Source: http://www.datenschutz.eu/urteile/Datenschutzbehoerde-hat-keine-Ermaechtigungsgrundlage-vor-Inkrafttreten-der-EU-DSGVO-Verwaltungsgericht-Karlsruhe-20170706/
Timestamp: 2017-11-21 21:05:41+00:00

Document:
Erstes Urteil zur EU-Datenschutzgrundverordnung: Datenschutzbehörde hat keine Ermächtigungsgrundlage vor Inkrafttreten der EU-DSGVO Verwaltungsgericht Karlsruhe Urteil v. 06.07.2017 - 10 K 7698/16 :: Datenschutz, Informationelle Selbstbestimmung, Persönlichkeitsrecht, Recht, Urteile, Entscheidungen, Aufsätze
Erstes Urteil zur EU-Datenschutzgrundverordnung: Datenschutzbehörde hat keine Ermächtigungsgrundlage vor Inkrafttreten der EU-DSGVO
Urteil v. 06.07.2017 - Az.: 10 K 7698/16
vertreten durch den Landesbeauftragten für den Datenschutz,
wegen datenschutzrechtlicher Verfügung
hat das Verwaltungsgericht Karlsruhe - 10. Kammer - (...) vom 06. Juli 2017 für Recht erkannt:
Die Verfügung des Landesbeauftragten für den Datenschutz Baden-Württemberg vom 25.11.2016 wird aufgehoben.
Am 25.11.2016 erließ der Landesbeauftragte für den Datenschutz Baden-Württemberg gegenüber der Klägerin die streitgegenständliche datenschutzrechtliche Verfügung, wonach Forderungen im Sinne von § 28a BDSG und die mit diesen in Zusammenhang stehenden Informationen über Personen, die die Klägerin in ihren Datenbeständen, aus denen Bonitätsauskünfte erteilt würden, nach dem 24.05.2018 speichere, spätestens nach Ablauf von drei Jahren, beginnend mit dem Zeitpunkt der Fälligkeit der Forderung, zu löschen seien, es sei denn, dass der Betroffene zu diesem Zeitpunkt zahlungsunfähig oder zahlungsunwillig sei. Zur Begründung wurde im Wesentlichen wie folgt ausgeführt: Nach § 38 Abs. 5 S. 1 BDSG könne die Aufsichtsbehörde die erforderlichen Maßnahmen zur Gewährleistung der Einhaltung datenschutzrechtlicher Vorschriften bei der Erhebung, Verbreitung und Nutzung personenbezogener Daten ergreifen.
Zwar würden keine gegenwärtigen Datenschutzverstöße der Klägerin unterbunden, jedoch sollten Missstände verhindert werden, die nach dem 24.05.2018 zu erwarten seien. Die Annahme eines Verstoßes gegen materielles Datenschutzrecht sei einer Entscheidung des Oberverwaltungsgerichts Schleswig-Holstein zufolge nicht erst dann gerechtfertigt, wenn die betreffende Datenverarbeitung bereits ins Werk gesetzt oder nicht bzw. nicht mehr zulässig sei. Vielmehr sei ein Tätigwerden der Aufsichtsbehörde auch dann möglich, wenn besondere Umstände vorlägen, die zukünftige Datenschutzverstöße erwarten ließen. Da die Klägerin in ihrem Schreiben vom 20.11.2016 nicht verbindlich zugesichert habe, ihre Datenspeicherungspraxis ab dem 24.05.2018 entsprechend des Tenors der Verfügung tatsächlich zu ändern, seien künftige Datenschutzverstöße nicht auszuschließen.
Es sei ungewiss, ob die Klägerin den Zeitraum bis zur Geltung der Verordnung nutzen werde, um die Verarbeitung personenbezogener Daten an die neuen Vorgaben anzupassen. Die nach dem 24.05.2018 voraussichtlich geltende, dem § 28a Abs. 1 BDSG vergleichbare Regelung lasse es grundsätzlich zu, dass Auskunfteien entsprechende Bonitätsnegativmerkmale auch nach diesem Zeitpunkt für eine angemessene Dauer speichern dürften. Allerdings könne nach dem Wegfall des § 35 Abs. 2 S. 2 Nr. 4 BDSG dem Gesetz nicht mehr entnommen werden, wie lange diese bemessen sei. Die vorgeschlagene Dreijahresfrist orientiere sich an der gesetzlichen Regelung des
§ 882e ZPO. Denn offenbar gehe der deutsche Gesetzgeber davon aus, dass selbst im Falle völliger Zahlungsunfähigkeit eine Warnung Dritter nach Ablauf dieses Zeitraums nicht mehr geboten erscheine.
Die Klägerin beantragt, die Verfügung des Beklagten vom 25.11.2016 aufzuheben.
Der Beklagte beantragt, die Klage abzuweisen. Zur Begründung führt er im Wesentlichen aus, dass für eine Speicherung säumiger Schuldner durch Auskunfteien zukünftig nach Art. 6 Abs. 1 Buchst. f EU-DSGVO eine Interessenabwägung vorzunehmen sei, wobei ein berechtigtes Speicherinteresse nur vorliege, wenn die Schuldner generell zahlungsunfähig oder zahlungsunwillig seien. Nach Erwägungsgrund 39 S. 10 der EU-DSGVO habe jede datenverarbeitende Stelle die Pflicht, Fristen für die Löschung und die regelmäßige Überprüfung der von ihr gespeicherten Daten vorzusehen, um sicherzustellen, dass diese nicht länger als nötig gespeichert würden (Datenlöschkonzeption).
Für den Erlass der streitgegenständlichen Verfügung entfalle jedenfalls nicht das Sachbescheidungsinteresse, da eine Selbstverpflichtung weder vollstreckbar sei, noch die Gerichte binde. Die Anordnung des Beklagten sei so zu verstehen, dass sie sich auf alle Angaben im Sinne von § 28a Abs. 1 BDSG beziehe, unabhängig davon,
ob diese Regelung künftig noch gelten werde. Umfasst davon seien alle nicht rechtzeitig beglichenen Forderungen, gleichgültig, ob nur ein Inkassoverfahren eingeleitet worden sei oder ob der Betroffene die Zahlungsverpflichtung ausdrücklich anerkannt habe. Die Anordnung solle sich hingegen nicht auf Insolvenzfälle ziehen.
Die Klage ist zulässig. Sie ist als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 VwGO statthaft, denn die auf § 38 Abs. 5 S. 1 BDSG gestützte Verfügung ist in der Form eines Verwaltungsaktes ergangen. Eines Vorverfahrens bedurfte es vorliegend nicht, da der Landesbeauftragte für Datenschutz den Verwaltungsakt erlassen hat (§ 68
Abs. 1 S. 2 VwGO i.V.m. § 15 Abs. 1 S. 1 AGVwGO). Die Klage ist auch im Übrigen zulässig, insbesondere wurde sie fristgerecht erhoben.
2. Die mit der angegriffenen Verfügung getroffene Regelung genügt ferner auch nicht den Anforderungen an die Bestimmtheit eines Verwaltungsaktes gemäß § 37 Abs. 1
LVwVfG (dazu unter a). Sie überträgt unzulässigerweise die Subsumtionsleistung bezüglich der getroffenen datenschutzrechtlichen Vorgaben zu den Überprüfungs- und Löschfristen von der Aufsichtsbehörde auf die Klägerin als Adressatin des Verwaltungsaktes (dazu unter b).
b) Durch die vorliegende, individuell-abstrakte Regelung wird der Klägerin als Adressatin der Verfügung die Subsumtionsleistung bezüglich der ihr gegenüber darin angeordneten Prüf- und Löschverpflichtungen auferlegt. Die Aufsichtsbehörde hat sich hiermit in unzulässiger Weise davon entbunden, im konkreten Einzelfall – wie in
§ 38 Abs. 5 S. 1 BDSG vorgesehen – einen Verstoß gegen Datenschutzrecht festzustellen, zur Beseitigung des Verstoßes aufzufordern und schließlich das ihr eröffnete Ermessen bezüglich einer Anordnung oder Untersagung auszuüben. Damit wird sie ihrer Aufgabe des Gesetzesvollzugs nicht gerecht (vgl. zu einer abfallrechtlichen Verfügung: VGH Baden-Württemberg, Beschluss vom 05.10.1999 - 10 S 1059/99 -, juris; zu einer atomrechtlichen Auflage: VGH Baden-Württemberg, Urteil vom 26.02.2007, a.a.O., Rn. 36 ff.; zu einer glücksspielrechtlichen Untersagungsverfügung: VGH Baden-Württemberg, Urteil vom 08.09.2015, a.a.O., Rn. 19).

References: § 28
 § 38
 § 28
 § 35

§ 882
 Art. 6
 § 28
 § 42
 § 38
 § 15
 § 37

§ 38