Source: https://www.webshoprecht.de/IRUrteile/Rspr2108.php
Timestamp: 2017-12-17 08:11:03
Document Index: 135305278

Matched Legal Cases: ['§ 38', '§ 38', '§ 38', '§ 38', '§ 27', '§ 2', '§ 38', '§ 1', '§ 3', '§ 1', '§ 28', '§ 28', '§ 1', '§ 1', '§ 1', '§ 15', '§ 18', '§ 14', '§ 14', '§ 20', '§ 20', '§ 20', '§ 3', '§ 14', '§ 3', '§ 3', '§ 20', '§ 14', '§ 14', '§ 20']

Verwaltungsgericht Hannover Urteil vom 28.11.2013 - 10 A 5342/11 - Datenschutzrechtliches Verbot des Scannens von Personalausweisen
VG Hannover v. 28.11.2013: Datenschutzrechtliches Verbot des Scannens von Personalausweisen
Das Verwaltungsgericht Hannover (Urteil vom 28.11.2013 - 10 A 5342/11) hat entschieden:
Siehe auch Datenschutz und Stichwörter zum Thema Datenschutz
Rechtsgrundlage für die vom Beklagten getroffenen Anordnungen ist § 38 Abs. 5 Satz 2 BDSG. Nach § 38 Abs. 5 Satz 1 BDSG kann die Aufsichtsbehörde zur Gewährleistung der Einhaltung des Bundesdatenschutzgesetzes und anderer Vorschriften über den Datenschutz gegenüber nicht-​öffentlichen Stellen Maßnahmen u.a. zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten anordnen. Gemäß § 38 Abs. 5 Satz 2 BDSG kann sie bei schwerwiegenden Verstößen oder Mängeln, insbesondere solchen, die mit einer besonderen Gefährdung des Persönlichkeitsrechts verbunden sind, die Erhebung, Verarbeitung oder Nutzung oder den Einsatz einzelner Verfahren untersagen, wenn die Verstöße oder Mängel entgegen der Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden. Die Anordnung des Beklagten, das Verfahren „Einscannen von Personalausweisen“ einzustellen und die bisher rechtswidrig erhobenen Daten zu löschen, stellt eine Maßnahme im Sinne der letztgenannten Vorschrift dar.
Der Beklagte ist für den Erlass des streitbefangenen Bescheides zuständig. Gemäß § 38 Abs. 6 BDSG bestimmen die Landesregierungen oder die von ihnen ermächtigten Stellen die für die Kontrolle der Durchführung des Datenschutzes im Anwendungsbereich des dritten Abschnitts des Bundesdatenschutzgesetzes zuständigen Stellen. Die Vorschriften des dritten Abschnitts finden u.a. Anwendung, soweit durch nicht-​öffentliche Stellen personenbezogene Daten unter Einsatz von Datenverarbeitungsanlagen verarbeitet, genutzt oder dafür erhoben werden oder die Daten von solchen Stellen in oder aus nicht automatisierten Dateien verarbeitet, genutzt oder dafür erhoben werden (§ 27 Abs. 1 Satz 1 BDSG). Die Klägerin als juristische Person des Privatrechts ist gemäß § 2 Abs. 4 Satz 1 BDSG eine nicht-​öffentliche Stelle im vorbenannten Sinne, so dass für ihre Kontrolle der von der Niedersächsischen Landesregierung durch Beschluss vom 19.12.2006 (Nds. MBl. 2007, 108) als zuständige Aufsichtsbehörde nach § 38 Abs. 6 BDSG bestimmte Beklagte zuständig ist. Die örtliche Zuständigkeit des Beklagten folgt aus § 1 Abs. 1 Nds. VwVfG, § 3 Abs. 1 Nr. 2 VwVfG. Auch ansonsten sind formelle Mängel nicht erkennbar, insbesondere ist die Klägerin vor Erlass der angefochtenen Verfügung in einer § 1 Abs. 1 Nds. VwVfG, § 28 Abs. 1 VwVfG entsprechenden Weise angehört worden.
Die Zulässigkeit des Scannens und Speicherns von Personalausweisen beurteilt sich nach den in Abschnitt 3 des Gesetzes über Personalausweise und den elektronischen Identitätsnachweis - Personalausweisgesetz - (PAuswG) getroffenen Regelungen über den Umgang mit personenbezogenen Daten; die von den Beteiligten herangezogene Vorschrift des § 28 BDSG über die Datenerhebung und -speicherung für eigene Geschäftszwecke durch nicht-​öffentliche Stellen ist hingegen nicht anwendbar.
Nach § 1 Abs. 2 Nr. 3 BDSG gilt das Bundesdatenschutzgesetz zwar grundsätzlich auch für die Datenerhebung, -nutzung und -verarbeitung durch nicht-​öffentliche Stellen. Soweit aber andere Rechtsvorschriften des Bundes auf personenbezogene Daten einschließlich deren Veröffentlichung anzuwenden sind, gehen sie den Vorschriften des Bundesdatenschutzgesetzes vor (§ 1 Abs. 3 Satz 1 BDSG). Die Konkurrenz von Rechtsvorschriften des Bundes innerhalb und außerhalb des Bundesdatenschutzgesetzes, deren Gegenstand die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten ist, wird durch diese Regelung im Sinne des Vorrangs der spezielleren - bereichsspezifischen - Norm geklärt (vgl. Dix in Simitis, Bundesdatenschutzgesetz, 7. Aufl., Rn. 158 zu § 1). Inwieweit sich der Vorranggrundsatz konkret auswirkt, bestimmt sich nach dem Inhalt der mit dem Bundesdatenschutzgesetz konkurrierenden Vorschrift. Soweit diese eine abweichende Regelung für einen Sachverhalt trifft, der ebenfalls im Bundesdatenschutzgesetz geregelt ist, verdrängt sie die Normen dieses Gesetzes.
zur Identitätsfeststellung berechtigte Personen nach Maßgabe der §§ 15 bis 17,
öffentliche Stellen und nicht-​öffentliche Stellen nach Maßgabe der §§ 18 bis 20.
Damit ist diese Norm die zentrale bereichsspezifische Datenschutzvorschrift des Personalausweisrechts (so Möller in Hornung/Möller, PassG - PAuswG, Kommentar 2011, Rn. 1 zu § 14), die keinen Raum für eine vorrangige oder auch nur ergänzende Heranziehung der Regelungen des dritten Abschnitts des Bundesdatenschutzgesetzes über die Datenverarbeitung nicht-​öffentlicher Stellen lässt.
Die Klägerin ist unstreitig keine zur Identitätsfeststellung berechtigte Behörde im Sinne von § 14 Nr. 1 PAuswG. Maßgeblich für die Zulässigkeit des beanstandeten Verfahrens ist daher § 20 PAuswG. Absatz 1 dieser Norm bestimmt, dass der Inhaber den Personalausweis bei öffentlichen und nicht-​öffentlichen Stellen als Identitätsnachweis und Legitimationspapier verwenden kann und ist damit die Grundlage für die Verwendung als Ausweis und Legitimationspapier auch im privaten Rechtsverkehr (Möller in Hornung/Möller, PassG - PAuswG, Kommentar 2011, Rn. 3 zu § 20). Dem entsprechend gesteht der Beklagte der Klägerin auch ohne weiteres zu, dass sie sich von den Fahrzeuge abholenden Personen den Personalausweis zeigen lässt und darin enthaltene Daten (Namen, Geburtsdatum, Adresse) herausschreibt.
Das mit der angefochtenen Verfügung beanstandete Verfahren hingegen ist § 20 Abs. 2 PAuswG zuzuordnen, wonach außer zum elektronischen Identitätsnachweis der Personalausweis durch öffentliche oder nicht-​öffentliche Stellen weder zum automatisierten Abruf personenbezogener Daten noch zur automatisierten Speicherung personenbezogener Daten verwendet werden darf. Nach der zur Konkretisierung der datenschutzrechtlichen Bestimmungen des Personalausweisgesetzes heranzuziehenden Begriffsbestimmung in § 3 Abs. 2 Satz 1 BDSG (vgl. BT-​Drs. 16/10489 S. 40 zu § 14) ist eine automatisierte Verarbeitung die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen, wobei zum Verarbeiten das Speichern von personenbezogenen Daten gehört (§ 3 Abs. 4 Satz 1 BDSG). Ungeachtet der dabei angewendeten Verfahren ist Speichern das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger zum Zwecke ihrer weiteren Verarbeitung oder Nutzung (§ 3 Abs. 4 Satz 2 Nr. 1 BDSG). Angesichts dieses Regelungsgefüges kann es nicht ernsthaft zweifelhaft sein, dass das von der Klägerin praktizierte Verfahren, bei dem Personalausweise gescannt und unter Verwendung einer speziellen Software auf einem Rechner gespeichert werden, um im Bedarfsfall verwendet zu werden, als automatisierte Speicherung personenbezogener Daten im Sinne von § 20 Abs. 2 PAuswG zu qualifizieren ist; auch die Klägerin hat substantiierte Einwände insoweit nicht erhoben.
Dieses Ergebnis wird durch die Entstehungsgeschichte von §§ 14 und 20 PAuswG bestätigt. So heißt es in der Begründung des Regierungsentwurfs zu § 14, der unverändert Gesetz geworden ist, u.a. (BT-​Drs. 16/10498 S. 40):
Dem entsprechend wird in der Begründung zu § 20 Absätze 2 und 3, der ebenfalls im Gesetzgebungsverfahren nicht verändert wurde, ausgeführt (BT-​Drs. 16/10498 S. 42):