Source: https://fokus.genba.org/fragen-antworten-verbandsklagen
Timestamp: 2019-06-20 09:01:39+00:00

Document:
Verbandsklagen - Fragen und Antworten zur DSGVO
Feb 27, 2018/Conrad Lienhardt/DSGVO
Könnte ein deutscher Verband (z.B. Verbraucherschutzverband) bei einer deutschen Aufsichtsbehörde eine Beschwerde nach DSGVO gegen ein österreichisches Unternehmen, das grenzüberschreitend personenbezogene Daten verarbeitet, einbringen, obwohl in Österreich selbst Verbänden diese Möglichkeit nicht offen steht?
In Österreich hat das Parlament bei der Beschlussfassung des Datenschutz-Anpassungs­gesetzes 2018 im Juli 2017 Verbandsklagen im Sinne der DSGVO nicht zugelassen. Das ist grundsätzlich möglich, da Art. 80 Abs. 1f DSGVO bezüglich Verbandsklagen eine Öffnungsklausel beinhaltet, d.h. den EU Mitgliedsländern entsprechenden rechtlichen Gestaltungspielraum einräumt. ( Die Mitgliedsstaaten können vorsehen, dass […] Art. 80 Abs. 2).
Im Unterschied zu Österreich wurde in Deutschland bereits am 17.12.2015 im Bundestag das Verbandsklagerecht beschlossen.
Da die DSGVO in Art. 56 Abs. 1 das Prinzip des One Stop Shops eingeführt hat, stellt sich nun folgende Frage:
Im Sinne des Art. 56 Abs. 1 DSGVO ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.
Entsprechend würde die Beschwerde des Verbands an die österr. Aufsichtsbehörde (Datenschutzbehörde - DSB) weitergeleitet. Nachdem es in Österreich kein Verbandsklagerecht gibt, ist fraglich, ob die DSB diese Beschwerde bearbeiten muss, oder aber zurückweisen kann. Womöglich gilt dann Art. 80 Abs 5 DSGVO: Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall nicht selbst zu befassen, so befasst die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, sich mit dem Fall gemäß den Artikeln 61 und 62.
Wäre es möglich, dass die österr. Datenschutzbehörde eine in Deutschland eingebrachte Verbandsbeschwerde mit Bezug auf die österr. Rechtssituation abweist, diese dann aber in Deutschland bei der jeweiligen Aufsichtsbehörde verfolgt würde? Das gilt es zu klären.
Nehmen wir als Beispiel ein österreichisches Unternehmen, das Produkte im Bereich der Selbstoptimierung vertreibt und in diesem Zusammenhang relevante Gesundheitsdaten verarbeitet ohne die Vorgaben der DSGVO gänzlich zu berücksichtigen. Nachdem in Deutschland die Produkte nachgefragt werden, prüft ein Verbraucherschutzverband die Produkte und stellt fest, dass die Vorgaben der DSGVO nicht, oder teilweise nicht berücksichtigt sind. Der Verbrauchschutzverband legt daraufhin Beschwerde bei der zuständigen Aufsichtsbehörde ein.
Nachdem die Hauptniederlassung des Unternehmens in Österreich liegt, wird die Beschwerde an die Datenschutzbehörde in Österreich weitergeleitet. Muss diese nun die Beschwerde bearbeiten, weil Verbandsklagen in Deutschland zulässig sind? Oder kann sie die Verbandsklage abweisen, da in Österreich Verbandsklagen nicht zulässig sind? Kann für diesen Fall die deutsche Aufsichtsbehörde die Verbandsklage selbst verfolgen? Wie sieht das dann mit der Verhängung von Strafen aus?
Die Frage lässt sich nicht eindeutig klären. Das hängt u.a. mit dem bereits in Fragen & Antworten: Datenschutz (DSG, EU DSGVO) |#1 Öffnungsklauseln aufgezeigten Defizit zusammen, dass die DSGVO keine Kollisionsnormen kennt. Feiler/ Forgó bezeichnen dies in ihrem Kommentar zur DSGVO als planwidrige Lücke. Entsprechend wird auch hier abzuwarten sein, wie Gerichte in solchen Fällen urteilen werden.
Allerdings ist davon auszugehen, dass, bezogen auf das Beispiel, die österreichische Datenschutzbehörde tätig werden müsste, sobald sie Kenntnis von einem Verstoß gegen die DSGVO erlangt, sei das durch einen Betroffenen oder Verband, sei es im Inland oder aus einem der EU Mitgliedsländer. Diese Verpflichtung geht, nach Auskunft der WKO, so weit, dass gegen die Datenschutzbehörde wegen Amtsmissbrauch geklagt werden könnte, so diese den Vorfall nicht bearbeitet.
noby weist zudem darauf hin, dass in Deutschland bei Verstoß gegen Betroffenenrechte jedenfalls eine Zivilrechtsklage gegen den Verantwortlichen bei grenzüberschreitender Verarbeitung personenbezogener Daten gültig eingebracht werden könnte. Insgesamt streicht noby den Aspekt der Zivilklage im Zusammenhang mit DSGVO Verletzungen heraus.
Aufschlussreich ist auch die Rechtsvermutung des LDA Bayern, wonach für den Fall, dass die österreichische Aufsichtsbehörde die an sie weitergeleitete Datenschutzbeschwerde nicht bearbeiten sollte, es denkbar wäre, dass diese dann nach Art. 56 Abs. 5 DSGVO - bezogen auf das Beispiel - in Deutschland bearbeitet wird.
Daraus leiten sich folgende Einsichten ab: Verantwortliche sollten bei der Risikoabwägung nicht nur die gängige Praxis im Zuge von Verwaltungsverfahren im Auge haben, sondern auch Zivilrechtsklagen und dabei berücksichtigen, dass diese bei grenzüberschreitender Verarbeitung personenbezogener Daten auch im EU Ausland eingebracht werden können.
1 Datenschutzbehörde E-Mail Anfrage 1.2.2018
Antwort E-Mail 5.2.2018 Es wird keine Auskunft gegeben. Begründung: Datenschutzbehörde ist vorrangig keine Rechtsberatungseinrichtung, sondern eine Aufsichts- und Rechtsschutzbehörde.
2 AK Konsumentenschutz E-Mail Anfrage 1.2.2018
Antwort E-Mail 1.2.2018
Grundsätzlicher Hinweis auf Art. 56 DSGVO (allgemeine Zuständigkeit gem. Verfahrensregeln) und Art. 56 Abs. 2
Offen blieb, die Kernfrage, ob die österr. Datenschutzbehörde eine an sie nach Art. 56 DSGVO weitergeleitete Beschwerde, eingebracht im Rahmen des in Dtld. zulässigen Verbandsklagerechts, bearbeiten muss.
Nachfrage E-Mail 1.2.2018
Antwort E-Mail 2.2.2018 ...nach meinem Verständnis ( und jenem der EU-Komission) hat die für einen Fall inhaltlich zuständige Behörde ihr nationales Verfahrensrecht (im Fall der Zuständigkeit der österreichischen DSB eben ohne Verbandsklagsbefugnis) anzuwenden.
3 WKO Oberösterreich Telefonische Anfrage 1.2.2018 RR zugesagt
Telefonische Auskunft 2.2.2018
Genauere Verfahrensregularien für vergleichbare Fälle sind nicht bekannt. Unklare Rechtssituation.
Allerdings: Wird ein Verstoß gegen die DSGVO der österr. Aufsichtsbehörde (DSB) bekannt, so muss sie tätig werden - unabhängig, ob das in Dtld. ein Verband eingebracht hat oder ein Betroffener. Es stellt sich allerdings die Frage, ob der Verband Parteistellung zugesprochen bekommt. Sofern nicht, wird der Verband wohl nicht über den Fortgang informiert werden.
Sollte die österr. Aufsichtsbehörde (DSB) nicht tätig werden, so könnte gegen die Behörde Strafanzeige wegen Amtsmißbrauch gestellt werden, oder die Volksanwaltschaft befasst werden.
Andererseits stehen dem Verband in Dtld. weitere Rechtswege offen, wie eine Klage nach §6 UKlaG oder UWG etc
4 LDA Bayern E-Mail Anfrage 2.2.2018
Antwort E-Mail 27.2.2018 Durch das Unterlassungsklagegesetz/UKlaG, http://www.gesetze-im-internet.de/uklag/ hat der Gesetzgeber in Deutschland von der durch die DSGVO eingeräumten Möglichkeit einer Verbandsklage Gebrauch gemacht , so dass solche Verbandsklagen möglich sind (§ 2 Abs. 2 Nr. 11 und § 6 des UKlaG)
Wenn eine österreichische federführende Aufsichtsbehörde zu einer ursprünglich bei uns eingegangenen Datenschutzbeschwerde nicht tätig wird oder die Beschwerde abweist, wären Aktivitäten unserer Behörde nach Art. 56 Abs. 5 DS-GVO denkbar.
5 noyb E-Mail Anfrage 2.2.2018
Antowrt E-Mail 14.2.2018 Generell würden wir davon ausgehen, dass das nach „VKI/Henkel“ zu beurteilen ist. Ein deutscher Verband kann also z.B. (zivilrechtlich) in Deutschland gegen ein österreichisches Unternehmen vorgehen.
Im Verwaltungsrecht wird es wohl ebenso nach dem Sitz der NGO zu beurteilen sein. Diesen Fall müsste man sich noch genauer anschauen.
In der Praxis ist die „abstrakte“ Klage nach Art 80(2) ja eher im Zivilrecht spannend. Im Verwaltungsrecht kann die Behörde ohnehin „für alle“ Entscheiden und die Beschwerde kann anhand einer Musterperson eingebracht werden.
Tags: DSGVOF&AFragen & AntwortenGrenzüberschreitende DatenverarbeitungOne Stop ShopVerbandsklagenVerwaltungsrechtZivilrecht
Strafen IT Auskunftsrecht e-Privacy-VO Rechtmäßigkeit News «Sensible Daten» DSGVO Löschung «Stand der Technik» Compliance «Fragen & Antworten» Österreich Datenminimierung F&A Wochenrückblick Verfahrensverzeichnis Beschwerde Datenschutzbeauftragter DSB Identitätsnachweis Datenschutz Bildungseinrichtungen Datenschutzbehörde Betroffenenrechte «E-Mail Marketing» Einwilligung DSG Informationspflichten Auskunftspflicht

References: Art. 80
 Art. 80
 Art. 56
 Art. 56
 Art. 80
 Art. 56
 Art. 56
 Art. 56
 Art. 56
 §6
 § 6
 Art. 56