EuGH
Urteil vom 11.12.2019 C‑708/18
TK gegen Asociaţia de Proprietari bloc M5A-ScaraA
Der EuGH hat entschieden, dass die Videoüberwachung von Gemeinschaftsbereichen eines Wohngebäudes zum Schutz und zur Sicherheit von Personen und Eigentum zulässig sein kann.
Tenor der Entscheidung:
Art. 6 Abs. 1 Buchst. c und Art. 7 Buchst. f der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sind im Licht der Art. 7 und 8 der Charta der Grundrechte der Europäischen Union dahin auszulegen, dass sie nationalen Vorschriften nicht entgegenstehen, wonach es zulässig ist, ohne Einwilligung der betroffenen Personen ein Videoüberwachungssystem wie das im Ausgangsverfahren in Rede stehende, in den Gemeinschaftsbereichen eines Wohngebäudes installierte einzurichten, um berechtigte Interessen wahrzunehmen, die darin bestehen, den Schutz und die Sicherheit von Personen und Eigentum zu gewährleisten, wenn die mittels dieses Videoüberwachungssystems erfolgende Verarbeitung personenbezogener Daten den Voraussetzungen des Art. 7 Buchst. f entspricht, was zu prüfen Sache des vorlegenden Gerichts ist.
Auch das VG Ansbach hat entschieden, dass kein individueller Anspruch auf Einschreiten der Datenschutzbehörde und Einleitung bestimmter Maßnahmen besteht. Die DSGVO enthält keine entsprechende Anspruchsgrundlage.
Aus den Entscheidungsgründen:
"1.2. Die Klage ist als Leistungsklage statthaft. Der Kläger hat einen sehr umfassenden Klageantrag gestellt, und zwar im Schriftsatz vom 9. Februar 2019, ergänzt um sein Begehren im Schriftsatz vom 18. Februar 2019. Letztlich geht es ihm dabei um die Reichweite der inhaltlichen Befassung der Aufsichtsbehörde mit seiner Beschwerde sowie um aufsichtliches Einschreiten des staltung er ins Ermessen des Beklagten unter Beachtung der Rechtsauffassung des Gerichtes stellt.
Der Erwägungsgrund 143 zur DS-GVO besagt, dass ein Verfahren gegen eine Aufsichtsbehörde „im Einklang mit dem Verfahrensrecht“ des Mitgliedstaats durchzuführen ist. Die unionsrechtlichen Grundlagen haben zu den Sondervorgaben des § 20 BDSG (Bundesdatenschutzgesetz) geführt, der aber zunächst auf die allgemeinen Vorschriften der VwGO verweist, § 20 Abs. 2 BDSG.
Beim streitgegenständlichen Schreiben des Beklagten vom 21. Januar 2019 handelt es sich um eine vom Verwaltungsgericht gemäß Art. 78 DS-GVO überprüfbare Maßnahme mit Außenwirkung, jedoch nicht um einen Verwaltungsakt im Sinne von Art. 35 BayVwVfG mit Regelungscharakter, so dass nicht die Anfechtungsklage, sondern die allgemeine Leistungsklage statthaft ist. Der Antrag des Klägers in der Klageschrift ist dahingehend auszulegen, § 88 VwGO.
Ein Verwaltungsakt im Sinne von Art. 35 BayVwVfG setzt eine einseitige Maßnahme eines Hoheitsträgers auf dem Gebiet des öffentlichen Rechts für einen konkreten Einzelfall voraus, die Regelungswirkung mit Außenwirkung entfaltet. Vorliegend fehlt es am Regelungscharakter der Abschlussmitteilung vom 21. Januar 2019.
Das Schreiben des Beklagten vom 21. Januar 2019 ist auch kein sog. feststellender Verwaltungsakt, also ein Bescheid mit der verbindlichen Feststellung eines Rechtsverhältnisses oder sich daraus ergebender Rechte und Pflichten, die mit Rechtsbeständigkeit festgestellt werden sollen (vgl. BayVGH, B.v. 21.3.2002 - 24 ZB 01.592 -, juris). Hier sollte dem Kläger eine Rechtsauskunft erteilt werden, es sollten aber nicht mit verbindlicher Feststellung i.S. des Art. 35 BayVwVfG strittige Rechte oder Pflichten geregelt werden.
Zwar kommt es dafür, ob ein behördliches Schreiben eine verbindliche Regelung durch Verwaltungsakt enthält, auf eine Auslegung nach den im öffentlichen Recht entsprechend anwendbaren Normen der §§ 133, 157 BGB an. Maßgeblich ist also nicht der innere Wille der Behörde, sondern der erklärte Wille, wie ihn der Empfänger bei objektiver Würdigung verstehen konnte, wobei Unklarheiten zu Lasten der Verwaltung gehen. Hier hat der Beklagte lediglich Auskunft darüber gegeben, dass er das Verhalten der Kreissparkasse für Rechtens erachtet und keinen Anlass für ein datenschutzaufsichtliches Einschreiten erkennt, aber nicht zu erkennen gegeben, dass in einer rechtlich ungewissen Situation die Sach- und Rechtslage in diesem Einzelfall durch eine verbindliche Feststellung mit Bindungswirkung als bestehend oder nicht bestehend festgestellt, konkretisiert bzw. individualisiert wird (s. OVG NRW, B.v. 29.9.2016 - 14 B 1056/16 -, juris).
Mangels eines Verwaltungsaktes ist die Rechtsbehelfsbelehrung:des Beklagten im Schreiben vom 21. Januar 2019 unrichtig. Es ist zwar korrekt und durch Art. 77 Abs. 2 DS-GVO sogar geboten, den Kläger auf seine Möglichkeit der Einlegung eines Rechtsmittels hinzuweisen. Die in der Rechtsbehelfsbelehrung:enthaltene Monatsfrist würde aber einen Verwaltungsakt voraussetzen, der nicht vorliegt. Der Antrag des Klägers indes ist nicht auf einen bestimmten Verwaltungsakt des Beklagten, sondern auf ein allgemein aufsichtliches Einschreiten gerichtet (auch im Hilfsantrag), kennzeichnend für eine Leistungsklage. Hätte der Kläger eine ganz konkrete Maßnahme im Sinne eines Verwaltungsaktes vom Beklagten verlangt, hätte er also seine Beschwerde gemäß Art. 77 DS-GVO in diesem Sinne an die Aufsichtsbehörde gerichtet, und hätte der Beklagte diese so gestaltete Beschwerde abgelehnt, wäre die Verpflichtungsklage in Form der Versagungsgegenklage in Frage gekommen. Dann wäre die Ablehnung der Beschwerde als ein Verwaltungsakt zu qualifizieren, der den Erlass eines Verwaltungsaktes ablehnen würde.
Für den Fall, dass es sich bei einer Abschlussmitteilung einer Aufsichtsbehörde nach der DSGVO - wie hier - um keinen Verwaltungsakt handelt, ist die Leistungsklage nach Art. 78 DSGVO statthaft. Das Klagerecht aus Art. 78 Abs. 1 DS-GVO erfasst damit umfassend auch die Ablehnung oder Zurückweisung einer Beschwerde nach Art. 77 DS-GVO (vgl. 143. Erwägungsgrund zur DS-GVO zur Ablehnung oder Abweisung von Beschwerden). Wird eine Maßnahme von der Aufsichtsbehörde erbeten, die ein schlichtes Verwaltungshandeln zum Gegenstand hat, ist die allgemeine Leistungsklage die statthafte Klageart, so dass umfassender Rechtsschutz besteht. Zulässige Streitgegenstände können sämtliche rechtsverbindliche Maßnahmen einer Aufsichtsbehörde sein. Unter rechtsverbindlich i.d.S. sind nicht nur Verwaltungsakte zu verstehen, sondern sämtliche Handlungen, die Außenwirkung besitzen, also Auswirkungen auf die Rechte des Betroffenen oder des Verantwortlichen i.S.d. DS-GVO haben können. Solche Auswirkungen sind auf allen Ebenen eines Verwaltungsverfahrens denkbar.
Die Rechtsansicht des Verwaltungsgerichts Berlin vom 28. Januar 2019 (AZ. VG 1 L 1.19), das bei Beschwerden nach der DS-GVO von Petitionen ausgeht, geht dabei zu weit. Ein eine Petition beantwortendes Schreiben wäre jedenfalls kein Verwaltungsakt im Sinne von § 42 VwGO (BVerwG, B.v. 1.9.1976 - VII B 101.75 -, juris; unstreitig, keine unmittelbare rechtliche Außenwirkung, sondern nur die tatsächliche Erfüllung der Verpflichtung aus Art. 17 GG; kein Gebot der Möglichkeit einer Anfechtungsklage aus Art. 19 Abs. 4 Satz 1 GG). Nach der DS-GVO indes hat der Bürger nicht nur einen Anspruch auf Verbescheidung, sondern ggf. einen Anspruch auf Einschreiten der Aufsichtsbehörde (bei Ermessenreduzierung auf Null, sonst Anspruch auf fehlerfreie Ermessensausübung), die aufgrund Art. 58 DS-GVO umfassende Eingriffskompetenzen hat (i.d.R. im Gegensatz zum Petitionsadressaten). Das Schreiben des Beklagten vom 21. Januar 2019 ist nicht lediglich die Beantwortung einer Petition.
1.3. Es besteht für den Kläger eine Klagebefugnis aus Art. 78 Abs. 1 DS-GVO gegen die Zurückweisung der Beschwerde des Klägers nach Art. 77 DS-GVO. Der Kläger ist ebenso klagebefugt im Sinne des § 42 Abs. 2 VwGO, denn § 42 Abs. 2 VwGO ist für die Klagebefugnis nach herrschender Ansicht analog auf die Leistungsklage anzuwenden, da die Rechtsweggarantie des Art. 19 Abs. 4 GG dann greift, wenn ein Bürger durch die öffentliche Gewalt in seinen subjektiven Rechten verletzt ist. Es ist aber fragwürdig, ob neben Art. 78 DS-GVO (Unionsrecht mit Anwendungsvorrang) § 42 VwGO insoweit überhaupt noch anwendbar ist, da die Betroffenheit in subjektivöffentlichen Rechtspositionen eine namentlich deutsche Zulässigkeitsvoraussetzung für eine Klage darstellt. Da im Hinblick auf Maßnahmen des Art. 58 DS-GVO der Kläger aber auch im Hinblick auf § 42 VwGO möglicherweise in seinen Rechten tangiert sein könnte, wären auch die Voraussetzungen des § 42 VwGO erfüllt, so dass der Kläger jedenfalls klagebefugt ist.
1.4. Aufgrund des Vorliegens einer Leistungsklage war im gegebenen Verfahren keine Klagefrist zu wahren. Die auf eine Monatsfrist hinweisende Rechtsbehelfsbelehrung:in der Abschlussmitteilung des Beklagten vom 21. Januar 2019 ist insofern unrichtig.
1.5. Gemäß § 20 Abs. 5 Satz 1 BDSG sind die Beteiligten eines Verfahrens nach § 20 Abs. 1 Satz 1 BDSG die natürliche Person als Kläger sowie die Aufsichtsbehörde als Beklagter. Der Kläger ist Beteiligter gemäß § 20 Abs. 5 Satz 1 Nr. 1 BDSG. Beklagter ist das Bayerische Landesamt … … Zwar wäre gemäß § 78 Abs. 1 Nr. 1 VwGO die Klage gegen den Rechtsträger des Landesamtes zu richten, hier also gegen den Freistaat Bayern. Vorrangig vor § 78 VwGO ist aber § 20 Abs. 5 Satz 1 Nr. 2 BDSG als lex specialis, wonach die Aufsichtsbehörde direkt als Beklagte beteiligt ist. Mithin liegt eine unionsrechtlich durch die Selbstständigkeit der Aufsichtsbehörde bedingte abweichende bundesrechtliche Spezialregelung vor (so auch Mundil, in BeckOK, Datenschutzrecht, Wolff/Brink, 28. Edition, 1.5.2018, Rn. 5 zu § 20 BDSG, Lapp, in Gola/Heckmann, BDSG, Kommentar, 13. Auflage 2019, Rn 12 zu § 20 BDSG, Bergt in Kühling/Buchner, DS-GVO, BDSG, 2. Auflage 2018, Rn 10 zu § 20 BDSG, a. A. wohl nur Frenzel in Paal/Pauly, DS-GVO/BDSG, 2. Auflage 2018, Rn. 10 zu § 20 BDSG, ohne Begründung hierfür). Die hier zum Ausdruck kommende unionsrechtlich vorgegebene Selbstständigkeit der Aufsichtsbehörde würde im Übrigen, falls es sich beim Schreiben vom 21. Januar 2019 um einen Verwaltungsakt gehandelt hätte, dazu führen, dass gem. § 20 Abs. 6 BDSG kein Vorverfahren stattfindet.
1.6. Im vorliegenden Fall hat das Gericht von einer Beiladung der Kreissparkasse … … … abgesehen. § 20 Abs. 5 BDSG bestimmt, dass natürliche oder juristische Personen Kläger oder Antragsteller (§ 20 Abs. 5 Satz 1 Nummer 1 BDSG) sind und die Aufsichtsbehörden Beklagte oder Antraggegner (§ 20 Abs. 5 Satz 1 Nummer 2 BDSG). In § 20 Abs. 5 Satz 2 BDSG ist aber festgelegt, dass § 63 Nummer 3 und 4 VwGO nicht tangiert wird, was zur Folge hat, dass Beiladungen möglich sind. Zwar ist der Zweck einer Beiladung der der Prozessökonomie und Rechtseinheitlichkeit, wobei hier durch die Schaffung verwaltungsrechtlicher Rechtsbehelfe in den Art. 78 DS-GVO und gleichzeitig der Möglichkeit, gegen den Verantwortlichen selbst gerichtlich vorzugehen, die Existenz sich widersprechender gerichtlicher Entscheidungen für denselben Sachverhalt vom Normgeber in Kauf genommen wird. Der Prozess des Betroffenen gegen die Aufsichtsbehörde, der Prozess ggf. des Verantwortlichen (hier wäre das die Kreissparkasse … … …) gegen die Aufsichtsbehörde sowie der Prozess des Betroffenen gegen den Verantwortlichen haben unterschiedliche Streitgegenstände, da zum Beispiel der Klageantrag gegen die Aufsichtsbehörde aufgrund des weiten Entschließungs- und Auswahlermessens der Aufsichtsbehörde normalerweise nur auf ein aufsichtliches Einschreiten - wie hier - gerichtet ist, wohingegen regelmäßig ein Anfechtungsantrag im Prozess des Verantwortlichen gegen eine Anordnung der Aufsichtsbehörde eine ganz konkrete Maßnahme betrifft.
Es liegt hier kein Fall der notwendigen Beiladung im Sinne des § 65 Abs. 2 VwGO vor, da der für eine notwendige Beiladung erforderliche unmittelbare Eingriff in die Rechtsposition der Kreissparkasse … … … nicht schon durch eine gerichtliche Verpflichtung des Beklagten zum aufsichtlichen Einschreiten gegeben wäre, sondern erst durch dieses Einschreiten selbst, also die Umsetzung durch die Aufsichtsbehörde, die Kreissparkasse … … … unmittelbar betroffen wäre. Die Kreissparkasse … … … ist deshalb an dem streitigen Rechtsverhältnis zwischen dem Kläger und dem Beklagten nicht derart beteiligt, dass die Entscheidung darüber auch ihr gegenüber nur einheitlich ergehen kann, wie § 65 Abs. 2 VwGO es fordert. Vergleichbar ist dies etwa mit der Verpflichtungsklage eines Bauherrn gegen die Bauaufsichtsbehörde auf Einschreiten gegen den Nachbarn, wo gefestigter Rechtsprechung zufolge der Nachbar nicht notwendig beizuladen ist, auch falls er bereits gegen das Bauvorhaben im Verwaltungsverfahren Einwendungen erhoben haben sollte (vgl. statt vieler BVerwG, B.v. 20.5.1992 - 1 B 22.92 -, NVwZ-RR 1993, 18).
Die tatbestandlichen Voraussetzungen einer einfachen Beiladung im Sinne des § 65 Abs. 1 VwGO sind allerdings gegeben, da hier rechtliche Interessen der Kreissparkasse … … … tangiert werden können, und sich die Entscheidung in dieser Verwaltungsstreitsache auf die rechtlichen Interessen der Kreissparkasse auswirken kann. Das Gericht sah von einer Beiladung, die im Ermessen des Gerichts steht, ab, da zum einen beide Beteiligte (Kläger und Beklagter) in der mündlichen Verhandlung eine Beiladung der Kreissparkasse … … … abgelehnt haben, da das Gericht die mögliche Verletzung von Rechten der Kreissparkasse ohnehin von Amts wegen zu prüfen hatte und prüfte, und vor allen Dingen, weil das Gericht in keinem Stadium des Verfahrens davon auszugehen hatte, dass der Beklagte zu einer Maßnahme i.S.d. Art. 58 DS-GVO gegen die Kreissparkasse … … … zu verurteilen ist.
1.7. Die Zuständigkeit des Verwaltungsgerichts Ansbach ergibt sich sachlich aus § 45 VwGO und örtlich aus § 20 Abs. 3 BDSG als Sondervorschrift zu § 52 VwGO. Gemäß § 20 Abs. 3 BDSG (vgl. auch Art. 78 Abs. 3 DS-GVO) ist für Verfahren nach § 20 Abs. 1 Satz 1 BDSG - wie hier - das Verwaltungsgericht örtlich zuständig, in dessen Bezirk die Aufsichtsbehörde ihren Sitz hat, mithin das Verwaltungsgericht Ansbach.
2. Die zulässige Klage ist unbegründet, da der Kläger weder einen Anspruch gegen den Beklagten auf weitere Befassung und Überprüfung seiner Beschwerde nach Art. 78 Abs. 2 DS-GVO i.V.m. Art. 57 DS-GVO hat noch einen Anspruch auf aufsichtliches Einschreiten des Beklagten gegenüber der Kreissparkasse … … … gemäß Art. 58 DS-GVO.
2.1. Der Aufgabenbereich des Art. 57 DS-GVO ist eröffnet. Der Beklagte hat gemäß Art. 78 Abs. 2 DS-GVO in Verbindung mit Art. 57 Abs. 1 Buchst. f DS-GVO die Beschwerde des Klägers in angemessenem Umfang geprüft und dem Kläger rechtzeitig Bescheid gegeben. Ein darüber hinaus gehender Anspruch des Klägers ist nicht ersichtlich.
Mit dem Bayerischen Landesamt … hat die zuständige Datenschutzaufsichtsbehörde gehandelt. Der Anwendungsbereich der DS-GVO war eröffnet. Die Kreissparkasse … … … war sog. Verantwortlicher im Rahmen der Verarbeitung und Speicherung personenbezogener Daten des Klägers (Art. 4 Nr. 2 DS-GVO) im Rahmen einer seit dem Jahre 1985 währenden Geschäftsbeziehung. Es handelt sich durchweg auch um personenbezogene Daten des Klägers, Art. 4 Nr. 1 DS-GVO. In diese Datenverarbeitung und -speicherung hatte der Kläger eingewilligt, Art. 6 Abs. 1 Satz 1 DS-GVO (vgl. Art. 7 und Art. 4 Nr. 11 DSGVO). Die Einwilligung war freiwillig.
Art. 57 Absatz 1 Buchst. a und f DS-GVO, wonach der Beklagte die Anwendung dieser Verordnung überwachen und durchsetzen muss sowie sich mit Beschwerden einer betroffenen Person befassen muss, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten muss, wurde vom Beklagten nach Überzeugung des Gerichts beachtet. Zwar können sich aus Art. 57 DS-GVO allein, einer reinen Aufgabennorm, keine subjektivöffentlichen Rechte des Betroffenen ergeben. Art. 57 Abs. 1 Buchst f DS-GVO ist ausschließlich an die Aufsichtsbehörde gerichtet und schafft per se keine subjektivöffentlichen Rechte der Betroffenen. Die Untersuchungspflicht des Art. 57 Abs. 1 Buchst. f DS-GVO ist aber im Gesamtzusammenhang der DS-GVO von hohem Gewicht. Art. 57 Abs. 1 Buchst. f DS-GVO enthält dezidierte Vorgaben zum Verfahren und dessen Umfang, die über Art. 78 Abs. 2 DSGVO zu einem Rechtsanspruch des Betroffenen führen können (so wohl auch Kühling/Buchner/Boehm, DS-GVO, 2. Aufl. 2018, Art. 57 Rn. 12: „dem Bestehen eines Rechtsanspruchs ähnlich“, „weil die Vorschrift im Zusammenhang mit Art. 78 Abs. 2“ zu sehen ist), demzufolge jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn die nach den Art. 55 f. DS-GVO zuständige Aufsichtsbehörde sich nicht mit einer Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der gemäß Art. 77 DS-GVO erhobenen Beschwerde in Kenntnis gesetzt hat. Gemäß Art. 57 Abs. 1 Buchst. f DS-GVO hat der Beklagte den Kläger innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung mit Schreiben vom 21. Januar 2019 unterrichtet, und zwar unter Beachtung von Art. 78 Abs. 2 DS-GVO, wonach der Beschwerdeführer spätestens innerhalb von drei Monaten über den Sachstand informiert werden muss.
Die Unterscheidung der DS-GVO von Aufgabennorm, Art. 57 DS-GVO, und Befugnisnorm, Art. 58 DS-GVO, ähnelt der Aufteilung im Sicherheits- und Polizeirecht. Im Bereich der DS-GVO besteht aber eine Besonderheit: Art. 57 DS-GVO, der ohnehin nicht abschließend Aufgaben normiert (vgl. Art. 57 Abs. 1 Buchst. v) ist in seiner Umfassendheit zum Beispiel nicht vergleichbar mit Art. 2 Bayerisches Polizeiaufgabengesetz (BayPAG), weil er bei der Aufgabenzuweisung dezidiert auf eine „Angemessenheit“ abstellt. Die Behandlung von individuellen Beschwerden wie hier ist unionsrechtlich restriktiv geregelt (vgl. auch Erwägungsgrund 141 Satz 2 zur DSGVO). Zwar ist es eine der vorrangigsten Aufgaben des Beklagten, Beschwerden von Betroffenen nach Art. 77 DS-GVO zu bearbeiten, zumal für die Aufsichtsbehörden (ähnlich wie für die Polizei) Hinweise und Beschwerden von Bürgern zur Erfüllung ihrer Aufgaben unverzichtbar sind. Allerdings nimmt Art. 57 Abs. 1 Buchst. f DS-GVO unzweifelhaft mit der Formulierung „in angemessenem Umfang“ auf die Ressourcen und Möglichkeiten der Aufsichtsbehörden Rücksicht. Die Angemessenheit der Untersuchung richtet sich auch nach der Schwere des Eingriffs in Rechte des Betroffenen.
2.2. Der Kläger hat keinen Anspruch auf behördliches Einschreiten nach Art. 58 DS-GVO. Ein solches scheidet bereits deshalb aus, weil sich nach Befassung und Prüfung im Rahmen des Art. 57 DS-GVO keine Anhaltspunkte ergeben haben, die ein Einschreiten nach Art. 58 DS-GVO nahelegten. Ein Datenschutzrechtsverstoß des Verantwortlichen hat sich nicht aufgedrängt. Die Abschlussmitteilung des Beklagten vom 21. Januar 2019 ist damit inhaltlich nicht zu beanstanden.
Art. 58 DS-GVO regelt das Verhältnis Aufsichtsbehörde zu Datenverantwortlichem. Ein Anspruch auf aufsichtliches Einschreiten des Betroffenen ist ähnlich wie im Sicherheits- und Polizeirecht (vgl. BVerwGE 11, 95, 97) grundsätzlich anzuerkennen, jedoch nur im Falle einer (möglichen) Verletzung von eigenen Rechten sowie (kumulativ) einer Reduktion des Ermessens auf Null, so dass mithin allenfalls regelmäßig nur ein subjektivöffentliches Recht auf fehlerfreie Ermessensausübung besteht.
Neben dem Auswahlermessen besteht für den Beklagten auch hinsichtlich des Entschlusses zum Tätigwerden ein Entschließungsermessen (vgl. das Wort „gestattet“ in Art. 58 Abs. 1 und 2 DS-GVO). Zwar sieht Art. 58 Abs. 2 DS-GVO ein Bündel verschiedener, zum Teil weitreichender Maßnahmen vor, das dem Beklagten zu Gebote steht. Die Aufsichtsbehörde entscheidet dann, ob sie beispielsweise von dem Verantwortlichen gemäß Art. 58 Abs. 1 Buchst. a eine Stellungnahme einfordert, eine Kontrolle vor Ort gemäß Art. 58 Abs. 1 Buchst. f vornimmt, oder wie hier über den Sachverhalt bereits aufgrund der vom Kläger vorgelegten Informationen und Abschriften entscheidet. Der Kläger hat grundsätzlich einen Anspruch auf Wahrung des Transparenzgebotes des Art. 12 DS-GVO, auf Auskunft gemäß Art. 15 DS-GVO, darauf, dass gemäß Art. 5 Abs. 1 Buchst. a DS-GVO seine personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für ihn nachvollziehbaren Weise verarbeitet werden.
Der Kläger hätte im Übrigen selbst bei Vorliegen eines festgestellten oder wahrscheinlichen Verstoßes gegen die DS-GVO indes nur einen Anspruch auf fehlerfreie Ermessensausübung hinsichtlich einer Maßnahme des Beklagten nach Art. 58 DS-GVO, aber keinen Anspruch auf bestimmte aufsichtsrechtliche Maßnahmen gegen die Kreissparkasse (so auch Gola/Nguyen, DS-GVO, 2. Aufl. 2018, Art. 57 Rn. 10 m.w.N.; außer im Fall der Ermessensreduzierung auf Null), wobei dann im Rahmen des Art. 58 DS-GVO die Aufsichtsbehörde wie erwähnt ein weites Entschließungs- und Auswahlermessen hat und Art. 58 Abs. 2 DS-GVO mit den unterschiedlich gestuften Maßnahmen dem Grundsatz der Verhältnismäßigkeit gerecht wird (vgl. Art. 58 Abs. 2 Buchst. a, b, d als mildere Maßnahmen im Vergleich zu Art. 58 Abs. 2 Buchst. f DS-GVO, so Ingold JuS 2018, 1214, 1217).
Eine Ermessensreduktion auf Null kommt nur in Betracht, wenn ein Datenschutzrechtsverstoß naheliegt bzw. sich aufdrängen muss, d.h. es müssen Tatsachen vorliegen, die einen Verstoß gegen datenschutzrechtliche Vorschriften als wahrscheinlich erscheinen lassen und wenn dieser Verstoß von einer Schwere ist, die ein Einschreiten der Aufsichtsbehörde als erforderlich erscheinen lässt. Vor dem Hintergrund dieses Maßstabes ist hier von keinem Anspruch auf Einschreiten nach Art. 58 DS-GVO auszugehen: Die Einwände des Klägers gegen die Vorgehensweise des Beklagten in den Schriftsätzen sowie in der mündlichen Verhandlung greifen in der Sache nicht durch. Die Kreissparkasse … … … hat ausführlich auf die Anfragen des Klägers reagiert, alle erdenklichen Auskünfte erteilt und ebenso ihre Bereitschaft zu weiteren Auskünften zugesagt. Daher ist es nicht so, dass der Kläger, wie behauptet, seine Daten nicht vollständig erhält. Auf seine Bitte um eine Vervollständigung der Auskunft vom 30. Juli 2017 hat die Kreissparkasse … … … ihm mit Schreiben vom 2. Oktober 2018 wunschgemäß weitere Angaben gemacht, wobei die Auskunft vom 30. Juli 2018 bereits den gesetzlichen Anforderungen genügte. Es ist nicht erkennbar, worin hier ein Verstoß gegen das Transparenzgebot des Art. 12 DS-GVO vorliegen sollte. Die Vorgehensweise und Praxis der Kreissparkasse … … … entsprechen dem Erwägungsgrund 39 zur DS-GVO, da die Verarbeitung personenbezogener Daten des Klägers rechtmäßig und nach Treu und Glauben erfolgte sowie die Auskunft an den Kläger gemäß Art. 15 DS-GVO korrekt war. Gemäß Art. 5 Abs. 1 Buchst. a DS-GVO sind seine personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für ihn nachvollziehbaren Weise verarbeitet worden. Die falsche Berufsbezeichnung des Klägers wurde seitens der Kreissparkasse in Anwendung von Art. 5 Abs. 1 Buchst. d DS-GVO sofort berichtigt. Die Abspeicherung des abgelaufenen Passes des Klägers von 1988, der bei Begründung des Vertragsverhältnisses 1985 die gültige, vom Kläger vorgelegte, Legitimation war, ist insbesondere kein Verstoß gegen Art. 15 Abs. 1 Buchst. d DS-GVO, sondern gerechtfertigt durch Art. 17 Abs. 1 Buchst. a DS-GVO, da die Kreissparkasse … … … zum Zugang des Klägers auf seine Daten dessen Legitimationsgrundlage verfügbar haben muss(te). Nichts anderes ergibt sich aus dem Erwägungsgrund 39 zur DS-GVO. Es ist auch nicht notwendig, dass die Kreissparkasse … … … durch ihre eigenen Bediensteten Kenntnisse von der Verarbeitung von elektronischen Kundenunterschriften hat. Es ist üblich und datenschutzrechtlich sowohl korrekt als auch unbedenklich, wenn sich Unternehmen weiterer Dienstleistungen Dritter bedienen, solange sie datenschutzrechtlich - wie hier - die Datensicherheit gewährleisten können; zumindest bestehen für eine gegenteilige Annahme keinerlei Anhaltspunkte."
Auch das LG München hat entschieden, dass Ärzte gegen Jameda einen Anspruch auf Löschung als Basiskunde aus §§ 823 Abs. 2, 1004 BGB analog in Verbindung mit Art. 6 Abs. 1 lit f. DSGVO haben.
Die Pressemitteilung des LG München:
Jameda: Werbung von Basiskunden für Premiumkunden unzulässig
Drei Ärzte haben erfolgreich das Online-Bewertungsportal Jameda auf Löschung des ohne ihr Einverständnis angelegten Profils verklagt. Die 25. Zivilkammer des Landgerichts München I hat entschieden, dass die Ausgestaltung des Ärztebewertungsportals teilweise unzulässig ist. Mit ihr verlasse Jameda die zulässige Rolle des „neutralen Informationsmittlers“ und gewähre den an die Plattform zahlenden Ärzten auf unzulässige Weise einen „verdeckten Vorteil“. Die Kammer beanstandete, dass Jameda auf den Profilen der Basiskunden sogenannte „Expertenratgeber-Artikel“ zahlender Konkurrenten unter Verlinkung des jeweiligen Profils veröffentlicht, während zumindest auf den Profilen von Platin-Kunden keine Artikel anderer Ärzte angezeigt werden. Diese Fachartikel seien inhaltlich geeignet, das Interesse eines potentiellen Patienten von den Basiskunden weg, hin zu den Verfassern der Fachartikel, die zahlenden Kunden von Jameda sind, zu lenken. Denn der Umstand, dass sie als „Experten“ einen Artikel veröffentlicht haben, erwecke den Anschein besonderer Kompetenz im Vergleich zu den Basiskunden. Die Kammer betonte im Ausgangspunkt, dass das von Jameda betriebene Ärztebewertungsportal eine von der Rechtsordnung grundsätzlich gebilligte und gesellschaftlich erwünschte Funktion erfüllt, solange Jameda seine Stellung als „neutraler Informationsmittler“ wahrt und seinen zahlenden Kunden keine „verdeckten Vor-teile“ gegenüber den nicht zahlenden Basiskunden verschafft. Eine Gewährung „verdeckter Vorteile“ sei jedoch dann gegeben, wenn die ohne ihre Einwilligung aufgenommenen Basiskunden auf dem Portal als „Werbeplattform“ für Premiumkunden benutzt würden und letzteren durch die Darstellung ein Vorteil gewährt werde, der für die Nutzer nicht erkennbar sei. Dann diene das Portal nicht mehr al-lein dem Informationsaustausch zwischen (potentiellen) Patienten. In diesem Fall müssten Ärzte nicht hinnehmen, ohne ihre Einwilligung als Basiskunden aufgeführt zu werden.
Rechtlich hat die Kammer den Anspruch der Kläger auf Löschung des ohne Einwilligung eingerichteten Profils bzw. auf Unterlassung der konkreten Verletzungsformen jeweils auf §§ 823 Abs. 2, 1004 BGB analog in Verbindung mit Art. 6 Abs. 1 f) DSGVO gestützt. Sie hat in diesem Zusammenhang entschieden, dass die Bewertungsplattform sich nicht auf das sog. Medienprivileg der Datenschutzgrundverordnung (Art. 85 Abs. 2 DSGVO) stützen kann, da Jameda keine Datenverarbeitung zu „journalistischen Zwecken“ vornehme. Andere Funktionen des Portals, wie etwa die Möglichkeit von Premiumkunden, auf dem Profil in größerem Umfang die angebotenen ärztlichen Leistungen anzugeben als bei Basiskunden, hat die Kammer dagegen nicht beanstandet. Insoweit hat die Kammer die Klagen der drei Kläger abgewiesen. Die Urteile (25 O 13978/18, 25 O 13979/18 und 25 O 13980/18) sind nicht rechtskräftig.
"Die zulässige Revision des Beklagten ist mit der Maßgabe begründet, dass das Berufungsurteil aufzuheben und die Sache an das Oberverwaltungsgericht zurückzuverweisen ist. Das Berufungsurteil beruht auf einer Verletzung revisiblen Rechts im Sinne des § 137 Abs. 1 Nr. 1 VwGO, soweit es § 38 Abs. 5 Satz 1 und 2 des Bundesdatenschutzgesetzes (BDSG) vom 20. Dezember 1990 (BGBl. I S. 2954) i.d.F. der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), für den hier maßgeblichen Zeitraum zuletzt geändert durch Art. 1 des Gesetzes zur Änderung datenschutzrechtlicher Vorschriften vom 14. August 2009 (BGBl. I S. 2814) - BDSG a.F. - entnimmt, dass für das dort vorgegebene gestufte Vorgehen unterschiedliche Adressaten in die Betrachtung einzubeziehen sind (1). Mit Bundesrecht unvereinbar ist nach den bindenden Vorgaben des Gerichtshofs der Europäischen Union (EuGH) auch der Maßstab, mit dem das Berufungsurteil die datenschutzrechtliche Verantwortlichkeit der Klägerin nach § 3 Abs. 7 BDSG a.F., Art. 2 Buchst. d der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABI. L 281 S. 31, ber. 2017 L 40 S. 78) - Datenschutzrichtlinie - beurteilt hat (2). Das Berufungsurteil erweist sich auch nicht aus anderen Gründen im Ergebnis als richtig (§ 144 Abs. 4 VwGO). Der Beklagte hat auf die streitigen Datenverarbeitungen zu Recht deutsches Datenschutzrecht angewandt (3) und sein Ermessen bei der Auswahl der Klägerin als Adressatin des Bescheids und bei der Anordnung einer Deaktivierung der Fanpage rechtmäßig ausgeübt (4). Da die Feststellungen des Berufungsgerichts nicht ausreichen, um die Rechtmäßigkeit der Datenverarbeitungsvorgänge zu beurteilen, war das Berufungsurteil aufzuheben und die Sache zur anderweitigen Verhandlung und Entscheidung an das Berufungsgericht zurückzuverweisen (§ 144 Abs. 3 Satz 1 Nr. 2 VwGO) (5).
1. Das Berufungsgericht hat seiner Beurteilung zutreffend die Sach- und Rechtslage im Zeitpunkt der letzten Verwaltungsentscheidung, hier des Widerspruchsbescheids vom 16. Dezember 2011, zugrunde gelegt. Die Rechtmäßigkeit von Anordnungen zur Beseitigung datenschutzrechtlicher Verstöße nach § 38 Abs. 5 BDSG a.F. ist nach der Rechtslage zu beurteilen, die zum Zeitpunkt der letzten behördlichen Entscheidung gilt. Nachträgliche Rechtsänderungen sind nicht zu berücksichtigen (BVerwG, Vorlagebeschluss vom 25. Februar 2016 -1 C 28.14 - Buchholz 403.1 Allg. DatenschutzR Nr. 18 Rn. 17; vgl. dazu auch Urteil vom 27. März 2019 - 6 C 2.18 - NJW 2019, 2556 Rn. 7).
Auch ist die an die Klägerin gerichtete Anordnung, ihre Fanpage zu deaktivieren, nach dem Eingriffsgewicht nicht als Mängelbeseitigung im Sinne des § 38 Abs. 5 Satz 1 BDSG a.F., sondern als Untersagung des Einsatzes eines Verfahrens nach § 38 Abs. 5 Satz 2 BDSG a.F. zu werten. Deshalb ist sie zusätzlich zu den Voraussetzungen des Satzes 1 den gesteigerten Anforderungen des Satzes 2 der Vorschrift zu unterwerfen (BVerwG, Vorlagebeschluss vom 25. Februar 2016 - 1 C 28.14 - Buchholz 403.1 Allg. DatenschutzR Nr. 18 Rn. 22). Dem Umstand, dass der angefochtene Bescheid in der Titelzeile auf Satz 1 dieser Bestimmung Bezug nimmt, hat das Berufungsgericht zu Recht keine Bedeutung beigemessen. Der Bescheid ist im verfügenden Teil ausdrücklich auf die Norm des § 38 Abs. 5 BDSG a.F. gestützt und rekurriert auf die Satz 1 und 2 umfassende Befugnisnorm. Der Bescheid wählt daher entgegen dem Vorbringen der Beigeladenen weder eine unzutreffende Rechtsgrundlage noch bedarf es eines Austausches der Rechtsgrundlage oder einer Umdeutung.
§ 38 Abs. 5 Satz 1 und 2 BDSG a.F. verlangt nach seinem Wortlaut ein gestuftes Vorgehen der Aufsichtsbehörden. Er verpflichtet sie, zunächst die Beseitigung datenschutzrechtlicher Verstöße oder Mängel anzuordnen und dies erforderlichenfalls durch die Verhängung eines Zwangsgelds durchzusetzen. Erst wenn diese Instrumente nicht in angemessener Zeit zur Herstellung datenschutzkonformer Zustände führen, kann die Aufsichtsbehörde die Untersagung einer Datenverarbeitung oder eines Datenverarbeitungsverfahrens aussprechen. Damit erweist sich die Normstruktur des § 38 Abs. 5 Satz 1 und 2 BDSG a.F. als eine ausdrückliche Ausprägung des Grundsatzes der Verhältnismäßigkeit. Eben dieser Grundsatz gebietet aber dann eine Ausnahme, wenn die fehlende Eignung einer Anordnung nach Satz 1 zur Herstellung datenschutzkonformer Zustände bereits feststeht (BVerwG, Vorlagebeschluss vom 25. Februar 2016 -1 C 28.14 - Buchholz 403.1 Allg. DatenschutzR Nr. 18 Rn. 22). Das Datenschutzrecht zwingt die Aufsichtsbehörden nicht zu einem objektiv sinn- und zwecklosen Vorgehen.
Allerdings erweist sich die Rechtsauffassung des Berufungsgerichts insoweit als unzutreffend, als es auch die Frage der Adressatenauswahl in die Stufenfolge des § 38 Abs. 5 Satz 1 und 2 BDSG a.F. einbezieht. Die Ermächtigungsgrundlage des § 38 Abs. 5 BDSG a.F. ist zwar adressatenoffen ausgestaltet, sie steuert mit der Vorgabe eines stufenweisen Einschreitens aber nicht die Auswahl zwischen verschiedenen nach dem materiellen Recht Pflichtigen. Weder kann die Aufsichtsbehörde bei einem Vorgehen nach § 38 Abs. 5 Satz 2 BDSG a.F. auf ein erfolgloses Einschreiten nach Satz 1 gegenüber einem Dritten verweisen, noch muss sie, soweit ein gestuftes Vorgehen ausnahmsweise entbehrlich ist, zunächst gegenüber anderen oder gar sämtlichen Normadressaten Maßnahmen nach § 38 Abs. 5 Satz 1 BDSG a.F. ergreifen. Die ermessensgerechte Adressatenauswahl ist vielmehr der Frage, welche Maßnahme nach der Stufenfolge des § 38 Abs. 5 BDSG a.F. angeordnet werden kann, vorgelagert.
2. Mit dem revisiblen Recht im Sinne des § 137 Abs. 1 Nr. 1 VwGO nicht im Einklang steht die Auslegung des Begriffs der verantwortlichen Stelle im Sinne von § 3 Abs. 7 BDSG a.F. durch das Berufungsgericht. Er ist unionsrechtskonform dahingehend zu verstehen, dass er auch Stellen erfasst, die anderen die Gelegenheit der Datenverarbeitung einräumen, ohne selbst damit befasst zu sein.
a. Der EuGH hat in seinem in der vorliegenden Sache ergangenen Urteil vom 5. Juni 2018 - C-210/16 - JZ 2018, 1154 Rn. 44 rechtskräftig festgestellt, dass der Begriff des für die Verarbeitung Verantwortlichen in Art. 2 Buchst. d der Datenschutzrichtlinie den Betreiber einer bei einem sozialen Netzwerk unterhaltenen Fanpage umfasst. Im Lichte des Ziels der Datenschutzrichtlinie, ein hohes Niveau des Schutzes der Grundfreiheiten und Grundrechte natürlicher Personen, insbesondere ihrer Privatsphäre, bei der Verarbeitung personenbezogener Daten zu gewährleisten, ist der Begriff des für die Verarbeitung Verantwortlichen in Art. 2 Buchst. d der Datenschutzrichtlinie weit definiert als natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 27). Der EuGH stützt sich maßgeblich auf die Erwägung, dass der Betreiber einer auf Facebook unterhaltenen Fanpage mit der Einrichtung einer solchen Seite Facebook die Möglichkeit gibt, auf dem Computer oder jedem anderen Gerät der Person, die seine Fanpage besucht hat, Cookies zu platzieren, unabhängig davon, ob diese Person über ein Facebook-Konto verfügt (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 35). Damit leistet der Betreiber einen maßgeblichen Beitrag zur Verarbeitung personenbezogener Daten der Besucher der Fanpage (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 36). Hinzu kommt, dass die von Facebook aus den Daten erstellten anonymen Besucherstatistiken dem Betreiber ganz allgemein ermöglichen, sein Informationsangebot so zielgerichtet wie möglich zu gestalten (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 37). Für die Bejahung einer datenschutzrechtlichen Verantwortlichkeit ist nicht erforderlich, dass bei einer gemeinsamen Verantwortlichkeit mehrerer Betreiber für dieselbe Verarbeitung jeder Zugang zu den betreffenden personenbezogenen Daten hat (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 38). Daher ist der Betreiber einer Fanpage an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt und ein für diese Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Datenschutzrichtlinie (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 39). Der Umstand, dass ein Betreiber einer Fanpage die von Facebook eingerichtete Plattform nutzt, um die dazugehörigen Dienstleistungen in Anspruch zu nehmen, kann diesen nicht von der Beachtung seiner Verpflichtungen im Bereich des Schutzes personenbezogener Daten befreien (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 40).
Eine erneute Vorlage an den EuGH wegen der Reichweite der datenschutzrechtlichen Verantwortlichkeit kommt nicht in Betracht. Denn das Bundesverwaltungsgericht ist als vorlegendes Gericht bei der Entscheidung des Rechtsstreits an die Auslegung des Unionsrechts durch den EuGH im Vorabentscheidungsverfahren gebunden (stRpsr vgl. EuGH, Beschluss vom 5. März 1986 - C-69/85, Wünsche - Rn. 13). Weder das Bundesverwaltungsgericht noch das Oberverwaltungsgericht als weitere zur Entscheidung berufene Gerichte des Instanzenzugs sind befugt, von der Antwort der entschiedenen Frage in ihren Entscheidungen abzuweichen (Rennert, in: Eyermann, VwGO, 15. Aufl. 2019, § 94 Rn. 27; Ehricke, in: Streinz, EUV/AEUV, 3. Aufl. 2018, Art. 267 AEUV Rn. 68). Das Vorbringen der Beigeladenen, das Urteil des EuGH beruhe auf einem unzutreffenden Sachverhalt, ist schon aus diesem Grund unerheblich. Auch das Vorbringen der Klägerin im Nachgang zum Urteil des EuGH vom 29. Juli 2019 - C-40/17, Fashion ID -, es müsse eine isolierte Betrachtung der Verantwortlichkeit für nachgelagerte Verarbeitungsschritte stattfinden, ist mit der dargestellten Rechtsprechung des EuGH nicht in Einklang zu bringen.
b. Aufgrund des Anwendungsvorrangs des Unionsrechts ist der Begriff der verantwortlichen Stelle im Sinne von § 3 Abs. 7 BDSG a.F. unionsrechtskonform entsprechend der Vorgabe des Art. 2 Buchst. d der Datenschutzrichtlinie auszulegen (BVerwG, Vorlagebeschluss vom 25. Februar 2016 - 1C 28.14 - Buchholz 403.1 Allg. DatenschutzR Nr. 18 Rn. 27; vgl. zur Notwendigkeit einer europarechtskonformen Auslegung auch Petri, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 1. Aufl. 2019, Art. 4 Nr. 7 Rn. 20; Hartung, in: Kühling/Buchner, DSGVO/BSDG, 2. Aufl. 2018, DSGVO Art. 4 Nr. 7 Rn. 3). Die Klägerin ist daher als Betreiberin ihrer bei Facebook unterhaltenen Fanpage verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG a.F. und damit mögliche Adressatin einer auf § 38 Abs. 5 BDSG a.F. gestützten Anordnung. Die personale Reichweite der Eingriffsbefugnis folgt hier der materiellrechtlichen Pflichtigkeit (BVerwG, Vorlagebeschluss vom 25. Februar 2016 - 1 C 28.14 - a.a.O. Rn. 22).
3. Das Berufungsurteil kann auch nicht deshalb Bestand haben, weil es sich aus anderen Gründen als richtig erweist (§ 144 Abs. 4 VwGO). Der Beklagte hat auf die beanstandeten Datenverarbeitungsvorgänge durch Facebook zu Recht deutsches Datenschutzrecht, insbesondere die § 13 Abs. 1 Satz 1, § 15 Abs. 3 Satz 1 und 2 des Telemediengesetzes (TMG) in der Fassung des Art. 1 des Gesetzes zur Vereinheitlichung von Vorschriften über bestimmte elektronische Informationsund Kommunikationsdienste vom 26. Februar 2007 (BGBl. I S. 179), für den hier maßgeblichen Zeitraum zuletzt geändert durch das Erste Gesetz zur Änderung des Telemediengesetzes vom 31. Mai 2010 (BGBl. I S. 692) - TMG a.F. - angewandt.
a. Nach Art. 4 Abs. 1 Buchst. a Satz 1 Datenschutzrichtlinie wendet jeder Mitgliedstaat die zur Umsetzung dieser Richtlinie erlassenen Vorschriften auf alle Datenverarbeitungen an, die im Rahmen der Tätigkeit einer Niederlassung ausgeführt werden, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet des Mitgliedstaats besitzt. Damit müssen zwei Voraussetzungen vorliegen, damit das Datenschutzrecht eines Mitgliedstaats der Europäischen Union auf eine Verarbeitung (Erhebung und Nutzung) personenbezogener Daten Anwendung findet: Erstens muss ein Verantwortlicher für die Datenverarbeitung eine Niederlassung in diesem Mitgliedstaat haben. Zweitens muss die Tätigkeit dieser Niederlassung in Verbindung mit der Datenverarbeitung stehen. Diese Verbindung setzt nicht voraus, dass die Niederlassung selbst in den Vorgang der Datenverarbeitung einbezogen ist. Vielmehr hält der EuGH unter Verweis auf die Gewährleistung eines möglichst hohen Niveaus des Datenschutzes jeden Bezug ihrer Tätigkeit zur Datenverarbeitung für ausreichend (EuGH, Urteil vom 5. Juni 2018 - C-210/16 - JZ 2018,1154 Rn. 56 ff.). Der EuGH stellt darauf ab, ob die Tätigkeit der Niederlassung und die Datenverarbeitung Bestandteile eines Vorgangs sind, der wirtschaftlich einheitlich zu betrachten ist.
b. Für die vorliegend streitigen Datenverarbeitungen sind nach den bindenden Vorgaben des EuGH im Vorabentscheidungsverfahren (EuGH, Urteil vom 5. Juni 2018 - C-210/16 - JZ 2018, 1154 Rn. 54 - 62) beide Voraussetzungen des Art. 4 Abs. 1 Buchst. a der Datenschutzrichtlinie erfüllt. Die amerikanische Muttergesellschaft Facebook Inc. als gemeinsam mit der Beigeladenen für die Verarbeitung im Rahmen des Sozialen Netzwerks Facebook Verantwortliche unterhält in Irland mit der Beigeladenen und in Deutschland mit der Facebook Germany GmbH dauerhafte Niederlassungen, die effektiv und tatsächlich Tätigkeiten ausüben (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 55). Die beanstandeten Datenverarbeitungen sind auch als im Rahmen der Tätigkeit der Facebook Germany GmbH ausgeführt anzusehen, weil diese die Aufgabe hat, den Verkauf der Werbeflächen zu fördern, mit denen die von Facebook angebotenen Dienstleistungen rentabel gemacht werden sollen (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 60). Auf die bei Aufruf der Fanpage durch Facebook vorgenommenen Datenverarbeitungen ist daher materielles deutsches Datenschutzrecht anzuwenden (EuGH, Urteil vom 5. Juni 2018 a.a.O. Rn. 61).
c. Zu dem danach anwendbaren Recht zählen auch die vom Beklagten herangezogenen Vorschriften des Telemediengesetzes. Nach § 3 Abs. 3 Nr. 4 TMG a.F. bestimmt sich die Anwendbarkeit des für den Schutz personenbezogener Daten geltenden Rechts nicht nach dem für Dienstanbieter in § 3 Abs. 1 und 2 TMG a.F. geregelten Herkunftslandprinzip, sondern nach den allgemeinen Kollisionsvorschriften der Datenschutzrichtlinie und des Bundesdatenschutzgesetzes a.F. (Moos, in: Taeger/Gabel, BDSG, 2. Aufl. 2013, Einführung zum TMG Rn. 11; Jotzo, MMR 2009, 232 <234>). Daher kommen vorliegend für die streitgegenständlichen Verarbeitungsvorgänge gemäß § 1 Abs. 5 BDSG a.F., Art. 4 Abs. 1 Buchst. a Satz 2 Datenschutzrichtlinie die §§ 11 ff. TMG a.F. zur Anwendung.
4. Für den Fall, dass eine mit schwerwiegenden Mängeln behaftete datenschutzrechtswidrige Erhebung und Verarbeitung der Nutzerdaten vorliegt, ist die Ausübung des Ermessens im Rahmen des § 38 Abs. 5 BDSG a.F. durch den Beklagten nicht zu beanstanden (§ 114 Satz 1 VwGO).
a. Für die Ausübung aufsichtlicher Eingriffsbefugnisse nach § 38 Abs. 5 BDSG a.F. bedarf es im Falle mehrerer datenschutzrechtlich Verantwortlicher einer Ermessensausübung im Hinblick auf die Auswahl des Adressaten. Aus der Datenschutzrichtlinie ergibt sich nichts Abweichendes: Die nationalen Kontrollstellen haben ihre Befugnisse aus § 38 Abs. 5 BDSG a.F. ungeachtet der europarechtlichen Verankerung in Art. 28 Abs. 3 der Datenschutzrichtlinie unter Wahrung der nach dem für sie maßgeblichen nationalen Verwaltungsverfahrensrecht und der dortigen Vorgaben zum Ermessen auszuüben. Dabei haben sie ihr nationales Recht im Einklang mit der Datenschutzrichtlinie auszulegen und darauf zu achten, dass sie sich nicht auf eine Auslegung dieser Richtlinie stützen, die mit den durch die Gemeinschaftsrechtsordnung geschützten Grundrechten oder den anderen allgemeinen Grundsätzen des Gemeinschaftsrechts, wie dem Grundsatz der Verhältnismäßigkeit, kollidiert (EuGH, Urteil vom 6. November 2003 - C-101/01, Lindqvist - Rn. 87). Stehen einer nationalen Kontrollbehörde infolge einer gemeinsamen Verantwortlichkeit mehrere potentielle Adressaten für eine Abhilfemaßnahme zur Verfügung, so ist unter Beachtung des Grundsatzes der Verhältnismäßigkeit eine Ermessensentscheidung erforderlich, wenn bereits die Inanspruchnahme nur eines Adressaten den Anlass für das Einschreiten beseitigen könnte (Schreiber, ZD 2019, 55 <59> m.w.N.). Auch § 38 Abs. 5 BDSG a.F. selbst bietet keinen Ansatz dafür, dass diese Befugnisnorm im Rahmen der Ermessensausübung einen Rückgriff auf die allgemeinen Grundsätze der Störerauswahl ausschließen würde.
b. Der Beklagte hat sein Ermessen bei der Auswahl der Klägerin als Adressatin des Bescheids ungeachtet der Frage, ob auch ein Vorgehen gegen Unternehmen des Facebook-Konzerns rechtlich möglich gewesen wäre, rechtmäßig ausgeübt. Er hat vor Erlass des Bescheids mit Facebook erfolglos Gespräche darüber geführt, welche technischen Vorkehrungen für einen datenschutzkonformen Betrieb einer Fanpage in Betracht kämen (vgl. S. 4 des angefochtenen Bescheids). Daher hat er ein Vorgehen gegen Facebook tatsächlich in Erwägung gezogen, dann aber einer Inanspruchnahme der Klägerin aus sachlichen Gründen den Vorzug gegeben. Für die Auswahl unter mehreren datenschutzrechtlich Verantwortlichen erweist sich der das Gefahrenabwehrrecht beherrschende Gedanke der Effektivität als legitim. Die Behörde kann sich bei der Auswahl unter mehreren in Betracht kommenden Adressaten von der Erwägung leiten lassen, dass ein rechtswidriger Zustand durch die Inanspruchnahme eines bestimmten Adressaten schneller oder wirksamer beseitigt werden kann (zum allgemeinen Polizeirecht Denninger, in: Lisken/Denninger, Handbuch des Polizeirechts, 6. Aufl. 2018, D. Polizeiaufgaben, Rn. 133; zur Adressatenwahl im Eisenbahnrecht: BVerwG, Urteil vom 9. September 2015 - 6 C 28.14 - BVerwGE 153, 1 Rn. 32; im Umweltrecht: Sparwasser/Heilshorn, in: Landmann/Rohmer, Umweltrecht, Band III, Stand Februar 2019, § 14 BImSchG Rn. 45).
Auch im Bereich des Datenschutzes kann es das Gebot einer effektiven und wirkungsvollen Gefahrenabwehr rechtfertigen, denjenigen Verantwortlichen heranzuziehen, dessen Pflichtigkeit sich ohne weiteres bejahen lässt und dem effektive Mittel zum Abstellen des Verstoßes zur Verfügung stehen. Daher war der Beklagte vor dem Hintergrund der im Zeitpunkt der Widerspruchsentscheidung fehlenden Kooperationsbereitschaft der Beigeladenen, den unklaren Binnenstrukturen der Facebook-Unternehmensgruppe, der damit verknüpften Frage, welches nationale Datenschutzrecht für die Beigeladene Anwendung findet und welche Möglichkeiten für die Durchsetzung eines solchen Bescheids bestehen, aus Gründen der Effektivität nicht gehalten, vor einer Inanspruchnahme der Klägerin seine rechtlichen und tatsächlichen Möglichkeiten eines Vorgehens gegen ein Unternehmen der Facebook-Unternehmensfamilie umfassend zu klären. Vielmehr war die Deaktivierungsanordnung gegenüber der Klägerin auch geeignet, die Beigeladene über den Einzelfall der Klägerin hinaus unter Zugzwang zu setzen. Hat diese Maßnahme Bestand, so wird sich Facebook um eine datenschutzrechtskonforme Lösung bemühen müssen, um sein Geschäftsmodell in Deutschland weiterverfolgen zu können. Daher erweist sich die Anordnung gegen die Klägerin als effektives Mittel, um das vom EuGH im Urteil vom 5. Juni 2018 - C-210/16 - (JZ 2018, 1154 Rn. 26) herausgestellte Ziel, ein hohes Niveau des Schutzes der Grundfreiheiten und Grundrechte natürlicher Personen, insbesondere ihrer Privatsphäre bei der Verarbeitung personenbezogener Daten, zu gewährleisten.
c. Die gegenüber der Klägerin angeordnete Deaktivierung ihrer Fanpage erweist sich auch im Übrigen als ermessensfehlerfrei. Da die Klägerin als datenschutzrechtlich Verantwortliche bei Vorliegen der beanstandeten Verstöße einen rechtskonformen Betrieb ihrer Fanpage nach den bindenden Feststellungen des Berufungsurteils mangels vertraglicher oder technischer Einwirkungsmöglichkeiten nicht bewirken kann, war die Anordnung der Deaktivierung ein geeignetes Mittel zur Unterbindung der potentiellen Datenschutzrechtsverstöße. Ein milderes Mittel stand dem Beklagten gegenüber der Klägerin nicht zur Verfügung. Auch der Umstand, dass das Deaktivierungsgebot der Klägerin derzeit die Möglichkeit nimmt, sich in dem von ihr für ihre geschäftliche Tätigkeit als besonders wichtig erachteten sozialen Netzwerk Facebook zu präsentieren, zwang den Beklagten nicht zu einem Verzicht auf ein effektives Einschreiten, wenn die Klägerin dieses Angebot nur unter Inkaufnahme schwerwiegender datenschutzrechtlicher Mängel betreiben kann.
d. Ebenso wenig lässt sich ein Ermessensfehler aus dem Umstand herleiten, dass die Daten der Nutzer auch auf einer Vielzahl weiterer Facebook-Fanpages in gleicher Weise verarbeitet werden und daher die Abschaltung der klägerischen Fanpage massenhafte Datenschutzrechtsverstöße an anderer Stelle nicht verhindern kann. Verstöße Dritter gegen datenschutzrechtliche Bestimmungen lassen die Verantwortlichkeit der Klägerin für ihr eigenes Angebot unberührt.
Art. 3 Abs. 1 GG gewährt keinen Anspruch auf Gleichbehandlung im Unrecht. Der Beklagte war im Lichte des Art. 3 Abs. 1 GG auch nicht gehalten, vor einer Inanspruchnahme der Klägerin ein Konzept für ein flächendeckendes Vorgehen gegen Fanpage-Betreiber in seiner Zuständigkeit zu erstellen. Zwar beschränkt der Gleichheitssatz als gesetzliche Ermessensgrenze die Handlungsmöglichkeiten der Verwaltung und gebietet der Behörde, in vergleichbaren Fällen in der gleichen Art und Weise zu verfahren (BVerwG, Urteil vom 26. Oktober 2017 - 8 C 18.16 - BVerwGE 160, 193 Rn. 21 m.w.N.). Das bedeutet bei einer Vielzahl von Verstößen aber nicht, dass sie gleichzeitig tätig werden muss. Bei Vorliegen sachlicher Gründe kann sie sich auch darauf beschränken, zunächst einen Einzelfall herauszugreifen und die Verhältnisse nach und nach zu bereinigen (stRspr, vgl. BVerwG, Beschluss vom 22. April 1995 - 4 B 55.95 - BRS 57 Nr. 248 S. 595). Dafür, dass die von dem Beklagten für die Auswahl der in Anspruch genommenen Fanpage-Betreiber angeführten Gründe willkürlich waren, ist vorliegend nichts ersichtlich.
5. Der Senat kann in der Sache nicht selbst abschließend entscheiden. Das Oberverwaltungsgericht hat von seinem rechtlichen Standpunkt aus folgerichtig keine tatsächlichen Feststellungen zu den bei Aufruf der Fanpage der Klägerin tatsächlich ablaufenden Datenverarbeitungsvorgängen und einer etwaigen Unterrichtung der Nutzer getroffen. Die Sache ist daher zur anderweitigen Verhandlung und Entscheidung an das Oberverwaltungsgericht zurückzuverweisen (§ 144 Abs. 3 Satz 1 Nr. 2 VwGO).
Das Oberverwaltungsgericht wird zu prüfen haben, welche Datenerhebungen bei Aufruf der Fanpage im für die Entscheidung maßgeblichen Zeitpunkt stattfanden. Soweit sich aus der Verwendung der von Facebook gesetzten Cookies eine Verarbeitung personenbezogener Daten ergab, wird das Gericht zwischen den Fallgruppen der Facebook-Mitglieder und der nicht bei Facebook registrierten Internetnutzer zu unterscheiden haben. Die Verarbeitung personenbezogener Daten wäre nur dann rechtmäßig, wenn bei der erstgenannten Gruppe eine wirksame Einwilligung in die Erhebung und nachfolgende Verarbeitung vorlag und bei der letztgenannten Gruppe für die Erhebung personenbezogener Daten eine Rechtsgrundlage bestand und eine möglicherweise erforderliche Unterrichtung erfolgte."
SG Frankfurt (Oder)
Gerichtsbescheid vom 08.05.2019 S 49 SF 8/19
Das SG Frankfurt (Oder) hat entschieden, dass ein Betroffener mangels Anspruchsgrundlage in der DSGVO gegen die zuständige Datenschutzbehörde keinen Anspruch auf Vornahme bestimmter Maßnahmen bei einem Verstoß gegen die Vorgaben der DSGVO hat. Art. 77 DSGVO sieht lediglich ein Beschwerderecht vor.
Aus den Entscheidungsgründen:
"Die Kammer durfte ohne mündliche Verhandlung durch Gerichtsbescheid gemäß § 105 SGG entscheiden, weil die Sache keine besonderen Schwierigkeiten tatsächlicher oder rechtlicher Art aufweist und der Sachverhalt geklärt ist. Die Beteiligten hatten Gelegenheit, sich zu dieser Entscheidungsform zu äußern.
Die Klage ist bereits unzulässig, denn für das Begehren der Kläger fehlt es ungeachtet der Frage, ob hierfür das Sozialgericht funktional zuständig ist, an jedweder Anspruchsgrundlage.
Weder aus den Vorschriften des Sozialrechts (§§ 25, 83 SGB X) noch insbesondere aus der Datenschutz-Grundverordnung ist ein individueller Anspruch eines Bürgers gegen den Beklagten auf die Vornahme einer bestimmten Maßnahme herleitbar.
Zwar besteht aus Art 78 Absatz 2 DSGVO ein Klagerecht dem Grunde nach. Im Falle einer Beschwerde bei dem Beklagten nach § 77 DSGVO ist der Klagegrund indes beschränkt darauf, dass der Beklagte länger als drei Monate untätig geblieben sei mit der Mitteilung über das Ergebnis der Beschwerde. Dies ist hier jedoch weder Klagegegenstand, noch liegt oder lag eine dahingehende Untätigkeit vor.
Nach Art. 77 Abs. 1 DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn diese der Ansicht ist, dass die Verarbeitung der sie betreffenden Daten gegen die DSGVO verstößt. Der Beklagte ist aufgrund dieser Vorschrift alleine verpflichtet, sich mit einer Beschwerde zu befassen, soweit sie nicht offensichtlich unbegründet oder exzessiv ist und den Gegenstand der Beschwerde zu untersuchen und den Beschwerdeführer über den Fortgang und das Ergebnis der Untersuchung zu unterrichten. Eine weitergehende Verpflichtung besteht grundsätzlich nicht. In der Rechtsprechung wird daher das Beschwerderecht nach Art 77 DSGVO als Petitionsrecht verstanden, vgl. Beschluss des VG Berlin vom 28.01.2019, Az: VG 1 L 1.19.
Diesem Anspruch ist der Beklagte vollumfänglich nachgekommen. Eine Verurteilung zu einer aufsichtsrechtlichen Maßnahme gegen das Jobcenter kann das Gericht den Beklagten nicht verurteilen. Dies ist aus der DSGVO nicht herleitbar.
Auf das weitere Vorbringen der Kläger kommt es daher nicht an.
Ermutigend und ernüchternd: Studie zum Datenschutz bei Onlinediensten
Wissenschaftler der Universität Göttingen haben für das Bundesministerium der Justiz und für Verbraucherschutz untersucht, wie 35 große Onlinedienste die Datenschutz-Grundverordnung (DSGVO) umsetzen. Zu den untersuchten Portalen zählen etwa Amazon, Google, WhatsApp, Zalando und Otto. Ein Schwerpunkt liegt auf den Verbraucherrechten der DSGVO, insbesondere der Einwilligung der Nutzer, Transparenz und Information.
Zu den Ergebnissen äußert sich Verbraucherschutz-Staatssekretär Gerd Billen:
„Die Ergebnisse sind ermutigend und ernüchternd zugleich. Ermutigend ist: Die Datenschutz-Grundverordnung hat praktische Verbesserungen für Verbraucherinnen und Verbraucher gebracht. Bessere Information, mehr Transparenz und Wahlfreiheit lassen sich gut umsetzen. Die Studie zeigt Beispiele, wie Vorgaben der DSGVO praktikabel erfüllt werden können. Der Nebel lichtet sich.
Ernüchternd ist: Nicht ansatzweise alle Dienste haben die DSGVO umgesetzt, und dies schon gar nicht vollständig. Während einige untersuchte Onlineshops bereits viel getan haben, gibt es vor allem bei sozialen Netzwerken und Messengern weiter eklatante Mängel. Die größten Probleme gibt es weiter bei personalisierter Werbung.
Nachlässig ist oft der Umgang mit den Daten, die eigentlich besonders zu schützen sind: sensible Informationen zur Herkunft, zur Gesundheit oder zu politischen Ansichten. Hier muss dringend nachgearbeitet werden.
Auch die Potenziale der DSGVO lassen sich noch viel besser nutzen: Grundeinstellungen, die von vornherein die Privatsphäre schützen, gibt es immer noch viel zu selten. „Privacy by default“ bedeutet, dass das Häkchen immer schon bei der datenschutzfreundlichen Einstellung gesetzt sein soll. Das sollte Standard werden.“
BVerfG
Beschluss vom 6. November 2019 1 BvR 276/17
Recht auf Vergessen II
Das BVerfG hat entschieden, dass die Meinungsfreiheit der Inhalteanbieter bei der Prüfung eines Unterlassungsanspruchs gegen Suchmaschinenbetreiber zu berücksichtigen ist.
Die Pressemitteilung des Bundesverfassungsgerichts:
Bundesverfassungsgericht prüft innerstaatliche Anwendung unionsrechtlich vollvereinheitlichen Rechts am Maßstab der Unionsgrundrechte - Meinungsfreiheit der Inhalteanbieter ist bei der Prüfung eines Unterlassungsanspruchs gegen Suchmaschinenbetreiber zu berücksichtigen
Dem heute veröffentlichten Beschluss „Recht auf Vergessen II“, der ergänzt wird durch den Beschluss vom selben Tag „Recht auf Vergessen I“ (vergleiche PM Nr. 83/2019), liegt ein Rechtsstreit zugrunde, der eine unionsrechtlich vollständig vereinheitlichte Materie betrifft. Der Erste Senat des Bundesverfassungsgerichts hat deshalb die Charta der Grundrechte der Europäischen Union angewandt und eine Verfassungsbeschwerde gegen ein Urteil des Oberlandesgerichts Celle zurückgewiesen. Dieses hatte eine Klage der Beschwerdeführerin gegen einen Suchmaschinenbetreiber abgewiesen, mit der sie sich dagegen wandte, dass auf Suchabfragen zu ihrem Namen der Link zu einem 2010 in ein Onlinearchiv eingestellten Transkript eines Fernsehbeitrags nachgewiesen wurde, in dem ihr unter namentlicher Nennung ein unfairer Umgang mit einem gekündigten Arbeitnehmer vorgeworfen wurde.
Das Bundesverfassungsgericht hat zunächst festgestellt, dass die anwendbaren Regelungen unionsrechtlich vollständig vereinheitlicht und deshalb die Grundrechte des Grundgesetzes nicht anwendbar sind. Soweit jedoch die Grundrechte des Grundgesetzes durch den Anwendungsvorrang des Unionsrechts verdrängt werden, kontrolliert das Bundesverfassungsgericht dessen Anwendung durch deutsche Stellen am Maßstab der Unionsgrundrechte, so dass keine Schutzlücken entstehen. Es nimmt hierdurch seine Integrationsverantwortung im Rahmen des Art. 23 GG wahr.
In der Sache führt der Senat aus, dass die Grundrechte der Charta wie die des Grundgesetzes nicht nur Schutz im Staat-Bürger-Verhältnis, sondern auch in privatrechtlichen Streitigkeiten gewährleisten und hierbei miteinander in Ausgleich zu bringen sind. Das Oberlandesgericht hat in diesem Sinne die Grundrechtspositionen der Parteien sowie die zu berücksichtigenden Grundrechte Dritter, insbesondere die hierbei beachtliche Meinungsfreiheit des für den Beitrag verantwortlichen Norddeutschen Rundfunks, sachgerecht in die Abwägung eingestellt.
Sachverhalt:
1. Am 21. Januar 2010 strahlte der Norddeutsche Rundfunk einen Beitrag des Fernsehmagazins „Panorama“ mit dem Titel „Kündigung: Die fiesen Tricks der Arbeitgeber“ aus. Gegen Ende dieses Beitrags, für den die Beschwerdeführerin zuvor ein Interview gegeben hatte, wurde der Fall eines gekündigten ehemaligen Mitarbeiters des von ihr als Geschäftsführerin geleiteten Unternehmens dargestellt. In Anknüpfung an die geplante Gründung eines Betriebsrats wurde ihr in dem Beitrag ein unfairer Umgang mit dem Mitarbeiter vorgeworfen.
Der Norddeutsche Rundfunk stellte eine Datei mit einem Transkript dieses Beitrags unter dem Titel „Die fiesen Tricks der Arbeitgeber“ auf seiner Internetseite ein. Bei Eingabe des Namens der Beschwerdeführerin in die Suchmaske des Suchmaschinenbetreibers Google wurde als eines der ersten Suchergebnisse die Verlinkung auf diese Datei angezeigt. Nachdem dieser es abgelehnt hatte, die Nachweise dieser Seite zu unterlassen, erhob die Beschwerdeführerin Klage, die vom Oberlandesgericht abgewiesen wurde. Die Beschwerdeführerin könne weder aus § 35 Abs. 2 Satz 2 BDSG a. F. noch aus § 823 Abs. 1, § 1004 BGB in Verbindung mit Art. 1 Abs. 1, Art. 2 Abs. 1 GG die Entfernung des Links (im Weiteren auch: Auslistung) beanspruchen.
2. Mit ihrer Verfassungsbeschwerde rügt die Beschwerdeführerin eine Verletzung ihres allgemeinen Persönlichkeitsrechts und ihres Grundrechts auf informationelle Selbstbestimmung. Bereits die Überschrift des Suchergebnisses sei verfälschend, da sie niemals „fiese Tricks“ angewandt habe. Das Suchergebnis rufe eine negative Vorstellung über sie als Person hervor, die geeignet sei, sie als Privatperson herabzuwürdigen. Überdies liege der Bericht zeitlich so weit zurück, dass auch in Folge des Zeitablaufs kein berechtigtes öffentliches Interesse mehr an ihm bestehe.
Wesentliche Erwägungen des Senats:
I. Das Verfahren gibt zunächst Anlass, den verfassungsgerichtlichen Prüfungsmaßstab im Kontext des Unionsrechts näher zu bestimmen.
1. Der von der Beschwerdeführerin im Ausgangsverfahren verfolgte Anspruch auf Auslistung richtet sich – sowohl für die damals geltende Datenschutzrichtlinie als auch für die heutige Datenschutz-Grundverordnung – nach Rechtsvorschriften, die unionsrechtlich vollständig vereinheitlicht sind und damit in allen Staaten der Europäischen Union gleichermaßen gelten. Die Frage, welche personenbezogenen Daten eine Suchmaschine auf Suchabfragen nachweisen darf, fällt auch nicht in den Bereich des sogenannten Medienprivilegs, für das den Mitgliedstaaten ein Ausgestaltungsspielraum zusteht (im Unterschied zur Rechtslage in dem Beschluss „Recht auf Vergessen I“ vom selben Tag, PM Nr. 83/2019).
2. Bei der Anwendung unionsrechtlich vollständig vereinheitlichter Regelungen sind grundsätzlich nicht die deutschen Grundrechte, sondern allein die Unionsgrundrechte maßgeblich. Das Unionsrecht hat hier gegenüber den Grundrechten des Grundgesetzes Anwendungsvorrang. Für die Frage, ob vollständig vereinheitlichte Regelungen gegen Grundrechte verstoßen, entspricht das der ständigen Rechtsprechung des Bundesverfassungsgerichts. Nichts anderes gilt für die Frage, ob das vollvereinheitlichte Fachrecht grundrechtskonform angewendet wird.
a) Die Anwendung der Unionsgrundrechte folgt hier aus der Übertragung von Hoheitsbefugnissen auf die Europäische Union. Wenn diese Regelungen schafft, die in allen Mitgliedstaaten gleichermaßen gelten und einheitlich angewendet werden sollen, muss auch der bei der Anwendung dieser Regelungen zu gewährleistende Grundrechtsschutz einheitlich sein. Dem steht eine Heranziehung der jeweiligen mitgliedstaatlichen Grundrechtsstandards von vorneherein entgegen. Denn derzeit kann nicht davon ausgegangen werden, dass diese mitgliedstaatlichen Grundrechtsstandards über das gemeinsame Fundament der Europäischen Menschenrechtskonvention hinaus deckungsgleich sind. In ihnen spiegeln sich vielfältig bedingte tatsächliche Unterschiede in den Mitgliedstaaten wie auch je eigene geschichtliche Erfahrungen. Ebensowenig kann davon ausgegangen werden, dass sich der Grundrechtsschutz der Grundrechtecharta gerade mit demjenigen des Grundgesetzes deckt. Damit ist von einem jeweiligen Eigenstand der unionsrechtlichen und der nationalen Grundrechte auszugehen.
b) Der Anwendungsvorrang des Unionsrechts steht nach ständiger Rechtsprechung des Bundesverfassungsgerichts unter dem Vorbehalt, dass der Grundrechtsschutz durch die Unionsgrundrechte hinreichend wirksam ist. Erforderlich ist deshalb, dass deren Schutz dem vom Grundgesetz jeweils als unabdingbar gebotenen Grundrechtsschutz im Wesentlichen gleich zu achten ist. Nach dem derzeitigen Stand des Unionsrechts – zumal unter Geltung der Charta – ist dies der Fall.
3. Das Bundesverfassungsgericht hat jetzt erstmals entschieden, dass es die Anwendung des Unionsrechts durch deutsche Stellen selbst am Maßstab der Unionsgrundrechte prüft, soweit diese die deutschen Grundrechte verdrängen.
a) In seiner bisherigen Rechtsprechung hat das Bundesverfassungsgericht eine Prüfung am Maßstab der Unionsgrundrechte nicht ausdrücklich in Erwägung gezogen. Soweit es die grundgesetzlichen Grundrechte nicht angewendet hat, hat es vielmehr auf eine Grundrechtsprüfung ganz verzichtet und die Grundrechtskontrolle den Fachgerichten in Kooperation mit dem Europäischen Gerichtshof überlassen. Diese Rechtsprechung bezog sich auf Fallkonstellationen, in denen, mittelbar oder unmittelbar, die Gültigkeit von Unionsrecht – also nicht dessen Anwendung – in Frage stand.
b) Geht es hingegen wie hier um die Frage, ob deutsche Gerichte oder Behörden bei der Anwendung vollvereinheitlichten Unionsrechts den hierbei zu beachtenden Anforderungen der Unionsgrundrechte im Einzelfall genügt haben, kann sich das Bundesverfassungsgericht nicht aus der Grundrechtsprüfung zurückziehen; vielmehr gehört es dann zu seinen Aufgaben, Grundrechtsschutz am Maßstab der Unionsgrundrechte zu gewährleisten. Die in Art. 23 Abs. 1 GG vorgesehene Öffnung des Grundgesetzes für das Unionsrecht meint nicht einen Rückzug der deutschen Staatsgewalt aus der Verantwortung für die der Union übertragenen Materien; vielmehr sieht sie eine Mitwirkung der deutschen Staatsorgane und damit auch des Bundesverfassungsgerichts an deren Entfaltung vor. Durch die Einbeziehung der Unionsgrundrechte als Prüfungsmaßstab nimmt das Bundesverfassungsgericht im Verfahren der Verfassungsbeschwerde daher seine Integrationsverantwortung wahr.
Maßgeblich ist hierfür vor allem, dass nach dem heutigen Stand des Unionsrechts anderenfalls eine Schutzlücke hinsichtlich der fachgerichtlichen Anwendung der Unionsgrundrechte entstünde. Denn eine Möglichkeit Einzelner, die Verletzung von Unionsgrundrechten durch die mitgliedstaatlichen Fachgerichte unmittelbar vor dem Europäischen Gerichtshof geltend zu machen, besteht nicht. Das Unionsrecht kennt anders als das deutsche Recht keine Verfassungsbeschwerde. Diese Schutzlücke wird auch nicht durch die schon bisher ausgeübte Kontrolle des Bundesverfassungsgerichts über die Vorlageverpflichtung der Fachgerichte an den Europäischen Gerichtshof hinreichend geschlossen.
4. Soweit das Bundesverfassungsgericht die Grundrechte der Grundrechtecharta als Prüfungsmaßstab anlegt, übt es seine Kontrolle in enger Kooperation mit dem Europäischen Gerichtshof aus. Denn die Zuständigkeit für die letztverbindliche Auslegung des Unionsrechts und damit auch der Grundrechte der Charta liegt bei diesem. Soweit er deren Auslegung nicht bereits geklärt hat oder die anzuwendenden Auslegungsgrundsätze nicht aus sich heraus offenkundig sind – etwa auf der Grundlage einer Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte –, wird das Bundesverfassungsgericht ihm Fragen gemäß Art. 267 Abs. 3 AEUV vorlegen. Ob die Fachgerichte, soweit sie im fachgerichtlichen Instanzenzug letztinstanzlich entscheiden, insoweit ebenfalls vorlagepflichtig bleiben, bedurfte keiner Entscheidung.
5. Die Frage, ob die Grundrechte des Grundgesetzes oder der Charta anzuwenden sind, hängt, wie sich aus den beiden heute veröffentlichten Senatsbeschlüssen „Recht auf Vergessen I und II“ ergibt, maßgeblich von einer Unterscheidung zwischen vollständig vereinheitlichtem und gestaltungsoffenem Unionsrecht ab. Dies richtet sich nach einer Auslegung des jeweils anzuwendenden unionsrechtlichen Fachrechts und lässt sich nicht entlang der im deutschen Recht bekannten Abgrenzung zwischen unbestimmten Rechtsbegriffen und Ermessen entscheiden, zwischen denen das Unionsrecht nicht in gleicher Weise unterscheidet wie das deutsche Recht. Es ist vielmehr in Bezug auf die jeweilige Norm des Unionsrechts zu untersuchen, ob sie auf die Ermöglichung von Vielfalt und die Geltendmachung verschiedener Wertungen angelegt ist oder nicht.
6. Obwohl der Erste Senat des Bundesverfassungsgerichts damit erstmals entschieden hat, Verfassungsbeschwerden gegebenenfalls am Kontrollmaßstab der Unionsgrundrechte zu prüfen, bedurfte es keiner Entscheidung des Plenums. Diese ist nach § 16 BVerfGG nur geboten, wenn ein Senat von einer für die Entscheidung tragenden Auffassung des anderen Senats abweichen möchte. Eine solche Abweichung liegt nicht vor, insbesondere nicht von der mit der sogenannten Solange II-Entscheidung des Zweiten Senats begründeten Rechtsprechung beider Senate (vgl. BVerfGE 73, 339 <387>). Deren Gegenstand war allein, ob und wieweit Unions- und vollvereinheitlichtes innerstaatliches Recht am Maßstab des Grundgesetzes zu prüfen sind. Demgegenüber zog diese eine Anwendbarkeit der Unionsgrundrechte – und schon gar der erst im Jahr 2009 verbindlich gewordenen Grundrechtecharta – weder explizit noch implizit in Betracht und traf hierzu weder eine positive noch eine negative Aussage. Nichts anderes ergibt sich aus neueren Entscheidungen des Zweiten Senats.
II. In der Sache war die Verfassungsbeschwerde zulässig, hatte aber keinen Erfolg.
1. Die Beschwerdeführerin ist beschwerdebefugt, da sie sich auf die Unionsgrundrechte berufen kann. Indem sie sich auf eine Verletzung ihres Rechts auf Entfaltung ihrer Persönlichkeit stützt, rügt sie der Sache nach eine Verletzung ihrer Grundrechte auf Achtung des Privat- und Familienlebens und auf Schutz personenbezogener Daten nach Art. 7 und Art. 8 GRCh. Dass sie insoweit die Grundrechte des Grundgesetzes und nicht die Grundrechte der Charta nennt, ist unschädlich. Wird nur die falsche Norm benannt, aber in der Sache substantiiert vorgetragen, wird hierdurch die Verfassungsbeschwerde nicht unzulässig.
2. Die Verfassungsbeschwerde war aber unbegründet.
Wie bei der Heranziehung der Grundrechte des Grundgesetzes prüft das Bundesverfassungsgericht nicht die richtige Anwendung des einfachen Rechts (hier also die damals geltende Datenschutzrichtlinie und das Bundesdatenschutzgesetz), sondern allein, ob die Fachgerichte den Unionsgrundrechten hinreichend Rechnung getragen und zwischen ihnen im Rahmen der gebotenen Abwägung einen vertretbaren Ausgleich gefunden haben. Das hat das Bundesverfassungsgericht bejaht.
a) Wie die Grundrechte des Grundgesetzes gewährleisten auch die Grundrechte der Charta nicht nur Schutz im Staat-Bürger-Verhältnis, sondern auch in privatrechtlichen Streitigkeiten. Auf Seiten der Beschwerdeführerin sind in die Abwägung die Grundrechte auf Achtung des Privat- und Familienlebens aus Art. 7 GRCh und auf Schutz personenbezogener Daten aus Art. 8 GRCh einzustellen. Eine Entsprechung haben diese Garantien in Art. 8 EMRK.
b) Auf Seiten des beklagten Suchmaschinenbetreibers ist sein Recht auf unternehmerische Freiheit aus Art. 16 GRCh einzustellen, während er sich für die Verbreitung von Suchnachweisen nicht auf die Meinungsfreiheit aus Art. 11 GRCh berufen kann. Einzustellen sind jedoch die von einem solchen Rechtsstreit unmittelbar betroffenen Grundrechte Dritter und damit vorliegend – neben den Informationsinteressen der Nutzer – die Meinungsfreiheit des Norddeutschen Rundfunks. Da es darum geht, ob dem Suchmaschinenbetreiber verboten werden kann, die von einem Dritten, hier dem Norddeutschen Rundfunk, bereitgestellten Beiträge zu verbreiten, kann in einem solchen Verbot zugleich eine eigenständige Einschränkung der Meinungsfreiheit des Dritten liegen. Denn diesem wird dadurch ein bereitstehender Dienstleister genommen und so in Teilen zugleich ein wichtiges Medium für die Verbreitung seiner Berichte. Dies ist nicht ein bloßer Reflex einer Anordnung gegenüber dem Suchmaschinenbetreiber. Vielmehr knüpft die Entscheidung unmittelbar an die Äußerung und an den Gebrauch der Meinungsfreiheit an, da es gezielt darum geht, die Verbreitung des Beitrags wegen seines Inhalts zu beschränken.
c) Grundlage der Abwägung ist die Tätigkeit des Suchmaschinenbetreibers, die hinsichtlich der damit verbundenen Grundrechtseinschränkungen eigenständig zu beurteilen ist. Die Frage, ob er rechtmäßig gehandelt hat, ist nicht identisch mit der Frage, ob die Veröffentlichung des Beitrags durch den Dritten rechtmäßig war, auch wenn es insoweit Wechselwirkungen geben kann. Damit ist ein Vorgehen gegenüber dem Suchmaschinenbetreiber auch nicht subsidiär zu einem solchen gegenüber dem Dritten als Inhalteanbieter.
d) Nach der Entscheidung des Bundesverfassungsgerichts ist zwar im Rahmen der Abwägung das Gewicht allein der wirtschaftlichen Interessen des Suchmaschinenbetreibers grundsätzlich nicht hinreichend schwer, um den Schutzanspruch Betroffener zu beschränken. Allerdings können das Informationsinteresse der Öffentlichkeit sowie vor allem einzubeziehende Grundrechte Dritter größeres Gewicht haben. Vorliegend ist die Meinungsfreiheit des durch die Entscheidung belasteten, insoweit grundrechtsberechtigten Norddeutschen Rundfunks als unmittelbar mitbetroffenes Grundrecht in die Abwägung einzubeziehen. Daher gilt hier – anders als in einigen Entscheidungen des Europäischen Gerichtshofs, die insoweit andere Konstellationen betrafen – keine Vermutung eines Vorrangs des Schutzes des Persönlichkeitsrechts; vielmehr sind die sich gegenüberstehenden Grundrechte gleichberechtigt miteinander abzuwägen. Denn ebensowenig wie Einzelne gegenüber den Medien einseitig darüber bestimmen können, welche Informationen im Rahmen der öffentlichen Kommunikation über sie verbreitet werden, haben sie eine solche Bestimmungsmacht gegenüber den Suchmaschinenbetreibern.
e) Bei der Abwägung kommt es für die Gewichtung der Grundrechtseinschränkung der Betroffenen maßgeblich darauf an, wieweit sie durch die Verbreitung des streitbefangenen Beitrags, insbesondere auch unter Berücksichtigung der Möglichkeit namensbezogener Suchabfragen, in ihrer Persönlichkeitsentfaltung beeinträchtigt werden. Hierfür reicht nicht eine Würdigung der Berichterstattung in ihrem ursprünglichen Kontext; vielmehr ist auch die leichte und fortdauernde Zugänglichkeit der Informationen durch die Suchmaschine zu berücksichtigen. Dabei ist insbesondere auch der Bedeutung der Zeit zwischen der ursprünglichen Veröffentlichung und deren späterem Nachweis Rechnung zu tragen, wie es nach der aktuellen Rechtslage auch in Art. 17 DSGVO nach dem Leitgedanken eines „Rechts auf Vergessenwerden“ normiert ist.
f) Nach diesen Maßstäben ist die angegriffene Entscheidung im Ergebnis nicht zu beanstanden. Das Oberlandesgericht stellt sowohl den Schutz des Persönlichkeitsrechts auf Seiten der Beschwerdeführerin als auch die unternehmerische Freiheit des Suchmaschinenbetreibers in die Abwägung ein, letztere zu Recht in Verbindung mit der Meinungsfreiheit des Norddeutschen Rundfunks sowie dem Zugangsinteresse der Internetnutzer. Die Abwägung des Oberlandesgerichts hält sich im fachgerichtlichen Wertungsrahmen.
Zu kurz greift es allerdings, wenn es dabei die Beschwerdeführerin nur als in ihrer Sozialsphäre betroffen ansieht. Die Auffindbarkeit und Zusammenführung von Informationen mittels namensbezogener Suchabfragen führt heute dazu, dass für deren Auswirkungen zwischen Privat- und Sozialsphäre kaum mehr zu unterscheiden ist. Als Kriterium für die Gewichtung des Gegenstands des Beitrags, nicht der Auswirkungen auf die Betroffenen, behält diese Unterscheidung aber ihre Aussagekraft. Tragfähig legt das Oberlandesgericht diesbezüglich dar, dass sich der Beitrag auf ein in die Gesellschaft hineinwirkendes berufliches Verhalten der Beschwerdeführerin, nicht aber allein auf ihr Privatleben bezieht und in Hinblick hierauf durch ein noch fortdauerndes, wenn auch mit der Zeit abnehmendes öffentliches Informationsinteresse gerechtfertigt ist. Diesbezüglich muss die Beschwerdeführerin belastende Wirkungen – auch in ihrem privaten Umfeld – weitergehend hinnehmen als gegenüber Beiträgen über ihr privates Verhalten.
Ergänzend konnte das Oberlandesgericht auch darauf abstellen, dass die Beschwerdeführerin zu dem Interview, das Gegenstand des streitigen Beitrags war, ihre Zustimmung gegeben hatte. Zu Recht beurteilt die angegriffene Entscheidung den Bericht und den hierauf verweisenden Link auch nicht als Schmähung, da es nicht ohne Sachbezug allein um die Verunglimpfung der Person geht.
Das Oberlandesgericht hat auch den Zeitfaktor in seine Abwägung eingestellt und geprüft, ob die Weiterverbreitung des Beitrags unter Namensnennung angesichts der inzwischen verstrichenen Zeit, die sowohl das Gewicht des öffentlichen Interesses als auch das der Grundrechtsbeeinträchtigung modifizieren kann (vergleiche dazu entsprechend den Beschluss vom selben Tag, PM Nr. 83/2019), noch gerechtfertigt ist. Letztlich sieht es einen Anspruch auf Auslistung im vorliegenden Fall mit verfassungsrechtlich nicht zu beanstandender Begründung als jedenfalls zum gegenwärtigen Zeitpunkt noch nicht gegeben an. Dies trägt den Garantien der Grundrechtecharta hinreichend Rechnung und lässt eine grundsätzlich unrichtige Anschauung von Bedeutung und Tragweite der berührten Unionsgrundrechte nicht erkennen.
III. Eine Vorlage an den Europäischen Gerichtshof nach Art. 267 Abs. 3 AEUV ist nicht geboten. Die Anwendung der Unionsgrundrechte auf den vorliegenden Fall wirft keine Auslegungsfragen auf, die nicht schon aus sich heraus klar oder durch die Rechtsprechung des Europäischen Gerichtshofs – unter ergänzender Berücksichtigung der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (vgl. Art. 52 Abs. 3 GRCh) – hinreichend geklärt sind.
Die Leitsätze des Bundesverfassungsgerichts:
1. Soweit die Grundrechte des Grundgesetzes durch den Anwendungsvorrang des Unionsrechts verdrängt werden, kontrolliert das Bundesverfassungsgericht dessen Anwendung durch deutsche Stellen am Maßstab der Unionsgrundrechte. Das Gericht nimmt hierdurch seine Integrationsverantwortung nach Art. 23 Abs. 1 GG wahr.
2. Bei der Anwendung unionsrechtlich vollständig vereinheitlichter Regelungen sind nach dem Grundsatz des Anwendungsvorrangs des Unionsrechts in aller Regel nicht die Grundrechte des Grundgesetzes, sondern allein die Unionsgrundrechte maßgeblich. Der Anwendungsvorrang steht unter anderem unter dem Vorbehalt, dass der Schutz des jeweiligen Grundrechts durch die stattdessen zur Anwendung kommenden Grundrechte der Union hinreichend wirksam ist.
Soweit das Bundesverfassungsgericht die Charta der Grundrechte der Europäischen Union als Prüfungsmaßstab anlegt, übt es seine Kontrolle in enger Kooperation mit dem Europäischen Gerichtshof aus. Nach Maßgabe des Art. 267 Abs. 3 AEUV legt es dem Gerichtshof vor.
3. Wie die Grundrechte des Grundgesetzes gewährleisten auch die Grundrechte der Charta nicht nur Schutz im Staat-Bürger-Verhältnis, sondern auch in privatrechtlichen Streitigkeiten. Auf der Basis des maßgeblichen Fachrechts sind daher die Grundrechte der Beteiligten miteinander in Ausgleich zu bringen. Insoweit prüft das Bundesverfassungsgericht – wie bei den Grundrechten des Grundgesetzes – nicht das Fachrecht, sondern allein, ob die Fachgerichte den Grundrechten der Charta hinreichend Rechnung getragen und einen vertretbaren Ausgleich gefunden haben.
4. Soweit Betroffene von einem Suchmaschinenbetreiber verlangen, den Nachweis und die Verlinkung bestimmter Inhalte im Netz zu unterlassen, sind in die danach gebotene Abwägung neben den Persönlichkeitsrechten der Betroffenen (Art. 7 und Art. 8 GRCh) im Rahmen der unternehmerischen Freiheit der Suchmaschinenbetreiber (Art. 16 GRCh) die Grundrechte der jeweiligen Inhalteanbieter sowie die Informationsinteressen der Internetnutzer einzustellen.
5. Soweit das Verbot eines Suchnachweises in Ansehung des konkreten Inhalts der Veröffentlichung ergeht und dem Inhalteanbieter damit ein wichtiges Medium zu dessen Verbreitung entzieht, das ihm anderweitig zur Verfügung stünde, liegt hierin eine Einschränkung seiner Meinungsfreiheit.
Das OLG Naumburg hat entschieden, dass ein Verstoß gegen die Vorgaben der DSGVO wettbewerbswidrig ist und Mitbewerbern ein Unterlassungsanspruch zusteht, wenn die verletzte Norm in der konkreten Fallkonstellation als Marktverhaltensregelung einzuordnen ist. Vorliegend ging es um die Verarbeitung von Gesundheitsdaten beim Verkauf von Medikamenten über Amazon Markteplace. Das Gericht hat einen Wettbewerbsverstoß durch Verletzung von Art. 9 Abs. 1 DSGVO angenommen.
Aus den Entscheidungsgründen:
Dem Kläger steht ein Unterlassungsanspruch gemäß § 8 Abs. 1 S. 1 i.V.m. 3a UWG wegen Verstoßes gegen Art. 9 Abs. 1 DSGVO zu.
I. Der Kläger ist als Mitbewerber aktivlegitimiert (vgl. II.,1.). In der vorliegenden Fallkonstellation sind die Regeln der DSGVO als Marktverhaltensregeln im Sinne des § 3 a UWG anzusehen (vgl. II., 2). Bei den erfassten Daten handelt es sich um Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO (II., 3.). Der Beklagte verarbeitet die von der Handelsplattform erhobenen Daten ohne ausdrückliche Einwilligung im Sinne des Art. 9 Abs. 2 Buchst. a DSGVO (II., 4.).
Berufsrechtliche Verstöße vermag der Senat im vorliegenden Fall nicht festzustellen (vgl. III.). Ein Schadensersatzanspruch oder ein vorgeschalteter Anspruch auf Auskunft scheidet aus, da dem Beklagten kein Verschulden vorzuwerfen ist (IV.).
II.
1. Der Kläger ist aktivlegitimiert. Die Parteien sind Mitbewerber im Sinne des § 8 Abs. 3 Nr. 1 UWG.
aa) Die Eigenschaft als Mitbewerber gemäß § 8 Abs. 3 Nr. 1 UWG erfordert ein konkretes Wettbewerbsverhältnis im Sinne des § 2 Abs. 1 Nr. 3 UWG. Das ist gegeben, wenn beide Parteien gleichartige Waren oder Dienstleistungen innerhalb desselben Endverbraucherkeises abzusetzen versuchen und daher das Wettbewerbsverhalten des einen den anderen beeinträchtigen, das heißt im Absatz behindern oder stören kann (BGH, Urteil vom 13. Juli 2006 - I ZR 241/03, BGHZ 168, 314 Rn. 14 - Kontaktanzeigen; Urteil vom 28. September 2011 - I ZR 92/09, GRUR 2012, 193 = WRP 2012, 201 Rn. 17 - Sportwetten im Internet II).
Da im Interesse eines wirksamen lauterkeitsrechtlichen Individualschutzes grundsätzlich keine hohen Anforderungen an das Vorliegen eines konkreten Wettbewerbsverhältnisses zu stellen sind, reicht es hierfür aus, dass sich der Verletzer durch seine Verletzungshandlung im konkreten Fall in irgendeiner Weise in Wettbewerb zu dem Betroffenen stellt (BGH, Urteil vom 29. November 1984 - I ZR 158/82, BGHZ 93, 96, 97 f. - DIMPLE, mwN; Urteil vom 10. April 2014 – I ZR 43/13, GRUR 2014, 1114 = WRP 2014, 1307 Rn. 32 - nickelfrei; Urteil vom 19. März 2015 - I ZR 94/13, GRUR 2015, 1129 Rn. 19 = WRP 2015, 1326 - Hotelbewertungsportal). Nach der Rechtsprechung des Bundesgerichtshofes ist daher ein konkretes Wettbewerbsverhältnis anzunehmen, wenn zwischen den Vorteilen, die die eine Partei durch eine Maßnahme für ihr Unternehmen oder das eines Dritten zu erreichen sucht, und den Nachteilen, die die andere Partei dadurch erleidet, eine Wechselwirkung in dem Sinne besteht, dass der eigene Wettbewerb gefördert und der fremde Wettbewerb beeinträchtigt werden kann (BGH, GRUR 2014, 1114 Rn. 32 - nickelfrei; GRUR 2015, 1129 Rn. 19 - Hotelbewertungsportal). Nicht ausreichend ist es allerdings, wenn die Maßnahme den anderen nur irgendwie in seinem Marktstreben betrifft. Eine bloße Beeinträchtigung reicht zur Begründung eines Wettbewerbsverhältnisses nicht aus, wenn es an jeglichem Konkurrenzmoment im Angebots- oder Nachfragewettbewerb fehlt (BGH, Urteil vom 26. Januar 2017 – I ZR 217/15 –, Rn. 16, juris m.w.N.)
bb) Da das Internet auch im Einzugsbereich der Apotheke des Klägers verfügbar ist, konkurrieren die Parteien räumlich. Sachlich führen beide die gleichen Waren. Es ist daher denkbar, dass ein Kunde ein apothekenpflichtiges Medikament statt in der Apotheke des Klägers über den Amazon Marketplace bei dem Beklagten kauft.
Die Argumentation des Beklagten, dass die Kunden einer Präsenz-Apotheke an Beratung interessiert seien, während Kunden, die keine Beratung benötigten, im Internet kauften, vermag den Senat nicht zu überzeugen. Es mag sein, dass ein Kunde, der eine Beratung möchte, in der Regel eine Präsenz-Apotheke aufsuchen wird. Dagegen ist es keinesfalls zwingend, dass ein Kunde ohne Interesse an Beratung nur im Internet kauft.
2. Nach Auffassung des Senats sind die Regelungen der DSGVO in der vorliegenden Fallkonstellation als Marktverhaltensregeln im Sinne des § 3a UWG aufzufassen.
a) Eine Norm regelt das Marktverhalten im Interesse der Mitbewerber, Verbraucher oder sonstigen Marktteilnehmer, wenn sie einen Wettbewerbsbezug in der Form aufweist, dass sie die wettbewerblichen Belange der als Anbieter oder Nachfrager von Waren oder Dienstleistungen in Betracht kommenden Personen schützt (vgl. BGH, Urteil vom 3. Juli 2003 - I ZR 211/01, BGHZ 155, 301, 305 - Telefonischer Auskunftsdienst; Urteil vom 12. Juli 2007 - I ZR 18/04, BGHZ 173, 188 Rn. 35 - Jugendgefährdende Medien bei eBay). Eine Vorschrift, die dem Schutz von Rechten, Rechtsgütern oder sonstigen Interessen von Marktteilnehmern dient, ist eine Marktverhaltensregelung, wenn das geschützte Interesse gerade durch die Marktteilnahme (vgl. BGH, Urteil vom 8. Oktober 2015 - I ZR 225/13, GRUR 2016, 513 Rn. 21 = WRP 2016, 586 - Eizellspende; MünchKomm.UWG/Schaffert, 2. Aufl., § 4 Nr. 11 Rn. 60), also durch den Abschluss von Austauschverträgen und den nachfolgenden Verbrauch oder Gebrauch der erworbenen Ware oder in Anspruch genommenen Dienstleistung berührt wird (vgl. GroßKomm.UWG/Metzger, 2. Aufl., § 4 Nr. 11 Rn. 38; Köhler in Köhler/Bornkamm, UWG, 35. Aufl., § 3a Rn. 1.67). Nicht erforderlich ist eine spezifisch wettbewerbsbezogene Schutzfunktion in dem Sinne, dass die Regelung die Marktteilnehmer speziell vor dem Risiko einer unlauteren Beeinflussung ihres Marktverhaltens schützt (vgl. BGH, Urteil vom 10. Dezember 2009 - I ZR 189/07, GRUR 2010, 754 Rn. 20 ff. = WRP 2010, 869 - Golly Telly; Urteil vom 4. November 2010 - I ZR 139/09, GRUR 2011, 633 Rn. 34 = WRP 2011, 858 – BIO TABAK; aA Ohly in Ohly/Sosnitza, UWG, 7. Aufl., § 3a Rn. 25; Gärtner/Heil, WRP 2005, 20, 22; Scherer, WRP 2006, 401, 404). Die Vorschrift muss jedoch - zumindest auch - den Schutz der wettbewerblichen Interessen der Marktteilnehmer bezwecken; lediglich reflexartige Auswirkungen zu deren Gunsten genügen daher nicht (BGH, Urteil vom 27. April 2017 – I ZR 215/15 –, Rn. 20, juris m.w.N.)
b) Die Frage, ob Datenschutzbestimmungen nach Inkrafttreten der DSGVO Marktverhaltensregeln darstellen, ist bisher in Literatur und Rechtsprechung nicht abschließend geklärt.
aa) In der Literatur wird nunmehr vertreten, dass Datenschutzbestimmungen nach Inkrafttreten der DSGVO keine Marktverhaltensregeln im Sinne des § 3 Buchst. a UWG darstellen (Köhler in: Köhler/Dornkamp/Feddersen, UWG, 36. Aufl., 2018, § 3a Rn. 1.40a und 1.74a).
bb) Das Hanseatische Oberlandesgericht Hamburg nimmt dagegen auch nach Inkrafttreten der DSGVO an, dass insoweit die jeweilige Norm konkret darauf überprüft werden muss, ob gerade jene Norm eine Regelung des Marktverhaltens zum Gegenstand hat (Urteil vom 25. Oktober 2018 – 3 U 66/17 –, Rn. 72, juris).
cc) Der Senat schließt sich der Auffassung des Hanseatischen Oberlandesgerichts Hamburg an. Selbstverständlich schützen Datenschutzregeln in erster Linie das informationelle Selbstbestimmungsrecht des Betroffenen. Gleichwohl verfolgt die DSGVO auch andere Zielsetzungen: In den Erwägungsgründen 6 bis 8 der DS-RL heißt es, dass die Richtlinie auch den grenzüberschreitenden Verkehr personenbezogener Daten auf ein einheitliches Schutzniveau heben soll (Erwägungsgründe 6 und 7), weil ein unterschiedliches Schutzniveau ein Hemmnis für die Ausübung von Wirtschaftstätigkeiten auf Gemeinschaftsebene darstellen und den Wettbewerb verfälschen könne (Erwägungsgrund 7 Satz 2), und die Regelungen der Richtlinie auch der Beseitigung solcher Hemmnisse diene, um einen grenzüberschreitenden Fluss personenbezogener Daten kohärent in allen Mitgliedsstaaten und in Übereinstimmung mit dem Ziel des Binnenmarktes zu regeln (Erwägungsgrund 8).
Vor Inkrafttreten der DSGVO war außerdem in der Rechtsprechung bereits anerkannt, dass die Nutzung von Daten zu Werbezwecken nach § 28 Abs. 3 BDSG a.F. als Marktverhaltensregel anzusehen ist (OLG Stuttgart, MMR 2007, 437, Rn. 27; OLG Köln, MMR 2009, 845; CR 2011, 680; ZD 2012, 421; OLG Karlsruhe, ZD 2012, 432, Rn. 34; OLG Dresden, BeckRS 2014, 15220, insoweit unklar, ob nur die dort ebenfalls allein streitige Regelung des § 28 Abs. 3 BDSG a.F.
oder § 28 BDSG a.F. generell als marktverhaltensregelnd angesehen worden ist).
c) Im vorliegenden Fall hat der Beklagte die Plattform Amazon Marketplace in das Feilbieten der von ihm vertriebenen Medikamente und Medizinprodukte in der Weise einbezogen, dass er die Popularität dieser Plattform nutzt, um Kunden zu gewinnen. Er setzt damit die Plattform als Werbeträger ein. Amazon selbst wertet die Daten – wenn auch anonym – aus, um zu werben: "Kunden, die sich Produkt A angesehen haben, interessieren sich auch für Produkte B". Dies zielt
auf den Markt ab und berührt die wettbewerblichen Interessen der Marktteilnehmer. Denn durch die Auswertung der Absatzdaten können Kunden zielgerichtet angesprochen werden.
3. Bei den Bestelldaten der Kunden handelt es sich um Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO. Die Daten, die Amazon für den Bestellvorgang erfasst, stellen sicher keine Gesundheitsdaten im engeren Sinne dar, wie z.B. ärztliche Befunde. Gleichwohl können aus den Bestelldaten Rückschlüsse auf die Gesundheit des Bestellers gezogen werden. Soweit der Beklagte einwendet, dass eine Internetbestellung auch für Mitglieder der Familie und andere Personen erfolgen könne, trifft dies zu. Dies senkt aber nur die Wahrscheinlichkeit, mit der der gezogene Rückschluss zutrifft. Dies reicht nach Auffassung des Senates nicht aus, um die Gesundheitsbezogenheit der Daten entfallen zu lassen. Dies würde zu einer Absenkung des Schutzniveaus führen.
Soweit der Beklagte einwendet, dass die Datenschutzbehörden auf EU-Ebene beim Kauf von medizinischen Standardprodukten nicht von Gesundheitsdaten ausgehen, beachtet er nicht, dass hier nicht nur medizinische Standardprodukte verkauft werden, sondern eben auch apothekenpflichtige Medikamente. Insbesondere die Kombination aus mehreren apothekenpflichtigen Medikamenten lässt durchaus einen Rückschluss auf den Gesundheitszustand des Bestellers zu, wenn auch die Wahrscheinlichkeit eines zutreffenden Rückschlusses durch die Möglichkeit der Drittbestellung – wie bereits ausgeführt – an Sicherheit gemindert ist.
4. Im vorliegenden Fall liegen zwei Datenverarbeitungen im Sinne des § 9 Abs. 1 DSGVO vor.
a) Die Datenverarbeitung durch die Plattform Amazon Marketplace ist keine Auftragsdatenverarbeitung für den Beklagten im Sinne der DSGVO. Die allgemeinen Geschäftsbedingungen von Amazon enthalten diesen Passus. Eine Auftragsdatenverarbeitung ist auch von keiner Seite behauptet worden; der Beklagte räumt sie selbst ein, dass es sich nicht um eine Auftragsdatenverarbeitung handelt.
b) Eventuelle Datenschutzverstöße der Plattform Amazon Marketplace sind nicht Teil des Rechtsstreits; der Kläger weist hierauf ausdrücklich hin (vgl. Bd. III Bl. 6 und Bl. 28 d.A. [= Schriftsatz des Klägers vom 24.09.2018]). Insoweit geht es auch nicht um die Frage, ob eventuelle Datenschutzverstöße der Plattform dem Beklagten zugerechnet werden können.
c) Entscheidend ist hier die Datenverarbeitung durch den Beklagten selbst. Hierfür fehlt eine wirksame Einwilligung im Sinne des Art. 9 Abs. 2 lit. a DSGVO.
aa) Nach Art. 9 Abs. 1 DSGVO kommt es nicht auf die Erhebung, sondern auf die Verarbeitung der dort genannten personenbezogenen Daten an.
bb) An einer Einwilligung für die Verarbeitung durch den Beklagten im Sinne des Art. 9 Abs. 2 Buchst. a DSGVO fehlt es hier.
α) Eine ausdrückliche Einwilligung der Kunden beim Bestellvorgang ist von keiner Seite behauptet worden.
β) Angesichts des Wortlauts des Art. 9 Abs. 2 Buchst. a DSGVO ("ausdrücklich eingewilligt") dürfte eine konkludente Einwilligung die Voraussetzung dieser Vorschrift nicht erfüllen. Darüber hinaus ist die Verpflichtung des Apothekers zur Einholung einer schriftlichen Einwilligung berufsrechtlich durch die Berufsordnung der Apothekenkammer Sachsen-Anhalt konkretisiert.
§ 15 Abs. 2 dieser Berufsordnung lautet:
"Die Speicherung und Nutzung patientenbezogener Daten bedarf der vorherigen schriftlichen Einwilligung des Betroffenen, sofern sie nicht nach dem Bundesdatenschutzgesetz und anderen Ermächtigungsgrundlagen zulässig sind oder von gesetzlichen Bestimmungen gefordert werden."
III.
Abgesehen von § 15 Abs. 2 der zitierten Berufsordnung hat der Beklagte nicht gegen Berufsrecht der Apotheker verstoßen.
1. Nicht zu folgen vermag der Senat der Auffassung des Klägers, dass der Beklagte durch das gewählte Vertriebsmodell Arzneimittel unter Verstoß gegen § 43 Abs. 1 AMG in Verkehr bringe und die Einbeziehung von Personen zu verantworten habe, die nicht der Geheimhaltungspflicht des § 203 StGB unterliegen.
a) Bei Anpreisung im Internet handelt es sich nach ständiger Rechtsprechung regelmäßig nur um die Aufforderung zur Abgabe eines Angebots. Der Senat sieht keine Veranlassung, für den Bereich des Apothekenrechts von dieser Grundregel abzuweichen.
b) Damit setzt der Kunde die Verkaufsplattform zur Übermittlung seines Angebots auf Abschluss eines Kaufvertrages zivilrechtlich als Bote ein. Er offenbart damit seine Gesundheitsdaten der Verkaufsplattform selbst.
c) Die Entscheidung diesen Weg zu wählen, um ein Medikament zu erwerben, trifft der Kunde eigenverantwortlich.
Es kommt daher weder ein Verstoß nach § 43 Abs. 1 AMG noch gegen § 203 StGB in Betracht. Denn der Apotheker setzt die Verkaufsplattform nur zur Reichweitenerhöhung, nicht aber für den Vertrieb ein. Nach der Übermittlung der Bestelldaten durch Amazon ist die Situation mit einer direkten Bestellung bei der Online-Apotheke des Beklagten – von der bereits ausgeführten datenschutzrechtlichen Problematik abgesehen – vergleichbar. Den Betrieb von Online-Apotheken hat der Gesetzgeber jedoch ausdrücklich zugelassen. Damit scheidet auch ein Verstoß gegen § 3 Abs. 5 ApBetrO aus. Denn die pharmazeutischen Tätigkeiten beginnen erst nach der Übermittlung der Daten durch Amazon an den Beklagten.
2. Ein Verstoß gegen das Selbstbedienungsverbot gemäß § 17 Abs. 3 ApBetrO scheidet aus den vom Landgericht genannten Gründen aus. Der Senat nimmt auf die entsprechenden Ausführungen im angegriffenen Urteil ausdrücklich Bezug. 3. Die Werbemaßnahmen auf der Handelsplattform gehen erkennbar – wie das Landgericht zutreffend ausführt - auf Amazon bzw. mittelbar auf die Kunden zurück, die Rezensionen schreiben. Die Werbemaßnahmen beziehen sich auf das Produkt und nicht auf eine konkrete Online-Apotheke und kommen daher nicht einem, sondern allen auf der Plattform vertretenen Apothekern zugute. Der Senat sieht daher keinen Verstoß gegen § 11 HWG oder § 14 Berufsordnung der Apothekenkammer Sachsen-Anhalt.
4. Die behauptete Umsatzbeteiligung von Amazon beruht auf Vermutungen. Es liegt außerdem weder ein partiarisches Darlehen oder einen am Umsatz ausgerichteter Mietvertrag vor. Ein Verstoß gegen § 8 Abs. 2 ApoG scheidet daher aus.
IV. Ein möglicher Schadensersatzanspruch gemäß § 9 UWG und ein vorbereitender Auskunftsanspruch setzen ein Verschulden voraus. Angesichts der bisher noch nicht abschließend von der Rechtsprechung geklärten Rechtslage zum marktregelnden Charakter der DSGVO billigt der Senat dem Beklagten einen unvermeidbaren Verbotsirrtum gemäß § 17 S. 1 StGB analog zu.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) und die Berliner Beauftragte für Datenschutz und Informationsfreiheit haben nochmals ihre Ansicht bekräftigt, dass personenbezogenes Webtracking nur mit ausdrücklicher Einwilligung zulässig ist und es nicht genügt, wenn in einem Cookie-Banner auf den Einsatz hingewiesen wird.
Die Pressemitteilung des BfDI:
Personenbezogenes Webtracking nur mit Einwilligung
Wenn Anbieter von in Websites eingebundenen Dritt-Diensten die dort erhobenen Daten auch für eigene Zwecke nutzen, muss hierfür vom Websitebetreiber eine explizite Einwilligung der Nutzerinnen und Nutzer eingeholt werden.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Ulrich Kelber, fordert daher Website-Betreiber auf, ihre Websites umgehend auf entsprechende Dritt-Inhalte und Tracking-Mechanismen zu überprüfen: Wer Angebote einbindet, die wie zum Beispiel Google Analytics rechtlich zwingend eine Einwilligung erfordern, muss dafür sorgen, von seinen Websitenutzern eine datenschutzkonforme Einwilligung einzuholen. Dass dies nicht mit einfachen Informationen über sogenannte Cookie-Banner oder voraktivierte Kästchen bei Einwilligungserklärungen funktioniert, sollte hoffentlich mittlerweile jedem klar sein. Jeder Websitebetreiber sollte sich daher genau damit auseinandersetzen, welche Dienste bei ihm eingebunden sind und diese notfalls deaktivieren, bis er sichergestellt hat, dass ein datenschutzkonformer Einsatz gewährleistet werden kann.
Hierbei unterstützen kann die bereits im Frühjahr von den Datenschutz-Aufsichtsbehörden des Bundes und der Länder veröffentlichte „Orientierungshilfe für Anbieter von Telemedien“. In dieser wird im Einzelnen herausgearbeitet, unter welchen Bedingungen ein Tracking von Website-Besucherinnen und -Besuchern zulässig ist. Ältere Veröffentlichungen der Aufsichtsbehörden, beispielsweise zum Thema Google Analytics, gelten nicht mehr, da sich die Rechtslage und die Verarbeitungsprozesse mitunter stark verändert haben.
Pressemitteilung der Berliner Beauftragten für Datenschutz und Informationsfreiheit
Datenschutzbeauftragte: Google Analytics und ähnliche Dienste nur mit Einwilligung nutzbar
Webseiten-Betreiber benötigen eine Einwilligung der Besucherinnen und Besucher ihrer Webseiten, wenn darin Dritt-Dienste eingebunden werden sollen, bei denen der Anbieter dadurch erlangte personenbezogene Daten auch für eigene Zwecke nutzt. Dazu gehört auch das Produkt Google Analytics, wie die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczyk, betont.
Bereits im Frühjahr haben die Datenschutz-Aufsichtsbehörden die „Orientierungshilfe für Anbieter von Telemedien“ veröffentlicht und im Einzelnen herausgearbeitet, unter welchen Bedingungen ein Tracking von Webseiten-Besucherinnen und -Besuchern zulässig ist. Trotzdem erhält die Berliner Datenschutzbeauftragte weiterhin eine Vielzahl von Beschwerden über Websites, die die Orientierungshilfe missachten.
Analyse-Tools, die Daten über das Nutzungsverhalten an Dritte weitergeben, dürfen danach jedenfalls in den Fällen, in denen diese Dritten die Daten auch zu eigenen Zwecken verwenden, nur mit Einwilligung genutzt werden. Gleiches gilt, wenn das Verhalten der Webseiten-Besucherinnen und -Besucher im Detail nachvollzogen und aufgezeichnet werden kann, etwa wenn Tastatureingaben, Maus- oder Wischbewegungen erfasst werden. Als zulässig angesehen werden kann es demgegenüber, wenn eine Webseiten-Betreiberin eine Reichweitenerfassung durchführt und dafür die Zahl der Besucherinnen und Besucher pro Seite, die Geräte und die Spracheinstellungen erhebt, auch wenn ein Auftragsverarbeiter dies erledigt. Ein Auftragsverarbeiter darf allerdings die Daten nicht zu eigenen Zwecken verwenden, wie es sich mittlerweile der Anbieter von Google Analytics vorbehält.
Maja Smoltczyk:
„Viele Webseiten-Betreiber berufen sich bei der Einbindung von Google Analytics auf alte, durch fortlaufende Produktveränderungen längst überholte und zurückgezogene Veröffentlichungen wie die Hinweise für Berliner Webseitenbetreiber, die Google Analytics einsetzen. Das Produkt Google Analytics wurde in den vergangenen Jahren so fortentwickelt, dass es in der aktuellen Gestaltung keine Auftragsverarbeitung mehr darstellt. Vielmehr räumt sich der Anbieter das Recht ein, die Daten der die Webseiten Besuchenden zu eigenen Zwecken zu verwenden. Die Einbindung von Google Analytics erfordert daher eine Einwilligung, die den Anforderungen der Datenschutz-Grundverordnung genügt. Die meisten der sogenannten Cookie-Banner, die wir in der Praxis sehen, erfüllen die gesetzlichen Anforderungen nicht.
Webseiten-Betreiber in Berlin sollten ihre Webseite umgehend auf Dritt-Inhalte und Tracking-Mechanismen überprüfen. Wer Funktionen nutzt, die eine Einwilligung erfordern, muss entweder die Einwilligung einholen oder die Funktion entfernen. Eine Einwilligung ist nur dann wirksam, wenn die Nutzerin oder der Nutzer der konkreten Datenverarbeitung eindeutig und informiert zustimmt. Ein sogenannter Cookie-Banner, der davon ausgeht, dass reines Weitersurfen auf der Webseite oder Ähnliches eine Einwilligung bedeuten sollen, ist unzureichend. Dasselbe gilt für voraktivierte Kästchen bei Einwilligungserklärungen. Diese Wertung der Datenschutz-Grundverordnung ist eindeutig, und der Europäische Gerichtshof hat sie in seinem Urteil vom 1. Oktober 20192 ausdrücklich bestätigt.“
Was eine wirksame Einwilligung ist, wird in Artikel 4 Nummer 11 der DatenschutzGrundverordnung (DSGVO) definiert. Danach ist eine „‘Einwilligung‘ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Nach Erwägungsgrund 32 DSGVO sind Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person daher nicht als Einwilligung anzusehen.
Maja Smoltczyk:
„Uns liegen bereits zahlreiche Beschwerden und Hinweise über die unzulässige Einbindung von Dritt-Inhalten vor. Wir prüfen diese und haben bereits viele Verfahren gegen Unternehmen eingeleitet. Diese Zahl wird sich künftig noch erheblich erhöhen. Webseiten-Betreiberinnen und -Betreiber, die unzulässig Dritt-Inhalte einbinden, müssen nicht nur mit datenschutzrechtlichen Anordnungen rechnen, sondern sollten auch berücksichtigen, dass die DSGVO für derartige Verstöße hohe Geldbußen androht.“
Das OLG Köln hat entschieden, das ein Arzt gegen Jameda einen Anspruch auf Löschung eines ohne Einwilligung erstellten Bewertungsprofils hat. Das Gericht kommt zu dem Ergebnis, dass sich der Portalbetreiber nicht auf ein berechtigtes Interesse gemäß Art. 6 Abs. 1 f) DSGVO oder das Medienprivileg gemäß Art. 85 Abs. 2 DSGVO berufen kann. Aufgrund des Geschäftsmodells von Jameda mit Basis und Premiumkunden und der konkrten Ausgestaltung ist der Portalbetreiber - so das Gericht - kein neutraler Informationsmittler. Die Revision wurde zugelassen.
Die Pressemitteilung des Gerichts:
Jameda - Ausgestaltung des Bewertungsportals in Teilen unzulässig
Zwei Ärzte haben erfolgreich das Online-Bewertungsportal Jameda auf Löschung des ohne ihr Einverständnis angelegten Profils verklagt. Der 15. Zivilsenat des Oberlandesgerichts Köln hat entschieden, dass mehrere frühere bzw. aktuelle Ausgestaltungen der Plattform unzulässig sind. Mit ihnen verlasse Jameda die zulässige Rolle des "neutralen Informationsmittlers" und gewähre den an die Plattform zahlenden Ärzten auf unzulässige Weise "verdeckte Vorteile". Andere von den Ärzten gerügte Funktionen seien dagegen zulässig.
Der Senat beanstandete insbesondere, dass auf dem ohne Einwilligung eingerichteten Profil des Klägers bzw. der Klägerin (sog. "Basiskunden") auf eine Liste mit weiteren Ärzten verwiesen wurde, während auf den Profilen der Ärzte, die Beiträge an die Plattform bezahlen (sog. "Premium‑" oder "Platinkunden"), ein solcher Hinweis unterblieben ist. Unzulässig sei ebenfalls, dass die zahlenden Ärzte in Auflistungen mit Bild dargestellt wurden, während bei den anderen Ärzten nur ein grauer Schattenriss zu sehen ist. Dasselbe gelte für den Verweis auf Fachartikel von zahlenden Ärzten, während auf den Profilen von sog. Platinkunden ein solcher Verweis unterbleibt. Schließlich sei auch der Hinweis auf eine Liste mit Ärzten für spezielle Behandlungsgebiete unzulässig, der ebenfalls auf den Profilen zahlender Ärzte nicht zu sehen ist.
Anders als das Landgericht, das in erster Instanz die gesamte Ausgestaltung der Plattform für unzulässig gehalten hatte, hat der Senat die verschiedenen Funktionen einer Einzelfallbetrachtung unterzogen. Nach der Rechtsprechung des Bundesgerichtshofes sei entscheidend, ob die Plattform ihre grundsätzlich geschützte Position als "neutrale Informationsmittlerin" dadurch verlassen habe, dass sie den zahlenden Kunden "verdeckte Vorteile" zukommen lasse. Das sei der Fall, wenn die ohne ihre Einwilligung aufgenommenen Basiskunden auf dem Portal als "Werbeplattform" für Premiumkunden benutzt würden und letzteren durch die Darstellung ein Vorteil gewährt werde, der für die Nutzer nicht erkennbar sei. Dann diene das Portal nicht mehr allein dem Informationsaustausch zwischen (potentiellen) Patienten. In diesem Fall müssten Ärzte nicht hinnehmen, ohne ihre Einwilligung als Basiskunden aufgeführt zu werden.
Mit den vorbeschriebenen Funktionen verlasse das Portal die Funktion als "neutraler Informationsmittler". Im Einzelnen:
Der mittlerweile abgeschaffte Button, mit dem auf dem Profil der Basiskunden, "weitere" Ärzte in der näheren Umgebung angezeigt worden seien, bei Premiumkunden dagegen nicht, habe den unzutreffenden Eindruck erweckt, die Premiumkunden hätten keine örtliche Konkurrenz. Der bei Basiskunden eingeblendete Button sei als "Absprungplattform" auf die Profile anderer Ärzte anzusehen. Für die Nutzer sei nicht deutlich gewesen, aus welchem Grund bei einem Basisprofil ein Verweis auf örtliche Konkurrenz eingeblendet worden sei, nicht jedoch bei einem Premiumprofil. Auch wenn die Plattform den Button zwischenzeitlich abgeschafft habe, könne sie zur Unterlassung verurteilt werden, da Wiederholungsgefahr bestehe.
Auch die unterschiedliche bildliche Darstellung zwischen Basis- und Premiumkunden in Auflistungen stelle - anders als bei der bildlichen Darstellung auf den einzelnen Profilen - einen verdeckten Vorteil dar. Dadurch werde ein erhebliches "optisches Gefälle" zwischen Basiskunden und Premiumkunden erzeugt, womit die Plattform im Vorfeld der endgültigen Arztwahl lenkend in den Wettbewerb zwischen den örtlichen Konkurrenten eingreife.
Ebenfalls sei ein unzulässiger verdeckter Vorteil, dass die Nutzer auf dem Profil von Basiskunden auf Fachbeiträge von anderen Ärzten hingewiesen würden, was bei Platin-Kunden unterbleibe. Dies erwecke bei den Nutzern den unzutreffenden Eindruck, Basiskunden wollten oder könnten keine entsprechenden Fachartikel veröffentlichen. Tatsächlich könne diese Funktion aber nur bei Buchung eines Premiumpakets durch den Arzt genutzt werden. Jedenfalls wenn die eingeblendeten Artikel von zahlenden Ärzten stammten, die in einer Entfernung von bis zu 100 km zu nicht zahlenden Ärzten praktizierten, ergebe sich eine mögliche Konkurrenzsituation.
Schließlich sei auch der Hinweis auf dem Profil der Basiskunden auf Ärzte mit speziellen Behandlungsgebieten auf demselben Fachgebiet ein unzulässiger verdeckter Vorteil. Durch den Hyperlink könne beim Nutzer der Eindruck entstehen, dass der Arzt möglicherweise nicht ausreichend qualifiziert sei, weil auf seinem Profil auf weitere Kollegen für das "spezielle" medizinische Fachgebiet verwiesen werde, wohingegen bei Premiumkunden kein Verweis die Patienten dazu animieren könnte, die Suche nach einem möglichst qualifizierten Arzt fortzusetzen.
Rechtlich hat der Senat den Anspruch der Kläger auf Löschung des ohne Einwilligung eingerichteten Profils bzw. auf Unterlassung der konkreten Verletzungsformen jeweils auf §§ 823 Abs. 2, 1004 BGB analog in Verbindung mit Art. 6 Abs. 1 f) DSGVO gestützt. Er hat in diesem Zusammenhang entschieden, dass die Bewertungsplattform sich nicht auf das sog. Medienprivileg der Datenschutzgrundverordnung (Art. 85 Abs. 2 DSGVO) stützen kann. Das Geschäftsmodell der Plattform könne nicht als eigene meinungsbildende Tätigkeit aufgefasst werden, sondern allenfalls als ein Hilfsdienst zur besseren Verbreitung von (Dritt-)Informationen.
Andere Funktionen des Portals, wie etwa die Möglichkeit von Premiumkunden, auf dem Profil in größerem Umfang die angebotenen ärztlichen Leistungen anzugeben als bei Basiskunden, hat der Senat dagegen nicht beanstandet. Insoweit hat der Senat auf die erfolgreiche Berufung der Bewertungsplattform die Klagen der beiden Kläger abgewiesen.
Der Senat hat die Revision für beide Seiten in beiden Verfahren zugelassen, da die Frage, in welchen Fällen eine Bewertungsplattform die Rolle als "neutrale Informationsmittlerin" verlässt, in der höchstrichterlichen Rechtsprechung bisher nicht vollständig geklärt sei und für eine Vielzahl künftiger Verfahren Bedeutung haben werde. Die Entscheidung des Bundesgerichtshofs vom 20.02.2019 (VI ZR 301/17) habe sich lediglich auf einen Einzelfall der Gestaltung der Bewertungsplattform bezogen.
Urteile des Oberlandesgerichts Köln vom 14.11.2019 - Az.15 U 89/19 - und Az. 15 U 126/19
Das OLG Köln hat entschieden, dass ein Streitwert von 5.000 EURO für einen Auskunftsanspruch nach Art. 15 DSGVO angemessen sein kann, sofern mit dem Anspruch auch ein wirtschaftliches Ziel verfolgt wird (hier: Durchsetzung von Ansprüchen in sechsstelliger Höhe).
Aus den Entscheidungsgründen:
"Der Streitwert für den Antrag zu 6) wird - insoweit die erstinstanzlich vorgenommene Streitwertfestsetzung erhöhend - auf 5.000,00 EUR geschätzt.
In zivilrechtlichen Verfahren wird der Streitwert für nichtvermögensrechtliche Ansprüche gemäß § 48 Abs. 3 GKG unter Berücksichtigung aller Umstände des Einzelfalls - insbesondere des Umfangs und der Bedeutung der Sache sowie der Vermögens- und Einkommensverhältnisse der Parteien - nach Ermessen bestimmt. Unter Berücksichtigung dieser Faktoren, insbesondere der Bedeutung des Anspruchs aus Art. 15 DS-GVO und der hierdurch geschützten grundrechtlichen Positionen sowie des Umstands, dass der Kläger mit der Geltendmachung des Auskunftsanspruchs (anders als in dem dem Beschluss des 9. Zivilsenats des Oberlandesgerichts Köln vom 05.02.2018, Az. 9 U 120/17, zugrundeliegenden Sachverhalt) zumindest auch ein wirtschaftliches Ziel, nämlich die Erleichterung der Durchsetzung der Anträge zu 1) bis 5) verfolgt, erscheint eine Festsetzung des Werts auf 5.000,00 EUR als angemessen."
Das AG Bochum hat im Rahmen eines Prozesskostenhilfeverfahrens entschieden, dass ein Anspruch auf Schadensersatz wegen eines Verstoßes gegen Art. 32 DSGVO durch Versendung unverschlüsselter E-Mails nur dann im Betracht kommt, wenn ein konkreter Schaden entstanden ist und dieser schlüssig dargelegt wird.
Aus den Entscheidungsgründen:
Prozesskostenhilfe konnte nicht bewilligt werden, da die beabsichtigte Rechtsverfolgung keine hinreichende Aussicht auf Erfolg bietet.
Die Antragsgegnerin ist mit Beschluss des Amtsgerichts Recklinghausen vom 16.05.2018 als Berufsbetreuerin zur Betreuerin des Antragstellers bestellt worden. Die Aufgabenkreise umfassten Vermögensangelegenheiten, Wohnungsangelegenheiten und Vertretung gegenüber Behörden und Sozialversicherungsträgern. Die Betreuerin vertrat den Betreuten im Rahmen ihres Aufgabenkreises gerichtlich und außergerichtlich. Die Bestellungsurkunde diente als Ausweis. Seit Juni 2018 ist die Betreuung aufgehoben.
Nach dem Vortrag des Antragstellers soll die Antragsgegnerin Daten und Informationen bezüglich des Antragstellers an dessen Vermieter und an weitere Stellen herausgegeben haben. Weder welche konkreten Daten und Informationen wann genau herausgegeben worden sein sollen noch an welche weiteren Stellen die Herausgabe erfolgte, ist von dem Antragsteller substantiiert dargelegt. Da die Betreuung auch den Aufgabenkreis der Wohnungsangelegenheiten umfasste, gehört die Offenlegung der Betreuung unter Vorlage der Bestellungsurkunde wie auch die Erörterung der Einkommens- und Vermögensverhältnisse bezogen auf die mietvertraglichen Pflichten zur Erfüllung der rechtlichen Verpflichtungen des Antragsgegnerin aus der Betreuung und ist damit auch ohne Einwilligung des Antragstellers nach Art. 6 DSGVO rechtmäßig. Dies gilt naturgemäß auch für die Mitteilung der Beendigung der Betreuung, wenn die Antragsgegnerin noch seitens des Vermieters in mietrechtlichen Angelegenheiten angesprochen wird. Eine darüber hinausgehende Übermittlung personenbezogener Daten durch die Antragsgegnerin ist nicht dargelegt. Ein Verstoß gegen Datenschutzregeln oder die Schweigepflicht ergibt sich aus dem Vorbringen des Antragstellers nicht.
Die Übersendung der Bestellungsurkunde an den jetzigen Prozessbevollmächtigten des Antragstellers am 30.05.2018 an sich ist aus den dargelegten Gründen ebenfalls rechtmäßig. Die Versendung als unverschlüsselte Email mag gegen Art. 32 DSGVO verstoßen. Dass aufgrund der Wahl eines ungesicherten Übertragungsweges persönliche Daten und Informationen bez. des Antragstellers unbefugten Dritten tatsächlich bekannt geworden sind, ist weder dargelegt noch ersichtlich. Damit ergibt sich aber auch nicht, dass dem Antragsteller wegen eines eventuell gegebenen Verstoßes ein irgendwie gearteter materieller oder immaterieller Schaden entstanden ist.
Ein Anspruch aus Art. 82 DSGVO ist im Ergebnis nicht schlüssig dargelegt und die Rechtsverfolgung bietet keine hinreichende Aussicht auf Erfolg.
