Verwaltungsgericht Ansbach (Bayern, Verwaltungsgerichtsbarkeit)
Urteil vom 2024-06-12, Aktenzeichen AN 14 K 20.00941

Tenor:
1. Der Beklagte wird verurteilt, unter Aufhebung der Abschlussmitteilung vom 24. März 2020 gegen den Beigeladenen eine Abhilfemaßnahme nach Art. 58 Abs. 2 DS-GVO zu ergreifen.
2. Der Beklagte trägt die Kosten des Verfahrens. Der Beigeladene trägt seine außergerichtlichen Kosten selbst.
3. Das Urteil ist hinsichtlich der Kosten vorläufig vollstreckbar.
Der Beklagte kann die Vollstreckung durch Sicherheitsleistung oder Hinterlegung in Höhe der festgesetzten Kosten abwenden, wenn nicht die Klägerin vor der Vollstreckung Sicherheit in gleicher Höhe leistet.

Tatbestand:
Die Klägerin begehrt das Tätigwerden des beklagten Bayerischen Landesamtes für Datenschutzaufsicht (Landesamt) gegen den Beigeladenen.
Die Klägerin nahm an einem durch … (den Beigeladenen) im Januar 2020 veranstalteten, dreitägigen Seminar („…“) teil, reiste allerdings bereits vor Seminarende ab. Im Nachgang führte die Klägerin mit dem Beigeladenen streitigen E-Mail-Verkehr. In dessen Rahmen übersandte der Beigeladene der Klägerin als Anhang eine Tabelle, in der die Teilnehmenden des Seminars aufgelistet wurden, und in der vermerkt war, wer bereits einen Tag früher anreisen wollte, und aus der die gebuchten Zimmerkategorien und die etwaige Buchung eines Frühstücks hervorgingen.
Mit E-Mail vom 22. Januar 2020 an die auf der Webseite des Beigeladenen angegebene Kontaktmailadresse forderte die Klägerin den Beigeladenen zur unverzüglichen Erteilung einer Auskunft über alle über sie gespeicherten personenbezogenen Daten auf, insbesondere zur Berechtigung des Beigeladenen zur Datenspeicherung, zu Zeitpunkt, Empfänger und Zweck der Weiterleitung von Daten sowie zu welchen Zwecken der Beigeladene ihre Daten genutzt habe.
Am 15. Februar 2020 legte die Klägerin bei dem beklagten Landesamt per E-Mail eine Beschwerde wegen einer Datenschutzverletzung durch den Beigeladenen ein wegen missbräuchlicher Nutzung von persönlichen Daten von Teilnehmern eines Seminars und Nichtauskunft über die Verwendung von Daten der Klägerin. Aus der durch den Beigeladenen übersandten Teilnehmerliste des Seminars sei neben den Namen auch die gebuchte Zimmerkategorie ersichtlich, aus der Rückschlüsse auf die finanzielle Situation der Teilnehmer gezogen werden könnten. Sie habe daraufhin Zweifel in Bezug auf die Verwendung der eigenen Daten durch den Beigeladenen bekommen und diesen bereits selbst um die Erteilung der Auskunft über die Verwendung ihrer personenbezogenen Daten gebeten, jedoch hierauf keine Antwort erhalten.
Das Landesamt forderte den Beigeladenen mit Schreiben vom 6. März 2020 dazu auf, der Klägerin die ihr nach Art. 15 DS-GVO zustehende Auskunft zu erteilen, soweit die personenbezogenen Daten nicht gelöscht seien, was plausibel darzustellen sei und gegenüber dem Landesamt bestätigt werden müsse.
Mit Schreiben an das Landesamt vom 12. März 2020 teilte … mit, er habe die Adressdaten der Klägerin gelöscht. Nur ihre E-Mail-Adresse habe er noch gespeichert, da sie ein Anrecht auf den Bezug von Leistungen im Rahmen des Biographiekurses habe. Sofern die Klägerin den Kurs kündige, werde er die E-Mail-Adresse der Klägerin löschen, ansonsten werde die E-Mail-Adresse nach dem Versand des letzten Kursbriefes gelöscht. Der Versand der Kurs-Teilnehmerliste an die Klägerin sei ein Versehen gewesen und komme in Zukunft nicht mehr vor.
Das Landesamt übersandte der Klägerin daraufhin am 24. März 2020 per E-Mail eine Abschlussmitteilung. Der Beigeladene sei nochmals aufgefordert worden, der Klägerin die beantragte Auskunft zu erteilen. Nach pflichtgemäßem Ermessen habe man davon abgesehen, sonstige aufsichtsrechtliche Maßnahmen nach Art. 58 Abs. 2 DSGVO zu ergreifen, und betrachte die Angelegenheit als erledigt. Mit Schreiben vom selben Tag bat das Landesamt den Beigeladenen, der Klägerin die gewünschte Auskunft nach Art. 15 DSGVO unter Nutzung eines Musters für gute Auskunft mitzuteilen.
In Antwort auf die Abschlussmitteilung bat die Klägerin mit E-Mail vom 24. März 2020 das Landesamt um Mitteilung, was sie noch tun könne, um die Auskunft zu erhalten, falls auch die erneute Aufforderung des Landesamts an den Beigeladenen nicht greife. Das Landesamt antwortete mit E-Mail vom selben Tag, die Klägerin dürfe sich gerne wieder an das Landesamt wenden, falls die Mitteilung des Beigeladenen nicht innerhalb von vier Wochen bei ihr eintreffe.
Mit E-Mail an den Beigeladenen vom 4. April 2020 verlangte die Klägerin von ihm innerhalb der nächsten Woche eine allumfängliche Datenauskunft. Dieser teilte der Klägerin daraufhin mit E-Mail vom 5. April 2020 mit, er habe ihr per E-Mail mehrfach die Auskunft gegeben, dass er keine Daten der Klägerin mehr speichere außer der E-Mail-Adresse. Am selben Tag übersandte der Beigeladene der Klägerin den „…“ und erklärte, er lösche die E-MailAdresse der Klägerin aus dem Versandsystem des Kurses.
Mit E-Mail vom 5. April 2020 an das Landesamt stellte die Klägerin klar, es gehe ihr nicht um die …, sondern um ihre Daten und die Frage, welche Daten der Beigeladene wann wohin geschickt habe und welches Einverständnis er dafür gehabt habe. Die Klägerin teilte dem Landesamt am 17. April 2020 mit, sie habe die gewünschte Auskunft vom Beigeladenen bisher nicht erhalten. Sie habe das Landesamt auch nicht gebeten, für die Löschung ihrer Daten zu sorgen.
Mit Schreiben vom 20. April 2020 führte das Landesamt gegenüber der Klägerin aus, mit der Erklärung des Beigeladenen, in der Vergangenheit Daten der Klägerin verarbeitet und diese zwischenzeitlich gelöscht zu haben, habe dieser das Auskunftsersuchen der Klägerin mit einer Negativauskunft beantwortet, die Angelegenheit sei endgültig abgeschlossen.
Mit Schriftsatz vom 15. Mai 2020 hat die Klägerin die gegenständliche Klage gegen das Landesamt erhoben.
Sie wehre sich gegen die Abschlussmitteilung vom 24. März 2020. Der Beigeladene müsse weiterhin Daten der Klägerin haben, er habe die Vertragsunterlagen aufgrund der Einnahmen für das Finanzamt aufheben müssen und weil er mit einer möglichen Klage wegen Vertragsverletzung zu rechnen habe. Selbst wenn die Daten gelöscht seien, könne es auch nicht sein, dass man den Datenschutz nicht beachte, Daten wissentlich „missbrauche“ und nachher alles lösche und dann nicht mehr auskunftspflichtig sei. Die Klägerin habe eindeutig die Auskunft über alle sie betreffenden personenbezogenen Daten und deren Verwendung gefordert.
Aus der Behördenakte (dort Bl. 28) sei durch den gelben Aufkleber auf dem Schreiben des Beigeladenen vom 12. März 2020 ersichtlich, dass dem Landesamt bewusst gewesen sei, dass dieser keine dem Datenschutz entsprechende Auskunft gegeben habe. Auf dem Aufkleber ist handschriftlich notiert: „Die Frage, ob er ihr auch „Auskunft über ihre gespeicherten Daten“ erteilt hat, hat er nicht beantwortet…“. Es sei willkürlich von der Behörde entschieden worden, keine Auskunft zu verlangen, mit der Begründung, dass schon entsprechend Zeit investiert worden sei. In dem Bewusstsein, dass keine Datenauskunft erfolgt sei, werde der Beigeladene aufgefordert, der Klägerin die ihr zustehende Datenauskunft zu liefern, die Aufforderung werde aber gleichzeitig mit dem Hinweis versehen, dass für die Behörde die Angelegenheit jetzt schon erledigt sei und keinerlei weitere Aktivität erfolgen werde.
Die Klägerin beantragt zuletzt,
Der Beklagte wird unter Aufhebung der Abschlussmitteilung vom 24. März 2020 verurteilt, gegen den Beigeladenen eine Abhilfemaßnahme nach Art. 58 Abs. 2 DS-GVO zu ergreifen.
Der Beklagte beantragt
Klageabweisung.
Die Klägerin habe keinen Anspruch auf den Erlass einer aufsichtsrechtlichen Maßnahme, denn die diesbezügliche Entscheidung liege im pflichtgemäßen Ermessen des Landesamts. Ein Anspruch komme nur im Fall einer „Ermessensreduktion auf null“ in Betracht, wenn sich ein Datenschutzverstoß von hinreichender Schwere aufdränge. Für das Landesamt habe sich vorliegend mit Blick auf die Erfüllung der Auskunftspflicht durch den Verantwortlichen kein gravierender Datenschutzverstoß aufgedrängt, insbesondere könnten dessen Angaben nicht widerlegt werden. Als Datenschutzbehörde sei man auf die von den Betroffenen mitgeteilten Informationen angewiesen, andernfalls wisse man nicht, welche Daten des Betroffenen von den jeweiligen Verantwortlichen verarbeitet würden. Insofern müsse auch dargelegt werden, aus welchen Gründen eine bereits erteilte Auskunft des Verantwortlichen unrichtig oder unvollständig sei, die Klägerin habe sich insofern hinsichtlich ihres Auskunftsersuchens nur bedingt kooperativ verhalten.
Das Gericht hat mit Beschluss vom 20. April 2023 den Beigeladenen (einfach) zum Verfahren beigeladen. Im Nachgang äußerte er sich nicht inhaltlich zum Rechtsstreit.
Im Rahmen der mündlichen Verhandlung am 12. Juni 2024 stellte die Klägerin klar, dass es ihr mit der Beschwerde darum gegangen sei, vom Beigeladenen keine Auskunft nach der DS-GVO erhalten zu haben, und dass sie wissen wolle, welche Daten er wann von ihr gespeichert und weitergegeben habe. Der Beklagte erklärte, bislang nicht geprüft zu haben, ob eine Verwarnung des Beigeladenen noch möglich wäre.
Hinsichtlich weiterer Einzelheiten wird auf die Gerichtsakte und auf die vorgelegte Behördenakte sowie auf das Protokoll der mündlichen Verhandlung vom 12. Juni 2024 verwiesen.
Das Verwaltungsgericht Ansbach ist zur Entscheidung über den Rechtsstreit befugt.
Der Verwaltungsrechtsweg ist eröffnet. Die Klägerin wendet sich mit der vorliegenden Klage gegen eine Abschlussmitteilung des Beklagten, die auf eine von ihr erhobene Beschwerde nach Art. 77 DS-GVO hin ergangen ist. Eine solche Abschlussmitteilung stellt nach der ständigen Rechtsprechung der Kammer einen „rechtsverbindlichen Beschluss“ im Sinne von Art. 78 DS-GVO dar (vgl. etwa VG Ansbach, U.v. 8.8.2019 – AN 14 K 19.00272 – juris Rn. 18). Die Klägerin macht mit der vorliegenden Klage also ihr Recht nach Art. 78 Abs. 1 DS-GVO auf einen „wirksamen gerichtlichen Rechtsbehelf“ hiergegen geltend (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 50). Daher ist der Verwaltungsrechtsweg nach § 20 Abs. 1 Satz 1 BDSG eröffnet.
Das Verwaltungsgericht Ansbach ist nach § 45 VwGO sachlich zuständig. Nach § 20 Abs. 3 BDSG ist das Gericht örtlich zuständig, in dessen Bezirk die Aufsichtsbehörde ihren Sitz hat. Das Landesamt hat seinen Sitz in A. in M., sodass die örtliche Zuständigkeit aus Art. 1 Abs. 2 Nr. 4 AGVwGO folgt.

Entscheidungsgründe:
Die Klage ist zulässig.
Die auf die Verurteilung des Beklagten zur Ergreifung aufsichtlicher Maßnahmen nach Art. 58 Abs. 2 DS-GVO gegen den Beigeladenen (unter Aufhebung der Abschlussmitteilung des Beklagten vom 24.3.2020) gerichtete Klage ist nach der ständigen Rechtsprechung der Kammer (U.v. 8.8.2019 – AN 14 K 19.00272 – juris Rn. 19 ff.; U.v. 7.12.2020 – AN 14 K 18.02503 – juris Rn. 21 ff.) als allgemeine Leistungsklage, gerichtet auf ein aufsichtliches Einschreiten, statthaft.
Der Europäische Gerichtshof hat inzwischen in diesem Sinne klargestellt, dass Art. 78 Abs. 1 DS-GVO eine vollständige gerichtliche Überprüfung einer Abschlussmitteilung verlangt, die nicht lediglich darauf beschränkt ist, ob sich die Aufsichtsbehörde mit der Beschwerde befasst, den Gegenstand der Beschwerde in angemessenem Umfang untersucht und den Beschwerdeführer über das Ergebnis der Prüfung in Kenntnis gesetzt hat. Vielmehr unterliegt ein rechtsverbindlicher Beschluss einer Aufsichtsbehörde einer vollständigen inhaltlichen Überprüfung durch das Gericht, die allerdings grundsätzlich in Bezug auf die Wahl der geeigneten und erforderlichen Abhilfebefugnisse auf die Überprüfung von Ermessensfehlern beschränkt ist (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 47 ff.).
Gegenstand der Klage ist dabei allein der Sachverhalt, der Gegenstand der Beschwerde der Klägerin nach Art. 77 DS-GVO war und der Abschlussmitteilung vom 24. März 2020 zugrunde liegt. Voraussetzung für die wirksame Beschwerdeerhebung ist, dass ein konkreter Sachverhalt mitgeteilt wird, aufgrund dessen der Beschwerdeführer von einer Verletzung der DS-GVO ausgeht (ebenso VG Mainz, U.v. 22.7.2020 – 1 K 473/19.MZ – BeckRS 2020, 20778, Rn. 23; Bergt in: Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, Art. 77 DS-GVO, Rn. 10). Dieser in der Beschwerde mitgeteilte Sachverhalt bestimmt und begrenzt daher auch den Prüfungsauftrag, der der Aufsichtsbehörde mit der Beschwerde gesetzt wird, und begrenzt damit auch den streitgegenständlichen Sachverhalt im Rahmen des nach Art. 78 Abs. 1 DS-GVO eingeleiteten Gerichtsverfahrens. Wie die Klägerin in der mündlichen Verhandlung klarstellte, ging es ihr vorliegend im Rahmen ihrer Beschwerde um die aus ihrer Sicht unzureichende Datenauskunft des Beigeladenen.
Die Klagebefugnis der Klägerin ergibt sich aus Art. 78 Abs. 1 DS-GVO, wonach jede natürliche Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde – hier die Abschlussmitteilung des Beklagten – hat. Die Klage ist auch im Übrigen zulässig, insbesondere war kein Vorverfahren durchzuführen (§ 20 Abs. 6 BDSG) und keine Klagefrist einzuhalten.
C.
Die Klage ist auch begründet.
I. Das beklagte Landesamt ist selbst passivlegitimiert. Gemäß § 20 Abs. 5 Satz 1 Nr. 2 BDSG ist die Aufsichtsbehörde direkt als Beklagte beteiligt. Es liegt somit eine durch die Unabhängigkeit der Aufsichtsbehörde unionsrechtlich bedingte bundesrechtliche Spezialregelung gegenüber § 78 VwGO vor.
II. Die Klägerin hat im maßgeblichen Entscheidungszeitpunkt einen Anspruch auf aufsichtliches Einschreiten der Datenschutzaufsichtsbehörde gegen den Beigeladenen. Die konkret zu ergreifende Abhilfemaßnahme nach Art. 58 Abs. 2 DS-GVO steht dabei im Ermessen des Landesamts.
Voraussetzung für die Begründetheit einer allgemeinen Leistungsklage auf aufsichtliches Einschreiten der Datenschutzaufsichtsbehörde ist nach der Rechtsprechung der Kammer, dass der geltend gemachte Verstoß gegen datenschutzrechtliche Vorschriften feststeht oder sich zumindest aufdrängt und das Ermessen hinsichtlich des aufsichtlichen Einschreitens (Entschließungsermessen) auf null reduziert ist. Dies kann etwa dann der Fall sein, wenn der Verstoß so schwerwiegend in die Rechte der betroffenen Person eingreift, dass das Ergreifen aufsichtlicher Maßnahmen die einzig rechtmäßige Handlungsmöglichkeit der Aufsichtsbehörde darstellt, oder wenn nur das Ergreifen (weiterer) aufsichtlicher Maßnahmen zur Schaffung rechtmäßiger Zustände führt (so zur Frage einer Bußgeldverhängung VG Ansbach, U.v. 16.3.2020 – AN 14 K 19.00464 – juris Rn. 21). Der Anspruch gegen den Beklagten auf weiteres aufsichtliches Tätigwerden setzt dabei die Verletzung eigener Rechte voraus (vgl. VG Ansbach, U.v. 8.8.2019 – AN 14 K 19.00272 – juris Rn. 43).
Für die zur Bewertung eines Verstoßes maßgeblichen Kriterien kann insbesondere Erwägungsgrund 148 der DS-GVO herangezogen werden. Bei den Erwägungsgründen der DS-GVO handelt es sich nicht um eigenständige Rechtsnormen mit Regelungscharakter, sondern es wird in den Erwägungsgründen die Zielsetzung beschrieben, die mit dem Erlass der DS-GVO durch den Verordnungsgeber verfolgt wurde. Daher sind die Erwägungsgründe der DS-GVO maßgeblich für die Auslegung der unionsrechtlichen Vorschriften, denn den Erwägungsgründen können der DS-GVO zugrundeliegende allgemeine Rechtsgedanken entnommen werden. Laut Erwägungsgrund 148, insbesondere Satz 3, soll die Behörde bei der Wahl der geeigneten Maßnahme Folgendem gebührend Rechnung tragen: der Art, Schwere und Dauer des Verstoßes, dem vorsätzlichen Charakter des Verstoßes, den Maßnahmen zur Minderung des entstandenen Schadens, dem Grad der Verantwortlichkeit oder jeglichem früheren Verstoß, der Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, der Einhaltung der gegen den Verantwortlichen angeordneten Maßnahmen, der Einhaltung von Verhaltensregeln und jedem anderen erschwerenden oder mildernden Umstand. Auch wenn dieser Erwägungsgrund in seinem vorhergehenden Satz 2 konkret das Verhältnis von einer Verwarnung zur Bußgeldverhängung beschreibt, also unmittelbar nur die Ausübung des Auswahlermessens in bestimmten Konstellationen betrifft, kommt doch in den anschließend in Satz 3 aufgelisteten Kriterien ein allgemeiner Rechtsgedanke zum Ausdruck, der bereits im Rahmen des Entschließungsermessens und bei jeder Ausübung des Auswahlermessens heranzuziehen ist.
Der Beklagte ist im Entscheidungszeitpunkt seiner Pflicht zum Ergreifen von Abhilfemaßnahmen ermessensfehlerhaft nicht nachgekommen. Das Entschließungsermessen des Landesamts zum Ergreifen von Abhilfemaßnahmen ist angesichts der konkreten Umstände des Verstoßes des Beigeladenen gegen das subjektive Auskunftsrecht der Klägerin aus Art. 15 Abs. 1 DS-GVO auf null reduziert.
1. Art. 15 Abs. 1 DS-GVO verleiht einer betroffenen Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten, insbesondere über die Verarbeitungszwecke (Buchst. a); die Kategorien personenbezogener Daten, die verarbeitet werden (Buchst. b); sowie die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Buchst. c). Aus dem unzweideutigen Wortlaut der Vorschrift folgt, dass die Auskunft unmittelbar gegenüber der betroffenen Person zu erteilen ist, nicht lediglich gegenüber der Datenschutzaufsichtsbehörde.
Es ist vorliegend unstreitig, dass der Beigeladene im Rahmen der Anmeldung und Teilnahme der Klägerin bei dem von ihm veranstalteten Seminar als Verantwortlicher (Art. 4 Nr. 7 DS-GVO) personenbezogene Daten der Klägerin verarbeitet hat. Ihr standen damit – jedenfalls während die Datenverarbeitung fortdauerte (vgl. zum Streitstand zur im Einzelnen umstrittenen sachlichen und zeitlichen Reichweite der Auskunftspflicht nach Art. 15 Abs. 1 Buchst. c DS-GVO Schmidt-Wudy in BeckOK DatenschutzR, 48. Ed. Stand: 1.5.2024, DS-GVO Art. 15 Rn. 52; Bäcker in Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, DS-GVO Art. 15 Rn. 18 ff.) – die in Art. 15 Abs. 1 Halbs. 2 DS-GVO aufgezählten, über die bloße Bestätigung einer Datenverarbeitung hinausgehenden Auskunftsrechte vollumfänglich zu.
2. Der Beigeladene reagierte zunächst nicht auf die direkte Aufforderung durch die Klägerin mit E-Mail vom 22. Januar 2020, ihr eine Datenauskunft zu erteilen. Auf die Aufforderung des Landesamts vom 6. März 2020, der Klägerin die ihr zustehende Auskunft zu erteilen, reagierte der Beigeladene zunächst nur gegenüber dem Landesamt und teilte mit, die Adressdaten der Klägerin gelöscht zu haben und lediglich ihre E-Mail-Adresse zu speichern. Sodann forderte das Landesamt am 24. März 2020 den Beigeladenen parallel zur Abschlussmitteilung erneut zur Auskunft gegenüber der Klägerin auf. Nur nachdem die Klägerin sich am 4. April 2020 erneut unmittelbar an den Beigeladenen gewandt hatte, gab er in zwei E-Mails vom 5. April 2024 an, nur noch ihre E-Mail-Adresse zu speichern und diese nun zu löschen. Es ist nicht ersichtlich, dass der Beigeladene zuvor eine Auskunft nach Art. 15 Abs. 1 DS-GVO erteilte.
Der Beigeladene kam nach den dem Gericht vorliegenden Erkenntnissen demnach zwischen dem 22. Januar 2020 und dem 5. April 2020 trotz der zweimaligen ausdrücklichen Aufforderung durch das Landesamt seiner Rechtspflicht aus Art. 15 Abs. 1 DS-GVO gegenüber der Klägerin nicht nach. Erst am 5. April 2024 erteilte er der Klägerin eine Negativauskunft. Zwar kann einem Auskunftsersuchen auch durch Negativauskunft nachgekommen werden; auch dann, wenn keine Datenverarbeitung stattfindet, hat die (potenziell) betroffene Person einen Anspruch darauf, dass dies ihr gegenüber bestätigt wird (vgl. Schmidt-Wudy in BeckOK DatenschutzR, 48. Ed. Stand: 1.5.2024, DS-GVO Art. 15 Rn. 50 m.w.N.). Die Negativauskunft, die am 5. April 2024 gegenüber der Klägerin erfolgte, war allerdings erkennbar unzureichend. Zu diesem Zeitpunkt verarbeitete der Beigeladene laut eigener Aussage jedenfalls noch die E-Mail-Adresse der Klägerin. Jedenfalls diesbezüglich traf ihn also nach Art. 15 Abs. 1 Buchst. c DS-GVO die Pflicht, der Klägerin mitzuteilen, gegenüber welchen Empfängern oder Kategorien von Empfängern die E-Mail-Adresse offengelegt worden war oder noch offengelegt wurde. Der Beigeladene teilte aber lediglich mit, die E-Mail-Adresse gelöscht zu haben und keine Daten mehr zu verarbeiten; eine auf die Vergangenheit bezogene (ggf. Negativ-) Auskunft blieb er schuldig.
In der zunächst unterlassenen und sodann unzureichenden Auskunft des Beigeladenen gegenüber der Klägerin lag also jeweils ein Verstoß gegen die datenschutzrechtliche Vorschrift des Art. 15 Abs. 1 DS-GVO.
3. Stellt die Datenschutzaufsichtsbehörde – hier das Landesamt – am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen der DS-GVO fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen. Zu diesem Zweck stehen insbesondere die in Art. 58 Abs. 2 DS-GVO aufgezählten Abhilfebefugnisse zur Verfügung (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 57).
Der vorliegende Verstoß gegen das im System der DS-GVO zentrale subjektive Recht der Klägerin aus Art. 15 Abs. 1 DS-GVO führt gemäß den oben erläuterten Bewertungsgrundsätzen unter Beachtung des erschwerenden Umstands der Renitenz des Beigeladenen dazu, dass auch im Zeitpunkt der gerichtlichen Entscheidung das Entschließungsermessen des Landesamts zum Ergreifen von Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO auf null reduziert ist. Nur eine solche Maßnahme stellt im vorliegenden Einzelfall i.S.d. zitierten Rechtsprechung des Europäischen Gerichtshofs eine „geeignete Reaktion“ dar.
Zunächst ist festzustellen, dass das Landesamt den Beigeladenen zwar zweimal (am 6. und 24. März 2020) mit „Aufsicht nach Art. 58 DS-GVO“ überschriebenen Schreiben zur Auskunftserteilung aufforderte. Hierin ist aber jeweils keine formale Abhilfemaßnahme zu sehen, insbesondere keine Anweisung i.S.d. Art. 58 Abs. 2 Buchst. c DS-GVO. Den Aufforderungen fehlt es ihrem Wortlaut nach an der Verbindlichkeit einer solchen Anweisung, außerdem wird nicht der Begriff der „Anweisung“ verwendet. Das zweite Schreiben vom 24. März 2020 ist als bloße Bitte formuliert. Zudem fehlt es an der bei einer Abhilfemaßnahme zu erwartenden Bescheidform inklusive Rechtsbehelfsbelehrung. Das Landesamt hat folglich im Entscheidungszeitpunkt noch keine Abhilfebefugnisse i.S.d. Art. 58 Abs. 2 DS-GVO ausgeübt.
Das Gericht stellt außerdem fest, dass das Landesamt vorliegend das Beschwerdeverfahren durch Erlass der Abschlussmitteilung beendet hat, ohne vorher sicherzustellen, dass dem begründeten Begehren der Klägerin abgeholfen wurde bzw. würde. Vielmehr hat es dem Beigeladenen durch die Ankündigung, aktuell keine weiteren Maßnahmen zu ergreifen und die Angelegenheit als erledigt zu betrachten, implizit zu erkennen gegeben, dass der Beigeladene unabhängig von seinem weiteren Vorgehen keine aufsichtlichen Maßnahmen zu befürchten habe. Der Beklagte hat seine Untersuchung verfrüht abgeschlossen. Das Landesamt ist damit im Zeitpunkt der Abschlussmitteilung ermessensfehlerhaft nicht seiner Pflicht nachgekommen, die Datenschutzbeschwerde der Klägerin mit aller gebotenen Sorgfalt zu bearbeiten und dem Verstoß abzuhelfen (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 56 f.).
Dass das Entschließungsermessen auch im Zeitpunkt der gerichtlichen Entscheidung auf null reduziert ist, ergibt sich einerseits daraus, dass der Beigeladene einer im System der DS-GVO zentralen Pflicht nicht nachgekommen ist. Art. 15 DS-GVO sichert, wie in Erwägungsgrund 63 der DS-GVO deutlich wird, die Transparenz der Datenverarbeitung und die Kontrolle der Rechtmäßigkeit der Datenverarbeitung ab und ist damit ganz wesentlicher Bestandteil der in der DS-GVO normierten Betroffenenrechte (vgl. Schmidt-Wudy in BeckOK DatenschutzR, 48. Ed. Stand 1.5.2024, DS-GVO Art. 15 Rn. 2). Auch war die Klägerin von einer Auskunft des Beigeladenen abhängig, um ihre Rechte – zumindest potenziell, je nach Inhalt der Auskunft – zu realisieren.
Für die zwingende Notwendigkeit des Ergreifens einer formalen Maßnahme spricht außerdem die Renitenz des Beigeladenen bei der Auskunftserteilung. Die ausstehende Auskunft wurde auch nach Aufforderung durch das Landesamt zunächst nicht gegenüber der Klägerin erteilt. Als die Auskunft teilweise erteilt wurde, wurde entgegen der Aufforderung des Landesamts und entgegen der Pflicht des Beigeladenen (s.o.) in keiner Weise dargelegt, ob und gegenüber welchen Empfängern die zu diesem Zeitpunkt unzweifelhaft noch vorhandene E-Mail-Adresse der Klägerin in der Vergangenheit offengelegt wurde. Ohne die Beauskunftung der Empfänger ihrer Daten konnte die Klägerin keine informierte Entscheidung darüber treffen, ob sie ggf. auch diesen gegenüber ihre Betroffenenrechte, insbesondere das Auskunftsrecht und das Berichtigungsrecht, geltend machen wollte. Dies ist aber gerade wesentlicher Sinn und Zweck des Auskunftsrechts. Erschwerend tritt hinzu, dass die Klägerin die Möglichkeit bis heute nicht hat und angesichts der Löschung der betroffenen Daten durch den Beigeladenen auch nicht mehr erhalten wird. Das Beschwerdeverfahren wurde als Mechanismus konzipiert, der geeignet ist, die Rechte und Interessen der betroffenen Personen wirksam zu wahren (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 58). Dies erfordert, dass in Fällen wie dem vorliegenden formale Maßnahmen ergriffen werden, nicht nur, um im Einzelfall die Wahrung von Rechten zu erreichen, sondern auch, um künftige Rechtsverstöße durch den Verantwortlichen zu verhindern.
4. Das Auswahlermessen hinsichtlich einer konkreten Abhilfebefugnis ist dagegen vorliegend nicht auf null reduziert.
Bei der Ausübung des Auswahlermessens ist ebenfalls eine Orientierung an den in Erwägungsgrund 148 der DS-GVO festgehaltenen Wertungsgesichtspunkten (s.o.) geboten. Denkbar erscheinen vor diesem Hintergrund etwa die Verwarnung des Beigeladenen (Art. 58 Abs. 2 Buchst. b DS-GVO) oder die Verhängung einer Geldbuße (Art. 58 Abs. 2 Buchst. i DS-GVO). Es bleibt aber vorliegend dabei, dass das Gericht seine Beurteilung der Wahl der geeigneten und erforderlichen Abhilfebefugnisse nicht an die Stelle der Beurteilung des Landesamts setzen kann (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 69), da eine Ermessensreduktion auf null insoweit nicht ersichtlich ist. Insbesondere zwischen den beiden genannten Abhilfemaßnahmen hat der Beklagte eine ermessensfehlerfreie Wahl zu treffen, da beide für die Erreichung des hinter dem Beschwerdeverfahren stehenden Zwecks auch jetzt noch geeignet sind.
5. Letztlich ist dem auf das Ergreifen von Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO gerichteten Klagebegehren vollumfänglich stattzugeben.
III. Die Kostentragung des Beklagten folgt aus § 154 Abs. 1 VwGO.
Der Beigeladene trägt etwaige außergerichtlichen Kosten selbst, die Billigkeitsausnahme des § 162 Abs. 3 VwGO greift bereits deshalb nicht, weil er keine Anträge gestellt hat und sich somit keinem Kostenrisiko ausgesetzt hat (§ 154 Abs. 3 VwGO).
Die Entscheidung über die vorläufige Vollstreckbarkeit ergibt sich aus § 167 VwGO i.V.m. §§ 708 Nr. 11, 711 ZPO.

Rechtsmittelbelehrung:

Zitierte Normen: §§ 708 Nr. 11, 711 ZPO
§ 45 VwGO
§ 78 VwGO
§ 167 VwGO
§ 102 Abs. 2 VwGO
§ 20 Abs. 1 Satz 1 BDSG
§ 20 Abs. 3 BDSG
§ 20 Abs. 6 BDSG
§ 20 Abs. 5 Satz 1 Nr. 2 BDSG
§ 154 Abs. 1 VwGO
§ 162 Abs. 3 VwGO
§ 154 Abs. 3 VwGO
Art. 58 Abs. 2 DS-GVO
Art. 15 DS-GVO
Art. 58 Abs. 2 DSGVO
Art. 15 DSGVO
Art. 77 DS-GVO
Art. 78 DS-GVO
Art. 78 Abs. 1 DS-GVO
Art. 1 Abs. 2 Nr. 4 AGVwGO
Art. 15 Abs. 1 DS-GVO
Art. 4 Nr. 7 DS-GVO

Zitierte Entscheidungen: 14 K 19.00
14 K 18.02
1 K 473/19
14 K 19.00