Source: http://betriebs-berater.ruw.de/wirtschaftsrecht/urteile/Keine-Ermaechtigungsgrundlage-fuer-datenschutzrechtliche-Verfuegung-nach-EU-DSGVO-vor-deren-Inkrafttreten-33945
Timestamp: 2018-04-25 08:35:17
Document Index: 212741045

Matched Legal Cases: ['§ 38', '§ 38', 'Art. 5', '§ 28', '§ 38', '§ 28', '§ 35', '§ 882', '§ 35', '§ 35', '§ 28', '§ 38', '§ 28', 'Art. 17', '§ 38', '§ 38', 'Art. 40', 'Art. 6', '§ 38', 'Art. 58', '§ 28', 'Art. 40', 'Art. 40', 'Art. 58', 'Art. 99', '§ 9', '§ 38', '§ 38']

Keine Ermächtigungsgrundlage für datenschutzrechtliche Verfügung nach EU-DSGVO vor deren Inkrafttreten
VG Karlsruhe: Keine Ermächtigungsgrundlage für datenschutzrechtliche Verfügung nach EU-DSGVO vor deren Inkrafttreten
VG Karlsruhe, Urteil vom 6.7.2017 – 10 K 7698/16
Volltext des Urteils://BB-ONLINE BBL2017-2449-1
Eine an eine Auskunftei gerichtete datenschutzrechtliche Verfügung, mit der für den am 25.05.2018 beginnenden Zeitraum ab Anwendbarkeit der EU-Datenschutzgrundverordnung Überprüfungs- und Löschfristen für gespeicherte, forderungsbezogene Daten vorgegeben werden, kann nicht auf die Ermächtigungsgrundlage des § 38 Abs. 5
S. 1 BDSG gestützt werden.
BDSG § 38 Abs. 5 S. 1; EU-DSGVO Art. 5, Erwägungsgrund 39
Die derzeitige Rechtslage wird sich mit Anwendbarkeit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (EU-Datenschutzgrundverordnung – EU-DSGVO) ab 25.05.2018 ändern. Auch das Bundesdatenschutzgesetz wird mit dem Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 vom 30.06.2017 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) neu gefasst. Konkrete Prüf- und Löschfristen für bei Auskunfteien gespeicherte, forderungsbezogene Daten bestimmen weder die EU-Datenschutzgrundverordnung noch das neu gefasste Bundesdatenschutzgesetz.
Am 25.11.2016 erließ der Landesbeauftragte für den Datenschutz Baden-Württemberg gegenüber der Klägerin die streitgegenständliche datenschutzrechtliche Verfügung, wonach Forderungen im Sinne von § 28a BDSG und die mit diesen in Zusammenhang stehenden Informationen über Personen, die die Klägerin in ihren Datenbeständen, aus denen Bonitätsauskünfte erteilt würden, nach dem 24.05.2018 speichere, spätestens nach Ablauf von drei Jahren, beginnend mit dem Zeitpunkt der Fälligkeit der Forderung, zu löschen seien, es sei denn, dass der Betroffene zu diesem Zeitpunkt zahlungsunfähig oder zahlungsunwillig sei. Zur Begründung wurde im Wesentlichen wie folgt ausgeführt: Nach § 38 Abs. 5 S. 1 BDSG könne die Aufsichtsbehörde die erforderlichen Maßnahmen zur Gewährleistung der Einhaltung datenschutzrechtlicher Vorschriften bei der Erhebung, Verbreitung und Nutzung personenbezogener Daten ergreifen. Zwar würden keine gegenwärtigen Datenschutzverstöße der Klägerin unterbunden, jedoch sollten Missstände verhindert werden, die nach dem 24.05.2018 zu erwarten seien. Die Annahme eines Verstoßes gegen materielles Datenschutzrecht sei einer Entscheidung des Oberverwaltungsgerichts Schleswig-Holstein zufolge nicht erst dann gerechtfertigt, wenn die betreffende Datenverarbeitung bereits ins Werk gesetzt oder nicht bzw. nicht mehr zulässig sei. Vielmehr sei ein Tätigwerden der Aufsichtsbehörde auch dann möglich, wenn besondere Umstände vorlägen, die zukünftige Datenschutzverstöße erwarten ließen. Da die Klägerin in ihrem Schreiben vom 20.11.2016 nicht verbindlich zugesichert habe, ihre Datenspeicherungspraxis ab dem 24.05.2018 entsprechend des Tenors der Verfügung tatsächlich zu ändern, seien künftige Datenschutzverstöße nicht auszuschließen. Es sei ungewiss, ob die Klägerin den Zeitraum bis zur Geltung der Verordnung nutzen werde, um die Verarbeitung personenbezogener Daten an die neuen Vorgaben anzupassen. Die nach dem 24.05.2018 voraussichtlich geltende, dem § 28a Abs. 1 BDSG vergleichbare Regelung lasse es grundsätzlich zu, dass Auskunfteien entsprechende Bonitätsnegativmerkmale auch nach diesem Zeitpunkt für eine angemessene Dauer speichern dürften. Allerdings könne nach dem Wegfall des § 35 Abs. 2 S. 2 Nr. 4 BDSG dem Gesetz nicht mehr entnommen werden, wie lange diese bemessen sei. Die vorgeschlagene Dreijahresfrist orientiere sich an der gesetzlichen Regelung des § 882e ZPO. Denn offenbar gehe der deutsche Gesetzgeber davon aus, dass selbst im Falle völliger Zahlungsunfähigkeit eine Warnung Dritter nach Ablauf dieses Zeitraums nicht mehr geboten erscheine. Mit dem Gesetz zur Änderung des Bundesdatenschutzgesetzes im Jahre 2009 sei die gesetzliche Prüffrist in § 35 BDSG für erledigte Sachverhalte von vier auf drei Jahre verkürzt worden mit der Begründung, dass drei Jahre ausreichend seien, um das künftige Verhalten eines Betroffenen, der in der Vergangenheit kreditunwürdig gewesen sei, einschätzen zu können. Für eine regelmäßig längere Speicherfrist bestehe keine Notwendigkeit, zumal es keine gesicherten Erkenntnisse gebe, dass Schuldner, die eine Rechnung nicht rechtzeitig bezahlt hätten, erst nach Ablauf eines längeren Bewährungszeitraumes als drei Jahre wieder uneingeschränkt kreditwürdig seien. Da künftig auch die Regelung zum Fristbeginn nach § 35 Abs. 2 S. 2 Nr. 4 BDSG entfalle, komme für den Beginn der Berechnung der Dreijahresfrist nicht mehr das auf die erstmalige Speicherung folgende Kalenderjahr, sondern nur noch der Zeitpunkt der Fälligkeit der Forderung in Betracht. Die Zeitpunkte „Erfüllung der Einmeldevoraussetzungen nach § 28a Abs. 1 S. 1 Nr. 4 BDSG“ bzw. „Kenntnisnahme der Auskunftei von dem Bonitätsnegativmerkmal“ schieden dafür aus, da diese davon abhängig seien, wann die bei der Auskunftei einmeldende Stelle die Speichervoraussetzungen herbeiführe bzw. die Datenübermittlung vornehme. Mache sie dies verzögert, könne sich die Speicherungsdauer willkürlich verlängern. Eine Verlängerung der Speicherung sei für eine angemessene Dauer nach Ablauf der Dreijahresfrist möglich, wenn der Betroffene zu diesem Zeitpunkt generell zahlungsunwillig bzw. zahlungsunfähig sei. Die Auskunftei müsse jeweils im Einzelfall ihre weitere Speicherungsberechtigung prüfen. Im Rahmen des nach § 38 Abs. 5 BDSG auszuübenden Ermessens sei in die Abwägung eingeflossen, dass ab dem Geltungszeitpunkt der EU-Datenschutzgrundverordnung bei der Bestimmung der generellen Speicherdauer zwischen den schutzwürdigen Interessen der Klägerin und deren Kunden einerseits und – anders als bislang – auch denen der von der Speicherung betroffenen Personen andererseits abzuwägen sei. Es liege im Interesse der Auskunfteien, wenn die Aufsichtsbehörden rechtzeitig verbindliche Vorgaben machten, die bei der Umsetzung der Verordnung zu beachten seien. Unter Berücksichtigung des Umstandes, dass es einer Wirtschaftsauskunftei nicht zumutbar sei, Einmeldungen im Sinne von § 28a Abs. 1 BDSG zum Zeitpunkt der Speicherung stets auf ihre Richtigkeit hin zu prüfen, akzeptiere die Aufsichtsbehörde eine generelle Speicherfrist für derartige Angaben von zunächst drei Jahren. Die Betroffenen seien trotz der Dreijahresfrist und der Übergangsregelung keineswegs schutzlos gestellt. Sie könnten jederzeit das ihnen nach Art. 17 Abs. 1 EU-DSGVO zustehende Recht auf Vergessenwerden geltend machen. Auch treffe die Auskunftei die Verpflichtung, falls sie beabsichtige, die Speicherung zu verlängern, genau zu prüfen, ob die Voraussetzungen dafür vorlägen. Im Zweifelsfall müsse der Datensatz gelöscht werden. Obschon die Klägerin angekündigt habe, ihre Datenlöschkonzeption zum 25.05.2018 der EU-Datenschutzgrundverordnung anpassen zu wollen, bestehe die Notwendigkeit für den Erlass der Anordnung. Bei der Ankündigung handele es sich lediglich um eine Absichtserklärung, nicht hingegen um eine konkrete, vollstreckbare Zusicherung. Wie die Anpassung aussehen solle, sei ebenfalls unklar. Soweit sie sich an einer Verhaltensregel im Sinne von § 38a Abs. 1 BDSG des Verbandes der Auskunfteien orientieren wolle, sei völlig ungewiss, ob und mit welchem Inhalt eine solche zustande komme.
Die Klägerin hat gegen die ihr am 26.11.2016 zugestellte Verfügung am 22.12.2016 Klage erhoben. Zur Begründung macht sie im Wesentlichen Folgendes geltend: Die streitgegenständliche, in die Zukunft gerichtete Verfügung stelle einen vorsorglichen Verwaltungsakt dar, für den keine Ermächtigungsgrundlage bestehe. Die herangezogene Vorschrift des § 38 Abs. 5 S. 1 BDSG enthalte eine Anordnungs- und Untersagungsbefugnis hinsichtlich festgestellter materieller Datenschutzverstöße oder festgestellter technischer oder organisatorischer Mängel. Dies liege unstreitig nicht vor. Eine Anordnung wegen eines hypothetisch denkbaren Verstoßes gegen zukünftig geltendes Datenschutzrecht könne auf der genannten Ermächtigungsgrundlage nicht getroffen werden. Die in der Verfügung erwähnte Entscheidung des Oberverwaltungsgerichts Schleswig-Holstein, der ein zwar künftiger, jedoch konkret bevorstehender Verstoß gegen geltendes Recht bezüglich besonders sensibler, strafrechtlich geschützter Daten zugrunde gelegen habe, könne vorliegend nicht herangezogen werden. Weder liege ein Verstoß gegen geltendes Recht vor, noch liege der künftigen Speicherungs- und Löschpraxis der Klägerin ein finales Regelwerk zugrunde. Dieses solle vielmehr in Übereinstimmung mit der Arbeitsgruppe Auskunfteien des Düsseldorfer Kreises gerade erst einvernehmlich erstellt werden. Der Verband der Wirtschaftsauskunfteien beabsichtige einen Genehmigungsantrag für Verhaltensregeln zu Mindestspeicherfristen säumiger Schuldner nach Art. 40 EU-DSGVO zu stellen. Zuständig für diese Genehmigung sei allein die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, da der Verband seinen Sitz in Neuss habe. Dass seitens des Verbandes der Wirtschaftsauskunfteien der Dialog mit allen Datenschutzbeauftragten der Länder gesucht worden sei, sei nicht verpflichtend, sondern vielmehr lediglich dem Bemühen geschuldet, einen größtmöglichen Konsens zu erreichen. Insgesamt gebe es keine Anhaltspunkte dafür, dass die Klägerin ihr Datenlöschkonzept nicht an das künftig geltende europäische Datenschutzrecht anpassen werde. Eine rechtliche Grundlage dafür, eine verbindliche Zusicherung zu verlangen, dass die Datenlöschkonzeption 2018 entsprechend des Tenors der angegriffenen Verfügung angepasst werde, bestehe nicht. Auch für die vorgegebene Prüf- und Löschfristkonzeption fehle es an einer rechtlichen Grundlage.
Zur Begründung führt er im Wesentlichen aus, dass für eine Speicherung säumiger Schuldner durch Auskunfteien zukünftig nach Art. 6 Abs. 1 Buchst. f EU-DSGVO eine Interessenabwägung vorzunehmen sei, wobei ein berechtigtes Speicherinteresse nur vorliege, wenn die Schuldner generell zahlungsunfähig oder zahlungsunwillig seien. Nach Erwägungsgrund 39 S. 10 der EU-DSGVO habe jede datenverarbeitende Stelle die Pflicht, Fristen für die Löschung und die regelmäßige Überprüfung der von ihr gespeicherten Daten vorzusehen, um sicherzustellen, dass diese nicht länger als nötig gespeichert würden (Datenlöschkonzeption). Rechtsgrundlage für die behördliche Anordnung sei § 38 Abs. 5 S. 1 BDSG i.V.m. Erwägungsgrund 39 der EU-DSGVO, welche seit 24.05.2016 in Kraft sei. Die für eine Datenverarbeitung verantwortlichen Stellen seien bereits jetzt verpflichtet, dafür Sorge zu tragen, dass ihre Datenverarbeitungssysteme spätestens zum 25.05.2018 der EU-Datenschutzgrundverordnung entsprächen. Um dies sicherzustellen, könnten die Datenschutzaufsichtsbehörden bereits jetzt – soweit wie vorliegend erforderlich – Verfügungen erlassen. Nach dem 24.05.2018 könne die Verfügung auf Art. 58 Abs. 2 Buchst. d EU-DSGVO gestützt werden. Schließlich lasse sich auch nicht absehen, dass eine Selbstverpflichtung der Wirtschaftsauskunfteien eine Datenlöschkonzeption enthalte, die eine Prüfung der Speicherungen drei Jahre nach Fälligkeit der nicht oder verspätet beglichenen Forderungen sicherstelle. Für den Erlass der streitgegenständlichen Verfügung entfalle jedenfalls nicht das Sachbescheidungsinteresse, da eine Selbstverpflichtung weder vollstreckbar sei, noch die Gerichte binde. Die Anordnung des Beklagten sei so zu verstehen, dass sie sich auf alle Angaben im Sinne von § 28a Abs. 1 BDSG beziehe, unabhängig davon, ob diese Regelung künftig noch gelten werde. Umfasst davon seien alle nicht rechtzeitig beglichenen Forderungen, gleichgültig, ob nur ein Inkassoverfahren eingeleitet worden sei oder ob der Betroffene die Zahlungsverpflichtung ausdrücklich anerkannt habe. Die Anordnung solle sich hingegen nicht auf Insolvenzfälle ziehen.
Einen Vorschlag bezüglich der Prüf- und Löschfristen unter Geltung der EU-Datenschutzgrundverordnung enthält der vom Verband der Wirtschaftsauskunfteien, dem auch die Klägerin angehört, ausgearbeitete Entwurf von Verhaltensregeln („Code of Conduct“). Nach Art. 40 Abs. 2 EU-DSGVO können Verbände oder andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, Verhaltensregeln ausarbeiten oder ändern oder erweitern, mit denen die Anwendung der Verordnung präzisiert wird. Auf Antrag nimmt die zuständige Aufsichtsbehörde in einem zweistufigen Verfahren dazu Stellung, ob die vorgelegten Verhaltensregeln mit der Verordnung vereinbar sind und genehmigt diese, soweit sie „ausreichende geeignete Garantien“ bieten (vgl. Art. 40 Abs. 5 S. 2 EU-DSGVO). Ein entsprechender Antrag bei der hier zuständigen Aufsichtsbehörde des Landes Nordrhein-Westfalen ist – wie die Prozessbevollmächtigten der Klägerin in der mündlichen Verhandlung vom 06.07.2017 angegeben haben – formal noch nicht gestellt worden. Aktuell finde noch die Abstimmung und Konsensbildung mit den im Düsseldorfer Kreis vertretenen Aufsichtsbehörden des Bundes und der Länder für den nicht-öffentlichen Bereich statt. Ausweislich des Protokolls der letzten Sitzung des Düsseldorfer Kreises vom 07.03.2017 (abrufbar unter: https://www.ldi.nrw.de/mainmenu_Service/submenu_Entschliessungsarchiv/Inhalt/
Protokolle/Inhalt/Protokolle_des_Duesseldorfer_Kreises/Inhalt/7_-Maerz-2017/DK-2017_1-Protokoll.pdf) hat der „Code of Conduct Prüf- und Löschfristen in der Fassung des Entwurfs vom 28.02.2017“ bei einer Probeabstimmung zwar eine mehrheitliche Zustimmung, jedoch nicht die nach der Geschäftsordnung des Düsseldorfer Kreises erforderliche einstimmige Zustimmung erhalten. Mehrheitlich befürworte der Düsseldorfer Kreis, dass Nordrhein-Westfalen als genehmigende Aufsichtsbehörde dem Verband der Wirtschaftsauskunfteien empfehlen solle, den Bundesverband Verbraucherzentralen bei der „weiteren Ausarbeitung des Code of Conduct“ zu beteiligen (vgl. Protokoll der Sitzung vom 07.03.2017, S. 7). Vor dem Hintergrund des nach wie vor laufenden Verfahrens steht weder fest, ob es überhaupt zu einer späteren Genehmigung von Verhaltensregeln zu den Prüf- und Löschfristen kommen wird, noch wie diese letztlich ausgestaltet sein werden. Angesichts dessen kann die weitere Frage der Wirkung und Verbindlichkeit von genehmigten Verhaltensregeln dahingestellt bleiben. Nach dem Voranstehenden fehlt es bereits an einer Grundlage, welche die getroffene Einschätzung tragen könnte, wonach die Klägerin mit ihrer – derzeit im Übrigen noch ungewissen – künftigen Prüf- und Löschpraxis gegen die – ggf. noch zu konkretisierenden – Vorgaben der EU-Datenschutzgrundverordnung verstoßen würde.
c) Soweit der Beklagte auf Art. 58 Abs. 2 Buchst. d EU-DSGVO verweist, wonach jede Aufsichtsbehörde über Abhilfebefugnisse verfügt, die es ihr gestatten, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der Verordnung zu bringen, kann die am 25.11.2016 erlassene Verfügung bereits deshalb nicht auf diese Ermächtigungsgrundlage gestützt werden, da diese erst ab 25.05.2018 Gültigkeit beanspruchen wird (vgl. Art. 99 Abs. 2 EU-DSGVO).
3. Ferner handelt es sich – auch wenn formal keine generell-abstrakte Regelung vorliegt – in funktionaler Hinsicht bei der streitgegenständlichen Verfügung, ausgehend von ihrem wesentlichen inhaltlichen Regelungsziel, um eine Rechtsnorm, welche unzulässigerweise in der Form des Verwaltungsaktes erlassen wurde und auch aus diesem Grund – da eine Umdeutung nicht möglich ist – aufzuheben ist (vgl. hierzu BVerwG, Urteil vom 01.10.1963 - IV C 9.63 -, juris, Rn. 59 f.). Bei der Bestimmung, ob eine Regelung materiell bzw. funktional als Rechtsnorm einzuordnen ist, kann unter anderem auf den räumlichen Geltungsbereich sowie auf die Geltungsdauer abgestellt werden, wobei eine längerfristig gedachte, zum Beispiel mehrjährige Regelung eher als Rechtsnorm einzuordnen ist (vgl. Maurer, Allgemeines Verwaltungsrecht, 18. Aufl. 2011, § 9 Rn 19).
Gemessen hieran ist die von der Aufsichtsbehörde getroffene Regelung sowohl aufgrund ihrer unbestimmten Geltungsdauer als auch aufgrund ihres beabsichtigten Geltungsbereiches einer Rechtsnorm vergleichbar. Mit der Verfügung vom 25.11.2016 wird bezweckt, die von der Aufsichtsbehörde für angemessen erachteten abstrakten Überprüfungs- und Löschfristen ab Anwendbarkeit der EU-Datenschutzgrundverordnung für Auskunfteien mit Sitz in Baden-Württemberg rechtsverbindlich zu machen. Zwar ist die Verfügung nur an die Klägerin gerichtet. Jedoch hat der Beklagte in der mündlichen Verhandlung ausgeführt, dass die andere in Baden-Württemberg mit Niederlassungen vertretene Auskunftei „xxx“ sich bereits freiwillig an die entsprechenden Überprüfungs- und Löschfristen halte. Die Verfügung hat ihrem Wesen nach demzufolge die Funktion, eine für alle der Aufsicht des Landesbeauftragten für den Datenschutz Baden-Württemberg unterliegenden Auskunfteien geltende Rechtslage von unbestimmter Geltungsdauer herbeizuführen. Eine solche Regelung kann nur auf Grundlage einer gesetzlichen Ermächtigung zum Erlass einer Rechtsnorm sowie in der Form einer solchen ergehen. In der vorliegend gewählten Form des Verwaltungsaktes, welcher auf Grundlage der zum Erlass eines Verwaltungsaktes ermächtigenden Vorschrift des § 38 Abs. 5 S. 1 BDSG (vgl. Petri in Simitis, a.a.O., § 38 BDSG Rn. 71) erging, kann die streitgegenständliche Regelung hingegen nicht zulässigerweise getroffen werden. Die angefochtene Verfügung ist damit auch aus diesem Grund rechtsfehlerhaft.