Regeln gelten für die Prozesskosten? 504

Das Verwaltungsgericht trifft in seinem Urteil eine Kostenentscheidung (§ 161 Abs. 1 VwGO).

505

Die Verfahrenskosten trägt stets die unterlegene Partei (§ 154 Abs. 1 VwGO). Hierzu zählen auch stets die (gesetzlichen) Anwaltsgebühren, die angefallen sind (§ 162 Abs. 2 Satz 1 VwGO). 34. Können auch Anwaltsgebühren erstattet werden, die im Verwaltungsverfahren angefallen sind?

506

Nein. Nur soweit ein Vorverfahren stattgefunden hat und das Gericht die Zuziehung eines Bevollmächtigten für das Vorverfahren für notwendig erklärt hat, sind dessen Gebühren und Auslagen erstattungsfähig (§ 162 Abs. 2 Satz 2 VwGO). Ein Vorverfahren findet jedoch nach § 20 Abs. 6 BDSG nicht statt. Gebühren und Auslagen, die im Verwaltungsverfahren angefallen sind, sind nicht erstattungsfähig. 35. Welche Rechtsmittel gibt es im Verwaltungsprozess?

507

Eine Berufung gegen ein Urteil des Verwaltungsgericht bedarf der Zulassung durch das Verwaltungsgericht oder das Oberverwaltungsgericht (§ 124 Abs. 1 VwGO).

508

Zulassungsgründe sind nach § 124 Abs. 2 VwGO – ernstliche Zweifel an der Richtigkeit des erstinstanzlichen Urteils (§ 124 Abs. 2 Nr. 1 VwGO); – besondere tatsächliche oder rechtliche Schwierigkeiten der Rechtssache (§ 124 Abs. 2 Nr. 2 VwGO); – die grundsätzliche Bedeutung der Rechtssache (§ 124 Abs. 2 Nr. 3 VwGO);

118

Zweiter Teil: Klagen gegen Verwaltungsakte | Rz. 514 C.

– die Abweichung des erstinstanzlichen Urteils von einer Entscheidung des OVG, des BVerwG, des Gemeinsamen Senats der obersten Gerichtshöfe des Bundes oder des BVerfG, sofern das erstinstanzliche Urteil auf dieser Abweichung beruht (§ 124 Abs. 2 Nr. 4 VwGO) – ein Verfahrensmangel, der der Beurteilung des Berufungsgerichts unterliegt, auf dem die Entscheidung beruhen kann (§ 124 Abs. 2 Nr. 5 VwGO). Zulassung: Das Verwaltungsgericht kann die Berufung nur wegen grundsätzlicher Bedeutung und wegen Divergenz zulassen (§ 124a Abs. 1 Satz 1 i.V.m. § 124 Abs. 2 Nr. 3 und 4 VwGO). In einem solchen Fall ist das Oberverwaltungsgericht an diese Entscheidung gebunden (§ 124a Abs. 1 Satz 2 VwGO).

509

Antrag auf Zulassung: Lässt das Verwaltungsgericht die Berufung nicht zu, bedarf es eines Zulassungsantrags an das Verwaltungsgericht gem. § 124 Abs. 4 Satz 1 VwGO, über den das Oberverwaltungsgericht durch Beschluss entscheidet (§ 124 Abs. 5 Satz 1 VwGO).

510

Nichtzulassung: Gegen Berufungsurteile des Oberverwaltungsgericht ist die Revision statthaft, wenn das Oberverwaltungsgericht die Revision zulässt (§ 132 VwGO). Wenn das Oberverwaltungsgericht die Revision nicht zulässt, lässt sich die Zulassung der Revision durch eine Nichtzulassungsbeschwerde erwirken (§ 133 VwGO). Für die Revision ist das Bundesverwaltungsgericht zuständig.

511

– Siehe auch: Dritter Akt, Zweiter Teil, 36. Wie können die Parteien eine Zulassung der Berufung durch das Verwaltungsgericht beeinflussen? Rz. 512 ff. – Siehe auch: Dritter Akt, Zweiter Teil, 37. Wie kommt ein Fall zum Europäischen Gerichtshof? Rz. 515 f. – Siehe auch: Dritter Akt, Zweiter Teil, 38. Wie kommt ein Fall zum Bundesverfassungsgericht? Rz. 517

36. Wie können die Parteien eine Zulassung der Berufung durch das Verwaltungsgericht beeinflussen? Über die Zulassung der Berufung entscheidet das Verwaltungsgericht von Amts wegen, ohne dass es eines Zulassungsantrages einer Partei bedarf (§ 124a Abs. 1 Satz 1 VwGO). Dies hindert die Parteien indes nicht daran, dem Verwaltungsgericht darzulegen, weshalb seine Entscheidung grundsätzliche Bedeutung hat oder von Entscheidungen höherer Gerichte abweicht (§ 124 Abs. 2 Nr. 3 und 4 VwGO).

512

Von erheblicher Bedeutung für datenschutzrechtliche Fälle ist der Zulassungsgrund der grundsätzlichen Bedeutung (§ 124 Abs. 2 Nr. 3 VwGO), der immer dann vorliegen wird, wenn für die Entscheidung die Auslegung einer Bestimmung der DSGVO maßgeblich ist. Solange es wenig bis gar keine Rechtsprechung zu derartigen Auslegungsfragen gibt, liegt eine Zulassung wegen grundsätzlicher Bedeutung nahe.

513

Rechtsgrundsätzliche Bedeutung hat die Sache, wenn zu erwarten ist, dass die Entscheidung im Berufungsverfahren dazu führen kann, die Rechtseinheit in ihrem Bestand zu erhalten oder die Weiterbildung des Rechts zu fördern. Die Sache muss eine

514

119

C. Rz. 514 | Dritter Akt: Gerichtliche Verfahren

noch nicht geklärte Frage aufwerfen, deren Klärung im allgemeinen Interesse liegt. Das kann dann der Fall sein, wenn die Klärung der Zweifelsfrage mit Rücksicht auf die Wiederholung ähnlicher Fälle erwünscht ist. Bei § 124 Abs. 2 Nr. 3 VwGO geht es um Allgemeininteressen, nämlich um die Interessen an der Rechtseinheit und der Rechtsfortbildung (Rudisile in Schoch/Schneider/Bier, VwGO, Stand Juli 2019, § 124 Rz. 30). 37. Wie kommt ein Fall zum Europäischen Gerichtshof? 515

Nach Art. 267 Abs. 2 AEUV kann jedes Gericht dem EuGH eine Frage zur Auslegung der DSGVO zur Vorabentscheidung vorlegen. Als letztinstanzliches Gericht ist das Bundesverwaltungsgericht hierzu nach Art. 267 Abs. 3 AEUV sogar verpflichtet, wenn das Bundesverwaltungsgericht der Meinung ist, dass es für seine Entscheidung auf die Auslegung einer Bestimmung der DSGVO ankommt.

516

Eine Vorlage an den EuGH zur Vorabentscheidung bedarf keiner Anträge der Prozessparteien. Dennoch kann es für den Kläger sinnvoll sein, eine solche Vorlage anzuregen, wenn sich der Kläger hiervon eine Entscheidung des EuGH erhofft, die seine Erfolgsaussichten im Prozess erhöht. 38. Wie kommt ein Fall zum Bundesverfassungsgericht?

517

In seiner „Recht auf Vergessen II“-Entscheidung hat das Bundesverfassungsgericht sich für zuständig erklärt, über Verstöße gegen europäische Grundrechte bei der Anwendung europäischen Rechts selbst zu entscheiden (BVerfG v. 6.11.2019 – 1 BvR 276/17, Rz. 50 ff.). Dies eröffnet den Weg zum Bundesverfassungsgericht in Fällen, in denen eine Anfechtungsklage gegen einen Bescheid einer Datenschutzbehörde rechtskräftig abgewiesen wurde und sich die Frage stellt, ob der Bescheid den Kläger in seinen Grundrechten verletzt – etwa in seiner Freiheit der Meinungsäußerung und Information (Art. 11 GRCh) oder in seiner unternehmerischen Freiheit (Art. 16 GRCh).

120

Dritter Teil: Einspruch gegen Bußgeldbescheide | Rz. 524 C.

III. Dritter Teil: Einspruch gegen Bußgeldbescheide Wer einen Bußgeldbescheid erhalten hat, wird das Bußgeld nicht immer bezahlen wollen. Der Rechtsweg führt dann nicht vor die Verwaltungsgerichte, sondern vor die Strafgerichte, für die ganz eigene Verfahrensregeln gelten.

518

– Siehe auch: Erster Akt, Dritter Teil: Bußgeldverfahren, Rz. 174–207 – Siehe auch: Zweiter Akt, Zweiter Teil: Bußgelder, Rz. 284–398

1. Welche Frist gilt für den Einspruch und an wen ist der Einspruch zu richten? Nach § 67 Abs. 1 OWiG kann der Betroffene, gegen den ein Bußgeldbescheid erlassen wurde, innerhalb von zwei Wochen nach Zustellung schriftlich oder zur Niederschrift bei der Aufsichtsbehörde, die den Bußgeldbescheid erlassen hat, Einspruch einlegen.

519

Richtige Adressatin des Einspruchs ist somit die Aufsichtsbehörde, nicht das Amtsoder Landgericht.

520

– Siehe auch: Dritter Akt, Dritter Teil, 3. Hat der Einspruch aufschiebende Wirkung? Rz. 523 – Siehe auch: Dritter Akt, Dritter Teil, 7. Muss der Einspruch begründet werden? Rz. 528

2. Welches Strafgericht ist zuständig? Bußgeldhöhe: Für die Entscheidung über den Einspruch entscheidet das Landgericht, wenn die festgesetzte Geldbuße den Betrag von 100.000 € übersteigt. Für die Entscheidung über den Einspruch gegen Bußgelder bis zu 100.000 € ist das Amtsgericht zuständig (§ 41 Abs. 1 Satz 3 BDSG i.V.m. § 68 OWIG).

521

Örtlich zuständig ist das Amts- oder Landgericht, in dessen Bezirk die Aufsichtsbehörde, die den Bußgeldbescheid erlassen hat, ihren Sitz hat (§ 68 Abs. 1 Satz 1 OWiG).

522

3. Hat der Einspruch aufschiebende Wirkung? Ja. Bußgeldentscheidungen sind erst vollstreckbar, wenn sie rechtskräftig geworden sind (§ 89 OWiG). Die Vollstreckbarkeit der Bußgeldentscheidung ist somit vom Eintritt der formellen Rechtskraft abhängig; die zu vollstreckende Bußgeldentscheidung muss unanfechtbar sein. Unanfechtbar ist die Entscheidung, wenn ein Rechtsmittel oder Rechtsbehelf nicht statthaft ist, wenn alle Anfechtungsberechtigten die Anfechtungsfrist ungenutzt haben verstreichen lassen oder einen Rechtsmittelverzicht erklärt bzw. ein bereits eingelegtes Rechtsmittel zurückgenommen haben, oder wenn das Rechtsmittel oder der Rechtsbehelf letztinstanzlich verworfen worden ist (Mitsch in Karlsruher Kommentar, 5. Aufl. 2018, § 89 OWiG, Rz. 39).

523

4. Besteht Anwaltszwang? Nein. Der Betroffene kann den Einspruch selbst einlegen und auch das gesamte Einspruchsverfahren selbst führen. 121

524

C. Rz. 525 | Dritter Akt: Gerichtliche Verfahren

5. Wer kann den Betroffenen im Einspruchsverfahren vertreten? 525

Dies ist in § 46 Abs. 1 OWiG i.V.m. § 138 StPO geregelt.

526

Zu Verteidigern können Rechtsanwälte und Hochschullehrer mit Befähigung zum Richteramt (Zweite Juristische Staatsprüfung) gewählt werden (§ 138 Abs. 1 StPO). Andere Personen können nur mit Genehmigung des Gerichts gewählt werden (§ 138 Abs. 2 StPO). Über eine Genehmigung nach § 138 Abs. 2 StPO entscheidet das Gericht nach pflichtgemäßem Ermessen. Dabei muss das Gericht das Interesse des Beschuldigten an der Zulassung einer Vertrauensperson gegen das allgemeine Interesse an der Wahrung der Belange der Rechtspflege abwägen (Wessing in Graf, BeckOK, Stand: 1.1.2020, § 138 Rz. 13). 6. Welche Bedeutung hat das Verbot der Mehrfachverteidigung?

527

Das Verbot der Mehrfachverteidigung (§ 46 Abs. 1 OWiG i.V.m. § 146 StPO) schließt es aus, dass ein Anwalt mehrere Betroffene in einem Bußgeldverfahren vertritt. Mehrere Anwälte einer Kanzlei können allerdings mehrere Betroffene (und damit auch eine juristische Person und dessen Organe oder Mitarbeiter) in einem Bußgeldverfahren verteidigen (Willnow in Karlsruher Kommentar, 8. Aufl. 2019, § 146 StPO Rz. 9). 7. Muss der Einspruch begründet werden?

528

Nein, eine Begründung ist nicht vorgeschrieben. Gleichwohl ist eine Begründung oft ratsam, da die Aufsichtsbehörde nach § 69 Abs. 2 Satz 1 OWiG verpflichtet ist, sich mit den Einwänden gegen den Bußgeldbescheid inhaltlich zu befassen. Nach dem Willen des Gesetzgebers hat die Verwaltungsbehörde den Betroffenen (erneut) anzuhören, wenn unklar ist, ob oder mit welchem Inhalt sich der Betroffene im weiteren Verfahren einlassen will (BT-Drucks. 10/2652 S. 17). Folglich kann die Begründung im Zweifelsfall auch nachgereicht werden. 8. Welche Verpflichtungen hat die Aufsichtsbehörde nach Eingang des Einspruchs?

529

Unzulässig: Ist der Einspruch nicht rechtzeitig, nicht in der vorgeschriebenen Form oder sonst nicht wirksam eingelegt, so verwirft ihn die Aufsichtsbehörde als unzulässig (§ 70 Abs. 1 Satz 1 OWiG). Gegen den Bescheid ist innerhalb von zwei Wochen nach Zustellung der Antrag auf gerichtliche Entscheidung nach § 62 OWiG zulässig. Für die Entscheidung ist das Strafgericht zuständig, das auch über den Einspruch entscheidet (Amts- oder Landgericht, § 41 Abs. 1 Satz 3 BDSG i.V.m. § 68 und § 62 Abs. 2 OWiG).

530

Zulässig: Ist der Einspruch zulässig, so darf die Aufsichtsbehörde den Einspruch nicht einfach an die Staatsanwaltschaft weiterleiten. Die Behörde ist vielmehr zu einer (erneuten) inhaltlichen Prüfung des Bußgeldbescheids verpflichtet unter Berücksichtigung der Einwände, die der Betroffene ggf. gegen den Bescheid vorgebracht hat (§ 69 Abs. 2 Satz 1 OWiG). Die Behörde kann zudem weitere Ermittlungen vor122

Dritter Teil: Einspruch gegen Bußgeldbescheide | Rz. 536 C.

nehmen und von anderen Behörden und sonstigen Stellen die Abgabe von Erklärungen über dienstliche Wahrnehmungen, Untersuchungen und Erkenntnisse (§ 77a Abs. 2 OWiG) verlangen (§ 69 Abs. 2 Satz 2 OWiG). Der genaue Prüfungsumfang liegt im pflichtgemäßen Ermessen der Aufsichtsbehörde. Sie hat dabei auf der einen Seite die Verurteilungswahrscheinlichkeit aufgrund des bisherigen Ermittlungsergebnisses, auf der anderen Seite die Prozessökonomie und den möglicherweise drohenden Verjährungseintritt im Auge zu behalten. Stellt die Verwaltungsbehörde aufgrund des Vortrags im Einspruch umfangreiche weitere Ermittlungen an, müssen diese der Sache angemessen sein und mit der notwendigen Beschleunigung betrieben werden (Gertler in Graf, BeckOK, Stand 1.1.2020, § 69 OWiG, Rz. 19).

531

Akte an Staatsanwaltschaft: Die Aufsichtsbehörde übersendet die Akten über die Staatsanwaltschaft an das Amtsgericht, wenn sie den Einspruch nicht als unzulässig verwirft (§ 69 Abs. 1 Satz 1 OWiG) und den Bußgeldbescheid nicht zurücknimmt (§ 69 Abs. 3 Satz 1 OWiG).

532

9. Welche Regeln gelten eigentlich für die Verjährung? Dauer & Beginn: Für die Verfolgungsverjährung gilt eine Verjährungsfrist von drei Jahren (§ 41 Abs. 1 BDSG i.V.m. § 31 Abs. 2 Nr. 1 OWiG). Die Verjährung beginnt aber erst, sobald die Handlung beendet ist. Tritt ein zum Tatbestand gehörender Erfolg erst später ein, so beginnt die Verjährung sogar erst mit diesem Zeitpunkt (§ 31 Abs. 3 OWiG).

533

Für eine Datenpanne etwa, die am 25.5.2018 geschehen ist (und beendet war), bedeutet dies, dass die Verjährung am 25.5.2021 eintritt (vgl. Gertler in Graf, BeckOK, Stand 1.1.2020, § 31 OWiG, Rz. 50 f.).

534

Unterbrechung & Ruhen: Die Verjährungsfrist wird durch Ermittlungshandlungen nach Maßgabe des § 33 OWiG unterbrochen, wobei sich hierdurch die Frist auf maximal sechs Jahre verlängern kann (§ 33 Abs. 3 OWiG). Bestimmungen über das Ruhen der Verjährung finden sich zudem in § 32 OWiG.

535

10. Wie verfahren die Staatsanwaltschaft und das Gericht im Zwischenverfahren? Mit dem Eingang der Akten bei der Staatsanwaltschaft gehen die Aufgaben der Verfolgungsbehörde auf sie über. Die Staatsanwaltschaft kann sodann das Verfahren (mit der Zustimmung der Aufsichtsbehörde, die den Bußgeldbescheid erlassen hat, § 41 Abs. 2 Satz 3 BDSG) einstellen oder weitere Ermittlungen durchführen (§ 69 Abs. 4 OWiG). Bei offensichtlich ungenügender Aufklärung des Sachverhalts kann zudem das Gericht die Sache mit Zustimmung der Staatsanwaltschaft an die Aufsichtsbehörde zurückverweisen. Verneint der Richter beim Amtsgericht bei erneuter Übersendung zum zweiten Mal den hinreichenden Tatverdacht einer Ordnungswidrigkeit, so kann er die Sache durch unanfechtbaren Beschluss endgültig an die Aufsichtsbehörde zurückgeben (§ 69 Abs. 5 OWiG). Mit der erneuten Rückgabe ist das 123

536

C. Rz. 536 | Dritter Akt: Gerichtliche Verfahren

Verfahren endgültig beendet (vgl. Ellbogen in Karlsruher Kommentar, 5. Aufl. 2018, § 69 OWiG, Rz. 128). 11. Welche Möglichkeiten bietet das Zwischenverfahren für die Verteidigung? 537

Im Zwischenverfahren können sowohl die Aufsichtsbehörde als auch die Staatsanwaltschaft und das Gericht verfahrensbeendigende Maßnahmen ergreifen. Daher empfiehlt es sich, in diesem Verfahrensstadium mit allen Beteiligten so intensiv wie möglich zu kommunizieren, um das Bußgeld abzuwenden und das Verfahren zu beenden. 12. Welche Möglichkeiten der Verfahrenseinstellung gibt es?

538

Staatsanwaltschaft: Nach § 69 Abs. 4 Satz 2 OWiG kann die Staatsanwaltschaft das Verfahren einstellen. Die Einstellung des Verfahrens durch die Staatsanwaltschaft ist Pflicht bei fehlender gerichtlicher Ahndungswahrscheinlichkeit gem. §§ 46 Abs. 1 OWiG i.V.m. § 170 Abs. 2 StPO. Diese Entscheidung erfolgt, wenn die Tat nicht ahndbar ist, formelle Gründe der Ahndbarkeit entgegenstehen oder die Tat vor Gericht nicht bewiesen werden kann (Ellbogen in Karlsruher Kommentar, 5. Aufl. 2018, § 69 OWiG, Rz. 99). Allerdings bedarf die Einstellung der Zustimmung der Aufsichtsbehörde, die den Bußgeldbescheid erlassen hat (§ 41 Abs. 2 Satz 3 BDSG).

539

Gericht: Wenn die Staatsanwaltschaft das Verfahren weder einstellt noch weitere Ermittlungen anstellt, legt sie die Akten dem Gericht vor (§ 69 Abs. 4 Satz 2 OWiG). Mit der Aktenvorlage geht die Verfahrensherrschaft auf das Gericht über. Allein das Gericht ist ab diesem Zeitpunkt befugt, das Bußgeldverfahren einzustellen. Hält das Gericht eine Ahnung nicht für erforderlich, kann es das Verfahren mit Zustimmung der Staatsanwaltschaft jederzeit einstellen (§ 47 Abs. 2 Satz 1 OWiG). 13. Kann eine Verfahrenseinstellung von der Zahlung eines Geldbetrages an eine gemeinnützige Organisation abhängig gemacht werden?

540

Nein. Diese Option (vgl. § 153a Abs. 1 Satz 2 StPO) ist im Bußgeldverfahren ausgeschlossen (§ 47 Abs. 3 OWiG). 14. Welche Regeln gelten für die Verfahrenskosten?

541

Jeder Bußgeldbescheid muss eine Entscheidung über die Kostentragungspflicht enthalten (§ 105 Abs. 1 OWiG i.V.m. § 464 Abs. 1 StPO). Im aufsichtsbehördlichen Verfahren bemisst sich die Gebühr nach der Geldbuße, die gegen den Betroffenen im Bußgeldbescheid festgesetzt ist. Die Gebühr beträgt 5 Prozent der festgesetzten Geldbuße, maximal jedoch 7.500 € (§ 107 Abs. 1 Satz 1 und 3 OWiG).

542

Im Zwischenverfahren: Wird der Bußgeldbescheid zurückgenommen oder das Verfahren durch die Verwaltungsbehörde eingestellt oder zurückgenommen, ist für die Kostenentscheidung § 105 OWiG einschlägig, bei Einstellung durch die Staatsanwaltschaft § 108a OWiG. 124

Dritter Teil: Einspruch gegen Bußgeldbescheide | Rz. 547 C.

Im gerichtlichen Verfahren sind Urteile, Beschlüsse nach § 72 OWiG und Einstellungsbeschlüsse nach § 47 Abs. 2 OWiG mit einer Kostenentscheidung zu versehen (vgl. Hadamitzky in Karlsruher Kommentar, 5. Aufl. 2018, § 105 OWiG, Rz. 16).

543

Die Entscheidung darüber, wer die notwendigen Auslagen trägt, trifft das Gericht in dem Urteil oder in dem Beschluss, der das Verfahren abschließt (§ 105 Abs. 1 OWiG i.V.m. § 464 Abs. 2 StPO). Zu den notwendigen Kosten zählen auch die Gebühren und Auslagen eines Rechtsanwalts, soweit sie nach § 91 Abs. 2 ZPO zu erstatten sind (§ 464a Abs. 2 Nr. 2 StPO). Von der Staatskasse zu erstatten sind somit die sich nach dem Rechtsanwaltsvergütungsgesetz (RVG) bemessenden gesetzlichen Gebühren und Auslagen des Anwalts, wenn der Einspruch erfolgreich ist. Bei einem Teilerfolg können die notwendigen Auslagen nach Bruchteilen verteilt werden (§ 464d StPO).

544

15. Gibt es im Bußgeldprozess Besonderheiten bei der Beweislast, wenn es um Datenschutz geht? Sowohl nach Art. 48 Abs. 1 GRCh als auch nach Art. 6 Abs. 2 EMRK gilt die Unschuldsvermutung, die jegliche Beweislastumkehr in einem Bußgeldverfahren ausschließt. Die Unschuldsvermutung ist zudem eine besondere Ausprägung des Rechtsstaatsprinzips (Art. 20 Abs. 3 GG) und hat damit auch nach dem Grundgesetz Verfassungsrang (BVerfG v. 26.3.1987, 2 BvR 589/79, 2 BvR 740/81, 2 BvR 284/85, Rz. 35).

545

Die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) ändert an der Unschuldsvermutung nichts, zumal es sich um eine einfachgesetzliche Vorschrift des europäischen Rechts handelt, der Art. 48 Abs. 1 GRCh als höherrangiges Recht vorgeht. Aus der Rechtsprechung des EuGH zur Haftung der Muttergesellschaft für Kartellvergehen ihrer Tochtergesellschaft lässt sich nichts Gegenteiliges ableiten, da diese Rechtsprechung die Unschuldsvermutung nicht in Zweifel zieht (EuGH v. 18.7.2013 – C-501/ 11, Rz. 108) und sich lediglich mit einer Beweisregel, nicht jedoch allgemein mit Fragen der Beweislastverteilung im kartellrechtlichen Bußgeldverfahren befasst.

546

– Siehe auch: Erster Akt, Erster Teil, 24. Welche Bedeutung hat die Rechenschaftspflicht für Auskunftsersuchen? Rz. 67 ff. – Siehe auch: Zweiter Akt, Zweiter Teil, 35. Kann die Rechenschaftspflicht den Nachweis eines Bußgeldtatbestands erleichtern? Rz. 355 ff. – Siehe auch: Dritter Akt, Zweiter Teil, 32. Gibt es Besonderheiten bi der Beweislast, wenn es um Datenschutz geht? Rz. 501 ff.

16. Welche Rechtsmittel gibt es im Bußgeldprozess? Der einzige Rechtsbehelf ist die Rechtsbeschwerde nach § 79 OWiG. Für die Rechtsbeschwerde und das weitere Verfahren finden die §§ 333 ff. StPO (Revision) entsprechende Anwendung (§ 79 Abs. 3 Satz 1 OWiG). Die Rechtsbeschwerde muss binnen einer Woche nach Verkündung des Urteils zu Protokoll der Geschäftsstelle oder schriftlich eingelegt (§ 341 Abs. 1 StPO) und innerhalb eines weiteren Monats begründet werden (§ 344 StPO).

125

547

C. Rz. 548 | Dritter Akt: Gerichtliche Verfahren 548

Zuständig für die Rechtsbeschwerde sind die Bußgeldsenate der Oberlandesgerichte (vgl. § 80a OWiG). Es handelt sich um keine Tatsacheninstanz. Die Bußgeldsenate prüfen lediglich Rügen der Verletzung von Verfahrensvorschriften und anderen Rechtsnormen (§ 344 Abs. 2 StPO). Die Senate entscheiden grundsätzlich ohne mündliche Verhandlung durch Beschluss. Wenn sich allerdings die Rechtsbeschwerde gegen ein Urteil (und nicht gegen einen Beschluss nach § 72 OWiG) richtet, kann das Beschwerdegericht auch eine Hauptverhandlung anberaumen und durch Urteil entscheiden (§ 79 Abs. 5 OWiG). 17. Wie kommt ein Fall zum Europäischen Gerichtshof oder zum Bundesverfassungsgericht?

549

Rechtliches Gehör: Nach Art. 267 Abs. 2 AEUV kann jedes Gericht dem EuGH eine Frage zur Auslegung der DSGVO zur Vorabentscheidung vorlegen. Als letztinstanzliches Gericht ist jedes Oberlandesgericht hierzu nach Art. 267 Abs. 3 AEUV sogar verpflichtet, wenn es der Auffassung ist, dass es für seine Entscheidung auf die Auslegung einer Bestimmung der DSGVO ankommt.

550

Grundrechtsverletzung: Nach der „Recht auf Vergessen II“-Entscheidung des Bundesverfassungsgerichts (BVerfG v. 6.11.2019 – 1 BvR 276/17, Rz. 50 ff.) kommt auch stets eine Verfassungsbeschwerde beim Bundesverfassungsgericht in Betracht, wenn Einspruch und Rechtsbeschwerde erfolglos bleiben und der Betroffene der Auffassung ist, durch den Bußgeldbescheid und die gerichtlichen Entscheidungen in seinen Grundrechten verletzt zu sein. 18. Wie wird ein Bußgeld beigetrieben?

551

Wird das rechtskräftig festgesetzte Bußgeld nicht freiwillig bezahlt, bedarf es einer Vollstreckung des Bußgelds nach § 90 Abs. 1 OWiG i.V.m. §§ 1 VwVG. Die Vollstreckung wird durch eine Vollstreckungsanordnung eingeleitet (§ 3 Abs. 1 VwVG). Die Aufsichtsbehörde, die den Bußgeldbescheid erlassen hat, ist zugleich Vollstreckungsbehörde (§ 92 OWiG). Die Vollstreckung erfolgt auf der Grundlage der Vollstreckungsvorschriften der Abgabenordnung (AO, § 5 Abs. 1 VwVG).

126

Vierter Teil: Klagen gegen öffentliche Äußerungen | Rz. 556 C.

IV. Vierter Teil: Klagen gegen öffentliche Äußerungen Auch wenn sich für die Öffentlichkeitsarbeit der Aufsichtsbehörden weder in der DSGVO noch im BDSG oder in den Landesdatenschutzgesetzen ausführliche Rechtsgrundlagen finden lassen, bewegt sich die Öffentlichkeitsarbeit nicht im rechtsfreien Raum. Wer sich von „Blaming“ und „Shaming“ durch eine Behörde in seinen Rechten verletzt sieht, kann sich dagegen durch eine verwaltungsgerichtliche Klage wehren.

552

– Siehe auch: Zweiter Akt, Dritter Teil: Öffentlichkeitsarbeit, Rz. 399–407

1. Welches Gericht ist zuständig? Zuständig sind nach § 40 Abs. 1 Satz 1 VwGO die Verwaltungsgerichte, da es sich um behördliches Informationshandeln im Zusammenhang mit der Erfüllung öffentlicher Aufgaben handelt (Ehlers/Schneider in Schoch/Schneider/Bier, VwGO, Stand Juli 2019, § 40 Rz. 433).

553

2. Wie können die Klageanträge lauten? In Betracht kommt eine allgemeine Leistungsklage auf Unterlassung und/oder Widerruf von Äußerungen (vgl. VG Köln v. 1.3.1999 – 20 L 3757/98). Auch eine Feststellungsklage nach § 43 VwGO ist zulässig und scheitert nicht an der Subsidiarität der Feststellungsklage (§ 43 Abs. 2 VwGO, vgl. Möstl in Posser/Wolff, BeckOK, Stand 1.4.2019, § 43 VwGO, Rz. 15).

554

3. Gibt es Besonderheiten, wenn es um Äußerungen in einem Tätigkeitsbericht der Behörde geht? Nein, hier gibt es keine Besonderheiten. Wird ein Unternehmen oder eine Organisation in einem Tätigkeitsbericht angeprangert, kommt eine Unterlassungsklage ebenso in Betracht wie eine Klage auf Widerruf der Aussagen aus dem Tätigkeitsbericht (Folgebeseitigung, vgl. OVG Bautzen v. 2.5.2001 – 2 BS 346/00, Rz. 5).

555

4. Wann kommt einstweiliger Rechtsschutz in Betracht? Wie im privaten Äußerungsrecht ist die Dringlichkeit auch im öffentlichen Äußerungsrecht die Regel und nicht die Ausnahme. Daher wird es im Normalfall nicht an einem Grund für eine einstweilige Anordnung nach § 123 Abs. 1 VwGO fehlen.

127

556

128

Stichwortverzeichnis Die Zahlen bezeichnen die Randzahlen. Ablehnungsbescheid 283 Adressat 10 Akten 203, 491 ff. – Akteneinsicht 29 ff., 97 f., 200 Allgemeine Leistungsklage 421 ff., 554

Beweismittel 472, 497 – Beweisanträge 499 Bußgeldverfahren 174 ff., 273, 284 ff. Cloud-Dienste 168

Anfangsverdacht 180

Datenpanne 188 ff., 350, 370

Anfechtungsklage 28, 101 ff., 161, 270, 444, 449 ff. – Anwaltszwang 458

Datenschutzbeauftragter 119 ff. – Auskunft 10, 132 – Datenschutzverstoß 365 – Rechte – Verpflichtung – Vertretung 120, 463

Auflagen 206 ff. Aufschiebende Wirkung – Einspruch 523 – Klage 481 ff. Aufsichtsbehörden 2 ff. – Abhilfebefugnisse 210, 276 – Befugnisse 6 f. – Untersuchungsbefugnisse 6, 61 – Verweigerung der Akteneinsicht 38 Auskunftsersuchen 2 ff. – Anlass 17 – Erforderlich 50 f. – Geschäftsgeheimnisse 39, 99 – Grenzen 45 ff. – Herausgabe von Unterlagen 104 ff. – Maßnahmen 100 ff. – Selbstbelastungsfreiheit 73 ff. – Sofortige Vollziehung 70 ff. – Verwaltungsakt 18 ff.

Einspruch 518 ff. Einstweiliger Rechtsschutz 485, 556 Ersatzvornahme 262 Feststellungsinteresse 433 ff. Feststellungsklage 431 ff., 440 Geschäftsgeheimnisse 39, 99, 170 Kooperationsverpflichtung 63 Kosten – Prozesskosten 504 – Verfahrenskosten 541 Maßnahmen 208 ff. – Ersatzzwangshaft 102 – Zwangsgeld 101 – Zwangsmittel 100

Auskunftsverweigerungsrecht 23, 73 ff., 112, 129, 133, 196 ff. – Juristische Personen 84 ff. – Unternehmen 87 ff.

Mehrfachverteidigung 185

Betroffenenrecht 184 ff.

Nachschaurechte 139 ff.

Bestimmtheitsgebot 46 ff.

129

Stichwortverzeichnis

Öffentliche Äußerungen 399 ff. – Klagen gegen öffentliche Äußerungen 552

Untätigkeitsklage 411 ff.

Opportunitätsprinzip 180, 205

Verhältnismäßigkeit, 51, 57, 137, 149 ff., 158, 215 ff., 406

Ordnungswidrigkeiten 174 ff. – Ordnungswidrigkeitenrecht (OWiG) 176 f., 179 f., 319 ff. – Ordnungswidrigkeitentatbestände 180 ff., 292, 306 – Ordnungswidrigkeitenverfahren 174 ff., 528 – Unternehmen 360 ff. Rechenschaftspflicht 67 f., 355 Rechtsbehelfsbelehrung 23, 245, 256, 389 Rechtsmittel 507 ff., 547 Rechtsschutz 28, 161 Schuldgrundsatz 312 ff. Sofortige Vollziehung 70 ff., 247 ff. Streitwert 468 ff. Tatsachen 52 ff., 328 ff., 473 ff., 478 ff. – Rechtsfragen 54 – Tatsachenfragen 53, 353, 372, 392

130

Verbotsbescheid, 228 ff

Verwaltungsakt 18 ff., 27 – Indizien 23 Verwendungsverbot 76 ff., 371 ff. Verwertungsverbot 76, 189, 190, 197 f. Vollziehungsinteresse, besonderes 71 f., 250 ff. Vor-Ort-Prüfung 128 ff. Vorverfahren 444 Zugangsrecht 137 ff., 168 ff. Zurechnung 318, im OWiG (§ 30, 130 OWiG) 318, 328 ff., 346 ff. Zutrittsrecht 164 ff. Zwischenverfahren 115 f.