BECKMANN UND NORDA - Rechtsanwälte Bielefeld

Facebook / Meta soll 1,2 Milliarden EURO Bußgeld wegen DSGVO-widriger Übermittlung personenbezogener Daten in die USA zahlen.

Die Pressemitteilung des European Data Protection Board (EDPB):
1.2 billion euro fine for Facebook as a result of EDPB binding decision

Brussels, 22 May - Following the EDPB’s binding dispute resolution decision of 13 April 2023, Meta Platforms Ireland Limited (Meta IE) was issued a 1.2 billion euro fine following an inquiry into its Facebook service, by the Irish Data Protection Authority (IE DPA). This fine, which is the largest GDPR fine ever, was imposed for Meta’s transfers of personal data to the U.S. on the basis of standard contractual clauses (SCCs) since 16 July 2020. Furthermore, Meta has been ordered to bring its data transfers into compliance with the GDPR.

Andrea Jelinek, EDPB Chair, said: “The EDPB found that Meta IE’s infringement is very serious since it concerns transfers that are systematic, repetitive and continuous. Facebook has millions of users in Europe, so the volume of personal data transferred is massive. The unprecedented fine is a strong signal to organisations that serious infringements have far-reaching consequences.”

In its binding decision of 13 April 2023, the EDPB instructed the IE DPA to amend its draft decision and to impose a fine on Meta IE. Given the seriousness of the infringement, the EDPB found that the starting point for calculation of the fine should be between 20% and 100% of the applicable legal maximum. The EDPB also instructed the IE DPA to order Meta IE to bring processing operations into compliance with Chapter V GDPR, by ceasing the unlawful processing, including storage, in the U.S. of personal data of European users transferred in violation of the GDPR, within 6 months after notification of the IE SA’s final decision.

The IE DPA's final decision incorporates the legal assessment expressed by the EDPB in its binding decision, adopted on the basis of Art. 65(1)(a) GDPR after the IE DPA, as lead supervisory authority (LSA), had triggered a dispute resolution procedure concerning the objections raised by several concerned supervisory authorities (CSAs). Among others, CSAs issued objections aiming to include an administrative fine and/or an additional order to bring processing into compliance*.

The final decision taken by the IE DPA is available in the Register for Decisions taken by supervisory authorities and courts on issues handled in the consistency mechanism.

EuGH
Urteil vom 12.01.2023
C-154/21
Österreichische Post (Informationen über die Empfänger personenbezogener Daten)

Der EuGH hat entschieden, dass der Auskunftsanspruch aus Art. 15 Abs. 1 lit. c DSGVO regelmäßig auch die Identität der Empfänger personenbezogener Daten umfasst.

Tenor der Entscheidung:
Art. 15 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung) ist dahin auszulegen, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.

Die Pressemitteilung des EuGH:
Jeder hat das Recht zu erfahren, an wen seine personenbezogenen Daten weitergegeben wurden

Der für die Datenverarbeitung Verantwortliche kann sich jedoch darauf beschränken, nur die Empfängerkategorien mitzuteilen, wenn es nicht möglich ist, die Empfänger zu identifizieren, oder wenn der Antrag offenkundig unbegründet oder exzessiv ist

Ein Bürger beantragte bei der Österreichischen Post, der größten Anbieterin von Post- und Logistikdiensten in Österreich, ihm mitzuteilen, gegenüber welchen Empfängern sie seine personenbezogenen Daten offengelegt habe.

Er stützte sich auf die Datenschutz-Grundverordnung (DSGVO). Diese sieht vor, dass eine betroffene Person das Recht hat, von dem Verantwortlichen Informationen über die Empfänger oder Kategorien von Empfängern zu erhalten, gegenüber denen ihre personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.

Bei der Beantwortung der Anfrage des Bürgers beschränkte sich die Österreichische Post auf die Mitteilung, sie verwende personenbezogene Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und biete diese Daten Geschäftskunden für Marketingzwecke an. Der Bürger erhob daraufhin gegen die Österreichische Post Klage vor den österreichischen Gerichten.

Im Lauf des gerichtlichen Verfahrens teilte die Österreichische Post dem Bürger weiter mit, seine Daten seien an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen (NGOs) oder politische Parteien gehört hätten.

Der Oberste Gerichtshof (Österreich), bei dem der Rechtsstreit in letzter Instanz anhängig ist, möchte wissen, ob die DSGVO es dem für die Datenverarbeitung Verantwortlichen freistellt, ob er der betroffenen Person die konkrete Identität der Empfänger oder nur die Kategorien von Empfängern mitteilt, oder ob die betroffene Person gemäß der DSGVO das Recht hat, die konkrete Identität dieser Empfänger zu erfahren.

Mit seinem heutigen Urteil antwortet der Gerichtshof, dass der Verantwortliche, wenn personenbezogene Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person auf Anfrage die Identität der Empfänger mitzuteilen. Nur wenn es (noch) nicht möglich ist, diese Empfänger zu identifizieren, kann sich der Verantwortliche darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen. Dies ist ebenfalls der Fall, wenn der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist.

Der Gerichtshof weist darauf hin, dass dieses Auskunftsrecht der betroffenen Person erforderlich ist, um es ihr zu ermöglichen, die anderen Rechte auszuüben, die ihr gemäß der DSGVO zukommen, nämlich das Recht auf Berichtigung, das Recht auf Löschung („Recht auf Vergessenwerden“), das Recht auf Einschränkung der Verarbeitung, das Recht auf Widerspruch gegen die Verarbeitung oder auch das Recht auf einen Rechtsbehelf im Schadensfall.

Den Volltext der Entscheidung finden Sie hier:

OLG Karlsruhe
Beschluss vom 07.09.2022
15 Verg 8/22

Das OLG Karlsruhe hat entschieden, dass US-Cloud-Anbieter bzw. deren europäische Tochterunternehmen nicht generell wegen fehlender DSGVO-Konformität von Vergabeverfahren auszuschließen sind.

Aus den Entscheidungsgründen:
b) Das Angebot der Beigeladenen ist auch nicht auszuschließen, weil ihr Angebot von den Anforderungen der Antragsgegnerinnen an Datenschutz und IT-Sicherheit abweicht.

aa) Der öffentliche Auftraggeber darf ohne Widerspruch zu § 127 Abs. 4 Satz 1 GWB grundsätzlich davon ausgehen, dass ein Bieter seine vertraglichen Zusagen erfüllen wird (OLG Düsseldorf, Beschluss vom 26.08.2018, Verg 23/18, juris Rn. 71; KG, Beschluss vom 21.11.2014, Verg 22/13, juris, Rn. 36). Erst wenn sich konkrete Anhaltspunkte dafür ergeben, dass dies zweifelhaft ist, ist der öffentliche Auftraggeber gehalten, durch Einholung ergänzender Informationen die Erfüllbarkeit des Leistungsversprechens beziehungsweise die hinreichende Leistungsfähigkeit des Bieters zu prüfen (OLG Düsseldorf, a.a.O.; KG, a.a.O.; OLG Frankfurt a.M., Beschluss vom 16.06.201, 11 Verg 3/15, juris, Rn. 82; OLG Brandenburg, Beschluss vom 20.11.2012, Verg W 10/12, juris Rn. 21).

bb) Die Vergabeunterlagen verlangten die softwaretechnische Einhaltung des beigefügten DS-GVO-Vertragsentwurfs (4.1.1. lit. c der Vergabeunterlagen). Weiter heißt es, „die Einzelheiten ergeben sich aus dem Leistungsverzeichnis und dem Lastenheft der Vergabeunterlagen.“ Im Lastenheft heißt es unter 2.8 „Erfüllung der Anforderungen aus der DS-GVO und dem BDSG, insbesondere

- Erfüllung der datenschutzrechtlichen Grundsätze, Art. 5, 25 DS-GVO (insbesondere Datenminimierung, Datenschutz durch Technikgestaltung, Datenschutz durch datenschutzfreundliche Voreinstellungen)

- Umsetzung ausreichender technischer und organisatorischer Maßnahmen (Art. 32 DS-GVO) oder anderer geeigneter Garantien (z.B. Zertifizierung nach Art. 42 DS-GVO); Möglichkeit zur Vorortprüfung des Auftragnehmers muss gegeben sein.“

Im Lastenheft weisen die Antragsgegnerinnen darauf hin, dass die Anforderungen an die Leistungen als zum Ausschluss führende A-Kriterien und bewertungsrelevante B-Kriterien ausgestaltet sind. Danach ist allein die softwaretechnische Einhaltung des DS-GVO-Vertragsentwurfs Ausschlusskriterium (Lastenheft lfd. Nr. 19), während die DS-GVO konformen softwaretechnischen Möglichkeiten zur Berechtigungssteuerung (Lastenheft lfd. Nr. 20) und die Vorgabe, wonach die Daten ausschließlich in einem EU-/EWR-Rechenzentrum verarbeitet werden, bei dem kein Subdienstleister / Konzernunternehmen in Drittstaaten ansässig ist (Lastenheft lfd. Nr. 21), als B-Kriterien ausgestaltet.

Durch die Unterzeichnung der von den Antragsgegnerinnen vorgegebenen DS-GVO-Verträgen hat die Beigeladene erklärt, die gemachten Vorgaben einzuhalten. Sie hat zudem ihre Leistungen beim Einsatz von Dienstleistern und im Bereich von Datenschutz und IT-Sicherheit im Angebot im Einzelnen näher beschrieben und hierbei ein klares und eindeutiges Leistungsversprechen abgegeben. Sie hat in diesem Zuge zugesichert, dass personenbezogene Gesundheitsdaten ausschließlich an die A. S.à.r.l., L., übermittelt werden und auch zu ihrer Verarbeitung die EU nicht verlassen, sondern nur in Deutschland verarbeitet werden. Zudem hat die Beigeladene erklärt, dass die A. S.à.r.l., L. ihr gegenüber zugesichert habe, dass alle Daten der Beigeladenen in Deutschland verarbeitet werden und in der mündlichen Verhandlung vor dem Senat zudem bestätigt, dass sie bis zur Angebotsverwirklichung sämtliche intern notwendigen Verträge mit A. schließen wird, die ihre Zusagen, wie sie im Angebot gemacht werden, umsetzen. Im Sinne einer solchen bindenden Zusicherung haben die Antragsgegnerinnen die Erklärungen der Beigeladenen in den Vergabeunterlagen auch verstanden. Auf dieses Leistungsversprechen dürfen die Antragsgegnerinnen vertrauen.

(1) Zweifel mussten die Antragsgegnerinnen nicht deshalb haben, weil A. Verträge im Allgemeinen unter Einbeziehung der A. DPA abschließt. Die A. DPA waren nicht Gegenstand des Angebots der Beigeladenen. Die Verträge mit A. waren nach den Vergabeunterlagen nicht vorzulegen und lagen dem Angebot auch nicht bei. Folglich bestand für die Antragsgegnerinnen keine Veranlassung, an den im Leistungsversprechen gemachten Zusicherungen zu zweifeln, weil die A. DPA möglicherweise datenschutzrechtliche Defizite aufweisen könnten, wie dies die Vergabekammer aufgezeigt hat oder weil deren Formulierung als dreiseitige Vereinbarung, in die auch die A. Inc., USA, einbezogen ist, Zweifel an der Einhaltung der DS-GVO begründen könnten. Aufgrund des im Angebot beschriebenen Leistungsversprechens und den abgegebenen Garantien in Bezug auf die konkrete Auftragsdurchführung können die Antragsgegnerinnen davon ausgehen, dass die Beigeladene sich hieran hält und ihre Verträge mit A. entsprechend gestaltet, ungeachtet etwaiger Bestimmungen in den als AGB ausgestalteten A. DPA. Die Beigeladene hat folglich dafür Sorge zu tragen, dass sie ihre Leistung entsprechend der abgegebenen Garantien umsetzt und durchführt.

(2) Anders als die Antragstellerin meint, musste nicht allein die Tatsache, dass die A. S.à.r.l ein Tochterunternehmen eines US-amerikanischen Konzerns ist, die Antragsgegnerinnen an der Erfüllbarkeit des Leistungsversprechens zweifeln lassen. Die Antragsgegnerinnen mussten nicht davon ausgehen, dass es aufgrund der Konzernbindung zu rechts- und vertragswidrigen Weisungen an das Tochterunternehmen kommen wird bzw. das europäische Tochterunternehmen durch seine Geschäftsführer gesetzeswidrigen Anweisungen der US-amerikanischen Muttergesellschaft Folge leisten wird.

(3) Die erstmals am Schluss der mündlichen Verhandlung vor dem Vergabesenat von der Antragstellerin erhobene Rüge, die Beigeladene setze C. ein, wobei von A. Daten in die USA übertragen würden, auch werde die IP-Adresse in die USA übertragen, was die Beigeladene bestritten hat, ist wegen des im Vergabenachprüfungsverfahren im Interesse der Auftraggeber und der Allgemeinheit an einer raschen Auftragsvergabe geltenden Beschleunigungsgrundsatzes unbeachtlich. Weshalb die Antragstellerin dies nicht hätte früher rügen können, hat sie nicht nachvollziehbar erklärt. Es ist nicht davon auszugehen, dass die Recherche besonders aufwendig war, denn es genügte eine Eingabe in die R.-APP, um diese Informationen zu erhalten, wie die Antragstellerin erklärt hat. Der behauptete Verstoß gegen die DS-GVO wegen einer Datenübermittlung in die USA war bereits Kernargument des Rügeschreibens der Antragstellerin vom 09.05.2022.

Selbst wenn man den Vortrag als zulässig erachten würde, wird das Leistungsversprechen der Beigeladenen damit nicht in Zweifel gezogen. Denn daraus lässt sich nicht schließen, dass die Verwendung von C. und die Übermittlung der IP-Adresse in die USA Teil der den Antragsgegnerinnen angebotenen Leistung ist.

(4) Da die Antragsgegnerinnen folglich nicht davon ausgehen mussten, dass die personenbezogenen Gesundheitsdaten von der Beigeladenen im Rahmen der Vertragserfüllung in ein Drittland übermittelt werden, bedurfte es der Durchführung eines Transfer Impact Assessments nicht. Dessen Fehlen stellt keine Abweichung von den Ausschreibungsbedingungen dar.

(5) Im Hinblick auf das Versprechen der Beigeladenen, dass die Daten ausschließlich in Deutschland verarbeitet werden, kommt es nicht darauf an, ob die Beigeladene begleitende organisatorische und technische Maßnahmen, insbesondere auch im Hinblick auf eine sichere Verschlüsselung, zusagte, die erforderlich sind, damit die Übermittlung von Daten in die USA im Einklang mit den Bestimmungen der DS-GVO steht.

Allerdings weist der Senat darauf hin, dass die Vergabekammer, die einen anderen rechtlichen Ansatz wählte und für die es daher für die Einhaltung der DS-GVO unter anderem auf eine effiziente Verschlüsselungstechnik ankam, die von der Beigeladenen als geheimhaltungsbedürftig gekennzeichneten Angaben nicht hätte unberücksichtigt lassen dürfen. In Fällen, in denen eine Weitergabe von Informationen zum Schutz von Geschäftsgeheimnissen eines der Beteiligten unterbleiben muss, ist dem vielmehr durch eine entsprechende Verfahrensgestaltung (wegen der Einzelheiten: BGH, Beschluss vom 31.01.2017, X ZB 10/16, juris) Rechnung zu tragen.

c) Die Antragsgegnerinnen haben nicht gegen ihre Aufklärungspflicht nach § 60 Abs. 1 VgV verstoßen. Sie haben, weil die Beigeladene im zurückversetzten Verfahren teilweise erheblich günstigere Preise anbot als im ursprünglichen Vergabeverfahren, die Preise aufgeklärt. Die Preisprüfung erstreckt sich darauf, ob der angebotene Gesamtpreis im Verhältnis zur Leistung ungewöhnlich oder unangemessen niedrig ist und zur Leistung in einem Missverhältnis steht (vgl. OLG Düsseldorf, Beschluss vom 08.06. 2016, VII-Verg 57/15, juris). Eine darauf gerichtete Preisprüfung haben die Antragsgegnerinnen vorgenommen. Die Erklärungen der Beigeladenen und die hierzu vorgelegten Unterlagen haben die Antragsgegnerinnen als zufriedenstellend bewertet und dies in den Vergabeunterlagen nachvollziehbar dargestellt und dokumentiert. Ergänzend wird zur Vermeidung von Wiederholungen auf die zutreffenden Ausführungen der Vergabekammer Bezug genommen. Folglich ist das Angebot der Beigeladenen nicht nach § 60 Abs. 3 VgV von der Wertung auszuschließen.


Den Volltext der Entscheidung finden Sie hier:

VGH Hessen
Beschluss vom 17.01.2022
10 B 2486/21

Der VGH Hessen hat entschieden, dass eine Entscheidung über die Vereinbarkeit des Cookie-Consent-Tools Cookiebot mit der DSGVO nicht für ein Eilverfahren geeignet ist. Das Gericht hat die Untersagungsverfügung des VG Wiesbaden aufgehoben (siehe dazu VG Wiesbaden: Verwendung des Cookie-Consent-Tools Cookiebot verstößt gegen DSGVO - Rechtswidrige Übermittlung personenbezogener Daten in die USA).

Die Entscheidungsgründen:

Die Beschwerde der Antragsgegnerin gegen den im Tenor genannten Beschluss des Verwaltungsgerichts Wiesbaden vom 1. Dezember 2021 ist zulässig. Sie ist insbesondere statthaft, soweit sich die Antragsgegnerin gegen die erlassene einstweilige Anordnung wendet. Erkennbar greift die Antragsgegnerin den Beschluss vom 1. Dezember 2021 nicht an, soweit damit das erstinstanzliche Eilverfahren teilweise eingestellt worden ist, zumal diese Entscheidung unanfechtbar ist (§ 92 Abs. 3 Satz 2 VwGO). Die so verstandene Beschwerde der Antragsgegnerin ist rechtzeitig gestellt und fristgerecht begründet worden. Der angefochtene Beschluss ist der Antragsgegnerin am Tag seines Erlasses am 1. Dezember 2021 zugestellt worden. Mit dem am 15. Dezember 2021 beim Verwaltungsgericht eingegangenen Beschwerdeschriftsatz vom selben Tag ist daher die Beschwerdefrist von zwei Wochen nach § 147 Abs. 1 Satz 1 VwGO gewahrt worden. Die Beschwerde ist mit am 3. Januar 2022, einem Montag, beim Hessischen Verwaltungsgerichtshof eingegangenem Schriftsatz vom selben Tag begründet worden, so dass auch die einmonatige Begründungsfrist des § 146 Abs. 4 Satz 4 VwGO eingehalten worden ist. Die vorgelegte Begründung genügt auch den hieran zu stellenden gesetzlichen Anforderungen.

Die Beschwerde der Beigeladenen ist ebenfalls zulässig.

Die vom Verwaltungsgericht mit Beschluss vom 14. Dezember 2021 vorgenommene Beiladung der Beigeladenen, die diese mit am 13. Dezember 2021 beim Verwaltungsgericht eingegangenem Schriftsatz vom selben Tag beantragt hatte, ist wirksam. Dies gilt ungeachtet des Umstandes, dass das Verwaltungsgericht zunächst den Schriftsatz der Beigeladenen mit dem Antrag auf Beiladung vom 13. Dezember 2021 am 14. Dezember 2021 den (bisherigen) Beteiligten übermittelt hatte mit Gelegenheit zur Stellungnahme hierzu innerhalb von zwei Tagen, jedoch noch am 14. Dezember 2021 den Beiladungsbeschluss erlassen hat, ohne die von ihm selbst gesetzte Frist abzuwarten. Auch wenn diese Vorgehensweise ungewöhnlich oder gar bedenklich erscheinen mag, ist die Beiladung nicht unwirksam. Der Beiladungsbeschluss ist mit der laut Empfangsbekenntnis (Bl. 764 der Gerichtsakte) am 14. Dezember 2021 erfolgten Zustellung wirksam geworden und zwar unabhängig davon, dass dieser Beschluss entgegen der ausdrücklichen Regelung in § 65 Abs. 4 Satz 1 VwGO den (bisherigen) Beteiligten nicht zugestellt, sondern nur einfach zur Kenntnis gebracht worden ist (vgl. Kopp/Schenke, VwGO, 27. Aufl. 2021, § 65, Rn. 25 und 35). Obwohl zum Zeitpunkt des Erlasses und der Zustellung des Beiladungsbeschlusses am 14. Dezember 2021 der die Instanz abschließende Beschluss des Verwaltungsgerichts Wiesbaden vom 1. Dezember 2021 noch am selben Tag an die (bisherigen) Beteiligten zugestellt worden war (Empfangsbekenntnisse Bl. 728a und 728b der Gerichtsakte), war das erstinstanzliche Verfahren zum Zeitpunkt des Erlasses des Beiladungsbeschlusses am 14. Dezember 2021 mangels Ablaufs der Rechtsmittelfrist noch nicht rechtskräftig abgeschlossen im Sinne von § 65 Abs. 1 VwGO. Das Verfahren war auch noch nicht im Sinne der genannten Vorschrift in der höheren Instanz anhängig. Die Beschwerde der Antragsgegnerin ist erst einen Tag später, am 15. Dezember 2021, beim Verwaltungsgericht eingegangen, so dass frühestens zu diesem Zeitpunkt der Devolutiveffekt der Rechtsmitteleinlegung eingetreten sein kann, wodurch die Zuständigkeit der höheren Instanz begründet und die bisherige Instanz beendet worden ist. Da die Beiladung nach alldem als wirksam anzusehen ist, ist hiermit die Beigeladene Beteiligte des Verfahrens geworden und gem. § 146 Abs. 1 VwGO berechtigt, Beschwerde gegen den angefochtenen Beschluss einzulegen, obwohl sie selbst bis zum Erlass dieses Beschlusses an dem Verfahren nicht beteiligt gewesen ist.

Die Rechtsmittelfrist von zwei Wochen nach § 147 Abs. 1 Satz 1 VwGO lief für die Beigeladene erst ab der zusammen mit dem Beiladungsbeschluss vom 14. Dezember 2021 erfolgter Zustellung des (hier angefochtenen) Beschlusses vom 1. Dezember 2021 an diese am 14. Dezember 2021, so dass mit dem am 19. Dezember 2021 beim Verwaltungsgericht eingegangenen Beschwerdeschriftsatz vom selben Tag die Rechtsmittelfrist gem. § 147 Abs. 1 Satz 1 VwGO durch die Beigeladene gewahrt worden ist. Die Beschwerde ist mit am 14. Januar 2022 beim Hessischen Verwaltungsgerichtshof eingegangenem Schriftsatz vom selben Tag begründet worden, so dass auch die Begründungsfrist von einem Monat (§ 146 Abs. 4 Satz 4 VwGO) eingehalten worden ist. Die Begründung entspricht auch den hieran zu stellenden Anforderungen (§ 146 Abs. 4 Satz 3 VwGO).

Randnummer5
Die Beschwerden sind auch begründet. Das Verwaltungsgericht hätte die vom Antragsteller begehrte einstweilige Anordnung nicht erlassen dürfen.

Gemäß § 146 Abs. 4 Satz 1 VwGO ist die Beschwerde gegen Beschlüsse des Verwaltungsgerichts in Verfahren des vorläufigen Rechtsschutzes unter anderem gemäß § 123 VwGO - wie im vorliegenden Fall - innerhalb eines Monats nach Bekanntgabe der Entscheidung zu begründen. Die Begründung muss nach Satz 3 der Vorschrift einen bestimmten Antrag enthalten, die Gründe darlegen, aus denen die Entscheidung abzuändern oder aufzuheben ist, und sich mit der angefochtenen Entscheidung auseinandersetzen. Gemäß § 146 Abs. 4 Satz 6 VwGO prüft das Oberverwaltungsgericht - in Hessen der Hessische Verwaltungsgerichtshof - nur die dargelegten Gründe.

Es bedarf keines abschließenden Eingehens darauf, ob dem Vorbringen der Beigeladenen zu folgen ist, der Antragsteller sei der Verpflichtung im Tenor des angefochtenen Beschlusses, innerhalb von vier Wochen Klage zum Verwaltungsgericht zu erheben, deswegen nicht hinreichend nachgekommen, weil er zwar innerhalb der Frist Klage erhoben habe, diese jedoch einen anderen Gegenstand betreffe, weil der Antragsteller im Rahmen der begehrten einstweilen Anordnung eine Unterlassung der Antragsgegnerin beantragt hatte, während er im Klageverfahren ein Handeln fordere. Damit sei der Beschluss wegen fehlender Klageerhebung unwirksam geworden, so dass er im Beschwerdeverfahren aufzuheben sei. Es bedarf auch keines Eingehens darauf, ob dem Einwand des Antragstellers zu folgen ist, aus der Begründung in der Klageschrift sei hinreichend deutlich zu erkennen, dass er von der dortigen Beklagten - der hiesigen Antragsgegnerin - ein Unterlassen begehre, und bei der Antragsfassung in der Klageschrift handele es sich insofern lediglich um einen Schreibfehler. Allerdings hat der Antragsteller dem Verwaltungsgericht zwar mitgeteilt, er begehre ein Unterlassen, jedoch keine konkrete Korrektur des Klageantrags vorgenommen.

Das Verwaltungsgericht hätte die einstweilige Anordnung bereits deswegen nicht erlassen dürfen, weil der Antragsteller einen Anordnungsgrund im Sinne von § 123 Abs. 3 VwGO i.V.m. § 920 Abs. 2 ZPO nicht glaubhaft gemacht hat. Sowohl die Antragsgegnerin als auch die Beigeladene haben im Rahmen ihres Beschwerdevorbringens geltend gemacht, der angefochtene Beschluss lasse keine Ausführungen zum Anordnungsgrund erkennen. Zudem liege ein Anordnungsgrund nicht vor, weil der Antragsteller nicht auf die Nutzung der Website der Antragsgegnerin angewiesen sei und nicht glaubhaft gemacht habe, dass ihm ohne Nutzung dieser Seite wesentliche Nachteile im Sinne von § 123 Abs. 1 Satz 2 VwGO drohten. Dieser Einwand greift durch.

Gemäß § 123 Abs. 1 Satz 2 VwGO ist eine einstweilige Anordnung zur Regelung eines vorläufigen Zustandes in Bezug auf ein streitiges Rechtsverhältnis zulässig, wenn diese Regelung, vor allem bei dauernden Rechtsverhältnissen, um wesentliche Nachteile abzuwenden oder drohende Gewalt zu verhindern oder aus anderen Gründen nötig erscheint. Gemäß § 123 Abs. 3 ZPO i.V.m. § 920 Abs. 2 ZPO sind der geltend gemachte Anspruch sowie der Anordnungsgrund glaubhaft zu machen. Anordnungsanspruch und Anordnungsgrund sind jeweils eigene Voraussetzungen für den Erlass einer einstweiligen Anordnung. Die Glaubhaftmachung eines Anordnungsanspruchs führt nicht automatisch zur Annahme auch eines Anordnungsgrundes. Für das Vorliegen eines Anordnungsgrundes ist Voraussetzung, dass es dem Antragsteller unter Berücksichtigung seiner Interessen und der öffentlichen Interessen sowie etwaiger Interessen anderer Personen nicht zumutbar ist, die Hauptsacheentscheidung abzuwarten (Hess. VGH, Beschluss vom 5. Februar 1993 – 7 TG 2479/92 –, juris; Kopp/Schenke, a. a. O., § 123 Rn. 26). Nach der Konzeption der Verwaltungsgerichtsordnung wird Rechtsschutz grundsätzlich im Klageverfahren gewährt. Nur ausnahmsweise erscheint es notwendig, bereits vor einer Entscheidung im Hauptsacheverfahren eine Regelung zu treffen, wenn dies aufgrund der in § 123 Abs. 1 VwGO genannten Umstände zwingend notwendig erscheint. Das einstweilige Anordnungsverfahren ist dabei ein eigenständiges „Sicherungsverfahren“ und kein verkürztes oder komprimiertes Hauptsacheverfahren. Die erlassene einstweilige Anordnung steht immer unter dem Vorbehalt einer anderen Entscheidung im Klageverfahren. Dabei gilt grundsätzlich das Verbot der Vorwegnahme der Hauptsache (Kopp/Schenke, a. a. O., § 123 Rn. 13ff.). Ausnahmsweise kommt die Vorwegnahme der Hauptsache im Verfahren des vorläufigen Rechtsschutzes im Betracht, wenn das Abwarten der Hauptsacheentscheidung für den Antragsteller schwere und unzumutbare, nachträglich nicht mehr zu beseitigende Nachteile zur Folge hätte, wobei dem jeweils betroffenen Grundrecht und den Erfordernissen eines effektiven Rechtsschutzes Rechnung zu tragen ist (BVerwG, Beschluss vom 26. November 2013 - 6VR 3/13 -, NVwZ-RR 2014, 558, juris, Rn. 5).

Randnummer10
Gemessen hieran hat der Antragsteller einen Anordnungsgrund nicht glaubhaft gemacht. Er begehrt mit dem Erlass einer einstweiligen Anordnung eine Regelung, die der im Klageverfahren zu erlangenden Regelung gleichkäme, so dass hierin eine jedenfalls zeitweilige Vorwegnahme der Hauptsache zu sehen ist. Die hierfür erforderliche Voraussetzung, dass ein Abwarten der Hauptsacheentscheidung zu nachträglich nicht mehr zu beseitigenden schwerwiegenden Nachteilen auf Seiten des Antragstellers führen könnte, ergibt sich aus seinen Darlegungen nicht.

In seinem Antragsschriftsatz vom 8. Juni 2021 hat der Antragsteller auf Seite 1 vorgetragen, er nutze die Website der Antragstellerin zur Information über Fachliteratur. Auf Seite 14 des Schriftsatzes hat er ausgeführt, ein Anordnungsgrund liege vor, weil die ständige und mehrfache rechtswidrige Erfassung von Surfprofilen (und Übermittlung) an unzuverlässige und undurchsichtige US-amerikanische Unternehmen des Google-Konzerns nebst weiterer Übermittlung an ungenannte Kooperationspartner einen Kontrollverlust seiner Surfprofile bedeute, der irreversibel sei, so dass ein Abwarten der Hauptsacheentscheidung nicht zumutbar sei. Bereits hieraus ergibt sich entgegen seiner Behauptung das Vorliegen eines Anordnungsgrundes nicht.

Mit der begehrten und im angefochtenen Beschluss erlassenen einstweiligen Anordnung wird eine Regelung nur für die Zukunft erreicht. Soweit bereits in der Vergangenheit bei Zugriffen des Antragstellers auf die Website der Antragsgegnerin personenbezogene Daten erfasst, gespeichert und gegebenenfalls verarbeitet und weitergegeben worden sein sollten, würde sich hieran durch die begehrte einstweilige Anordnung nichts ändern. Die Gefahr einer erneuten - eventuell rechtswidrigen - Erfassung, Speicherung und Verarbeitung von Daten des Antragstellers bestünde indessen nur dann, wenn dieser erneut auf die Website der Antragstellerin zugreift und Fragen nach der Verwendung von Cookies beantwortet. Aus seinem Vortrag ist nicht zu entnehmen, dass für ihn auch in Zukunft die Notwendigkeit besteht, auf die Website der Antragsgegnerin zuzugreifen. Er ist nicht Mitglied der Antragsgegnerin - einer Universität - so dass er auf die die Forschung und Lehre betreffenden Inhalte dieser Website nicht zugreifen muss. Zwar mag die fragliche Website auch außenstehenden Internetnutzern zur Verfügung stehen. Jedoch steht es einem Interessenten frei, ob er diese nutzt oder nicht, falls ihm damit verbundene Nutzungsmodalitäten oder dergleichen nicht zusagen und er seine persönlichen Daten als nicht hinreichend geschützt ansieht. Auch der Antragsteller kann aus diesen Gründen den Zugriff auf die Website der Antragsgegnerin unterlassen. Für die vom Antragsteller geltend gemachte Recherche nach Fachliteratur ist er nicht zwingend auf die Nutzung der Website der Antragsgegnerin angewiesen. Vielmehr stehen hierfür zahlreiche Alternativen zur Verfügung, die der Antragsteller nutzen kann. Es ist daher nicht ersichtlich, welche schweren, unzumutbaren und nachträglich nicht mehr rückgängig zu machenden Nachteile dem Antragsteller drohen sollten, wenn er zeitweilig bis zu einer rechtskräftigen Entscheidung in der Hauptsache von etwaigen Zugriffen auf die Website der Antragsgegnerin keinen Gebrauch macht, was er vermutlich auch weiterhin machen würde, sollte er im Hauptsacheverfahren unterliegen. Zutreffend macht daher die Antragsgegnerin geltend, der Antragsteller habe nicht dargelegt und glaubhaft gemacht, dass die Nutzung der Website der Antragsgegnerin für seine Berufsausübung oder sonstige Grundrechtsausübung notwendig sei. Dies gilt erst recht, wenn der Vortrag der Antragsgegnerin auf Seite 12 des Begründungsschriftsatzes zutreffen sollte, deren Richtigkeit der Antragsteller allerdings in Abrede stellt, bei Befolgung der erlassenen einstweiligen Anordnung müsse sie letztlich die Website in Gänze abschalten. Unter diesen Umständen könnte auch der Antragsteller diese nicht mehr nutzen, so dass er auch keine Vorteile aus dieser Website mehr ziehen könnte. In diesem Fall hätte er mit der erlassenen einstweiligen Anordnung nicht eine datenschutzrechtlich konforme Möglichkeit erlangt, auf die Website der Antragsgegnerin zuzugreifen, sondern hätte gar keine Möglichkeit mehr zu einem Zugriff.

Aufgrund dieser Überlegungen liegen im vorliegenden Fall auch die Voraussetzungen nicht vor, unter denen das Bundesverfassungsgericht angenommen hat, das Vorliegen eines Anordnungsgrundes sei von Verfassungs wegen durch die Rechtsweggarantie des Art. 19 Abs. 4 GG indiziert. Dies ist nach dieser Rechtsprechung nämlich nur dann der Fall, wenn zum einen eine hohe Wahrscheinlichkeit für einen Erfolg des Antragstellers im Hauptsacheverfahren angenommen werden kann, und bei Versagung des vorläufigen Rechtsschutzes die Gefahr fortschreitender Rechtsvereitelung von Grundrechtspositionen besteht (BVerfG, Kammerbeschluss vom 28. September 2009 – 1 BvR 1702/09 – juris, Rn. 24). Ohne dass Veranlassung besteht, den Grad der Wahrscheinlichkeit des Obsiegens des Antragstellers im Hauptsacheverfahren näher zu prüfen, besteht hier eine solche Gefahr fortschreitender Rechtsvereitelung nicht. Die Antragsgegnerin erfasst, speichert oder verarbeitet im vorliegenden Fall keine persönlichen Daten des Antragstellers ohne dessen Zutun, sondern allenfalls, wenn dieser bewusst und gewollt auf ihre Website zugreift. Wie bereits ausgeführt ist nicht ersichtlich, dass der Antragsteller darauf angewiesen sein könnte, ohne schwerwiegende Nachteile zu erleiden, auch in Zukunft auf die Website der Antragsgegnerin zuzugreifen, so dass es ihm zuzumuten ist, hierauf zeitweilig zu verzichten.

Die Ausführungen des Antragstellers in seinem Beschwerdeerwiderungsschriftsatz vom 5. Januar 2022 zum Vorliegen eines Anordnungsgrundes auf Seite 31 bis 35 des Schriftsatzes rechtfertigen keine andere Entscheidung. Der Antragsteller trägt auch hier nicht vor, aufgrund welcher Erwägungen er auf die Nutzung der Website der Antragsgegnerin und der hierin enthaltenen Informationen über deren Universitätsbibliothek zwingend angewiesen sein soll oder zumindest ihrer so dringend bedarf, dass für ihn bei zeitweiliger Nichtnutzung der Website erhebliche und nicht anderweitig zu behebende und nicht wiedergutzumachende Nachteile entstünden. Der Antragsteller macht vielmehr Ausführungen, die allenfalls einen Anordnungsanspruch zu begründen geeignet sind. Hieraus ergibt sich jedoch kein Anordnungsgrund, da dieser – wie oben bereits gesagt – eigene Voraussetzungen hat, die selbstständig darzulegen und zu prüfen sind.

So trägt er etwa vor, es sei daran zu erinnern, dass schon bei der Vorratsdatenspeicherung trotz der dort weniger sensiblen Datenarten der einstweilige Rechtsschutzantrag erfolgreich gewesen sei, und verweist insofern auf einen Beschluss des Bundesverfassungsgerichts vom 4. April 2008 mit dem Az. 1 BvR 256/08. In juris findet sich mit dem vom Antragsteller angegebene Aktenzeichen keine Entscheidung des Bundesverfassungsgerichts unter dem von dem Antragsteller genannten Datum 4. April 2008, jedoch ein Beschluss vom 11. März 2008, den der Antragsteller vermutlich meint. Dort hat zwar das Bundesverfassungsgericht mehreren Verfassungsbeschwerden teilweise stattgegeben. Jedoch lag dem eine andere Fallgestaltung als vorliegend zu Grunde, da die Vorratsdatenspeicherung, die Gegenstand der dortigen Entscheidung gewesen ist, erfolgte, ohne dass die eigentlichen Inhaber der gespeicherten Daten hierauf Einfluss hatten. Gleiches gilt für die vom Antragsteller aufgeführte Entscheidung des OVG Nordrhein-Westfalen (Beschluss vom 22. Juni 2017 – 13 B 238/17 -, NVwZ-RR 2018, 43, juris, Rn. 16). Antragstellerin dort war zudem ein IT-Unternehmen, das für rund 1.200 Geschäftskunden aus Deutschland und andere Mitgliedstaaten der Europäischen Union Internetdienstleistungen einschließlich Internetzugangsleistungen erbringt. Dieses Unternehmen war durch Regelungen des Telekommunikationsgesetzes zur Vorratsdatenspeicherung verpflichtet worden, wogegen es sich gewandt hatte. Dieser Verpflichtung zur Datenspeicherung konnte sich die dortige Antragstellerin somit nicht auf anderem Wege entziehen. Im vorliegenden Fall kann der Antragsteller jedoch insofern auf die Erfassung und Speicherung seiner Daten Einfluss nehmen, als er den Zugriff auf die Website der Antragsgegnerin unterlässt. Ohne einen solchen Zugriff werden seine persönlichen Daten nicht erfasst und auch nicht weitergegeben. Dass ihm ein solches Unterlassen jedenfalls für den begrenzten Zeitraum bis zu einer rechtskräftigen Entscheidung im Hauptsacheverfahren nicht möglich oder auch nur unzumutbar wäre, hat er nicht glaubhaft gemacht.

Auch der Hinweis des Antragstellers darauf, im Hinblick auf die Drittlandsübermittlung und sonstige Verarbeitung sei eine unionrechtskonforme Auslegung von § 123 VwGO und Art. 19 Abs. 4 GG geboten, weil der EuGH in einer näher bezeichneten Entscheidung dahingehend erkannt habe, dass eine Datenschutz-Aufsichtsbehörde nach Art. 58 Datenschutzgrundverordnung unzulässige Drittlandsübermittlungen unterbinden müsse, wenn die Erfordernisse der Art. 45 und 46 Datenschutzgrundverordnung nicht anderweitig sichergestellt werden könnten, greift schon deswegen nicht durch, weil eine Aufsichtsbehörde im vorliegenden Fall nicht beteiligt ist, so dass auch etwaige Pflichten einer solchen Behörde hier nicht zum Tragen kommen können. Entgegen der Annahme des Antragstellers kann auch keine Rede davon sein, dass durch fragwürdige Auslegungen deutschen Rechts die Durchsetzung des Vorrangs europäischen Verordnungsrechts in unzulässiger Weise behindert werde. Diesem Aspekt kann nämlich im Hauptsacheverfahren hinreichend Rechnung getragen werden, ohne dass es insofern einer vorläufigen Regelung in einem Verfahren einstweiligen Rechtsschutzes bedarf. Vorläufiger Rechtsschutz ist nur ausnahmsweise zu gewähren, wenn sonst ein irreparabler Rechtsverlust durch eine Hauptsacheentscheidung nicht mehr verhindert werden könnte, wie der Antragsteller selbst auf Seite 35, letzter Absatz, seines Schriftsatzes vom 5. Januar 2022 vorträgt. Dies ist jedoch hier deswegen nicht zu gewärtigen, weil nicht vorgetragen und ersichtlich ist, dass der Antragsteller notwendigerweise auf die Nutzung der Website der Antragsgegnerin angewiesen ist und hierauf auch nicht zeitweilig bis zum rechtskräftigen Abschluss des Verfahrens verzichten könnte, ohne wesentliche Nachteile zu erleiden.

Auch der Hinweis des Antragstellers darauf, der Europäische Gerichtshof habe in einer näher bezeichneten Entscheidung dahingehend erkannt, dass es einem nationalen Verfassungsgericht aufgrund des Vorrangs des Unionsrechts versagt sei, im einstweiligen Rechtsschutz jedenfalls bei anhängiger EuGH-Vorlage eine einstweilige nicht grundrechtskonforme Regelung zu treffen und den EuGH auch nur zeitweise zu präjudizieren, gebietet keine andere Entscheidung. Im vorliegenden Fall geht es nicht um eine den europarechtlichen Regelungen widersprechende Rechtslage, die vorläufig aufrechterhalten werden soll. Vielmehr ist im Streit, ob die Handlungsweise der Antragsgegnerin mit den Regelungen und Vorgaben der Datenschutzgrundverordnung in Einklang stehen und ob und in welchem Umfang sich gegebenenfalls Abwehr- oder Unterlassungsansprüche des Antragstellers ergeben können. Von der auch nur zeitweilig erfolgenden „Aufrechterhaltung entgegenstehenden nationalen Rechts“ kann daher hier keine Rede sein.

Zu Unrecht wendet sich der Antragsteller auch gegen die Auffassung der Beigeladenen, im Verfahren des vorläufigen Rechtsschutzes sei nur eine summarische Prüfung angezeigt, so dass eine komplexe Rechtslage in einem Verfahren des vorläufigen Rechtsschutzes nicht geklärt werden könne. Diese Auffassung der Beigeladenen trifft vielmehr zu. Allein der Umfang der von den Beteiligten eingereichten Schriftsätze und ihre Anlagen sowie die Vielzahl der infrage stehenden tatsächlichen und rechtlichen Fragen sprechen deutlich gegen die Geeignetheit einer Klärung in einem Verfahren des vorläufigen Rechtsschutzes. Erneut sei darauf hingewiesen, dass es sich hierbei nur um ein Sonderverfahren zur Sicherung der Rechte der Beteiligten handelt, und um kein abgekürztes Hauptsacheverfahren.

Schließlich ist auch der Hinweis des Antragstellers auf Seite 35 seines Schriftsatzes vom 5. Januar 2022, eine Regelung eines vorläufigen Zustandes sei nach § 123 Abs. 1 VwGO ausdrücklich auch schon vor Klageerhebung vorgesehen, nicht geeignet, eine für ihn günstigere Entscheidung herbeizuführen. Diese Regelung bedeutet lediglich, dass das Verwaltungsgericht bereits dann eine Sicherungsanordnung nach § 123 Abs. 1 Satz 1 VwGO oder auch eine Regelungsanordnung nach Satz 2 der Vorschrift treffen kann, wenn ein Hauptsacheverfahren noch nicht anhängig ist, so dass es an einer „Hauptsache“ im Sinne von § 123 Abs. 2 Satz 1 VwGO (noch) fehlt. Dies bedeutet jedoch nicht, dass die sonstigen spezifischen gesetzlichen Voraussetzungen für den Erlass einer einstweiligen Anordnung unbeachtet gelassen werden könnten. Vielmehr kann eine einstweilige Anordnung nur unter den mit Absicht und zu Recht sehr enggefassten gesetzlichen Voraussetzungen des § 123 Abs. 1 VwGO ergehen, die nach den obigen Ausführungen hier nicht erkennbar sind und sich insbesondere nicht aus dem Vortrag des Antragstellers ergeben.

Auf die zulässigen Beschwerden ist daher der angefochtene Beschluss aufzuheben, ohne dass es eines Eingehens auf die übrigen Einwendungen der Antragsgegnerin und der Beigeladenen bedarf. Dabei sind allerdings die Einstellungsentscheidung in Satz 1 des Tenors sowie die Streitwertfestsetzung im letzten Satz des Tenors hiervon auszunehmen. Die Anträge der Antragsgegnerin und der Beigeladenen auf Aussetzung der Vollziehung des angefochtenen Beschlusses sind damit ebenfalls erledigt.

Über die Kosten des Verfahrens beider Rechtszüge ist hier zu entscheiden (§ 161 Abs. 1 VwGO). Die Kosten fallen grundsätzlich nach § 154 Abs. 1 VwGO dem Antragsteller als unterliegendem Teil zur Last. Dabei ist jedoch zu berücksichtigen, dass die Einstellungsentscheidung hinsichtlich des von den (ursprünglichen) Beteiligten im Termin vor der Kammer des Verwaltungsgerichts für erledigt erklärten Teils des Verfahrens unanfechtbar ist und auch nicht angefochten worden ist. Von der Unanfechtbarkeit ist nach § 158 Abs. 2 VwGO auch die diesen Teil betreffende Kostenentscheidung umfasst. Das Verwaltungsgericht hat in den Gründen des angefochtenen Beschlusses ausgeführt, dass die Kosten des erledigten Teils dem Antragsteller zur Last fielen und die Kosten des verbliebenen Teils, der zu seinen Gunsten entschieden worden ist, der Antragsgegnerin aufzuerlegen seien. Es hat daher unter Annahme einer kostenmäßigen Gleichwertigkeit beider Teile die Kosten des Verfahrens insgesamt gegeneinander aufgehoben. Dies hat zur Folge, dass die Gerichtskosten jedem der Beteiligten zur Hälfte zur Last fallen (§ 155 Abs. 1 Satz 2 VwGO) und beide Beteiligte ihre außergerichtlichen Kosten selbst tragen. Nach der Aufhebung der erlassenen einstweiligen Anordnung hat der Antragsteller auch die hierauf entfallenden Gerichtskosten zu tragen. Gleiches gilt für die Gerichtskosten des Beschwerdeverfahrens, so dass ihm die Gerichtskosten des gesamten Verfahrens beider Instanzen aufzuerlegen sind. Die Hälfte der außergerichtlichen Kosten der Antragsgegnerin im erstinstanzlichen Verfahren müssen jedoch bei ihr verbleiben, weil insofern die Entscheidung des Verwaltungsgerichts über die gegenseitige Aufhebung der Kosten aufrechtzuerhalten ist. Dem Antragsteller können daher von den außergerichtlichen Kosten der Antragsgegnerin im erstinstanzlichen Verfahren nur die Hälfte auferlegt werden, die sich auf den hier noch streitigen Teil des erstinstanzlichen Verfahrens bezogen haben. Hingegen hat er die außergerichtlichen Kosten der Antragsgegnerin im Beschwerdeverfahren in vollem Umfang zu tragen. Die außergerichtlichen Kosten der Beigeladenen sind unter Anwendung von § 162 Abs. 3 VwGO ebenfalls dem Antragsteller aufzuerlegen, zumal sich die Beigeladene durch Einlegung des Rechtsmittels und Stellung eines Antrags selbst in ein Kostenrisiko begeben hat (§ 154 Abs. 3 Satz 1 VwGO).

Die Streitwertfestsetzung beruht auf § 47 Abs. 1 Satz 1, Abs. 2 Satz 1 i.V.m. § 53 Abs. 2 Nr. 1 und § 52 Abs. 1 und Abs. 2 GKG. Wegen der Vorläufigkeit der Entscheidung im einstweiligen Rechtsschutz ist der Auffangwert des § 52 Abs. 2 VwGO in Anlehnung an die Empfehlung in Nr. 1.5 des Streitwertkatalogs für die Verwaltungsgerichtsbarkeit um die Hälfte zu reduzieren. Im vorliegenden Beschwerdeverfahren war nur noch ein ursprünglich vom Antragsteller verfolgter Antragsteil Beschwerdegegenstand, so dass nur vom einfachen Auffangwert des § 52 Abs. 2 VwGO auszugehen und dieser zu halbieren ist.

Dieser Beschluss ist unanfechtbar (§ 152 Abs. 1 VwGO; § 68 Abs. 1 Satz 5 i.V.m. § 66 Abs. 3 Satz 3 GKG).

Den Volltext der Entscheidung finden Sie hier:

VG Wiesbaden
Beschluss vom 01.12.2021
6 L 738/21.WI

Das VG Wiesbaden hat entschieden, dass die Verwendung des Cookie-Consent-Tools Cookiebot gegen die DSGVO verstößt, da eine rechtswidrige Übermittlung personenbezogener Daten in die USA erfolgt.

Hochschule RheinMain darf auf ihrer Webseite nicht den Dienst „Cookiebot“ nutzen

Gegenstand des Eilverfahrens vor dem VG Wiesbaden ist das Begehren des Antragstellers, es der Hochschule RheinMain zu untersagen, auf ihrer Webseite www.hs-rm.de den Dienst „Cookiebot“ einzubinden. „Cookiebot“ ermöglicht es, die Einwilligung der Nutzer einer Webseite in die Cookie-Verwendung einzuholen. Der Dienst überwacht die eingesetzten Cookies und blockiert solche Cookies, für die eine Zustimmung nicht erteilt wurde.

Die 6. Kammer des VG Wiesbaden hat mit Beschluss vom 01.12.2021 dem Antrag stattgegeben und der Hochschule RheinMain im Wege der einstweiligen Anordnung untersagt, den Dienst „Cookiebot“ auf ihrer Website zum Zweck des Einholens von Einwilligungen in der Weise einzubinden, dass personenbezogene oder -beziehbare Daten des Antragstellers (einschließlich dessen IP-Adresse) an Server übermittelt werden, die von einem externen Unternehmen betrieben werden.

Die Hochschule sei verpflichtet, die Einbindung des Dienstes „Cookiebot“ auf ihrer Webseite zu beenden, da diese mit der rechtswidrigen Übermittlung personenbezogener Daten der Webseitennutzer und damit insbesondere des Antragstellers einhergehe.

Es lägen personenbezogene Daten vor. Aus einer Kombination eines den Webseiten-Besucher identifizierenden Keys, der im Browser des Nutzers gespeichert werde, und der übermittelten vollständigen IP-Adresse sei der Endnutzer eindeutig identifizierbar.

„Cookiebot“ verarbeite die vollständige IP-Adresse der Endnutzer auf Servern eines Unternehmens, dessen Unternehmenszentrale sich in den USA befinde. Hierdurch entstehe ein Drittland-Bezug, nämlich zu den USA, welcher im Hinblick auf die sog. Schrems II-Entscheidung des Europäischen Gerichtshofs so unzulässig sei. Die Nutzer der Webseite der Hochschule würden nicht um ihre Einwilligung für eine Datenübermittlung in die USA gebeten werden. Es fände auch keine Unterrichtung über die mit der Übermittlung verbundenen möglichen Risiken durch den sog. Cloud-Act statt. Eine solche Datenübermittlung sei auch nicht für das Betreiben der Webseite der Hochschule erforderlich.

Zwar übermittle nicht die Hochschule selbst die Daten in die USA. Sie sei aber dennoch die für die Datenübermittlung verantwortliche Stelle. Sie entscheide durch das Einbinden auf ihrer Webseite darüber, dass die Erhebung und Übermittlung durch den Dienst „Cookiebot“ erfolge. Sie entscheide auch mittelbar über den Zweck der Verarbeitung, da sie in Kenntnis der Zwecke, die der eingebundene Dienst angebe, sich für oder gegen die Verwendung entscheiden könne. Hiergegen spreche auch nicht, dass sie für nachfolgende Vorgänge, wie der Verwendung der Daten durch den Dienst, nicht mehr verantwortlich sei.

Gegen den Beschluss (Az.: 6 L 738/21.WI) kann die Antragsgegnerin binnen zwei Wochen Beschwerde erheben, über die der Hessische Verwaltungsgerichtshof in Kassel zu entscheiden hätte.

Anhang:
Artikel 44 DS-GVO (Verordnung (EU) 2016/679 des Europäische Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG – Datenschutz-Grundverordnung)

Allgemeine Grundsätze der Datenübermittlung
Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden; […]

Art. 48 DS-GVO – Nach dem Unionsrecht nicht zulässige Übermittlung oder Offenlegung
Jegliches Urteil eines Gerichts eines Drittlands und jegliche Entscheidung einer Verwaltungsbehörde eines Drittlands, mit denen von einem Verantwortlichen oder einem Auftragsverarbeiter die Übermittlung oder Offenlegung personenbezogener Daten verlangt wird, dürfen unbeschadet anderer Gründe für die Übermittlung gemäß diesem Kapitel jedenfalls nur dann anerkannt oder vollstreckbar werden, wenn sie auf eine in Kraft befindliche internationale Übereinkunft wie etwa ein Rechtshilfeabkommen zwischen dem ersuchenden Drittland und der Union oder einem Mitgliedstaat gestützt sind.

Art 49 DS-GVO – Ausnahmen für bestimmte Fälle
[1] Falls weder ein Angemessenheitsbeschluss nach Artikel 45 Absatz 3 vorliegt noch geeignete Garantien nach Artikel 46, einschließlich verbindlicher interner Datenschutzvorschriften, bestehen, ist eine Übermittlung oder eine Reihe von Übermittlungen personenbezogener Daten an ein Drittland oder an eine internationale Organisation nur unter einer der folgenden Bedingungen zulässig:

a) die betroffene Person hat in die vorgeschlagene Datenübermittlung ausdrücklich eingewilligt, nachdem sie über die für sie bestehenden möglichen Risiken derartiger Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien unterrichtet wurde, […]

Den Volltext der Entscheidung finden Sie hier:

Aus den Entscheidungsgründen:

"VG Wiesbaden: Verwendung des Cookie-Consent-Tools Cookiebot verstößt gegen DSGVO - Rechtswidrige Übermittlung personenbezogener Daten in die USA" vollständig lesen

LG Essen
Urteil vom 23.09.2021
6 O 190/21

Das LG Essen hat entschieden, dass die Versendung eines USB-Sticks mit persönlichen Daten per einfachem Brief mit den Vorgaben der DSGVO vereinbar ist. Zudem hat das Gericht entschieden, dass ein Anspruch aus Art. 82 DSGVO abgetreten werden kann.

Aus den Entscheidungsgründen:

Dem Kläger steht gegen die Beklagte der geltend gemachte immaterielle Schadensersatzanspruch aus keinem rechtlichen Gesichtspunkt zu.

a) Ein Anspruch des Klägers ergibt sich zunächst nicht aus Art. 82 Abs. 1 DSGVO.

Danach hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen i.S.d. DSGVO. Zwar ist der Kläger auch hinsichtlich der Ansprüche seiner Ehefrau aktivlegitimiert. Es liegt auch - zumindest hinsichtlich der fehlenden Mitteilung an die Landesbeauftragte für Datenschutz und Informationsfreiheit in NRW - ein Verstoß gegen die DSGVO vor. Der Kläger hat jedoch nicht hinreichend substantiiert dargetan, dass ihm ein erheblicher Schaden entstanden ist. Im Einzelnen:

aa) Der Kläger ist zunächst aktivlegitimiert. Für seinen eigenen Anspruch ist dies unproblematisch der Fall. Die Aktivlegitimation besteht darüber hinaus - entgegender Ansicht der Beklagten - auch hinsichtlich des Anspruchs seiner Ehefrau.

Aufgrund des Abtretungsvertrags vom 06.06.2021 (Anlage K 5, Bl. 20 d. A.) ist der Kläger Forderungsinhaber geworden, § 398 BGB.

Grundsätzlich ist jede Forderung abtretbar (vgl. Grüneberg in: Palandt, 80. Aufl. 2021, § 398 BGB Rn. 8); insbesondere auch Schmerzensgeldansprüche (vgl. Grüneberg in: Palandt, 80. Aufl. 2021, § 253 BGB Rn. 22). Ein Abtretungsverbot nach §§ 399, 400 BGB besteht nicht. Die vermeintliche Forderung der Ehefrau des Klägers gegen die Beklagte unterliegt weder der Pfändung (§ 400 BGB) noch wurde die Abtretung durch Vereinbarung ausgeschlossen oder erfordert die Abtretung eine Inhaltsänderung der Leistung (§ 399 BGB).

Die Abtretung ist zudem wirksam, insbesondere ist sie hinreichend bestimmt. Dabei genügt es, wenn im Zeitpunkt des Entstehens der Forderung bestimmbar ist, ob sie von der Abtretung erfasst wird (vgl. Grüneberg in: Palandt, 80. Aufl. 2021, § 398 BGB Rn. 14). Das ist hier der Fall. In dem Abtretungsvertrag ist unter Ziffer 1 das Rechtsverhältnis, aus dem sich etwaige Ansprüche ergeben können, hinreichend bestimmt bezeichnet. Dort heißt es, dass dem Zedenten aus einer datenschutzrechtlichen Verletzung Schadensersatzansprüche gegen die [xxx] - die hiesige Beklagte - in einer noch durch ein Gericht festzulegenden Höhe zustehen. Zudem wird der Grund des Schadensersatzanspruchs noch näher beschrieben; nämlich der Verlust eines USB-Sticks mit umfangreichen persönlichen und sensiblen Daten.

bb) Der Beklagten ist ein Verstoß gegen Art. 33 DSGVO vorzuwerfen - unterstellt, der USB-Stick ist tatsächlich verloren gegangen.

Gemäß Art. 33 Abs. 1 DSGVO meldet der Verantwortliche im Falle einer Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die erforderlichen zu meldenden Informationen ergeben sich aus Art. 33 Abs. 3 DSGVO. Eine solche Meldung ist indes - unstreitig - nicht erfolgt. Unerheblich ist dabei, dass der Kläger und seine Ehefrau als Betroffene bereits Kenntnis von dem vermeintlichen Datenverlust hatten, da sie ihn selbst gemeldet haben.

Denn die Meldepflicht dient zum einen der Minimierung der negativen Auswirkungen von Datenschutzverletzungen durch Publizität gegenüber der Aufsichtsbehörde (und dem Betroffenen). Gleichzeitig gewährt die Vorschrift so vorbeugenden Schutz der informationellen Selbstbestimmung des Betroffenen, indem sie Anreize zur Vermeidung zukünftiger Verletzungen beim Verantwortlichen setzt. Die Vorschrift dient also nicht nur dem Schutz des Betroffenen. Die Meldung gegenüber der Aufsichtsbehörde ermöglicht es dieser, über Maßnahmen zur Eindämmung und Ahndung der Rechtsverletzung zu entscheiden (vgl. BeckOK DatenschutzR/Brink, 37. Ed. 1.11.2019 Rn. 10, DS-GVO Art. 33 Rn. 10). Insofern genügt bereits ein solch formeller Verstoß gegen die DSGVO zur Begründung eines Schadensersatzanspruches dem Grunde nach (BeckOK DatenschutzR/Quaas, 37. Ed. 1.8.2021, DS-GVO Art. 82 Rn. 14).

Zudem liegt ein Verstoß gegen Art. 34 Abs. 2 DSGVO vor. Zwar ist der Beklagten insofern zuzustimmen, als sie selbst erst durch den Kläger bzw. seine Ehefrau von dem vermeintlichen Datenverlust informiert wurde. Die Informationspflichten des Art. 34 DSGVO sehen über die reine Information über den Datenverlust selbst hinaus jedoch vor, dass die in Art. 33 Abs. 3 lit. b- d DSGVO genannten Informationen und Maßnahmen auch dem Betroffenen - hier dem Kläger und seiner Ehefrau - mitgeteilt werden. Dies ist jedoch - unstreitig - nicht erfolgt.

cc) Dagegen liegt kein Verstoß gegen Art. 24, 25 Abs. 1, 32 DSGVO vor.

Danach hat der Verantwortliche i.S.d. DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit
und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen und umzusetzen, um sicherzustellen, dass die Verarbeitung gemäß der DSGVO erfolgt und die Rechte der betroffenen Personen geschützt werden. In Art. 25 Abs. 1 und Art. 32 Abs. 1 DSGVO werden dafür exemplarisch die Pseudonymisierung und Verschlüsselung personenbezogener Daten genannt. Ein Verstoß der Beklagten liegt indes nicht vor.

Die Kammer konnte kein Fehlverhalten im Haus der Beklagten feststellen. Dabei ist zunächst zu berücksichtigen, dass der vermeintliche Verlust der Daten jedenfalls nicht im Haus der Beklagten erfolgt ist. Dies wird auch von Klägerseite nicht behauptet. Vielmehr soll der USB-Stick auf dem Postversand verloren gegangen sein.

Die Kammer sieht zudem keinen Grund, weshalb die Beklagte den USB-Stick nicht per einfachem Brief an den Kläger und seine Ehefrau hätte versenden dürfen. Zwar waren auf dem USB-Stick Dokumente mit sensiblen persönlichen und wirtschaftlichen Informationen enthalten. Dies ist jedoch kein Grund, nicht den Service der Deutschen Post nutzen zu dürfen. Von verschiedensten Stellen werden ausgedruckte Dokumente mit sensiblen Informationen, z.B. Steuerbescheide, Schreiben von Anwälten und Steuerberatern o.Ä., mit einfacher Post versandt. Hiergegen ist ebenfalls nichts einzuwenden; eine irgendwie geartete Pflichtverletzung der handelnden Stellen ist nicht ersichtlich. Weshalb zwischen ausgedruckten Dokumenten, die naturgemäß unverschlüsselt übersandt werden, und digitalen Dokumenten auf einem unverschlüsselten USB-Stick im Zuge der postalischen Übermittlung unterschieden werden soll, erschließt sich der Kammer nicht.

Die Beklagte war zudem nicht gehalten, den USB-Stick in einem gepolsterten Umschlag zu versenden. Bei dem USB-Stick handelt es sich weder um einen leicht zu beschädigenden Gegenstand, der vor äußeren Einwirkungen geschützt werden müsste, noch musste die Beklagte davon auszugehen, dass ein USB-Stick als relativ leichter Gegenstand ohne scharfe Kanten den Briefumschlag von innen heraus zerstören könnte.

Ferner bestand keine Verpflichtung der Beklagten, den USB-Stick dem Kläger oder seiner Verlobten persönlich zu übergeben. Unstreitig wurde dies nicht durch den Kläger oder seine Ehefrau gefordert. Zudem bestand für die Beklagte - wie bereits ausgeführt - keine Veranlassung, an dem zuverlässigen Versand durch die Deutsche Post zu zweifeln.

dd) Der Kläger hat jedoch ohnehin nicht hinreichend substantiiert dargetan, dass ihm und seiner Ehefrau ein konkreter immaterieller Schaden entstanden ist.

Für den - hier geltend gemachten - immateriellen Schadensersatz gelten dabei die im Rahmen von § 253 BGB entwickelten Grundsätze; die Ermittlung obliegt dem Gericht nach § 287 ZPO (BeckOK DatenschutzR/Quaas, 32. Ed. 1.2.2020, DS-GVO Art. 82 Rn. 31). Es können für die Bemessung die Kriterien des Art. 83 Abs. 2 DSGVO herangezogen werden, bspw. die Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie die betroffenen Kategorien personenbezogener Daten. Zu berücksichtigen ist auch, dass die beabsichtigte abschreckende Wirkung nur durch für den Anspruchsverpflichtenden empfindliche Schmerzensgelder erreicht wird, insbesondere wenn eine Kommerzialisierung fehlt. Ein genereller Ausschluss von Bagatellfällen ist damit nicht zu vereinbaren (BeckOK DatenschutzR/Quaas, 32. Ed. 1.2.2020, DS-GVO Art. 82 Rn. 31) (vgl. LG Köln, Urteil vom 07.10.2020 - 28 O 71/20). Die Pflicht zur Erstattung immaterieller Schäden ist daher nicht nur auf schwere Schäden beschränkt (vgl. LG Landshut, Urteil vom 06.11.2020 - 51 O 513/20).

Allein die - etwaige - Verletzung des Datenschutzrechts als solche begründet allerdings nicht bereits für sich gesehen einen Schadensersatzanspruch für betroffene Personen. Die Verletzungshandlung muss in jedem Fall auch zu einer konkreten, nicht nur unbedeutenden oder empfundenen Verletzung von Persönlichkeitsrechten der betroffenen Personen geführt haben (vgl. LG Hamburg, Urteil vom 04.09.2020 - 324 S 9/19). Es ist zwar eine schwere Verletzung des Persönlichkeitsrechts nicht (mehr) erforderlich. Andererseits ist auch weiterhin nicht für einen Bagatellverstoß ohne ernsthafte Beeinträchtigung bzw. für jede bloß individuelle empfundene Unannehmlichkeit ein Schmerzensgeld zu gewähren; vielmehr muss dem Betroffenen ein spürbarer Nachteil entstanden sein und es muss um eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte Beeinträchtigung von persönlichkeitsbezogenen Belangen gehen (vgl. LG Landshut, Urteil vom 06.11.2020 - 51 O 513/20).

Gemessen an diesen Grundsätzen kann die Kammer anhand des klägerischen Vortrags spürbare Beeinträchtigung von persönlichen Belangen des Klägers und seiner Ehefrau in keiner Weise feststellen.

Der Kläger hat lediglich vorgetragen, dass er und seine Ehefrau infolge des vermeintlichen Verlustes des USB-Sticks einen Kontrollverlust erlitten hätten. Weiter wird dies indes nicht ausgeführt. Die Kammer hat dabei berücksichtigt, dass der Verlust eines USB-Sticks, auf dem sich ungesicherte persönliche und wirtschaftliche Informationen befinden, durchaus zu einem „unguten Gefühl“ führen kann. Der Kläger hat jedoch in keiner Weise vorgetragen, inwiefern sich für ihn bzw. seine Ehefrau eine ernsthafte Beeinträchtigung ergeben hat. Negative Auswirkungen des Verlustes haben sich nicht gezeigt -zumindest wurden sie weder vorgetragen noch ergeben sie sich aus den sonstigen Umständen des Falles. Es ist zudem völlig unklar, was mit dem USB-Stick passiert ist - unterstellt, er ist tatsächlich abhandengekommen. Negative Auswirkungen des behaupteten Verlustes - etwa in Form eines Identitätsdiebstahls oder ähnliches - müssten der Kläger und seine Ehefrau allenfalls befürchten, wenn der USB-Stick in die Hände eines Dritten gelangt ist. Ob das der Fall ist, ist völlig unklar. Genauso gut ist es möglich, dass der USB-Stick bei der Verarbeitung der Briefe im Bereich der Deutschen Post zerstört oder beschädigt wurde. Im klägerischen Schriftsatz vom 15.09.2021 ist die Rede von einer walzen- und rollenbetriebenen Sortieranlage der Deutschen Post. Insofern ist es durchaus wahrscheinlich, dass ein USB-Stick in dieser Sortieranlage beschädigt werden kann. In diesem Fall wäre es somit ausgeschlossen, dass ein unbefugter Dritter überhaupt an die Daten des Klägers und seiner Ehefrau gelangen könnte.

Dieses Ergebnis steht nicht im Widerspruch zu der Entscheidung des Bundesverfassungsgerichts vom 14.01.2021 (1 BvR 2853/19), in der es um die‚ Ablehnung eines immateriellen Schadensersatzanspruchs wegen fehlender Erheblichkeit ging, was „weder unmittelbar in der DSGVO angelegt [sei], noch von der Literatur befürwortet oder vom Gerichtshof der Europäischen Union verwendet [werde]. Denn im vorliegenden Fall wurde nicht einmal eine spürbare Beeinträchtigung des Klägers und seiner Ehefrau vorgetragen. Über die Frage der Erheblichkeit musste die Kammer daher nicht entscheiden.

Im Übrigen hält die Kammer das Vorgehen des Klägers, außergerichtlich zunächst einen niedrigeren Schmerzensgeldbetrag zu fordern, unter Androhung, den Betrag zu erhöhen, falls ein gerichtliches Verfahren erforderlich werde, für äußerst befremdlich. Generell ist der vom Kläger geforderte Betrag deutlich übersetzt, wie insbesondere ein Vergleich mit Schmerzensgeldansprüchen wegen Körperverletzungen verdeutlicht, was insgesamt ein überbordendes Gewinnstreben des Klägers aufzeigt, hingegen nicht, dass er sich durch die behaupteten Vorgänge in irgendeiner Art und Weise persönlich beeinträchtigt sieht.

b) Ein Anspruch des Klägers folgt ferner nicht aus Schadensersatzgesichtspunkten. Sowohl vorvertragliche Schadensersatzansprüche (§§ 280 Abs. 1, 311 Abs. 2, 241 Abs. 2, 253 Abs. 2 BGB) als auch deliktische Schadensersatzansprüche wegen einer möglichen Verletzung des allgemeinen Persönlichkeitsrechts (§§ 823 Abs. 1, 253 Abs. 2 BGB i.V.m. Art. 2 Abs. 1 und Art. 1 Abs. 1 GG) erfordern den Eintritt eines immateriellen Schadens, den der Kläger nicht schlüssig dargelegt hat. Insofern wird auf die obigen Ausführungen Bezug genommen, die hier sinngemäß gelten.

Den Volltext der Entscheidung finden Sie hier:

EuGH
Urteil vom 15.06.2021
C‑645/19
Facebook Ireland Ltd, Facebook Inc., Facebook Belgium BVBA
gegen
Gegevensbeschermingsautoriteit

Der EuGH hat entschieden, dass die nationalen Datenschutzbehörden bei DSGVO-Verstößen im Zusammenhang mit grenzüberschreitender Datenverarbeitung auch dann tätig werden dürfen, wenn sie nicht federführend zuständig sind.

Tenor der Entscheidung:

1. Art. 55 Abs. 1 und die Art. 56 bis 58 sowie 60 bis 66 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind in Verbindung mit den Art. 7, 8 und 47 der Charta der Grundrechte der Europäischen Union dahin auszulegen, dass eine Aufsichtsbehörde eines Mitgliedstaats, die nach den zur Durchführung von Art. 58 Abs. 5 der Verordnung erlassenen nationalen Rechtsvorschriften befugt ist, vermeintliche Verstöße gegen die Verordnung einem Gericht dieses Mitgliedstaats zur Kenntnis zu bringen und gegebenenfalls die Einleitung eines gerichtlichen Verfahrens zu betreiben, von dieser Befugnis, wenn eine grenzüberschreitende Datenverarbeitung in Rede steht, Gebrauch machen darf, obgleich sie für diese Datenverarbeitung nicht die „zuständige federführende Aufsichtsbehörde“ im Sinne von Art. 56 Abs. 1 der Verordnung ist, sofern es sich um einen der Fälle handelt, in denen die Verordnung 2016/679 der Aufsichtsbehörde eine Zuständigkeit einräumt, einen Beschluss zu erlassen, mit dem festgestellt wird, dass die fragliche Verarbeitung gegen die Vorschriften der Verordnung verstößt, und die in der Verordnung vorgesehen Verfahren der Zusammenarbeit und der Kohärenz eingehalten werden.

2. Art. 58 Abs. 5 der Verordnung 2016/679 ist dahin auszulegen, dass die Ausübung der einer Aufsichtsbehörde eines Mitgliedstaats, die nicht die federführende Aufsichtsbehörde ist, nach dieser Vorschrift zustehenden Befugnis zur Klageerhebung bei einer grenzüberschreitenden Verarbeitung personenbezogener Daten nicht voraussetzt, dass der für die grenzüberschreitende Verarbeitung personenbezogener Daten Verantwortliche oder der Auftragsverarbeiter, gegen den die Klage erhoben wird, im Hoheitsgebiet des Mitgliedstaats der fraglichen Aufsichtsbehörde eine Hauptniederlassung oder eine andere Niederlassung hat.

3. Art. 58 Abs. 5 der Verordnung 2016/679 ist dahin auszulegen, dass die einer Aufsichtsbehörde eines Mitgliedstaats, die nicht die federführende Aufsichtsbehörde ist, nach dieser Vorschrift zustehende Befugnis, vermeintliche Verstöße gegen die Verordnung einem Gericht dieses Mitgliedstaats zur Kenntnis zu bringen und gegebenenfalls die Einleitung eines gerichtlichen Verfahrens zu betreiben, sowohl gegenüber der Hauptniederlassung des Verantwortlichen, die sich in dem Mitgliedstaat der Aufsichtsbehörde befindet, als auch gegenüber einer anderen Niederlassung des Verantwortlichen ausgeübt werden kann, sofern Gegenstand der Klage eine Datenverarbeitung ist, die im Rahmen der Tätigkeiten der Niederlassung erfolgt, und die genannte Behörde nach den Ausführungen zu Vorlagefrage 1 dafür zuständig ist, die Befugnis auszuüben.

4. Art. 58 Abs. 5 der Verordnung 2016/679 ist dahin auszulegen, dass, wenn eine Aufsichtsbehörde eines Mitgliedstaats, die nicht die „federführende Aufsichtsbehörde“ im Sinne von Art. 56 Abs. 1 der Verordnung ist, vor dem 25. Mai 2018, also bevor die Verordnung galt, wegen einer grenzüberschreitenden Verarbeitung personenbezogener Daten eine Klage erhoben hat, diese Klage unionsrechtlich auf der Grundlage der Vorschriften der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr aufrechterhalten werden kann, die für Verstöße gegen die in ihr enthaltenen Vorschriften, die bis zu dem Zeitpunkt begangen worden sind, zu dem die Richtlinie aufgehoben wurde, weiter gilt. Darüber hinaus kann eine solche Klage von der Aufsichtsbehörde auf der Grundlage von Art. 58 Abs. 5 der Verordnung 2016/679 wegen nach diesem Zeitpunkt begangener Verstöße erhoben werden, sofern es sich um einen der Fälle handelt, in denen die Verordnung einer Aufsichtsbehörde eines Mitgliedstaats, die nicht die „federführende Aufsichtsbehörde“ ist, ausnahmsweise die Befugnis verleiht, einen Beschluss zu erlassen, mit dem festgestellt wird, dass die betreffende Datenverarbeitung gegen die in der Verordnung enthaltenen Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten verstößt, und die in der Verordnung vorgesehenen Verfahren der Zusammenarbeit und der Kohärenz eingehalten werden, was zu prüfen Sache des vorlegenden Gerichts ist.

5. Art. 58 Abs. 5 der Verordnung 2016/679 ist dahin auszulegen, dass die Vorschrift unmittelbare Wirkung hat, so dass eine nationale Aufsichtsbehörde sich auf sie berufen kann, um gegen Private eine Klage zu erheben oder ein entsprechendes Verfahren fortzuführen, auch wenn die Vorschrift in der Rechtsordnung des betreffenden Mitgliedstaats nicht speziell umgesetzt worden ist.

Den Volltext der Entscheidung finden Sie hier:

Die Pressemitteilung des EuGH:

Datenschutz-Grundverordnung (DSGVO): Der Gerichtshof erläutert die Voraussetzungen für die Ausübung der Befugnisse der nationalen Aufsichtsbehörden bei der grenzüberschreitenden Datenverarbeitung

Unter bestimmten Voraussetzungen kann eine nationale Aufsichtsbehörde ihre Befugnis, vermeintliche Verstöße gegen die DSGVO vor einem Gericht eines Mitgliedstaats geltend zu machen, ausüben, auch wenn sie in Bezug auf diese Verarbeitung nicht die federführende Behörde ist

"EuGH: Nationale Datenschutzbehörden dürfen bei DSGVO-Verstößen im Zusammenhang mit grenzüberschreitender Datenverarbeitung auch tätig werden wenn sie nicht federführend sind" vollständig lesen

ArbG Mannheim
Urteil vom 25.03.2021
8 Ca 409/20

Das ArbG Mannheim hat wenig überraschend entschieden, dass kein Anspruch auf Geldentschädigung aus Art. 82 DSGVO zugesprochen werden kann, wenn der Kläger nicht darlegt, welche datenschutzrechtlichen Vorschriften durch welche Handlungen konkret verletzt wurden.

LAG Baden-Württemberg
Urteil vom 25.2.2021
17 Sa 37/20

Das LAG Baden-Württemberg hat entschieden, dass einem Betroffenen keine Geldentschädigung nach Art. 82 DSGVO für den Verstoß gegen die Vorgaben der DSGVO durch Datenübermittlung in die USA oder ein anderes Drittland zusteht, sofern kein konkreter Schaden entstanden ist.

Aus den Entscheidungsgründen:
III. Die Klage ist unbegründet. Dem Kläger steht kein Anspruch gegen die Beklagte auf Ersatz des von ihm geltend gemachten immateriellen Schadens im Zusammenhang mit der Datenübermittlung und weitergehenden Verarbeitung von personenbezogenen Daten an bzw. bei der Konzernmutter der Beklagten in den USA nach Art. 82 DSGVO zu.

1. Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsdatenverarbeiter. Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde, Art. 82 Abs. 2 Satz 1 DSGVO. Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist, Art. 82 Abs. 3 DSGVO. Art. 82 DSGVO normiert damit einen Schadensersatzanspruch zugunsten der von der Datenverarbeitung betroffenen Person gegen die für die Datenverarbeitung verantwortlichen Stelle für den Fall, dass die Datenverarbeitung gegen Vorgaben der Datenschutzgrundverordnung verstößt (vgl. EU-ArbR/Franzen 3. Aufl. Art. 82 DSGVO Rn. 1).

2. Die Voraussetzungen für eine Schadensersatzverpflichtung in Bezug auf einen dem Kläger zugefügten immateriellen Schaden liegen danach nicht vor. Dem Kläger oblag es dabei darzulegen, dass die Beklagte als in Anspruch genommene Person als Verantwortlicher (oder Auftragsdatenverarbeiter) an der Datenverarbeitung beteiligt war, dass die Datenverarbeitung gegen Vorschriften der Datenschutzgrundverordnung oder anderer relevanter mitgliedstaatlicher Bestimmungen verstoßen hat, und dass dieser Verstoß kausal war für einen Schaden welcher der betroffenen Person entstanden ist (vgl. EU-ArbR/Franzen Art. 82 DSGVO Rn. 15). Dies ist ihm nicht gelungen.

a) Der Kläger ist nach Art. 82 Abs. 1 DSGVO Anspruchsberechtigter. Die DSGVO enthält nach Art. 1 Abs. 1 Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten. Was „personenbezogene Daten“ im Sinne der Verordnung sind, bestimmt Art. 4 Abs. 1 DSGVO mit allen Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Anspruchsberechtigt sind damit natürliche Personen, wobei Art. 82 Abs. 1 DSGVO ausdrücklich von „jeder Person“ spricht. Nachdem personenbezogene Daten des Klägers unstreitig verarbeitet wurden, er also sogar die „betroffene Person“ iSv. Art. 4 Nr. 1 DSGVO ist, gehört der Kläger in jedem Fall zum anspruchsberechtigten Personenkreis.

b) Die Beklagte ist mögliches Haftungssubjekt des vom Kläger geltend gemachten Anspruchs. Nach Art. 82 Abs. 2 Satz 1 DSGVO ist Haftungssubjekt jeder an einer Verarbeitung beteiligte Verantwortliche. Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Die Beklagte als juristische Person und Arbeitgeberin verarbeitet personenbezogene Daten der bei ihr beschäftigten Arbeitnehmer und entscheidet (ob, wofür und wieweit der Datenverarbeitung; vgl. Hartung in: Kühling/Buchner DSGVO 3. Aufl. Art. 4 Nr. 7 Rn. 13) - ggf. mitbestimmt - über die Zwecke und Mittel der Verarbeitung personenbezogener Daten; ihr sind die datenschutzrechtlichen Handlungen innerhalb ihrer Organisation zuzurechnen, weshalb sie Verantwortliche nach Art. 4 Nr. 7 DSGVO ist.

[...]

e) Gleichwohl steht dem Kläger ein Anspruch auf Ersatz des von ihm geltend gemachten immateriellen Schadens deshalb nicht zu, weil der vom Kläger geltend gemachte Schaden nicht dem festgestellten Verordnungsverstoß zugeordnet werden kann bzw. tatsächlich nicht eingetreten ist, dh. nicht „erlitten“ wurde.

aa) Der Verstoß muss für den Schaden kausal sein. Der Schaden muss gerade durch den Rechtsverstoß entstanden sein. Es genügt nicht, dass der Schaden durch eine Verarbeitung entstanden ist, in deren Rahmen es (irgendwann) zu einem Rechtsverstoß gekommen ist. Wenn der Schaden „wegen eines Verstoßes gegen diese Verordnung“ entstanden sein muss, kann nicht davon ausgegangen werden, dass bspw. ein Rechtsverstoß bei einer Datenverarbeitung vor dem Geltungszeitpunkt der DSGVO die fortgesetzte Datenverarbeitung „infiziert“ und zu einem Schadensersatzanspruch führt (vgl. Bergt in: Kühling/Buchner Art. 82 DSGVO Rn. 42). Allenfalls dann, wenn durch den Verstoß die gesamte Datenverarbeitung rechtswidrig wird, kann angenommen werden, dass es keiner Zuordnung des Schadens zu einem konkreten Verordnungsverstoß bedarf (vgl. Bergt in: Kühling/Buchner Art. 82 DSGVO aaO). Zudem ist auch unionsrechtlich anerkannt, dass die Kausalitätsprüfung verhindern soll, dass es zu einer uferlosen Schadensersatzpflicht für alle möglichen, noch so entfernten Schäden kommt, für die ein rechtswidriges Verhalten eine Ursache iSe „conditio sine qua non“ gesetzt hat (vgl. zu einer kartellrechtlichen Fragestellung: Kokott Schlussanträge in der Rechtssache - C-557/12 - Rn. 33, 30. Januar 2014, juris). Eine alleinige Kausalität ist aber nicht gefordert, es genügt eine Mitursächlichkeit des Verstoßes für den Schaden, wobei ein hinreichend unmittelbarer Zusammenhang zu fordern ist (vgl. Bergt in: Kühling/Buchner Art. 82 DSGVO Rn. 44 f.) und der Schaden muss für den Schädiger vorhersehbar gewesen sein (vgl. Bergt in: Kühling/Buchner Art. 82 DSGVO Rn. 45).

bb) Danach hat der Kläger keinen durch die Beklagte infolge eines Verordnungsverstoßes verursachten immateriellen Schaden erlitten.

(1) Kein Anknüpfungspunkt für den Schaden können (überschießende) Datenübermittlungen (Datentransfer auf die Sharepoint-Seite der Konzernmutter) sein, denn diese Datenübermittlung hat stattgefunden als die DSGVO noch nicht in Geltung war. Insoweit ist es völlig unerheblich, wie sich das Datenschutzniveau in den USA gestaltet, da jedenfalls die Beklagte nicht für die Datenübermittlung in die USA nach der DSGVO in Anspruch genommen werden kann. Die Beklagte hat nicht gegen die Art. 44 ff. DSGVO verstoßen. Jedwede Begründung eines Schadens mit der Datenübermittlung in die USA (bspw. Zugriffsmöglichkeiten von Behörden oder Dritten in den USA bzw. eine diesbezügliche Unsicherheit) kann einem DSGVO-Verstoß nicht zugeordnet werden. Die Beklagte hat nicht gegen Vorschriften des Kapitels V der DSGVO verstoßen.

(2) Ebenso wenig kann Anknüpfungspunkt der Umstand sein, dass die Beklagte zum Zeitpunkt des Geltungsbeginns der DSGVO (25. Mai 2018) als Verantwortliche personenbezogene Daten bei der Konzernmutter als Auftragsverarbeiterin hat speichern lassen. Die Auftragsdatenverarbeitung erfolgte auf einer ausreichenden vertraglichen Grundlage iSd. Art. 46 Abs. 2 Buchst. c, Abs. 5 DSGVO, welche zudem auch den Anforderungen für eine Auftragsdatenverarbeitung nach Art. 28 DSGVO gerecht wurde. Die Beklagte hat nicht gegen Art. 28 DSGVO verstoßen. Daher kann die behauptete permanente Unsicherheit, dass „unbefugte Dritte“ auf Daten des Klägers Zugriff nehmen, nicht einem Verstoß gegen die DSGVO zugeordnet werden. Die Beklagte hat alle Erfordernisse der DSGVO eingehalten, um eine sichere Auftragsdatenverarbeitung bei ihrer Konzernmutter zu gewährleisten. Dem Kläger wiederum standen bzw. stehen im Verhältnis zur auftragsverarbeitenden Konzernmutter alle Rechte, wie sie nach der DSGVO gegenüber der Beklagten bestehen, zu.

(3) Der einzige Verstoß, welcher der Beklagten vorzuhalten ist, ist die überschießende Datenverarbeitung in Workday vor Einführung von Workday (durch die BV Workday vom 23. Januar 2019), wobei sich diese Datenverarbeitung in Workday auf Daten bezieht, welche die Beklagte rechtmäßig in SAP - auf der Grundlage einer Betriebsvereinbarung zur Nutzung von SAP - bzw. sonst rechtmäßig nach § 26 BDSG zu anderen Zwecken verarbeitete. Die Datenverarbeitung in Workday war nur deshalb nicht rechtmäßig, weil Workday bis zur Einführung nicht produktiv genutzt wurde und es deshalb an der Erforderlichkeit der Datenverarbeitung iSv. § 26 Abs. 1 BDSG bzw. noch an einer Betriebsvereinbarung zur Einführung fehlte. Die Beklagte bedurfte daher der Duldungs-BV als Rechtsgrundlage, um die nach § 26 Abs. 1 BDSG nicht erforderliche Datenverarbeitung nach § 26 Abs. 4 BDSG zu den normierten Testzwecken zu legitimieren. Die Duldungs-BV berechtigte zur Datenverarbeitung der in der Anlage 2 genannten Datenkategorien in dem durch die Betriebsvereinbarung normierten Umfang (§§ 2, 3 Duldungs-BV). Allerdings berechtigte auch die Duldungs-BV nicht dazu, Daten, die nicht in der Anlage 2 genannt sind, zu verarbeiten (betrifft insb. Jahresgehalt, Monatsgehalt, den Umfang leistungsabhängiger Vergütung, die private Wohnanschrift des Klägers, dessen Geburtsdatum, Alter, Familienstand, die Sozialversicherungsnummer und die Steuer-ID des Klägers). Diese Daten wiederum durfte die Beklagte aber - unstreitig - außerhalb der Plattform Workday, insb. in SAP zu anderen Zwecken verarbeiten, da die Verarbeitung dieser Daten nach § 26 Abs. 1 BDSG zur Durchführung des Beschäftigungsverhältnisses erforderlich ist. Einen „erlittenen“ Schaden, der allein auf der überschießenden Datenverarbeitung in Workday oder für (Test-)Zwecke von Workday - bei gleichzeitig rechtmäßiger Datenverarbeitung in SAP zu anderen Zwecken - fußt, macht der Kläger nicht geltend und ein solcher „Schaden“ ist auch nicht ersichtlich (die Duldungs-BV schließt insb. eine Nutzung/Verwertung der zu Testzwecken verarbeiteten Daten für Zwecke der Durchführung des Arbeitsverhältnisses gerade aus), vielmehr liegt insoweit nur ein Verordnungsverstoß ohne zuordenbaren Schaden vor. Eine Nutzung der überschießend gespeicherten Daten für andere als die normierten Testzwecke gem. Duldungs-BV ist nicht ersichtlich. Allein der Umstand, dass Jahresgehalt, Monatsgehalt, den Umfang leistungsabhängiger Vergütung, die private Wohnanschrift des Klägers, dessen Geburtsdatum, Alter, Familienstand, die Sozialversicherungsnummer und die Steuer-ID des Klägers auch in Workday gespeichert und zu Testzwecken verarbeitet wurden, löst nach Auffassung der Kammer keinen Schaden aus. Auch der Kläger behauptet einen solchen nicht. Die Speicherung der Daten in Workday bei der Konzernmutter stellt keinen Datenabfluss dar, sondern erfolgte auf der Grundlage einer rechtmäßigen Auftragsverarbeitung nach Art. 28 DSGVO. Auch wenn die Daten in Workday überschießend im Rahmen einer Auftragsdatenverarbeitung verarbeitet wurden, so hat die Beklagte doch alle Erfordernisse der DSGVO eingehalten, die Sicherheit der Daten bei der Konzernmutter sicherzustellen. Soweit der Kläger darüber spekuliert, dass es die Daten unbefugt nach Speicherung in Workday hätten verwendet werden könnten, fehlt es an jedem tatsächlichen Anhaltspunkt hierfür, vor allem aber an einem zuordenbaren Verordnungsverstoß („wegen“). Vielmehr ergibt sich aus den vertraglichen Garantien iSv. Art. 28 DSGVO, die es auch einschließen, dass sämtliche Konzernunternehmen die Bestimmungen des GDPA einzuhalten haben (insb. auch: D. Corporation Global Data Protection Agreement Protocol and Power of Attorney) und damit auch der Ausschluss von Missbrauch durch Konzerngesellschaften. Jedenfalls hat die Beklagte sich verordnungskonform verhalten, um jedweden Missbrauch auszuschließen. In diesem Zusammenhang ist auch ein Kontrollverlust nicht ersichtlich, da die mit der Konzernmutter getroffenen Vereinbarungen gerade sicherstellen, dass dem Kläger alle Rechte, die er gegenüber der Beklagten hat, auch im Rahmen der Auftragsverarbeitung zustehen. Der Kläger konnte daher seine Daten insb. auch löschen lassen, was die Beklagte auch tatsächlich im Verlaufe des Rechtsstreits bzgl. der nach der BV Workday in Workday nicht zu speichernden Daten - trotz Auftragsverarbeitung - veranlasst hat. Der Kläger macht einen verordnungswidrigen Zustand mit Abschluss der BV Workday und BV IT auch nicht geltend; mit anderen Worten: der Kläger war tatsächlich in der Lage, seine überschießend übermittelten Daten löschen zu lassen und konnte sie insoweit kontrollieren. Dabei kann auch nicht davon ausgegangen werden, der tatsächliche Verordnungsverstoß (im Verhältnis zur Duldungs-BV überschießende Datenspeicherung in Workday) habe den gesamten Datenverarbeitungsvorgang „infiziert“, so dass die Beklagte für jeden Schaden in Anspruch genommen werden könnte. Dergleichen könnte allenfalls dann angenommen werden, wenn jede Datenverarbeitung von personenbezogenen Daten des Klägers in Workday verordnungswidrig gewesen wäre. Infolge der Regelungen der Duldungs-BV durfte die Beklagte allerdings diejenigen Datenkategorien der Anlage 2 und damit auch die entsprechenden personenbezogenen Daten des Klägers verarbeiten. Es verbleibt damit dabei, dass die gegenüber der Anlage 2 der Duldungs-BV überschießende Datenverarbeitung von ansonsten rechtmäßig verarbeiteten Daten zu anderen (Test-)Zwecken beim Kläger keinen Schaden ausgelöst hat, der einem der Beklagten zurechenbaren Verordnungsverstoß zugeordnet werden könnte. Bloße Befürchtungen, ein Schaden könnte eintreten, stellen keinen Schaden dar.

(4) Ob dem Kläger ein Schadensersatz nach Art. 82 DSGVO deshalb zusteht, weil die Beklagte ggf. gegen Bestimmungen der DSGVO bei der Auskunftserteilung verstoßen hat (vgl. dazu etwa: ArbG Neumünster 11. August 2020 - 1 Ca 247 c/20 - Rn. 36 ff., ReckRS 2020, 29998; ArbG Düsseldorf 5. März 2020 - 9 Ca 6557/18 - Rn. 94 ff., NZA-RR 2020, 409), hatte die Berufungskammer nicht zu entscheiden.

Den Volltext der Entscheidung finden Sie hier:

EuGH-Generalanwalt
Schlussanträge vom 13.01.2021
C-645/19
Facebook Ireland Limited, Facebook Inc., Facebook Belgium BVBA / Gegevensbeschermingsautoriteit

Der EuGH-Generalanwalt kommt in seinen Schlussanträgen zu dem Ergebnis, dass die nationalen Datenschutzbehörden bei DSGVO-Verstößen im Zusammenhang mit grenzüberschreitender Datenverarbeitung tätig werden können auch wenn sie nicht federführend zuständig sind.

Die Pressemitteilung des EuGH:

Generalanwalt Bobek: Die Datenschutzbehörde des Staates, in dem sich die Hauptniederlassung eines Verantwortlichen oder Auftragsverarbeiters in der EU befindet, hat eine allgemeine Zuständigkeit, um gerichtliche Verfahren wegen Verstößen gegen die Datenschutz-Grundverordnung in Bezug auf grenzüberschreitende Datenverarbeitung einzuleiten

Die anderen betroffenen nationalen Datenschutzbehörden seien gleichwohl befugt, in Situationen, in denen es ihnen die Datenschutz-Grundverordnung spezifisch gestatte, derartige Verfahren inihren jeweiligen Mitgliedstaaten einzuleiten

Im September 2015 leitete die belgische Datenschutzbehörde vor den belgischen Gerichten ein Verfahren gegen mehrere Unternehmen der Facebook-Gruppe (im Folgenden: Facebook) ein, nämlich gegen Facebook Inc., Facebook Ireland Ltd, das die Hauptniederlassung der Gruppe in der EU ist, und Facebook Belgium BVBA (im Folgenden: Facebook Belgium). In diesem Verfahren beantragte die Datenschutzbehörde, Facebook zu verpflichten, bei in Belgien ansässigen Internetnutzern, wenn sie hierein nicht eingewilligt haben, das Platzieren von bestimmten Cookies auf dem Gerät, das diese Personen verwenden, wenn sie auf eine Website der Domain Facebook.com oder auf eine Website eines Dritten gelangen, zu unterlassen sowie die
übermäßige Erhebung von Daten durch Social Plugins und Pixels auf Websites Dritter zu unterlassen. Ferner beantragte die genannte Behörde, alle personenbezogenen Daten, die mittels Cookies und Social Plugins über jeden in Belgien ansässigen Internetnutzer erlangt worden sind, zu vernichten.

Das fragliche Verfahren ist derzeit beim Hof van beroep te Brussel (Berufungsgericht Brüssel, Belgien) anhängig, betrifft aber nur noch Facebook Belgium, nachdem das genannte Gericht zuvor befunden hat, für Klagen gegen Facebook Inc. und Facebook Ireland Ltd nicht zuständig zu sein. In diesem Zusammenhang trägt Facebook Belgium vor, dass die belgische Datenschutzbehörde ab dem Zeitpunkt, zu dem die Datenschutz-Grundverordnung (DSGVO) 1 anwendbar geworden sei, die Zuständigkeit dafür verloren habe, das fragliche Gerichtsverfahren gegen Facebook weiter zu betreiben. Nach der DSGVO sei lediglich die Datenschutzbehörde desjenigen Staates, in dem sich die Hauptniederlassung von Facebook in der EU befinde (die sogenannte „federführende“ Datenschutzbehörde in der EU für Facebook), nämlich die Irish Data Protection Commission, befugt, wegen Verstößen gegen die DSGVO im Zusammenhang mit grenzüberschreitender Datenverarbeitung ein gerichtliches Verfahren gegen Facebook zu betreiben.

Unter diesen Umständen möchte der Hof van beroep te Brussel vom Gerichtshof wissen, ob die DSGVO tatsächlich andere Datenschutzbehörden als die federführende daran hindert, in ihrem jeweiligen Mitgliedstaat gerichtliche Verfahren wegen Verstößen gegen die Vorschriften der DSGVO in Bezug auf grenzüberschreitende Datenverarbeitung zu betreiben.

In seinen Schlussanträgen vom heutigen Tag vertritt Generalanwalt Michal Bobek erstens die Auffassung, dass sich aus dem Wortlaut der DSGVO ergebe, dass die federführende Datenschutzbehörde für grenzüberschreitende Datenverarbeitung eine allgemeine Zuständigkeit habe, wozu auch die Einleitung gerichtlicher Verfahren wegen Verstößen gegen die DSGVO gehöre; folglich seien die diesbezüglichen Handlungsbefugnisse der übrigen betroffenen Datenschutzbehörden weniger umfassend.

In Bezug darauf, dass die DSGVO jeder Datenschutzbehörde die Befugnis verleiht, gerichtliche Verfahren gegen mögliche Verstöße einzuleiten, die ihr Hoheitsgebiet betreffen, führt der Generalanwalt aus, dass diese Befugnis ausdrücklich beschränkt sei, soweit es um grenzüberschreitende Datenverarbeitung gehe, gerade um der federführenden Datenschutzbehörde zu ermöglichen, insoweit ihre Aufgaben wahrzunehmen.

Zweitens erinnert der Generalanwalt daran, dass der Grund, weswegen mit der DSGVO der sogenannte „One-Stop-Shop“-Mechanismus eingeführt worden sei, wodurch der federführenden Datenschutzbehörde eine bedeutende Rolle zugewiesen worden sei und zur Beteiligung anderer Datenschutzbehörden Kooperationsmechanismen geschaffen worden seien, gerade darin bestanden habe, bestimmten Unzulänglichkeiten abzuhelfen, die sich aus den früheren Rechtsvorschriften ergeben hätten.

Wirtschaftsteilnehmer hätten nämlich die verschiedenennationalen Regelwerke einhalten müssen, mit denen diese Rechtsvorschriften umgesetzt wordenseien, und zugleich mit allen nationalen Datenschutzbehörden in Verbindung treten müssen. Dies habe sich für die Wirtschaftsteilnehmer als kostspielig, belastend und zeitaufwändig erwiesen, und für sie und ihre Kunden hätten sich daraus unvermeidlicherweise Unsicherheiten und Konflikte ergeben.

Drittens betont der Generalanwalt, dass die federführende Datenschutzbehörde bei grenzüberschreitenden Sachverhalten nicht als alleinige Stelle zur Durchsetzung der DSGVO angesehen werden könne und im Einklang mit den einschlägigen Vorschriften und Fristen, die sich aus der DSGVO ergäben, eng mit den anderen betroffenen Datenschutzbehörden zusammenarbeiten müsse, deren Beiträge auf diesem Gebiet äußerst wichtig seien.

Viertens hebt der Generalanwalt hervor, dass nationale Datenschutzbehörden, selbst wenn sie nicht als federführende Behörde fungierten, gleichwohl unter bestimmten Umständen vor den Gerichten ihres jeweiligen Mitgliedstaats Verfahren wegen grenzüberschreitender Verarbeitung einleiten könnten. Dies sei insbesondere möglich, wenn die nationalen Datenschutzbehörden i) außerhalb des sachlichen Anwendungsbereichs der DSGVO tätig würden, ii) sie Untersuchungen
zu grenzüberschreitender Datenverarbeitung anstellten, die durch Behörden, im öffentlichen Interesse, in Ausübung öffentlicher Gewalt oder durch Verantwortliche erfolge, die keine Niederlassung in der Union hätten, iii) bei Dringlichkeit Maßnahmen ergriffen oder iv) tätig würden, nachdem die federführende Datenschutzbehörde beschlossen habe, sich nicht selbst mit dem Fall zu befassen.

Demnach ist der Generalanwalt der Auffassung, dass die Datenschutzbehörde eines Mitgliedstaats nach den Bestimmungen der DSGVO befugt ist, vor einem Gericht ihres Staates ein Verfahren wegen eines angeblichen Verstoßes gegen die DSGVO im Zusammenhang mit einer grenzüberschreitenden Datenverarbeitung einzuleiten, auch wenn sie nicht die federführende Datenschutzbehörde ist, der für die Einleitung solcher Verfahren eine allgemeine Befugnis verliehen worden ist, sofern die erstgenannte Datenschutzbehörde in Situationen tätig wird, in denen ihr die DSGVO spezifisch hierzu Befugnisse verleiht, und die in der DSGVO vorgesehenen entsprechenden Verfahren beachtet.

Den Volltext der Schlussanträge finden Sie hier:

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat mitgeteilt, dass Datenübermittlungen nach Großbritannien und Nordirland nach Abschluss des Brexit-Deals jedenfalls binnen viermonatiger Übergangsfrist weiter möglich ist.

Die Pressemitteilung des DSK:

Vorläufige Rechtssicherheit für Datenübermittlungen in das Vereinigte Königreich – Entwurf des Brexit-Abkommens bietet viermonatige Übergangsfrist ab dem 01. Januar 2021

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) weist Unternehmen, Behörden und andere Institutionen in Deutschland darauf hin, dass in den Schlussbestimmungen des Entwurfs eines Handels- und Zusammenarbeitsabkommens zwischen dem Vereinigten Königreich und der Europäischen Union eine neue Übergangsregelung für Datenübermittlungen vorgesehen ist, die den bisher befürchteten gravierenden Rechtsunsicherheiten vorbeugt (Article 10A Interim provision for transmission of personal data to the United Kingdom, S. 406 ff.).

Danach sollen Übermittlungen personenbezogener Daten von der EU in das Vereinigte Königreich Großbritannien und Nordirland für eine Übergangsperiode nicht als Übermittlungen in ein Drittland (Art. 44 DSGVO) angesehen werden. Diese Periode beginnt mit dem In-Kraft-Treten des Abkommens und endet, wenn die EU-Kommission das Vereinigte Königreich betreffende Adäquanzentscheidungen nach Art. 45 Abs. 3 DSGVO und Art. 36 Abs. 3 Richtlinie (EU) 2016/680 getroffen hat, spätestens jedoch nach vier Monaten. Dieses Enddatum kann um zwei Monate verlängert werden, falls keine der beteiligten Parteien widerspricht.

Andreas Schurig: „Damit sind Übermittlungen in das Vereinigte Königreich vorerst weiterhin unter den bisherigen Voraussetzungen möglich. Gravierende Erschwernisse für die betroffenen Unternehmen werden so zunächst vermieden. Allerdings ist jetzt die EU-Kommission in der Pflicht, tragfähige Adäquanzentscheidungen vorzulegen, die auch die aktuelle Rechtsprechung des Europäischen Gerichtshofs berücksichtigen und von den Mitgliedstaaten genauso wie vom Europäischen Datenschutzausschuss sorgfältig zu prüfen sein werden.“

Siehe auch zum Thema: Brexit-Deal zwischen EU und Großbritannien liegt als Entwurf vor

Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat ein Brexit-Positionspapier zur Datenübermittlung in das Vereinigte Königreich Großbritannien und Nordirland ab dem 30. März 2019 unter Berücksichtigung des DSGVO veröffentlicht.

BVerfG
Beschluss vom 06.02.2019
1 BvQ 4/19

Das Bundesverfassungsgericht einen Eilantrag gegen die Übermittlung personenbezogener Daten an das Statistische Bundesamt zur Vorbereitung des Zensus 2021 abgelehnt.

Die Pressemitteilung des Bundesverfassungsgerichts:

Erfolgloser Eilantrag gegen die testweise Datenübermittlung für den Zensus 2021

Mit heute veröffentlichtem Beschluss hat die 2. Kammer des Ersten Senats des Bundesverfassungsgerichts einen Antrag auf Erlass einer einstweiligen Anordnung abgelehnt, der darauf gerichtet war, § 9a ZensVorbG 2021 und die danach seit dem 14. Januar 2019 vorgenommene Übermittlung personenbezogener Daten an das Statistische Bundesamt zur Vorbereitung des Zensus 2021 außer Kraft zu setzen. Nach dieser Vorschrift werden seit dem 14. Januar 2019 testweise bestimmte personenbezogene Daten aus allen Melderegistern an das Statistische Bundesamt übermittelt, damit dieses in Vorbereitung des Zensus 2021 die Übermittlungswege und die Qualität der für den Zensus 2021 zu übermittelnden Daten aus den Melderegistern prüfen und die Programme für die Durchführung des Zensus weiterentwickeln kann. Die Kammer entschied, dass eine gegebenenfalls noch zu erhebende Verfassungsbeschwerde zwar nicht offensichtlich unzulässig oder unbegründet wäre. Im Rahmen einer für den Erlass einer einstweiligen Anordnung gebotenen Folgenabwägung überwiegen die Nachteile, die durch die testweise Übermittlung der Daten eintreten, jedoch nicht mit der für die Außerkraftsetzung eines Gesetzes erforderlichen Deutlichkeit gegenüber dem Gewicht, das der Gesetzgeber einer guten Vorbereitung der Durchführung des Zensus 2021 beilegen durfte.

Sachverhalt:

Die Bundesrepublik Deutschland ist verpflichtet, der Europäischen Kommission für das Bezugsjahr 2021 statistische Daten für eine geplante Volkszählung zu übermitteln. Zum Zweck der Prüfung der Übermittlungswege und der Qualität der hierfür zu übermittelnden Daten aus den Melderegistern sowie zum Test und zur Weiterentwicklung der Programme für die Durchführung des Zensus 2021 sieht § 9a des Zensusvorbereitungsgesetzes 2021 - beginnend am 14. Januar 2019 - eine zentrale Erfassung, Speicherung und Verarbeitung der nicht anonymisierten Meldedaten aller zum 13. Januar 2019 gemeldeter Personen durch das Statistische Bundesamt vor. Die übermittelten Daten sind nicht anonymisiert und umfassen neben Name und Wohnanschrift, Geschlecht, Staatsangehörigkeit und Familienstand u.a. auch die Zugehörigkeit zu öffentlich-rechtlichen Religionsgesellschaften. Eine Speicherung ist für einen Zeitraum von bis zu zwei Jahren nach dem Stichtag vorgesehen; eine Verarbeitung der Daten zu anderen Zwecken als der Prüfung der Übermittlungswege, der Prüfung der Datenqualität und dem Test und der Weiterentwicklung der Programme für die Durchführung des Zensus 2021 ist ausgeschlossen.

Die Antragsteller machen eine Verletzung ihres Rechts auf informationelle Selbstbestimmung geltend. Die Übermittlung der nicht anonymisierten Daten lasse Rückschlüsse auf den Kernbereich der privaten Lebensführung zu. Dies stehe außer Verhältnis zum Nutzen einer Erprobung und Optimierung der bereits weitgehend erprobten Übermittlungswege und Programme, zumal der Zweck der Übermittlung auch durch eine Übermittlung anonymisierter Daten - gegebenenfalls ergänzt um nicht anonymisierte Stichproben in geringem Umfang - in vergleichbarer Weise erreicht werden könne.

Wesentliche Erwägungen der Kammer:

Der Antrag auf Erlass einer einstweiligen Anordnung ist auf Grundlage einer Folgenabwägung abzulehnen.

Das Bundesverfassungsgericht kann einen Zustand durch eine einstweilige Anordnung vorläufig regeln, wenn dies zur Abwehr schwerer Nachteile, zur Verhinderung drohender Gewalt oder aus einem anderen wichtigen Grund zum gemeinen Wohl dringend geboten ist.

Der Ausgang einer gegebenenfalls noch zu erhebenden Verfassungsbeschwerde ist offen. Sie ist weder offensichtlich unzulässig noch unbegründet, da in der Kürze der Zeit beispielsweise nicht abschließend geklärt werden konnte, ob für den Testdurchlauf nicht auch geringere Datenmengen oder eine begrenztere Übermittlung oder Speicherung ausreichend gewesen wäre.

Das Bundesverfassungsgericht hat daher auf Grundlage einer Folgenabwägung zu entscheiden. Dabei hat es die Folgen, die eintreten würden, wenn eine einstweilige Anordnung erginge, die Verfassungsbeschwerde jedoch erfolglos wäre, gegenüber den Nachteilen abzuwägen, die entstünden, wenn die begehrte einstweilige Anordnung abgelehnt würde, die Verfassungsbeschwerde letztlich aber Erfolg hätte. Wird - wie vorliegend - die Aussetzung des Vollzugs eines Gesetzes begehrt, ist wegen des Eingriffs in die Gestaltungsfreiheit des Gesetzgebers ein besonders strenger Maßstab an die Folgenabwägung anzulegen.

Ergeht die einstweilige Anordnung nicht, hätte eine potentielle Verfassungsbeschwerde aber Erfolg, würden alle Daten der Beschwerdeführer für die Testzwecke zusammengeführt, obwohl dies nicht erforderlich und damit unverhältnismäßig wäre. Angesichts der eng begrenzten Verwendungszwecke und der strengen Vorgaben der Geheimhaltung überwiegt der Nachteil einer möglicherweise unverhältnismäßigen Speicherung nicht mit der erforderlichen Deutlichkeit gegenüber dem Interesse daran, durch einen Testlauf eine reibungslose Durchführung des Zensus 2021 zu ermöglichen. Die Behörden dürfen die Daten nur zur Vorbereitung des Zensus nutzen. An den Inhalt der Daten selbst dürfen sie hierfür nicht anknüpfen und an ihm haben sie auch keinerlei Interesse. Demgegenüber ist nach dem bei vorläufiger Betrachtung nicht unplausibel erscheinenden Vortrag des Bundesministeriums des Innern, für Bau und Heimat der Probedurchlauf mit nicht anonymisierten Daten aller Meldebehörden erforderlich, um die Qualität der Merkmale und der Programme effektiv überprüfen zu können.

Den Volltext der Entscheidung finden sie hier:

OVG Münster
Urteile vom 12.12.2016
13 A 846/15
13 A 2059/15

Das OVG Münster hat entschieden, dass das in Bielefeld und Duisburg betrieben Pilotprojekt Gastro-Kontrollbarometer bzw. Hygiene-Ampel, bei dem die hygienischen Zustände in Gastronomiebetrieben mit einem Punktesystem bewertet und veröffentlicht werden, unzulässig ist. Das Verbraucherinformationsgesetz bietet keine ausreichende Rechtsgrundlage für die Datenübermittlung.

Die Pressemitteilung des OVG Münster:

Pilotprojekt "Gastro-Kontrollbarometer" in Duisburg und Bielefeld rechtswidrig

Das Oberverwaltungsgericht hat heute entschieden, dass die Verbraucherzentrale NRW nach dem Verbraucherinformationsgesetz keinen Anspruch darauf hat, dass die Lebensmittelüberwachungsbehörden die im Rahmen der Ri­sikobeurteilung von Gastronomiebetrieben ermittelten Punktwerte herausgeben.

Die beklagten Städte Duisburg und Bielefeld führen zur Ermittlung der Kontrollhäu­figkeit von Gastronomiebetrieben sogenannte risikoorientierte Kontrollen durch. Da­bei verwenden sie ein Beurteilungssystem, wonach in verschiedenen Kategorien durch einen Kontrolleur oder eine Kontrolleurin Punkte vergeben werden. Je größer die Punktzahl ist, desto höher ist die Risikoeinstufung des Betriebs und desto häufi­ger erfolgen behördliche Kontrollen. Zu den zu beurteilenden Kategorien gehören etwa die Einhaltung lebensmittelrechtlicher Bestimmungen, Mitarbeiterschulung, Ei­genkontrolluntersuchungen, bauliche Beschaffenheit oder Personalhygiene. Geför­dert durch das nordrhein-westfälische Verbraucherschutzministerium, beantragte die zu den Verfahren jeweils beigeladene Verbraucherzentrale bei den Städten Duisburg und Bielefeld die laufende Herausgabe des Gesamtpunktwertes für sämtliche Gastronomiebetriebe in Duisburg und Bielefeld. Sie ordnet die Punktwerte sodann drei Ergebnisstufen in den Farben grün, gelb und rot zu und zeigt auf ihrer Internet­seite sowie in einer App die Bewertung auf einem horizontalen Balkendiagramm in den Ampelfarben an. Gegen die Herausgabe der Punktwerte an die Verbraucher­zentrale hatten mehrere Gastronomiebetreiber aus Duisburg und Bielefeld geklagt.

Der 13. Senat des Oberverwaltungsgerichts hat mit insgesamt neun Urteilen die erstinstanzlichen Entscheidungen der Verwaltungsgerichte Düsseldorf und Minden im Ergebnis bestätigt. Die Weitergabe der von der Verbraucherzentrale nachgefrag­ten Informationen - insbesondere Name und Anschrift des Gastronomiebetriebs so­wie der im Rahmen der Risikobeurteilung ermittelte Punkt­wert - finde im Verbrau­cherinformationsgesetz keine rechtliche Grundlage. Das Er­gebnis der behördlichen Risikobeurteilung in Form eines Punktwerts sei keine Infor­mation, zu der nach die­sem Gesetz Zugang zu gewähren wäre. Der Wert gebe keine Auskunft über konkret festgestellte Abweichungen von lebensmittelrechtlichen Vor­schriften. Es handele sich auch nicht um eine Auswertung einer behördlichen Über­wachungsmaßnahme. Der Punktwert lasse keine Rückschlüsse auf konkrete Ergeb­nisse der Betriebskontrolle zu; eine Weitergabe des Werts entspreche aus diesem Grund auch nicht dem Zweck des Verbraucherinformationsgesetzes, Transparenz zu schaffen.

Der Senat hat die Revision nicht zugelassen. Dagegen ist eine Nichtzulassungsbe­schwerde möglich, über die das Bundesverwaltungsgericht entscheidet.

Aktenzeichen: 13 A 846/15 u.a. (I. Instanz: VG Düsseldorf 26 K 5722/13 u.a.)
13 A 2059/15 (I. Instanz: VG Minden 9 K 2547/13)

EuGH
Urteil vom 01.10.2015
C-201/14

Der EuGH hat entschieden, dass wenn personenbezogene Daten zwischen zwei Verwaltungsbehörden zum Zwecke der Verarbeitung übermittelt werden, die Betroffenen zuvor davon unterrichtet werden müssen.

Die Pressemitteilung des EuGH:

"Werden personenbezogene Daten zwecks Verarbeitung zwischen zwei Verwaltungsbehörden eines Mitgliedstaats übermittelt, müssen die betroffenen Personen zuvor davon unterrichtet werden

Die Datenschutzrichtlinie regelt die Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.

Die Kläger des Ausgangsverfahrens, Frau Smaranda Bara und mehrere andere rumänische Staatsangehörige, sind selbständig tätig. Die rumänische Steuerverwaltung übermittelte die von ihnen erklärten Einkünfte der Nationalen Kasse der Krankenversicherungen, die daraufhin die Zahlung rückständiger Krankenversicherungsbeiträge verlangte.

Die Kläger rügen bei der Curtea de Apel Cluj (Berufungsgericht Cluj, Rumänien), dass diese Übermittlung gegen die Richtlinie verstoße. Ihre Daten seien zu anderen Zwecken als denen, zu denen sie ursprünglich der Steuerverwaltung mitgeteilt worden seien, und ohne ihre vorherige Unterrichtung verwendet worden.

Das rumänische Recht gestattet es öffentlichen Einrichtungen, den Krankenkassen personenbezogene Daten zu übermitteln, damit diese die Versicherteneigenschaft der betroffenen Personen feststellen können. Diese Daten betreffen die Personalien (Vor- und Zuname sowie Anschrift), schließen aber keine Informationen über die erzielten Einkünfte ein.

In diesem Kontext möchte die Curtea de Apel Cluj vom Gerichtshof wissen, ob es gegen das Unionsrecht verstößt, wenn eine Verwaltungsbehörde eines Mitgliedstaats personenbezogene Daten zu ihrer anschließenden Verarbeitung an eine andere Verwaltungsbehörde übermittelt, ohne dass die betroffenen Personen von der Übermittlung und der Verarbeitung unterrichtet wurden. In seinem heutigen Urteil stellt der Gerichtshof fest, dass das Erfordernis, personenbezogene Daten nach Treu und Glauben zu verarbeiten, eine Verwaltungsbehörde verpflichtet, die betroffenen Personen davon zu unterrichten, dass ihre Daten einer anderen Verwaltungsbehörde übermittelt werden, um von dieser in ihrer Eigenschaft als deren Empfänger verarbeitet zu werden. Die Richtlinie verlangt ausdrücklich, dass eventuelle Beschränkungen der Informationspflicht durch Rechtsvorschriften vorgenommen werden.

Das rumänische Gesetz, das vorsieht, dass den Krankenkassen die personenbezogenen Daten kostenfrei übermittelt werden, stellt keine vorherige Unterrichtung dar, die es ermöglichen würde, den für die Verarbeitung Verantwortlichen von seiner Pflicht zu entbinden, die Personen zu unterrichten, bei denen er die Daten erhebt. Dieses Gesetz legt nämlich weder die übermittlungsfähigen Informationen noch die Übermittlungsmodalitäten fest; diese sind lediglich in einem bilateralen Protokoll enthalten, das zwischen der Steuerverwaltung und der Krankenkasse geschlossen wurde.

Hinsichtlich der anschließenden Verarbeitung der übermittelten Daten sieht die Richtlinie vor, dass der für die Verarbeitung Verantwortliche den betroffenen Personen seine eigene Identität, die Zweckbestimmungen der Verarbeitung sowie weitere Informationen mitteilt, die notwendig sind, um eine Verarbeitung der Daten nach Treu und Glauben zu gewährleisten. Zu diesen weiteren Informationen gehören die Datenkategorien, die verarbeitet werden, sowie das Bestehen von Auskunfts- und Berichtigungsrechten.

Der Gerichtshof weist darauf hin, dass die Verarbeitung der von der Steuerverwaltung übermittelten Daten durch die Krankenkasse voraussetzte, dass die betroffenen Personen über die Zweckbestimmungen der Verarbeitung sowie über die verarbeiteten Datenkategorien unterrichtet werden. Im vorliegenden Fall ist keine solche Unterrichtung durch die Krankenkasse erfolgt.

Der Gerichtshof gelangt daher zu dem Ergebnis, dass das Unionsrecht einer ohne vorherige Unterrichtung der betroffenen Personen erfolgenden Übermittlung personenbezogener Daten zwischen zwei Verwaltungsbehörden eines Mitgliedstaats zwecks Verarbeitung entgegensteht.

Den Volltext der Entscheidung finden Sie hier: