Source: http://openjur.de/u/284643.html
Timestamp: 2013-05-25 17:25:42+00:00

Document:
VG Berlin, Urteil vom 24. Mai 2011 - Az. 1 K 133.10 x
VG BerlinEntscheidungenUrteil vom 24. Mai 2011 - Az. 1 K 133.10
VG Berlin · Urteil vom 24. Mai 2011 · Az. 1 K 133.10
openJur 2012, 15252
TenorDer Bescheid des Berliner Beauftragten für Datenschutz und Informationsfreiheit vom 9. April 2010 wird aufgehoben.
Tatbestand Der Kläger betreibt unter dem Namen "A…" eine gewerbsmäßige Arbeitsvermittlung auf der Basis der §§ 296 ff. SGB III. Zur Vorbereitung der Vermittlung erfasst er von Bewerberinnen und Bewerbern persönliche Daten (u. a. Name, Vorname, Geburtsdatum, Anschrift, Kontaktdaten wie Telefon u. ä., Familienstand, Nationalität, Fremdsprachen- und PC-Kenntnisse, Führerschein, Interessen, sonstige freiwillige Angaben, beruflicher Werdegang), um daraus ein Bewerberprofil zu entwickeln. Diese Bewerberprofile übersendet er mittels unverschlüsselter E-Mail an Arbeitgeber, von denen er weiß, dass diese Bewerber mit solchem Profil suchen bzw. bereits eine Stellenanzeige aufgegeben haben, zu der ein Bewerber mit dem vom Kläger erstellten Profil passt.
den Bescheid des Berliner Beauftragten für Datenschutz und Informationsfreiheit vom 9. April 2010 aufzuheben.
GründeDie zulässige Klage ist begründet, denn die datenschutzrechtliche Anordnung des Berliner Beauftragten für Datenschutz und Informationsfreiheit vom 9. April 2010 ist rechtswidrig und verletzt den Kläger in seinen Rechten (§ 113 Abs. 1 Satz 1 VwGO). Die Voraussetzungen für den Erlass der datenschutzrechtlichen Anordnung liegen nicht vor. Dabei ist für die Überprüfung der Rechtmäßigkeit auf die maßgebliche Sach- und Rechtslage zum Zeitpunkt der letzten mündlichen Verhandlung abzustellen, denn die Anordnung vom 9. April 2010 stellt einen Dauerverwaltungsakt dar. In der Rechtsprechung des Bundesverwaltungsgerichts ist geklärt, dass sich die für die Überprüfung der Rechtmäßigkeit maßgebliche Sach- und Rechtslage nach dem jeweils heranzuziehenden materiellen Fachrecht beurteilt (vgl. u. a. BVerwG, Urteil vom 31. März 2004 - 8 C 5.03 -, BVerwGE 120, 246; Beschluss vom 20. Januar 1999 - 8 B 232.98 -, juris), wobei dies bei der Anfechtungsklage im Allgemeinen und vorbehaltlich abweichender Regelungen des materiellen Rechts die Sach- und Rechtslage im Zeitpunkt der letzten Behördenentscheidung ist (vgl. BVerwG, Beschluss vom 4. Juli 2006 - 5 B 90.05 -, juris Rn. 6 m. w. N.). Bei Verwaltungsakten mit Dauerwirkung sind - je nach dem zeitlichen Umfang des Aufhebungsbegehrens - auch spätere Veränderungen der Sachlage bis zum Schluss der mündlichen Verhandlung des Tatsachengerichts zu berücksichtigen. Die datenschutzrechtliche Anordnung ist ein Dauerverwaltungsakt, denn sie enthält die für einen solchen Dauerverwaltungsakt typische, sich ständig neu aktualisierende Verpflichtung für den Kläger, den Forderungen nach Verschlüsselung bzw. Pseudonymisierung nachzukommen, und erschöpft sich nicht in einer einmal geforderten Handlung (vgl. BVerwG, Urteil vom 25. April 2001 - 6 C 6.00 Rn. 18 f.)
Der Kläger hat jedoch - entgegen der Annahme des Beklagten - nicht gegen die Norm des § 9 Satz 1 BDSG und Nr. 4 der dazu erlassenen Anlage verstoßen. Danach haben öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten. Erforderlich sind diese Maßnahmen nach § 9 Satz 2 BDSG aber nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Nach Satz 2 Nr. 4 der Anlage zu § 9 Satz 1 BDSG sind Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (sog. Weitergabekontrolle). Satz 3 der Anlage bestimmt, dass eine Maßnahme nach Satz 2 Nr. 2 bis 4 insbesondere die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren ist.
Zwar ist bei der vom Kläger praktizierten Datenweitergabe - wie er selbst nicht bestreitet - ein unbefugtes Mitlesen oder eine Veränderung nicht ausgeschlossen, so dass die Verschlüsselung von E-Mails oder die Pseudonymisierung darin enthaltener persönlicher Daten grundsätzlich geeignet ist, um solches zu verhindern. Jedoch ist die Forderung nach Verschlüsselung zu versendender E-Mails nicht verhältnismäßig im Sinne von § 9 Satz 2 BDSG. Mit dem bereits verfassungsrechtlich verankerten Grundsatz der Verhältnismäßigkeit soll vorliegend verhindert werden, dass „mit Kanonen auf Spatzen geschossen wird“ (vgl. Wedde, in: Däubler/Klebe/Wedde/Weichert, BDSG, 3. Aufl. 2010, § 9 Rn. 20). Datenschutzmaßnahmen können niemals Selbstzweck sein, sondern haben sich an dem jeweiligen Schutzbedürfnis auszurichten. Ob und in welchem Umfang einzelne technische und organisatorische Maßnahmen tatsächlich im konkreten Verarbeitungsfall getroffen werden müssen, hängt auch davon ab, ob ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Je stärker das Schutzbedürfnis, umso höher ist gegebenenfalls der Aufwand, den das Gesetz der verantwortlichen Stelle zumutet (vgl. Ernestus, in: Simitis, BDSG, 6. Aufl. 2006, § 9 Rn. 23, 38). Unter Berücksichtigung der vom Kläger überzeugend dargelegten erforderlichen technischen Ausrüstungen bei den Arbeitgebern, an die der Kläger sich mit verschlüsselten E-Mails wenden soll, von denen jedoch finanzielle Aufwendungen zur Anschaffung von Entschlüsselungssoftware nicht erwartet werden können, steht der mit der Verschlüsselungsforderung im Zusammenhang stehende Aufwand bei Berücksichtigung der durch die Arbeitsuchenden gegebenen Einverständniserklärung zu einer unverschlüsselten Übermittlung in keinem angemessenen Verhältnis.
Mit der in § 298 SGB III enthaltenen Bezugnahme auf § 4 a BDSG wird jedoch deutlich, dass in dem hier zu beurteilenden Fall der Arbeitsvermittlung mit der Einwilligungserklärung auch eine Einschränkung der sich aus § 9 BDSG grundsätzlich ergebenden Forderungen einhergehen kann. Dies ergibt sich auch daraus, dass bei der Bewertung der Verhältnismäßigkeit nach § 9 Satz 2 BDSG wegen des hohen persönlichen Schutzinteresses der einzelnen Betroffenen dem Recht auf informationelle Selbstbestimmung das größere Gewicht einzuräumen ist, auch wenn dies im Einzelfall den Aufwand der verarbeitenden Stelle erhöht, der Gesetzgeber mit §§ 4, 4 a BDSG aber gerade Regelungen zum Schutz des informationellen Selbstbestimmungsrechts geschaffen hat (vgl. Däubler/Wedde, in: Däubler/Klebe/Wedde/Weichert, a. a. O., § 9 Rn. 27, § 4 a Rn. 2 a). Ermöglicht daher § 4 a BDSG eine eigene - freiwillige - Entscheidung des jeweils Betroffenen, wie weit er den Schutz seines informationellen Selbstbestimmungsrechts ziehen will, kann ihm nicht über die zwangsweise Anwendung von § 9 BDSG ein erheblich größerer Schutz aufgezwungen werden als er selbst begehrt. Zwar mag es auch Fälle geben, in denen Betroffene vor ihren eigenen Entscheidungen zum Umgang mit ihren persönlichen Daten geschützt werden müssen. Dem wird aber das in § 4 a BDSG normierte Tatbestandsmerkmal der Freiwilligkeit und damit auch der Einsichtsfähigkeit gerecht.
Denn nach § 4 a Abs. 1 BDSG ist eine solche Einwilligung nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht, wobei dieser zuvor auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie – soweit erforderlich - auf die Folgen der Einwilligung hinzuweisen ist. Die Einwilligung bedarf der Schriftform und ist, wenn sie mit anderen Erklärungen zusammen erteilt werden soll, besonders hervorzuheben (§ 4 a Abs. 1 Sätze 3 und 4 BDSG). Von einer auf freier Entscheidung beruhenden Einwilligung kann dabei nur ausgegangen werden, wenn eine solche Erklärung in einer Situation abgegeben wird, in der die Betroffenen nicht faktisch dazu gezwungen sind, sich mit dem Zugriff auf ihre jeweils verlangten Daten einverstanden zu erklären (vgl. Simitis, BDSG, 6. Aufl. 2006, § 4 a Rn. 62).
Der Gesetzgeber hat mit diesen Regelungen Vorschriften zum Schutz des informationellen Selbstbestimmungsrechts getroffen; der Einzelne kann bestimmen, wem er seine Daten zugänglich machen will. Soweit er jedoch - wie z. B. im Arbeitsrecht - auf den Abschluss eines Vertrags angewiesen ist, ist seine Entscheidungsfreiheit fiktiv, der sonst geübte „informationelle Selbstschutz“ versagt. Ist der Verzicht auf den Vertrag keine zumutbare Alternative, muss der Gesetzgeber bzw. die an seiner Stelle handelnde Rechtsprechung eingreifen und darf eine Preisgabe von Daten nur dann zulassen, wenn sie unter Beachtung der Interessen beider Seiten erforderlich ist (vgl. Däubler, in: Däubler/Klebe/Wedde/Weichert, a. a. O., § 4 a Rn. 2a; BVerfG, Beschluss vom 23. Oktober 2006 - 1 BvR 2027/02 -, DVBl. 2007, 111 ff.).
Permalink: http://openjur.de/u/284643.html

References: § 9
 § 9
 § 9
 § 9
 § 9
 § 9
 § 298
 § 4
 § 9
 § 9
 § 9
 § 4
 § 4
 § 9
 § 4
 § 4
 § 4
 § 4