Source: https://www.telemedicus.info/urteile/Datenschutzrecht/Rechte-und-Pflichte-der-Datenschutzbeauftragten/422-OVG-Hamburg-Az-1-Bf-17203-Anordnungen-des-Datenschutzbeauftragten-ggue.-Privaten.html
Timestamp: 2019-09-18 04:03:13+00:00

Document:
OVG Hamburg: Anordnungen des Datenschutzbeauftragten ggü. Privaten, Urteil v.... - Telemedicus
OVG Hamburg, Urteil v. 07.07.2005, Az. 1 Bf 172/03, Link: http://tlmd.in/u/422
Aktenzeichen: 1 Bf 172/03
Verkündet am: 07.07.2005
Auf die Berufung der Klägerin wird das aufgrund der mündlichen Verhandlung vom 21. November 2002 ergangene Urteil des Verwaltungsgerichts Hamburg aufgehoben.
Der Bescheid vom 3. Dezember 1998 und der Widerspruchsbescheid vom 17. Juni 1999 werden aufgehoben.
Hinsichtlich der Kosten des gesamten Verfahrens ist das Urteil vorläufig vollstreckbar. Die Beklagte darf die Vollstreckung durch Sicherheitsleistung in Höhe der festzusetzenden Kosten abwenden, falls nicht die Klägerin vor der Vollstreckung Sicherheit in derselben Höhe leistet.
1997 wandte sich die Beklagte an die Staatsanwaltschaft bei dem Landgericht Hamburg, da ihr mehre Eingaben vorlagen, nach denen die Klägerin ihren Kunden u.a. die Stammnummern von Zielpersonen bei den Arbeitsämtern München, Krefeld und Oldenburg übermittelt haben soll. Ferner beschwerte sich die Landesversicherungsanstalt Rheinland-Pfalz darüber, dass am 30. September 1997 von einem Telephonapparat der Klägerin aus versucht worden sei, Sozialdaten auszuspionieren und dabei die Anruferin fälschlich behauptet habe, sie sei Mitarbeiterin in einem Sozialamt. Das deswegen eingeleitete staatsanwaltliche Ermittlungsverfahren ist eingestellt worden. Es konnte nicht ermittelt werden, wer von den Mitarbeiterinnen der Klägerin den Anruf getätigt hatte.
Die Klägerin legte Widerspruch ein. Sie habe zu den Vorwürfen nicht substantiiert Stellung nehmen können. Die gerügte Anordnung sei zu unbestimmt gefasst. Insbesondere sei nicht ersichtlich, was mit Ermittlungen in oder aus Dateien gemeint sei. In ihrer Branche sei es üblich, Rechercheure und Informationsquellen nicht zu dokumentieren. Darin liege kein organisatorischer Mangel. Auch lasse sich aus den möglicherweise vorliegenden Beschwerden betroffener Zielpersonen noch nicht auf einen Missbrauch durch ihre Mitarbeiter schließen. Hinsichtlich der Beschwerde der Landesversicherungsanstalt Rheinland-Pfalz werde bezweifelt, dass die Telekom ihre – der Klägerin – Telephonnummer hätte mitteilen dürfen. Eine unrechtmäßige Erlangung der Verbindungsdaten führe zu einem Verwertungsverbot. § 9 BDSG rechtfertige die Anordnung nicht, da diese Vorschrift lediglich die Datenverarbeitung aber noch nicht die Datenerhebung regele. Auch sei die Anordnung nicht geeignet, die Rechtmäßigkeit der Datenerhebung sicherzustellen. Jedenfalls greife die Beklagte in ermessensfehlerhafter Weise zu tief in ihre Rechte ein. Bei einer Preisgestaltung von DM 65 je Auftrag könne sie die verlangte Dokumentation nicht leisten; auch sei sie darauf angewiesen, dass sich ihre Informanten vertrauensvoll an sie wenden könnten ohne befürchten zu müssen, dass ihre Daten noch ein Jahr lang in der Detektei vorgehalten würden. Es sei Sache der Rentenversicherungsträger, ihre Daten besser zu schützen. Schließlich verletze die Beklagte den Gleichbehandlungsgrundsatz, da sie an andere Detekteien keine derart strengen Anforderungen stelle.
Das Verwaltungsgericht hat die Klage mit Urteil vom 21. November 2002 abgewiesen: Die Anordnung sei hinreichend bestimmt. Die Beklagte habe der Klägerin eine genaue Zielvorgabe gemacht. Es sei angemessen, dass die Beklagte der Klägerin einen Spielraum gelassen habe, wie diese das Ziel erreiche. Sowohl nach § 38 Abs. 5 Bundesdatenschutzgesetz – BDSG – in der zum Zeitpunkt der letzten behördlichen Entscheidung geltenden Fassung vom 20. Dezember 1990 (BGBl. I S. 2954) als auch in der zum Zeitpunkt der mündlichen Verhandlung zuletzt durch Gesetz vom 26. Juni 2001 (BGBl. I S. 1254) geänderten Fassung sei die Anordnung gerechtfertigt. Gemäß § 27 Abs. 1 Satz 1 BDSG a.F. fänden die Vorschriften des dritten Abschnittes (§§ 27 – 38 a BDSG) Anwendung, soweit personenbezogene Daten durch nicht-öffentliche Stellen in oder aus Dateien geschäftsmäßig verarbeitet würden. Voraussetzung sei das Vorliegen einer automatisierten oder einer nicht automatisierten Datei. Die Beklagte sei zu Recht angesichts des Standes der technischen Entwicklung davon ausgegangen, dass die heute vorhandenen Schreibprogramme unmittelbar für eine Auswertung der Daten genutzt werden könnten und insoweit heute anders als es der früheren Ansicht der Beklagten entspreche § 38 BDSG Anwendung finde. Die Beklagte habe Anlass nach § 38 BDSG gehabt einzuschreiten. Ihr hätten mehrere Beschwerden und ein strafrechtliches Ermittlungsverfahren über mögliche Datenschutzverletzungen der Klägerin vorgelegen. Auch habe die Beklagte zutreffend bei der Klägerin organisatorische Mängel festgestellt. In ihrem Betrieb sei nicht überprüfbar, welche Informationen wann und wie von welchem Mitarbeiter ermittelt worden seien. Dies begründe die Gefahr, dass einzelne Mitarbeiter gegen die datenschutzrechtlichen Vorschriften verstießen. Auch habe die Beklagte die Beseitigung der Mängel ermessensfehlerfrei angeordnet ohne dabei gegen den Grundsatz der Verhältnismäßigkeit zu verstoßen. Die Beklagte sei erkennbar davon ausgegangen, dass ihre Anordnung auch ohne Berücksichtigung der durch Art. 4. Nr. 6 b des zweiten Gesetzes zur Änderung der Gewerbeordnung und sonstiger gewerberechtlicher Vorschriften vom 16. Juni 1998 (BGBl. I S. 1291) außer Kraft gesetzten Auskunftei- und Detekteiverordnung gerechtfertigt sei. Eine Beschränkung der Dokumentationspflicht auf bestimmte Daten bzw. Bereiche würde dem Datenschutz nicht in gleicher Weise dienen wie die gewählte Dokumentationspflicht. Es sei nicht zu erkennen, dass die Dokumentationspflicht die Klägerin finanziell in einer ihre Existenz gefährdenden Weise belaste. Auch sei nichts für die Annahme ersichtlich, dass die Beklagte in anderen gleichartigen Fällen nicht in gleicher Weise vorgehe. Auch nach der Neufassung des Bundesdatenschutzgesetzes lägen die Voraussetzungen für die Anordnung nach § 38 Abs. 5 BDSG vor. Nunmehr komme es zwar nicht mehr maßgeblich auf den Begriff der Datei an. § 38 Abs. 5 Satz 1 BDSG n.F. ermögliche Anordnungen zur Gewährleistung des Datenschutzes, soweit diese Vorschriften die automatisierte Verarbeitung personenbezogener Daten regelten. Dazu zähle nach § 3 Abs. 2 BDSG n.F. die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen ohne dass besondere Anforderungen an die technischen Möglichkeiten der Datenverarbeitungsanlagen gestellt würden. Auch liege ein Verstoß gegen die in Nr. 5 der Anlage zu § 9 BDSG geregelte Eingabekontrolle vor, durch die nachträglich festgestellt werden könne, welche personenbezogenen Daten zu welcher Zeit von wem in Datenverarbeitungssysteme eingegeben würden.
1. Gemäß § 38 Abs. 5 Satz 1 des zum Zeitpunkt des Erlasses des Anordnungsbescheides vom 3. Dezember 1998 und des Widerspruchbescheides vom 17. Juni 1999 maßgeblichen BDSG 1990 kann die Aufsichtsbehörde zur Gewährleistung des Datenschutzes nach dem Bundesdatenschutzgesetz anordnen, dass im Rahmen der Anforderungen nach § 9 Maßnahmen zur Beseitigung festgestellter technischer oder organisatorischer Mängel getroffen werden. Diese Anordnungsbefugnis steht der Beklagten nach § 27 Abs. 1 Nr. 1 BDSG 1990, der u.a. den Anwendungsbereich des § 38 BDSG regelt, nur zu, soweit personenbezogene Daten in oder aus Dateien geschäftsmäßig oder für berufliche oder gewerbliche Zwecke durch nicht-öffentliche Stellen verarbeitet oder genutzt werden. Diese Voraussetzungen sind nicht alle erfüllt.
a) Verarbeiten ist gemäß der Begriffsdefinition des § 3 Abs. 5 BDSG 1990 das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten ungeachtet der dabei angewendeten Verfahren. Nutzen definiert § 3 Abs. 6 BDSG 1990 im Sinne jeder Verwendung personenbezogener Daten, soweit es sich nicht um Verarbeitung handelt. Auf die Verarbeitung und Nutzung personenbezogener Daten zielt die Beklagte mit ihrer Anordnung nicht. Vielmehr will die Beklagte sicherstellen, dass die Klägerin bei ihren Recherchen Daten nur rechtmäßig erhebt. Sie verlangt, dass die Klägerin die Herkunft und Beschaffungsart von personenbezogenen Daten im Rahmen von Ermittlungen in oder aus Dateien lückenlos dokumentiert. Insbesondere mit der Verpflichtung zu dokumentieren, welcher Mitarbeiter welche personenbezogenen Daten wann und von wem erhoben hat, will sie eine nachträgliche Aufklärung der Erhebung der Daten sicherstellen und eine Grundlage für eine zuverlässige Überprüfung durch die Aufsichtsbehörde legen. Dass es ihr dabei nicht um die Art und Weise der Verarbeitung der von der Klägerin ermittelten Daten geht, bestätigt der Anlass für ihr Einschreiten. Anlass war die Beschwerde der Landesversicherungsanstalt Rheinland-Pfalz über Ausspähversuche, die von einem Telephonapparat der Klägerin ausgingen. Diese Ausspähversuche sind der Phase der Datenerhebung zuzuordnen. Erheben ist gemäß § 3 Abs. 4 BDSG 1990 das Beschaffen von Daten über Betroffene. Die Erhebung von Daten geht deren Verarbeitung, nämlich dem Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten (§ 3 Abs. 5 BDSG 1990) und deren Nutzung (§ 3 Abs. 6 BDSG 1990) voraus. Sie ist von den Phasen der Datenverarbeitung und des Nutzens von Daten zu unterscheiden.
b.b. Diese Sichtweise bestätigt ein Blick in die Gesetzesgeschichte: In der Begründung des Innenausschusses (4. Ausschuss) zu der zusammenfassenden Beschlussempfehlung an das Plenum des Bundestages (BT-Drs. 11/7235 S. 101) heißt es:
„Im öffentlichen Bereich soll das Gesetz nicht nur für die Verarbeitung und Nutzung personenbezogener Daten gelten, sondern auch für ihre Erhebung. ... Im nicht-öffentlichen Bereich bleibt es dabei, dass nur die Verarbeitung und Nutzung, nicht die Erhebung geregelt wird...“.
Das Vorläufergesetz, nämlich das Bundesdatenschutzgesetz vom 27. Januar 1977 (BGBl. I S. 201), hatte die Datenerhebung überhaupt noch nicht in seinen Anwendungsbereich (vgl. §§ 12, 2 BDSG 1977) einbezogen; es sollte auch im Bereich öffentlicher Stellen nur die Datenverarbeitung einschließlich der Datenspeicherung schützen (vgl. Simitis/Dammann, Komm. z. BDSG, 3. Aufl. § 2 Rdnr. 79). Das Bundesdatenschutzgesetz 1990 hat seinen Anwendungsbereich im wesentlichen nur im öffentlichen Bereich auf die Phase der Datenerhebung ausgeweitet. Dies verdeutlicht, dass die Einschränkung der Anordnungsbefugnis der Aufsichtsbehörde auf die Gewährleistung des Datenschutzes durch nicht-öffentliche Stellen in den Phasen der Datenverarbeitung und Datennutzung in § 38 Abs. 5 Satz 1 BDSG 1990 auch für die Gewährleistung des Datenschutzes nach dem Bundesdatenschutzgesetz gilt und nicht nur für den Datenschutz nach anderen Vorschriften.
b.c. Demgegenüber überzeugt der Einwand nicht, dass in § 28 Abs. 1 Satz 2 BDSG 1990 auch Anforderungen an die Datenerhebung durch nicht-öffentliche Stellen gestellt werden und es deshalb konsequent erscheine, der Aufsichtsbehörde auch insoweit eine Anordnungsbefugnis einzuräumen. Dort heißt es lediglich lapidar: „Die Daten müssen nach Treu und Glauben und auf rechtmäßige Weise erhoben werden.“ Diese Regelung war in dem Regierungsentwurf noch nicht enthalten (BT-Drs. 11/4306 S. 14 § 26). Sie ist erst auf Vorschlag des Vermittlungsausschusses aufgenommen worden (BT-Drs 11/7843 S. 3). Dass mit dieser singulären Regelung der Datenerhebung durch nicht-öffentliche Stellen die Eingriffsbefugnisse der Aufsichtsbehörde nach § 38 Abs. 5 BDSG 1990 auf die Phase der Datenerhebung ausgedehnt werden sollten, ist nicht anzunehmen. So regelt § 28 Abs. 1 Satz 2 BDSG 1990 schon nicht die Zulässigkeit des Erhebens, wie dies § 13 Abs. 1 BDSG 1990 für die Datenerhebung durch die öffentlichen Stellen des Bundes vorsieht. Vielmehr bestimmt § 28 Abs. 1 Satz 2 BDSG 1990 lediglich, wann eine Datenerhebung nicht zulässig ist. Damit bringt § 28 Abs. 1 Satz 2 BDSG 1990 nichts im Vergleich zum Bundesdatenschutzgesetz 1977 neues zum Ausdruck. § 28 Abs. 1 Satz 2 BDSG 1990 verdeutlicht nur die ohnehin im Privatrecht geltenden Grundsätze von Treu und Glauben und die Notwendigkeit rechtmäßigen Vorgehens (vgl. Auernhammer, BDSG, 3. Aufl. § 28 Rdnr. 32 m.w.Nachw.).
„Öffentliche und nicht-öffentliche Stellen, die selbst ...personenbezogene Daten verarbeiten, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.“
Gemäß § 1 Abs. 2 Nr.3 BDSG in der Fassung der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66) – BDSG 2001 - gilt das Bundesdatenschutzgesetz nunmehr auch für die Erhebung personenbezogener Daten durch nicht-öffentliche Stellen, soweit sie die Daten unter Einsatz von Datenverarbeitungsanlagen verarbeiten, nutzen oder dafür erheben oder die Daten in oder aus nicht automatisierten Dateien verarbeiten, nutzen oder dafür erheben. In gleicher Weise erweitert § 27 Abs. 1 BDSG 2001 für die Datenverarbeitung nicht-öffentlicher Stellen den Anwendungsbereich des Dritten Abschnittes, der u.a. in § 38 BDSG 2001 die Anordnungsbefugnisse der Aufsichtsbehörde gegenüber nicht–öffentlichen Stellen regelt. § 38 Abs 5 BDSG 2001 lautet jetzt:
Eine automatisierte Verarbeitung umfasst nach der Begriffsbestimmung des § 3 Abs. 2 Satz 1 BDSG 2001 die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen. Mithin kann die Aufsichtsbehörde nunmehr auch Anordnungen zur Behebung technischer und organisatorischer Mängel im Bereich der Datenerhebung treffen (vgl. Gola/Schomerus, BDSG, 7. Aufl. § 38 Rdnr.6 ). Voraussetzung ist aber dafür, dass die Datenerhebung unter dem Einsatz von Datenverarbeitungsanlagen geschieht. Außerhalb des Bereiches der automatisierten Datenverarbeitung nimmt § 1 Abs. 2 Nr. 3 BDSG 2001 die Phase der Datenerhebung durch nicht-öffentliche Stellen weiterhin von der Anwendung des Bundesdatenschutzgesetzes aus (vgl. Ernestus/Geiger in Simitis, Komm. Z. BDSG, 5. Aufl. § 1 Rdnr. 137, § 9 Rdnr. 8.). Werden personenbezogene Daten nicht unter Einsatz von Datenverarbeitungsanlagen erhoben, so differenziert das Bundesdatenschutzgesetz 2001 weiter zwischen den Phasen der Datenerhebung und der Datenverarbeitung. § 3 Abs. 3 BDSG 2001 hält an der Unterscheidung zwischen dem Erheben von Daten im Sinne des Beschaffens von Daten über den Betroffenen und der Verarbeitung von Daten fest, zu der nach der Definition des § 3 Abs. 4 BDSG 2001 das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten gehört aber nicht die Datenerhebung.
b) Die Beklagte verweist demgegenüber darauf, dass nach § 27 Abs. 2 BDSG 2001 die Vorschriften dieses Abschnittes für die Datenverarbeitung nicht-öffentlicher Stellen zwar nicht für die Verarbeitung und Nutzung personenbezogener Daten außerhalb von nicht automatisierten Dateien gelten, diese – für Papierakten wichtige - Einschränkung aber nur greift, „soweit es sich nicht um personenbezogene Daten handelt, die offensichtlich einer automatisierten Verarbeitung entnommen worden sind“. Dass die in den Ermittlungsberichten der Klägerin aufgetauchten Rentenversicherungsnummern etc. offensichtlich aus einer automatisierten Verarbeitung bei den Sozialleistungsträgern entnommen sind, ist nicht zu bezweifeln.
Dieser Hinweis rechtfertigt es aber nicht, die Anordnungsbefugnis der Aufsichtsbehörde im Bereich der Datenerhebung auszudehnen. Sinn und Zweck des § 27 Abs. 3 BDSG 2001 ist es lediglich, den Anwendungsbereich des Abschnittes über die Datenverarbeitung nicht-öffentlicher Stellen zu erweitern und zu verhindern, dass personenbezogene Daten, die außerhalb von nicht automatisierten Dateien, wie z.B. in bestimmten Akten, verarbeitet und genutzt werden, auch dann aus dem Schutzbereich der Regelungen über die Datenverarbeitung nicht-öffentlicher Stellen herausfallen, wenn sie zuvor offensichtlich aus einer automatisierten Verarbeitung entnommen worden sind. Um den Anwendungsbereich dieser Regelungen, insbesondere der Regelung des § 28 BDSG 2001 über die Zulässigkeit der Datenerhebung durch nicht-öffentliche Stellen geht es hier aber nicht. Maßgeblich ist vielmehr: Die Differenzierungen, die § 38 Abs. 5 Satz 1 BDSG 2001 zwischen der Datenerhebung unter dem Einsatz von Datenverarbeitungsanlagen einerseits trifft und der – nicht die Datenerhebung umfassenden – Datenverarbeitung in oder aus nicht-automatisierten Dateien andererseits können nicht deshalb beiseite geschoben werden, weil die Daten zuvor von der übermittelnden Stelle und nicht der die Daten erhebenden Stelle offensichtlich einer automatisierten Datenverarbeitung entnommen sind. Entsprechend dem Wortlaut des § 38 Abs. 5 Satz 1 BDSG 2001 bleibt es dabei, dass die Aufsichtsbehörde hinsichtlich der Phase der Datenerhebung nur die Ausführung datenschutzrechtlicher Vorschriften sicherstellt, soweit diese die automatisierte Verarbeitung personenbezogener Daten regeln. Dass danach außerhalb des Bereiches automatisierter Datenverarbeitung die Phase der Datenerhebung von der Anordnungsbefugnis ausgenommen bleibt, macht Sinn. Denn das Gesetz begegnet mit der Ausdehnung der Anordnungsbefugnis auf die Phase der Datenerhebung unter dem Einsatz von Datenverarbeitungsanlagen gerade den mit derartigen Anlagen verbundenen spezifischen Gefahren für den Datenschutz.
c) Für die Eingrenzung der Anordnungsbefugnis spricht auch der Blick auf die weiteren Beschränkungen, mit denen § 38 Abs. 5 Satz 1 BDSG 2001 die Anordnungsbefugnis der Aufsichtsbehörde begrenzt. Diese bestehen darin, dass die Aufsichtsbehörde nur im Rahmen der Anforderungen nach § 9 BDSG 2001 Maßnahmen zur Beseitigung festgestellter technischer oder organisatorischer Mängel anordnen darf. Gemäß § 9 Satz 1 BDSG 2001 haben nicht-öffentliche Stellen, die – wie die Klägerin – selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten. Nach der genannten Anlage ist die innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird, wenn personenbezogene Daten automatisiert verarbeitet oder genutzt werden. Damit knüpfen auch die Anforderungen dieser Anlage gerade an den Vorgang der automatisierten Datenverarbeitung und damit der Erhebung unter dem Einsatz von Datenverarbeitungsanlagen an. Dass gerade das mit dem Einsatz von Datenverarbeitungssystemen verbundene erhöhte Risikopotential im Blickpunkt der Regelung steht, zeigt sich auch an den in Satz 2 der genannten Anlage aufgeführten Beispielen für technische und organisatorische Maßnahmen des Datenschutzes. Dort sind nur geeignete Maßnahmen der Zutrittskontrolle zu Datenverarbeitungsanlagen, der Zugangskontrolle, der Zugriffskontrolle, der Weitergabekontrolle, der Eingabekontrolle, der Auftragskontrolle und der Verfügbarkeitskontrolle sowie der Option getrennter Verarbeitung zu unterschiedlichen Zwecken erhobener Daten aufgeführt.
Tags: BDSG, Datenschutzbeauftragter
Weitere Fundstellen: NJW 2006, 310.
Link zu dieser Entscheidung: http://tlmd.in/u/422
LAG Niedersachsen, 16.06.2003: Kein eigenständiger Kündigungsschutz für den Datenschutzbeauftragten Urteil v. 16.06.2003, 8 SA 1968/02
OLG Hamm, 21.10.2008: Zur Überwachung von Telefonaten im Strafvollzug Beschluss v. 21.10.2008, 1 Vollz (Ws) 635/08

References: § 9
 § 38
 § 27
 § 38
 § 38
 Art. 4
 § 38
 § 38
 § 3
 § 9
 § 38
 § 9
 § 27
 § 38
 § 3
 § 3
 § 3
 § 2
 § 38
 § 28
 § 26
 § 38
 § 28
 § 13
 § 28
 § 28
 § 28
 § 28
 § 1
 § 27
 § 38
 § 38
 § 3
 § 38
 § 1
 § 1
 § 9
 § 3
 § 3
 § 27
 § 27
 § 28
 § 38
 § 38
 § 38
 § 9
 § 9