Skip to content

EuGH: Datenschutzrechtliche Aufsichtsbehörde darf auch ohne Antrag des Betroffenen die Löschung unrechtmäßig verarbeiteter personenbezogener Daten anweisen

EuGH
Urteil vom 14.03.2024
C‑46/23


Der EuGH hat entschieden, dass eine datenschutzrechtliche Aufsichtsbehörde auch ohne Antrag des Betroffenen die Löschung unrechtmäßig verarbeiteter personenbezogener Daten anweisen darf.

Tenor der Entscheidung:
1. Art. 58 Abs. 2 Buchst. d und g der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass die Aufsichtsbehörde eines Mitgliedstaats den Verantwortlichen oder Auftragsverarbeiter in Ausübung ihrer in diesen Bestimmungen vorgesehenen Abhilfebefugnisse selbst dann zur Löschung unrechtmäßig verarbeiteter personenbezogener Daten anweisen darf, wenn die betroffene Person keinen entsprechenden Antrag auf Ausübung ihrer Rechte nach Art. 17 Abs. 1 dieser Verordnung gestellt hat.

2. Art. 58 Abs. 2 der Verordnung 2016/679 ist dahin auszulegen, dass sich die Befugnis der Aufsichtsbehörde eines Mitgliedstaats, die Löschung unrechtmäßig verarbeiteter personenbezogener Daten anzuordnen, sowohl auf bei der betroffenen Person erhobene als auch auf aus einer anderen Quelle stammende Daten beziehen kann.

Die Pressemitteilung des EuGH:
Schutz personenbezogener Daten: Die Aufsichtsbehörde eines Mitgliedstaats kann selbst dann die Löschung unrechtmäßig verarbeiteter Daten anordnen, wenn die betroffene Person zuvor keinen entsprechenden Antrag gestellt hat

Eine solche Löschung kann sich sowohl auf bei der betroffenen Person erhobene als auch auf aus einer anderen Quelle stammende Daten beziehen.

2020 beschloss die Kommunalverwaltung Újpest (Ungarn), Personen, die zu einer von der Covid-19-Pandemie gefährdeten Gruppe gehörten, finanziell zu unterstützen. Sie ersuchte deshalb die ungarische Staatskasse und die Regierungsbehörde des IV. Bezirks der Hauptstadt Budapest, ihr die zur Prüfung der Anspruchsvoraussetzungen erforderlichen personenbezogenen Daten zu übermitteln.

Aufgrund eines Hinweises stellte die zuständige ungarische Datenschutzbehörde (im Folgenden: Aufsichtsbehörde) fest, dass sowohl die Verwaltung Újpest als auch die ungarische Staatskasse und die Regierungsbehörde gegen Regelungen der DSGVO1 verstoßen hatten. Entsprechende Geldbußen wurden verhängt.

Die Aufsichtsbehörde stellte fest, dass die Verwaltung Újpest die betroffenen Personen innerhalb der dafür geltenden Frist von einem Monat weder über die Verwendung ihrer Daten und den Zweck dieser Verarbeitung noch über ihre Datenschutzrechte informiert hatte. Zudem wies sie die Verwaltung Újpest an, die Daten anspruchsberechtigter Personen, die keine Unterstützung beantragt hatten, zu löschen.

Die Verwaltung Újpest hat diese Entscheidung beim Hauptstädtischen Stuhlgericht (Ungarn) angefochten und macht geltend, die Aufsichtsbehörde sei nicht befugt, die Löschung personenbezogener Daten anzuordnen, wenn die betroffene Person zuvor keinen entsprechenden Antrag gestellt habe.

Das ungarische Gericht ersucht den Gerichtshof um Auslegung der DSGVO.

Mit seinem heutigen Urteil antwortet der Gerichtshof, dass die Aufsichtsbehörde eines Mitgliedstaats von Amts wegen die Löschung unrechtmäßig verarbeiteter Daten anordnen darf, also selbst dann, wenn die betroffene Person zuvor keinen entsprechenden Antrag gestellt hat, falls eine solche Maßnahme zur Erfüllung ihrer Aufgabe erforderlich ist, die darin besteht, über die umfassende Einhaltung der DSGVO zu wachen. Erkennt die Aufsichtsbehörde, dass eine Datenverarbeitung nicht der DSGVO entspricht, so muss sie dem festgestellten Verstoß abhelfen, und zwar auch dann, wenn die betroffene Person zuvor keinen Antrag gestellt hat. Denn das Erfordernis einer solchen Antragstellung würde bedeuten, dass der Verantwortliche bei fehlendem Antrag die betreffenden personenbezogenen Daten weiterhin speichern und unrechtmäßig verarbeiten dürfte.

Außerdem kann die Aufsichtsbehörde eines Mitgliedstaats die Löschung unrechtmäßig verarbeiteter Daten unabhängig davon anordnen, ob sie unmittelbar bei der betroffenen Person erhoben wurden oder aus einer anderen Quelle stammen.


Den Volltext der Entscheidung finden Sie hier:

EuGH: TC-Strings der IAB Europe sind personenbezogene Daten im Sinne der DSGVO - Zur Zulässigkeit von Werbung per Real Time Bidding

EuGH
Urteil vom 07.03.2024
C-604/22
IAB Europe gegen Gegevensbeschermingsautoriteit


Der EuGH hat entschieden, dass die TC-Strings der IAB Europe personenbezogene Daten im Sinne der DSGVO sind.

Tenor der Entscheidung:
1. Art. 4 Nr. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass eine aus einer Kombination von Buchstaben und Zeichen bestehende Zeichenfolge wie der TC‑String (Transparency and Consent String), die die Präferenzen eines Internetnutzers oder Nutzers einer Anwendung in Bezug auf dessen Einwilligung in die Verarbeitung der ihn betreffenden personenbezogenen Daten durch Anbieter von Websites oder Anwendungen sowie durch Datenbroker und Werbeplattformen enthält, ein personenbezogenes Datum im Sinne dieser Bestimmung darstellt, soweit sie, wenn sie mit vertretbarem Aufwand einer Kennung wie insbesondere der IP‑Adresse des Geräts dieses Nutzers zugeordnet werden kann, es erlaubt, die betreffende Person zu identifizieren. Unter diesen Umständen schließt der Umstand, dass eine Branchenorganisation, die im Besitz dieser Zeichenfolge ist, ohne einen Beitrag von außen weder Zugang zu den Daten hat, die von ihren Mitgliedern im Rahmen der von ihr aufgestellten Regeln verarbeitet werden, noch diese Zeichenfolge mit anderen Elementen kombinieren kann, nicht aus, dass diese Zeichenfolge ein personenbezogenes Datum im Sinne dieser Bestimmung darstellt.

2. Art. 4 Nr. 7 und Art. 26 Abs. 1 der Verordnung 2016/679 sind dahin auszulegen, dass

– zum einen eine Branchenorganisation, soweit sie ihren Mitgliedern einen von ihr aufgestellten Regelungsrahmen in Bezug auf die Einwilligung im Bereich der Verarbeitung personenbezogener Daten anbietet, der nicht nur verbindliche technische Vorschriften enthält, sondern auch Vorschriften, die detailliert festlegen, wie personenbezogene Daten, die diese Einwilligung betreffen, gespeichert und verbreitet werden müssen, als „gemeinsam Verantwortlicher“ im Sinne dieser Bestimmungen einzustufen ist, wenn sie unter Berücksichtigung der besonderen Umstände des vorliegenden Falles aus Eigeninteresse auf die betreffende Verarbeitung personenbezogener Daten Einfluss nimmt und damit gemeinsam mit ihren Mitgliedern die Zwecke der und die Mittel zur betreffenden Verarbeitung festlegt. Der Umstand, dass eine solche Branchenorganisation selbst keinen unmittelbaren Zugang zu den von ihren Mitgliedern innerhalb dieses Regelungsrahmens verarbeiteten personenbezogenen Daten hat, schließt nicht aus, dass sie ein gemeinsam Verantwortlicher im Sinne dieser Bestimmungen sein kann;

– zum anderen sich die gemeinsame Verantwortlichkeit dieser Branchenorganisation nicht automatisch auf die Weiterverarbeitung personenbezogener Daten durch Dritte, wie beispielsweise Anbieter von Websites oder Anwendungen, erstreckt, was die Nutzerpräferenzen für gezielte Online-Werbung betrifft.

Die Pressemitteilung des EuGH:
Versteigerung von personenbezogenen Daten für Werbezwecke: der Gerichtshof stellt die Regeln auf der Grundlage der DSGVO klar

Wenn ein Nutzer eine Website oder eine Anwendung mit einem Werbeplatz aufruft, können Werbeunternehmen, Datenbroker und Werbeplattformen, die Tausende von Werbetreibenden vertreten, anonym in Echtzeit Gebote abgeben, um diesen Werbeplatz zu erhalten und dort auf das Profil des Nutzers abgestimmte Werbung anzuzeigen (Real Time Bidding).

Bevor jedoch eine solche gezielte Werbung angezeigt wird, muss die vorherige Einwilligung des Nutzers zur Erhebung und Verarbeitung seiner Daten (insbesondere seinen Standort, sein Alter, den Verlauf seiner Suchanfragen und seine zuletzt getätigten Einkäufe betreffend) für bestimmte Zwecke, wie u. a. Marketing oder Werbung, oder zum Austausch dieser Daten mit bestimmten Anbietern eingeholt werden. Der Nutzer kann dem auch widersprechen.

IAB Europe ist ein Verband ohne Gewinnerzielungsabsicht mit Sitz in Belgien, der Unternehmen der digitalen Werbe- und Marketingindustrie auf europäischer Ebene vertritt. IAB Europe hat eine Lösung entwickelt, die dieses Versteigerungssystem mit der DSGVO in Einklang bringen können soll. Die Nutzerpräferenzen werden in einem aus einer Kombination von Buchstaben und Zeichen bestehenden String kodiert und gespeichert, der als „Transparency and Consent String“ (TC-String) bezeichnet wird und der mit Brokern für personenbezogene Daten und Werbeplattformen geteilt wird, damit diese wissen, worin der Nutzer eingewilligt oder wogegen er Widerspruch eingelegt hat. Auf dem Gerät des Nutzers wird auch ein Cookie gespeichert. Miteinander kombiniert, können der TC-String und das Cookie der IP-Adresse dieses Nutzers zugeordnet werden.

Im Jahr 2022 stellte die belgische Datenschutzbehörde fest, dass der TC-String ein personenbezogenes Datum im Sinne der DSGVO darstelle und dass IAB Europe als Verantwortlicher aufgetreten sei, ohne die Vorschriften der DSGVO vollständig einzuhalten. Die Behörde verhängte gegen IAB Europe mehrere Abhilfemaßnahmen sowie eine Geldbuße. IAB Europe focht diese Entscheidung an und wandte sich an den Appellationshof Brüssel, der dem Gerichtshof Fragen zur Vorabentscheidung vorgelegt hat.

Mit seinem Urteil bestätigt der Gerichtshof, dass der TC-String Informationen über einen identifizierbaren Nutzer enthält und somit ein personenbezogenes Datum im Sinne der DSGVO darstellt. Anhand der in einem TC-String enthaltenen Informationen kann nämlich, wenn sie einer Kennung wie insbesondere der IP-Adresse des Geräts des Nutzers zugeordnet werden, ein Profil dieses Nutzers erstellt und die betreffende Person identifiziert werden.

Darüber hinaus ist IAB Europe als „gemeinsam Verantwortlicher“ im Sinne der DSGVO anzusehen. Vorbehaltlich der vom vorlegenden Gericht vorzunehmenden Prüfungen scheint diese Organisation nämlich bei der Speicherung der Einwilligungspräferenzen der Nutzer in einem TC-String auf die Verarbeitungen personenbezogener Daten Einfluss zu nehmen und gemeinsam mit ihren Mitgliedern sowohl die Zwecke dieser Verarbeitungen als auch die ihnen zugrunde liegenden Mittel festzulegen. Allerdings kann, unbeschadet einer etwaigen im nationalen Recht vorgesehenen zivilrechtlichen Haftung, IAB Europe für Datenverarbeitungen, die nach der Speicherung der Einwilligungspräferenzen der Nutzer in einem TC-String erfolgen, nur dann als im Sinne der DSGVO verantwortlich angesehen werden, wenn nachgewiesen werden kann, dass dieser Verband Einfluss auf die Festlegung der Zwecke und Modalitäten dieser Weiterverarbeitungen ausgeübt hat.


Den Volltext der Entscheidung finden Sie hier:

EuGH: Europol und Mitgliedstaat haften bei Zusammenarbeit gesamtschuldnerisch für Schäden aufgrund widerrechtlicher Datenverarbeitung

EuGH
Urteil vom 05.03.2024
C-755/21 P
Kočner ./. Europol


Der EuGH hat entschieden, dass Europol und der jeweilige Mitgliedstaat bei Zusammenarbeit gesamtschuldnerisch für Schäden aufgrund widerrechtlicher Datenverarbeitung auf Schadensersatz haften.

Die Pressemitteilung des EuGH:
Datenverarbeitung: Europol und der Mitgliedstaat, in dem aufgrund einer widerrechtlichen Datenverarbeitung im Rahmen der Zusammenarbeit zwischen Europol und diesem Mitgliedstaat ein Schaden eingetreten ist, haften für diesen Schaden gesamtschuldnerisch

Die betroffene Person, die von Europol oder dem betreffenden Mitgliedstaat vollständigen Ersatz ihres Schadens begehrt, muss lediglich nachweisen, dass anlässlich der Zusammenarbeit zwischen diesen beiden Stellen eine widerrechtliche Datenverarbeitung vorgenommen wurde, durch die ihr ein Schaden entstanden ist. Es ist nicht erforderlich, dass sie darüber hinaus nachweist, welcher dieser Stellen die widerrechtliche Verarbeitung zuzurechnen ist.

Nach der Ermordung des slowakischen Journalisten Ján Kuciak und von dessen Verlobter Martina Kušnírová am 21. Februar 2018 in der Slowakei führten die slowakischen Behörden umfangreiche Ermittlungen durch. Auf Ersuchen dieser Behörden extrahierte die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol) die Daten, die auf zwei mutmaßlich Herrn Marian Kočner gehörenden Mobiltelefonen gespeichert waren. Europol übermittelte den genannten Behörden sodann ihre wissenschaftlichen Berichte und übergab eine Festplatte mit den extrahierten verschlüsselten Daten. Im Mai 2019 veröffentlichte die slowakische Presse Informationen betreffend Herrn Kočner, die aus dessen Mobiltelefonen stammten, darunter Transkriptionen seiner intimen Kommunikation. Zudem wies Europol in einem ihrer Berichte darauf hin, dass Herr Kočner seit 2018 wegen des Verdachts einer Finanzstraftat in Haft sei und dass sein Name u. a. unmittelbar mit den sogenannten „Mafia-Listen“ und den „Panama Papers“ in Zusammenhang stehe.

Herr Kočner erhob beim Gericht der Europäischen Union gegen Europol Klage auf eine Entschädigung in Höhe von 100 000 Euro als Ersatz des immateriellen Schadens, den er seiner Ansicht nach aufgrund der rechtswidrigen Verarbeitung seiner Daten erlitten hat. Mit Urteil vom 29. September 20211 wies das Gericht die Klage ab. Es kam zu dem Ergebnis, dass Herr Kočner zum einen keinen Beweis für einen Kausalzusammenhang zwischen dem behaupteten Schaden und dem Verhalten von Europol erbracht habe und zum anderen nicht nachgewiesen habe, dass die sogenannten „Mafia-Listen“ von Europol erstellt und geführt worden seien. Herr Kočner hat daraufhin beim Gerichtshof ein Rechtsmittel eingelegt.

Der Gerichtshof stellt in seinem Urteil fest, dass das Unionsrecht eine Regelung der gesamtschuldnerischen Haftung Europols und des Mitgliedstaats, in dem der Schaden infolge einer widerrechtlichen Datenverarbeitung im Rahmen einer Zusammenarbeit zwischen Europol und diesem Mitgliedstaat eingetreten ist, einführt. In einer ersten Stufe kann die gesamtschuldnerische Haftung Europols bzw. des betreffenden Mitgliedstaats vor dem Gerichtshof der Europäischen Union bzw. vor dem zuständigen nationalen Gericht geltend gemacht werden. Gegebenenfalls kann eine zweite Stufe vor dem Verwaltungsrat von Europol zur Klärung der Frage folgen, ob „letztlich“ Europol und/oder der betreffende Mitgliedstaat für den einer natürlichen Person gewährten Schadensersatz „zuständig“ sind bzw. ist.

Zur Geltendmachung dieser gesamtschuldnerischen Haftung muss die betroffene natürliche Person lediglich im Rahmen der ersten Stufe nachweisen, dass anlässlich der Zusammenarbeit zwischen Europol und dem betreffenden Mitgliedstaat eine widerrechtliche Datenverarbeitung vorgenommen wurde, durch die ihr ein Schaden entstanden ist. Anders als das Gericht entschieden hat, ist es nicht erforderlich, dass diese Person darüber hinaus nachweist, welcher dieser beiden Stellen die widerrechtliche Verarbeitung zuzurechnen ist. Folglich hebt der Gerichtshof das Urteil des Gerichts in diesem Punkt auf.

Der Gerichtshof entscheidet den Rechtsstreit selbst und urteilt, dass die widerrechtliche Datenverarbeitung, die in der Weitergabe von Daten betreffend intime Gespräche zwischen Herrn Kočner und seiner Freundin an Unbefugte zum Ausdruck kam, dazu führte, dass diese Daten durch die slowakische Presse der Öffentlichkeit zugänglich gemacht wurden. Er stellt fest, dass diese widerrechtliche Verarbeitung das Recht von Herrn Kočner auf Achtung seines Privat- und Familienlebens sowie seiner Kommunikation verletzt hat und seine Ehre und sein Ansehen beeinträchtigt hat, wodurch ihm ein immaterieller Schaden entstanden ist. Der Gerichtshof spricht Herrn Kočner eine Entschädigung in Höhe von 2 000 Euro als Ersatz dieses Schadens zu.


Den Volltext der Entscheidung finden Sie hier:

BFH: Juristische Personen haben keine Ansprüche nach der DSGVO und damit auch keinen Auskunftsanspruch gemäß Art. 15 DSGVO

BFH
Beschluss vom 08.02.Februar 2024
IX B 113/22

Der BFH hat entschieden, dass juristische Personen keine Ansprüche nach der DSGVO und damit auch keinen Auskunftsanspruch gemäß Art. 15 DSGVO haben.

Aus den Entscheidungsgründen:
2. Ein Anspruch auf Überlassung der begehrten elektronischen Kopien über den Anwendungsbereich des § 78 FGO hinaus ergibt sich entgegen der Auffassung der Klägerin nicht aus Art. 15 Abs. 1 Halbsatz 2, Abs. 3 DSGVO.

a) Dabei kann dahinstehen, ob ‑‑wie vom X. Senat des BFH bereits entschieden‑‑ die Finanzgerichtsordnung dem Datenschutzrecht und damit auch dem Auskunftsrecht aus Art. 15 DSGVO vorgeht (BFH-Beschluss vom 29.08.2019 - X S 6/19, Rz 23, unter Verweis auf die Stellungnahme der Bundesregierung in ihrer Gegenäußerung zur Bundesratsstellungnahme vom 23.03.2017 zu Nr. 6, BTDrucks 18/11655, S. 27; ebenso BFH-Beschluss vom 18.03.2021 - V B 29/20, BFHE 272, 296, BStBl II 2021, 710, Rz 23; zu § 299 der Zivilprozessordnung vgl. Beschluss des Thüringer Oberlandesgerichts vom 22.06.2023 - 2 VA 5/23; zustimmend z.B. Brandis in Tipke/Kruse, § 78 FGO Rz 1; kritisch Schaz, Deutsche Steuer-Zeitung 2020, 338, 339 f.).

b) Jedenfalls enthält die Datenschutz-Grundverordnung nach deren Art. 1 Abs. 1 und 2 nur Vorschriften zum Schutze natürlicher Personen. Sie erfasst nicht die Daten, die juristische Personen betreffen (EuGH-Urteil J & S Service vom 10.12.2020 - C-620/19, EU:C:2020:1011, Rz 41). Als betroffene Personen kommen daher nur natürliche Personen in Betracht (vgl. Art. 4 Nr. 1 DSGVO). Im Erwägungsgrund 14 der DSGVO heißt es hierzu, dass die Datenschutz-Grundverordnung nicht für die Verarbeitung personenbezogener Daten juristischer Personen und insbesondere als juristische Person gegründeter Unternehmen, einschließlich Name, Rechtsform oder Kontaktdaten der juristischen Person, gilt. Dementsprechend betont der EuGH, dass der Begriff "Informationen, die sich auf Körperschaften beziehen" streng von dem unionsrechtlich definierten Begriff der personenbezogenen Daten natürlicher Personen zu unterscheiden ist. Das Recht natürlicher Personen auf Schutz ihrer personenbezogenen Daten ist ein Grundrecht, das durch Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union garantiert wird. Dagegen werden Informationen, die juristische Personen betreffen, im Unionsrecht nicht in vergleichbarer Weise geschützt (vgl. EuGH-Urteil J & S Service vom 10.12.2020 - C-620/19, EU:C:2020:1011, Rz 46).

Im Streitfall kann die Klägerin, eine GmbH, als juristische Person daher keine Rechte aus Art. 15 DSGVO ableiten.

c) Ob der Gesellschafter-Geschäftsführer der Klägerin gegebenenfalls Rechte betreffend Daten einer sogenannten "Ein-Mann-GmbH" geltend machen kann, braucht der Senat nicht zu entscheiden. Den hier streitgegenständlichen Antrag hat der Gesellschafter-Geschäftsführer der Klägerin nicht als möglicherweise betroffene natürliche Person im eigenen Namen, sondern im Namen der Klägerin, also einer juristischen Person, gestellt.

d) Auch soweit sich die Klägerin auf § 2a Abs. 5 der Abgabenordnung (AO) beruft, begründet dies keine Anwendung des Art. 15 DSGVO. Die Anwendungserweiterung der Datenschutz-Grundverordnung durch § 2a Abs. 5 AO gilt nur für das Besteuerungsverfahren nach der Abgabenordnung (so auch Drüen in Tipke/Kruse, § 2a AO Rz 24a), nicht jedoch für das Verfahren vor den Finanzgerichten.

3. Der erkennende Senat sieht keinen Anlass für die Einholung einer Vorabentscheidung des EuGH nach Art. 267 des Vertrags über die Arbeitsweise der Europäischen Union.

a) Nach Ansicht des Senats bestehen ‑‑auf Grundlage der oben genannten Rechtsprechung des EuGH‑‑ keine Zweifel daran, dass gemäß Art. 1 Abs. 1 und 2 DSGVO juristische Personen keine Rechte aus der Datenschutz-Grundverordnung ableiten können, sondern lediglich die dahinterstehenden, betroffenen (natürlichen) Personen.

b) Mangels Anwendbarkeit der Datenschutz-Grundverordnung ist im vorliegenden Verfahren auch nicht klärbar, ob FA und FG gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO sein können.

c) Die Frage, ob Art. 23 Abs. 1 DSGVO von seinem Anwendungsbereich nationale Gesetzgebungsmaßnahmen, die vor dem Inkrafttreten der Datenschutz-Grundverordnung erlassen wurden, ausschließt, hat der EuGH bereits beantwortet (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 - C-307/22, EU:C:2023:811, Rz 56) und ist im Streitfall auch nicht entscheidungserheblich.


Den Volltext der Entscheidung finden Sie hier:


EuGH-Generalanwalt: Veräußerung einer Datenbank mit personenbezogenen Daten im Zwangsvollstreckungsverfahren kann ohne Zustimmung der Betroffenen DSGVO-konform und zulässig sein

EuGH
Schlussanträge vom 28.02.2024
C-693/22
Verkauf einer Datenbank


Der EuGH-Generalanwalt kommt in seinen Schlussanträgen zu dem Ergebnis, dass die Veräußerung einer Datenbank mit personenbezogenen Daten im Zwangsvollstreckungsverfahren ohne Zustimmung der Betroffenen DSGVO-konform und zulässig sein kann.

Die Pressemitteilung des EuGH:
Nach Ansicht von Generalanwalt Priit Pikamäe kann eine Datenbank mit personenbezogenen Daten unter bestimmten Voraussetzungen im Rahmen eines Zwangsvollstreckungsverfahrens verkauft werden, auch wenn die von diesen Daten betroffenen Personen dem nicht zugestimmt haben.

Das ist dann der Fall, wenn die mit einem solchen Verkauf verbundene Datenverarbeitung in einer demokratischen Gesellschaft zur Sicherstellung der Durchsetzung eines zivilrechtlichen Anspruchs notwendig und verhältnismäßig ist .
Bei einem polnischen Gericht ist ein Rechtsstreit anhängig zwischen einer Gesellschaft und einem Mitglied des Vorstands einer anderen Gesellschaft, die auf den Online-Verkauf spezialisiert ist und gegenüber der die erstgenannte Gesellschaft eine Forderung hat. Die vermögensrechtliche Haftung dieses Mitglieds kann dann geltend gemacht werden, wenn die Schuldnergesellschaft nicht über hinreichende Vermögenswerte verfügt, um die Forderung der Gläubigergesellschaft zu befriedigen. Das Vorstandsmitglied ist jedoch der Ansicht, dass dies nicht der Fall sei, da die Schuldnergesellschaft u. a. zwei Datenbanken mit Daten von Nutzern der von ihr geschaffenen Online-Plattform besitze. Diese Datenbanken enthalten personenbezogene Daten von Hunderttausenden von Personen, die der Verarbeitung ihrer Daten in Form einer Bereitstellung an Dritte außerhalb dieser Plattform nicht zugestimmt haben.

Das polnische Gericht hat Zweifel, ob die Datenschutz-Grundverordnung (DSGVO) es einem Gerichtsvollzieher gestattet, diese Datenbanken in einem Zwangsvollstreckungsverfahren ohne die Zustimmung der von diesen Daten betroffenen Personen zu veräußern, und hat daher den Gerichtshof angerufen.

In seinen Schlussanträgen schlägt Generalanwalt Priit Pikamäe dem Gerichtshof vor, dies zu bejahen.

Seiner Ansicht nach fallen die von dem Gerichtsvollzieher zur Schätzung des Werts der betreffenden Datenbanken und zu ihrer Versteigerung vorgenommenen Handlungen in den Anwendungsbereich der DSGVO. Diese Handlungen umfassten nämlich mindestens das Auslesen, das Abfragen und die Verwendung der personenbezogenen Daten und ihre Bereitstellung an den Erwerber und seien daher als eine „Verarbeitung“ dieser Daten im Sinne dieser Verordnung anzusehen. Zudem meint der Generalanwalt, dass der Gerichtsvollzieher als der für diese Verarbeitung Verantwortliche eingestuft werden müsse.

Außerdem vertritt der Generalanwalt den Standpunk , dass die in Rede stehende Verarbeitung rechtmäßig sei, wenn sie für die Wahrnehmung einer dem Gerichtsvollzieher übertragenen Aufgabe, die in Ausübung öffentlicher Gewalt erfolge, erforderlich sei.

Schließlich stellt der Generalanwalt fest, dass sich der Zweck der von dem Gerichtsvollzieher vorgenommenen Verarbeitung von dem ursprünglichen Zweck unterscheide, der darin bestanden habe, die Nutzung der in Rede stehenden Online-Plattform zu ermöglichen. Damit diese weitere Verarbeitung als mit der DSGVO vereinbar angesehen werden könne, müsse sie eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme zur Erreichung eines der mit dieser Verordnung verfolgten Ziele im öffentlichen Interesse darstellen. Nach Auffassung des Generalanwalts kann unter diesen Zielen das der Durchsetzung zivilrechtlicher Ansprüche grundsätzlich die Verarbeitung der vorliegend in Rede stehenden Daten rechtfertigen. Er hebt auch hervor, dass die Prüfung der Verhältnismäßigkeit, die dem polnischen Gericht obliege, eine Abwägung zwischen dem Eigentumsrecht der Gläubigergesellschaft und dem Recht der Nutzer der in Rede stehenden Online-Plattform auf Schutz personenbezogener Daten impliziere.

Die vollständigen Schlussanträge finden Sie hier:

BayVGH: Erhebung und Speicherung von Drohnenaufnahmen zu Durchführung der Beitrags- und Gebührenerhebung im Rahmen der Abwasserbeseitigung rechtswidrig

BayVGH
Beschluss vom 15.02.2023
4 CE 23.2267


Der BayVGH hat entschieden, dass die Erhebung und Speicherung von Drohnenaufnahmen zu Durchführung der Beitrags- und Gebührenerhebung im Rahmen der Abwasserbeseitigung rechtswidrig ist.

Die Pressemitteilung des Gerichts:
BayVGH: Drohnenbefliegung eines Wohngrundstücks zur Beitragserhebung ist rechtswidrig

Mit Beschluss vom 15. Februar 2024 hat der Bayerische Verwaltungsgerichtshof (BayVGH) die Beschwerde der Stadt Neumarkt-Sankt Veit im Landkreis Mühldorf am Inn zurückgewiesen und die geplante Drohnenbefliegung eines Wohngrundstücks zur Ermittlung der Geschossfläche als rechtswidrig eingestuft.

Die Stadt Neumarkt-Sankt Veit plante ursprünglich für Oktober 2023 eine Drohnenbefliegung verschiedener Wohngrundstücke, um die Geschossfläche der dort vorhandenen Gebäude zu bestimmen. Die dadurch erlangten Daten sollten zur Berechnung des sog. Herstellungsbeitrags dienen, der für den Anschluss von Grundstücken an die gemeindliche Abwasserentsorgung erhoben wird. Nachdem der Antragsteller, dem ein Wohngrundstück im Stadtgebiet gehört, über die geplante Drohnenbefliegung informiert worden war, wandte er sich an das Verwaltungsgericht München, das seinem Eilantrag stattgab. Gegen diesen Beschluss legte die Stadt Beschwerde zum BayVGH ein.

Der BayVGH wies die Beschwerde der Stadt zurück. Dem Antragsteller stehe ein Unterlassungsanspruch zu, der eine Drohnenbefliegung seines Grundstücks verbiete. Für die geplante Maßnahme fehle es bereits an einer Rechtsgrundlage. Hierfür könne insbesondere nicht die Generalklausel des bayerischen Datenschutzgesetzes herangezogen werden. Diese lässt eine Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zu, wenn sie zur Erfüllung einer ihr obliegenden Aufgabe erforderlich ist. Die Vorschrift erlaube eine Erhebung personenbezogener Daten jedoch nur dann, wenn es sich um einen geringfügigen Eingriff in die Rechte der betroffenen Person handele. Der Einsatz der Drohne stelle aber einen erheblichen Eingriff in das vom Grundgesetz geschützte allgemeine Persönlichkeitsrecht des Antragstellers dar. Auch wenn das Wohngebäude von außen aufgenommen werde, sei die schützenswerte Privatsphäre betroffen. Denn mit der Drohne könnten Aufnahmen von zur Wohnung zählenden Terrassen, Balkonen oder Gartenflächen hergestellt werden. Zudem könnten die sich dort aufhaltenden Personen fotografiert werden. Weiter sei nicht auszuschließen, dass durch Glasflächen auch Innenräume erfasst würden.

Der Beschluss des BayVGH ist unanfechtbar.

(BayVGH, Beschluss vom 15. Februar 2024, Az.: 4 CE 23.2267)



VG Berlin: Auskunftsanspruch aus Art. 15 DSGVO kann ein unverhältnismäßiger Aufwand zur Auskunftserteilung nur ein eng begrenzten Ausnahmefällen entgegengehalten werden

VG Berlin
Urteil vom 06.02.2024
1 K 187/21


Das VG Berlin hat entschieden, dass einem Auskunftsanspruch aus Art. 15 DSGVO ein unverhältnismäßiger Aufwand zur Auskunftserteilung nur ein eng begrenzten Ausnahmefällen entgegengehalten werden kann.

Aus den Entscheidungsgründen:
Soweit der Kläger – mit seinem Antrag zu 1.) – die Verpflichtung der Beklagten begehrt, die ihm unter dem 18. November 2020 erteilte Auskunft zu vervollständigen und ihm Auskunft über seine bis zum Datum seines Auskunftsantrages in den Verwaltungsvorgängen der Beklagten verarbeiteten personenbezogenen Daten zu erteilen, indem die Beklage ihm eine Kopie dieser Daten zur Verfügung stellt, ist die nach § 42 Abs. 1 Alt. 2 VwGO statthafte (vgl. BVerwG, Urteil vom 30. November 2022 - 6 C 10.21, juris Rn. 14) und auch sonst zulässige Verpflichtungsklage begründet (§ 113 Abs. 5 Satz 1 VwGO).

Grundlage für den insoweit geltend gemachten Anspruch ist Art. 15 Abs. 1 i.V.m. Abs. 3 Satz 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung - DSGVO).

Sinn und Zweck des Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO ist es, wie sich u.a. aus Erwägungsgrund 63 zur DSGVO ergibt, den Betroffenen in die Lage zu versetzen, von einer Verarbeitung ihn betreffender personenbezogener Daten Kenntnis zu erhalten, um im Folgenden nicht nur die Richtigkeit dieser Daten, sondern auch die Zulässigkeit ihrer Verarbeitung überprüfen und im Folgenden ggf. die ihm nach den Art. 16f. DSGVO zustehenden Rechte – beispielweise auf Löschung oder Einschränkung der Verarbeitung der Daten – ausüben zu können (EuGH, Urteil vom 4. Mai 2023 - C-487, juris Rn. 33f.). Gerade für eine Rechtmäßigkeitskontrolle ist aber, worauf der Kläger zu Recht hingewiesen hat, eine bloß abstrakte Übersicht über die verarbeiteten Daten nicht ausreichend, weshalb der Anspruch des Klägers nicht durch die ihm unter dem 18. November 2020 erteilte Auskunft der Beklagten erloschen ist, die sich lediglich auf die in den IT-Systemen der Beklagten gespeicherten (Stamm-)Daten des Klägers erstreckte. Vielmehr bedarf es, um die Rechtmäßigkeit der Datenverarbeitung im jeweiligen Einzelfall überprüfen zu können, notwendigerweise der konkreten Mitteilung, in welchem Kontext die Daten verarbeitet wurden (EuGH, Urteil vom 4. Mai 2023, a.a.O. Rn. 41f.; vgl. auch EuGH, Urteil vom 22. Juni 2023 - C-579/21, juris Rn. 64f., 66). Dies lässt sich regelmäßig durch Zurverfügungstellung einer Kopie i.S.d. Art. 15 Abs. 3 Satz 1 DSGVO erreichen, d.h. einer vollständigen, originalgetreuen Reproduktion der verarbeiteten Daten (EuGH, Urteil vom 4. Mai 2023, a.a.O. Rn. 32, 39 und Urteil vom 22. Juni 2023, a.a.O.; vgl. auch EuGH, Urteil vom 26. Oktober 2023 - C-307/22, juris Rn. 79).

Der Klagebegründung zufolge (vgl. Schriftsatz vom 22. Dezember 2023, S. 3, 4) soll der geltend gemachte Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO auf diese Weise erfüllt werden. Durch die (dementsprechend tenorierte) Verpflichtung der Beklagten zur Zurverfügungstellung einer Kopie i.S.d. Art. 15 Abs. 3 Satz 1 DSGVO wird zugleich der durch den Kläger weiter geltend gemachten Anspruch auf Auskunft über die sogenannten „Metadaten“ i.S.d. Art. 15 Abs. 1 HS. 2 lit. a) bis h) DSGVO erfüllt (vgl. Urteil der Kammer vom 10. Januar 2024 - VG 1 K 73/22, UA S. 5f.).

Dem damit dem Grunde nach bestehenden Anspruch des Klägers aus Art. 15 Abs. 1 i.V.m. Abs. 3 Satz 1 DSGVO kann die Beklagte nicht mit Erfolg den Einwand der Unverhältnismäßigkeit oder des Rechtsmissbrauchs entgegenhalten.

Das Gericht verkennt nicht, dass mit der Zurverfügungstellung von Kopien aller in den Verwaltungsvorgängen der Beklagten enthaltenen Dokumente, in denen personenbezogene Daten des Klägers verarbeitet werden, nicht nur wegen der in jedem Einzelfall erforderlichen Prüfung entgegenstehender Rechte i.S.d. Art. 15 Abs. 4 DSGVO ein erheblicher Aufwand einhergeht. Aufgrund der Bedeutung des – grundsätzlich unbedingt gewährleisteten – Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO kommt eine Weigerung des Verantwortlichen, einem Auskunftsbegehren wegen des zu seiner Erfüllung zu treibenden unverhältnismäßigen Aufwandes Folge zu leisten, jedoch nur in eng begrenzten Ausnahmefällen in Betracht, beispielsweise bei einem offenkundig groben Missverhältnis zwischen den zur Erfüllung des Auskunftsanspruches erforderlichen Anstrengungen und dem Informationsinteresse des Betroffenen (vgl. Urteil der Kammer vom 12. Oktober 2023 - 1 K 561/21, juris Rn. 60). Diese Voraussetzung ist hier jedoch – trotz des großen Umfangs der durch die Beklagte zu sichtenden und vor einer Herausgabe an den Kläger ggf. zu anonymisierenden Akten – nicht erfüllt. Denn der Kläger hat unter Bezugnahme auf die besondere Schutzwürdigkeit seiner personenbezogenen Daten (vgl. hierzu das den Beteiligten bekannte Urteil der Kammer vom 10. Juni 2020 - VG 1 K 143/16, UA S. 9f.) plausibel dargelegt, dass er vorrangig deren Weitergabe durch die Beklagte an Dritte nachvollziehen wolle (die laut der Mitteilung der Beklagten an den Kläger vom 18. November 2020 mehrfach erfolgt ist), um diesen Dritten gegenüber eventuell die Löschung oder die Einschränkung der Verarbeitung der Daten geltend zu machen. Dem lässt sich allein dadurch Rechnung tragen, dass die Beklagte die betreffenden Dokumente in Kopie an den Kläger herausgibt; eine abstrakte Mitteilung der Empfänger der Daten ist nach dem oben Gesagten für die jeweils erforderliche Einzelfallprüfung nicht ausreichend. Der Einwand des Rechtsmissbrauchs, an den gleichermaßen strenge Anforderungen zu stellen sind, greift vor diesem Hintergrund ebenfalls nicht durch.


Den Volltext der Entscheidung finden Sie hier:



OLG Naumburg: Recht auf Löschung gemäß Art. 17 Abs. 1 DSGVO gilt nach Art. 17 Abs. 3 lit. b DSGVO nicht in Handelsregistersachen - Schwärzung von Unterschriften im Handelsregister

OLG Naumburg
Beschluss vom 11.01.2023
5 Wx 14/22


Das OLG Naumburg hat entschieden, dass das Recht auf Löschung gemäß Art. 17 Abs. 1 DSGVO nach Art. 17 Abs. 3 lit. b DSGVO nicht in Handelsregistersachen gilt. Vorliegend ging es um die Schwärzung von Unterschriften im Handelsregister.

Aus den Entscheidungsgründen:
Nach § 59 Abs. 1 FamFG steht demjenigen die Beschwerde zu, der durch einen gerichtlichen Beschluss in seinen Rechten beeinträchtigt ist. Es muss sich um die unmittelbare Beeinträchtigung eines eigenen materiellen Rechts handeln (vgl. BGH FamRZ 2011, 465 mwN; BGHZ 1, 343, 351). Eine solche Beeinträchtigung ist hier nicht gegeben, weil den Beteiligten ein Anspruch auf Schwärzung ihrer Unterschriften unter keinem denkbaren Gesichtspunkt zukommt.

a) Das von den Beteiligten reklamierte Recht auf Löschung gem. Art. 17 Abs. 1 DS-GVO findet aufgrund der Ausnahmevorschrift des Art. 17 Abs. 3 lit. b DS-GVO im Registerwesen keine Anwendung (hierzu MüKoHGB/Krafka, 5. Aufl. 2021, HGB § 10a Rn. 13, 14; BT-Drs. 18/12611, S. 68). Danach ist die Art. 17 Abs. 1 DS-GVO unanwendbar, wenn „die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“. Dass die Tätigkeit eines Hoheitsträgers, die darauf gerichtet ist, in Erfüllung von Publizitätspflichten übermittelte Daten in einer Datenbank zu speichern sowie interessierten Personen Einsicht zu gewähren, zur Ausübung hoheitlicher Befugnisse gehört, hat der Europäische Gerichtshof bereits entschieden (EUGH ZD 2012, 522). Eine solche Tätigkeit stellt zudem auch eine im öffentlichen Interesse liegende Aufgabe im Sinne des Art. 17 Abs. 3 lit. b DS-GVO dar (Pauly/Paal, 3. Aufl. 2021, DS-GVO Art. 17 Rn. 43).

Im Übrigen hat der Europäische Gerichtshof in der Rechtssache Salvator Manni zur von der DS-GVO abgelösten Datenschutz-RL, die eine mit Art. 17 Abs. 3 lit. b DS-GVO vergleichbare Anwendungsausnahme nicht kannte, hervorgehoben, dass die Registerpublizität grundsätzlich Vorrang vor dem Persönlichkeitsschutz genießt (EuGH ZD 2017, 325, 327). Ein Löschungsbegehren kam daher schon unter Herrschaft Datenschutz-RL nur in besonderen Ausnahmefällen in Betracht, also in Konstellationen, in denen der Betroffene besonders schutzbedürftig erscheint (zur Übertragbarkeit der Grundsätze auf die DS-GVO Hübner, ZHR 183 [2019], 540, 571]). Eine solche Schutzbedürftigkeit der Beteiligten ist hinsichtlich der hier streitbefangenen Unterschriften nicht ersichtlich.

b) Auch auf Art. 16 Abs. 1 DS-GVO können sich die Beteiligten nicht berufen. Denn der dort geregelte Berichtigungsanspruch setzt eine - hier nicht gegebene - unrichtige Angabe in Bezug auf personenbezogene Daten voraus.

c) Schließlich folgt auch kein Löschungsanspruch aus den Grundrechten der Beteiligten. Zwar steht einem solchen, anders als das Registergericht meint, nicht bereits entgegen, dass die Beteiligten die Veröffentlichung ihrer Unterschriften seinerzeit willentlich veranlassten und es damit an einer Grundrechtsbeeinträchtigung fehlte (zum Grundrechtsverzicht BVerfGE 106, 28, 44 f.; Sachs, GG, 9. Aufl. 2021, Vorbemerkungen zu Abschnitt I, Rn. 55). Denn angesichts der (faktischen) Erweiterung der Einsichtsrechte in das Register und die dort eingestellten Dokumente infolge der Digitalisierungsrichtlinie und ihrer Umsetzung in nationales Recht durch das DiRUG aufgrund der Statuierung der Kostenfreiheit der Einsicht verlöre die ursprüngliche Einwilligung ihre Geltung und wäre ein fortwirkender Verzicht auf die in Art. 7, 8 GRCh verankerten Grundrechte der Beteiligten auf Achtung des Privatlebens und auf Schutz personenbezogener Daten sowie das allgemeine Persönlichkeitsrecht aus Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG ausgeschlossen (zum Verhältnis der deutschen Grundrechte zu europäischen in - wie hier - nicht vollständig unionsrechtlich determinierten Bereichen mit nationalen Gestaltungsspielräumen BVerfG, NJW 2020, 300, 302).


Gleichwohl können die Beteiligten nicht die Schwärzung ihrer Unterschriften in den zum Register seinerzeit eingereichten Unterlagen verlangen. Anerkanntermaßen ist ein grundrechtlicher (Folgen-)Beseitigungsanspruch insoweit begrenzt, als die in der Rechtsfolge begehrte Handlung rechtlich und tatsächlich möglich sein muss (BVerwGE 69, 366, 370; 82, 76, 95; BVerwG, NVwZ 1998, 1292, 1294; Bay. VGH, NVwZ 1999, 1237). Diese Schranken kommen hier zur Anwendung: Denn einmal in den Registerordner eingestellte Dokumente können zum Schutz der Registerwahrheit grundsätzlich nicht verändert werden (vgl. BR-Drs. 560/22, S. 29). Daher ist es nicht Aufgabe des Registergerichts, in freigegebene Dokumente nachtäglich einzugreifen. Daran ändert auch der mit Wirkung zum 23. Dezember 2022 neu eingefügte § 9 Abs. 7 HRV nichts. Nach dieser Vorschrift ist beim Austausch eines in den Registerordner eingestellten Dokuments gegen ein neues Dokument der Austausch kenntlich zu machen und das Datum der Aufnahme des alten Dokuments in den Registerordner anzugeben. Diese Vorschrift setzt die Möglichkeit des nachträglichen Austausches von Dokumenten damit zwar voraus. Doch erstreben die Beteiligten hier keinen unter die Vorschrift fallenden Austausch von Dokumenten, sondern begehren die Veränderung des Ausgangsdokuments. Auf die von § 9 Abs. 7 HRV nicht beantwortete Frage, unter welchen Voraussetzungen ein Austausch überhaupt möglich ist, kommt es hier nicht an. Im Übrigen wäre der § 9 Abs. 7 HRV unterfallende Austausch vom Notar, und nicht, wie hier, den Beteiligten gegenüber dem Registergericht zu veranlassen (vgl. § 12 Abs. 2 HGB).

Den Volltext der Entscheidung finden Sie hier:

KG Berlin: Auch gegen juristische Person kann unmittelbar DSGVO-Bußgeld verhängt werden - Deutsche Wohnen

KG Berlin
Beschluss vom 22.01.2024
3 Ws 250/21, 161 AR 84/21, 3 Ws 250/21 - 161 AR 84/21


Das KG Berlin hat entschieden, dass auch unittelbar gegen juristische Person ein DSGVO-Bußgeld verhängt werden kann.

Aus den Entscheidungsgründen:
Mit Bußgeldbescheid vom 30. Oktober 2019 hat die Berliner Beauftragte für den Datenschutz (im Folgenden: BlnBDI) gegen das betroffene Unternehmen (im Folgenden: Betroffene) Geldbußen festgesetzt. Mit dem Bußgeldbescheid ist der Betroffenen vorgeworfen worden, es zwischen dem 25. Mai 2018 und dem 5. März 2019 vorsätzlich unterlassen zu haben, die notwendigen Maßnahmen zur Ermöglichung der regelmäßigen Löschung nicht mehr benötigter oder in sonstiger Weise zu Unrecht gespeicherter Daten von Mietern zu treffen. Weiter hat der Bußgeldbescheid den Vorwurf enthalten, personenbezogene Daten von mindestens 15 näher bezeichneten Mietern fortgesetzt gespeichert zu haben, obwohl bekannt gewesen sei, dass dies nicht oder nicht mehr erforderlich war. Wegen des vorsätzlichen Verstoßes gegen Art. 25 Abs. 1, Art. 5 Abs. 1 a), c) und e) DS-GVO hat die Geldbuße 14.385.000 Euro betragen. Wegen Verstößen gegen Art. 6 Abs. 1 DS-GVO sind 15 weitere Geldbußen mit Beträge zwischen 3.000 und 17.000 Euro festgesetzt worden.

Auf den Einspruch der Betroffenen hat das Landgericht Berlin das Verfahren nach § 46 Abs. 1 OWiG i. V. m. § 206a StPO durch den angefochtenen Beschluss eingestellt. Das Landgericht hat die Auffassung vertreten, der Bußgeldbescheid habe unter so gravierenden Mängeln gelitten, dass er nicht Grundlage des Verfahrens sein könne. Namentlich ist das Landgericht der Auffassung gewesen, eine juristische Person könne nicht Betroffene eines Bußgeldverfahrens sein, auch nicht in einem solchen nach Art. 83 DS-GVO. Da einer juristischen Person lediglich ein Handeln ihrer Organmitglieder oder Repräsentanten zugerechnet werden könne, könne diese in einem Bußgeldverfahren nur als Nebenbeteiligte fungieren. Die Verhängung einer Geldbuße gegen eine juristische Person sei in § 30 OWiG abschließend geregelt, der über § 41 Abs. 1 BDSG auch für Verstöße nach Art. 83 Abs. 4 bis 6 DS-GVO Anwendung finde. Die in § 83 DS-GVO kodifizierte unmittelbare Unternehmenshaftung verstoße gegen das im deutschen Recht verankerte Schuldprinzip und könne daher nicht angewendet werden.

Hiergegen hat die Staatsanwaltschaft Berlin sofortige Beschwerde eingelegt. Der Senat hat das Verfahren durch Beschluss vom 6. Dezember 2021 ausgesetzt und nach Art. 267 Abs. 3 AEUV eine Vorabentscheidung des Gerichtshofs der Europäischen Union u.a. zu der Frage eingeholt, ob Art. 83 Abs. 4-6 DS-GVO dahin auszulegen sei, „dass es den Art. 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des § 30 OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf“. Der EuGH hat durch Urteil vom 5. Dezember 2023 (C-807/21 – [juris]) wie folgt entschieden: „Art. 58 Abs. 2 Buchst. i und Art. 83 Abs. 1 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass sie einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSG-VO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde“. In einem weiteren Ausspruch desselben Urteils heißt es, dass „eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat“.

Mit Beschluss vom Folgetag hat der Senat angeordnet, dass das Verfahren fortgesetzt wird.

Die sofortige Beschwerde der Staatsanwaltschaft hat Erfolg. Nach Maßgabe des in dieser Sache ergangenen Urteils des Europäischen Gerichtshofs ist die Betroffene unbeschadet ihrer Eigenschaft als juristische Person taugliche Adressatin eines Bußgeldbescheids (1.). Das durch das Landgericht angenommene Verfahrenshindernis eines unwirksamen Bußgeldbescheids besteht nicht (2.).

1. Dass die Betroffene als juristische Person taugliche Adressatin eines Bußgeldbescheids sein kann und als solche zudem unmittelbar und nicht nur als Verfahrens- oder Nebenbeteiligte bebußt werden kann, ergibt sich aus dem in diesem Verfahren ergangenen Urteil des EuGH (Urteil vom 5. Dezember 2023 – C-807/21 – [juris]). Der Gerichtshof führt aus, es sei möglich, „die in Art. 83 DSG-VO für solche Verstöße vorgesehenen Geldbußen unmittelbar gegen juristische Personen zu verhängen, wenn diese als für die betreffende Verarbeitung Verantwortliche eingestuft werden können“ (Rn. 44). Dies folgt, so der EuGH weiter, daraus, dass Unternehmen „nicht nur für Verstöße haften, die von ihren Vertretern, Leitern oder Geschäftsführern begangen wurden, sondern auch für Verstöße, die von jeder anderen Person begangen wurden, die im Rahmen der unternehmerischen Tätigkeit und im Namen dieser juristischen Personen handelt“ (Rn. 44). Die hierdurch – und zwar unabhängig von einem individualisierbaren Organisationsdefizit oder einer Aufsichtspflichtverletzung – möglich gewordene unmittelbare Bebußung von juristischen Personen wird auch durch die Verteidigung, soweit aus ihrem Schriftsatz vom 15. Januar 2024 ersichtlich, nicht mehr in Frage gestellt.

2. Der Bußgeldbescheid der BlnBDI erfüllt die Wirksamkeitsvoraussetzungen des § 66 Abs. 1 OWiG und stellt eine ausreichende Verfahrensgrundlage dar. Ein Verfahrenshindernis besteht insoweit nicht.

a) Nach § 66 OWiG muss der Bußgeldbescheid „die Bezeichnung der Tat, die dem Betroffenen zur Last gelegt wird, Zeit und Ort ihrer Begehung, die gesetzlichen Merkmale der Ordnungswidrigkeit und die angewendeten Bußgeldvorschriften“ enthalten. Der Bußgeldbescheid muss den Tatvorwurf nach gefestigtem Verständnis formal und sachlich umgrenzen (Umgrenzungsfunktion) und den Betroffenen ausreichend über den Tatvorwurf unterrichten (Informationsfunktion) (vgl. BGHSt 23, 336; Senat Verkehrsrecht aktuell 2019, 123 [Volltext bei juris]; OLG Celle ZfSch 2015, 649).

b) Hier ist rechtstechnisch zusätzlich zu beachten, dass die in § 66 OWiG niedergelegten verfahrensbezogenen Anforderungen an die Gestaltung des Bußgeldbescheids den durch den EuGH formulierten Grundsätzen des materiellen Rechts folgen. Die vom EuGH entwickelten sachlich-rechtlichen Grundzüge der Verbandsgeldbuße überformen, prägen und gestalten das diesbezügliche nationale Verfahrensrecht. Formuliert der EuGH etwa, die Bebußung erfordere nicht, dass ein „Verstoß von einer identifizierten natürlichen Person begangen wurde“ (Rn. 46), so folgt daraus zwingend, dass sich die Bezeichnung einer solchen natürlichen Person auch nicht aus dem nationalen Verfahrensrecht, hier § 66 OWiG, ergeben muss.

Der Auffassung der Verteidigung, die Wirksamkeit des Bußgeldbescheids als Verfahrensvoraussetzung bemesse sich nach § 66 OWiG, trifft damit allgemein zu, denn eine Suspendierung der gesamten Vorschrift steht auch angesichts des nun anzuwendenden europarechtskonformen Verantwortungs- und Haftungsregimes nicht in Rede. Vielmehr sieht Art. 83 Abs. 8 DSG-VO vor, dass die „Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde“ unionsrechtskompatiblen Verfahrensgarantien „einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren“ unterliegt. Daher verweist § 41 BDSG auf Verfahrensvorschriften des OWiG und der StPO, und auch § 66 OWiG ist als grundlegendes nationales Verfahrensrecht anwendbar. Seine Auslegung allerdings richtet sich hier nach den sachlich-rechtlichen Vorgaben des übergeordneten Europarechts in der durch den EuGH nun gegebenen Ausprägung.

c) Unter Zugrundelegung der Maßgaben aus der Vorabentscheidung des EuGH und ihrer Weiterungen auf das nationale Verfahrensrecht erfüllt der Bußgeldbescheid der BlnBDI die Voraussetzungen des § 66 OWiG. Ohne Weiteres grenzt der Bußgeldbescheid den Gegenstand des Verfahrens in persönlicher, sachlicher und rechtlicher Hinsicht ab, und die Betroffene kann mühelos erkennen, welcher konkrete Vorwurf gegen sie erhoben wird. Namentlich die durch § 66 Abs. 1 Nr. 3 OWiG erforderten Essentialia, nämlich die „Bezeichnung der Tat, die dem Betroffenen zur Last gelegt wird“ sowie „Zeit und Ort ihrer Begehung“, sind bei der gebotenen funktional-normativen Betrachtung eingehalten.

Der Bußgeldbescheid wirft der Betroffenen vor, es zwischen dem 25. Mai 2018 und dem 5. März 2019 vorsätzlich unterlassen zu haben, die notwendigen Maßnahmen zur Ermöglichung der regelmäßigen Löschung nicht mehr benötigter oder in sonstiger Weise zu Unrecht gespeicherter Daten von Mietern zu treffen. Weiter wird ihr vorgeworfen, personenbezogene Daten von mindestens 15 näher bezeichneten Mietern fortgesetzt gespeichert zu haben, obgleich bekannt gewesen sei, dass dies nicht oder nicht mehr erforderlich war.

Diese – hier nur kursorisch zusammengefassten – Vorwürfe sind im Bußgeldbescheid ausgesprochen konkret und ausführlich dargestellt. Der Bußgeldbescheid bezeichnet die insgesamt 16 Tathandlungen auf mehr als 17 Seiten in einer ausdifferenzierten und nachgerade ziselierten Weise. Die Ausführungen vermitteln der Betroffenen präzise, was ihr vorgeworfen wird, und sie ermöglichen es ihr, sich hiergegen zu verteidigen. Dabei ist auch zu beachten, dass es sich bei den vorgeworfenen Handlungen (oder Unterlassungen) ersichtlich um keine Individualexzesse in einem Dunkelbereich des Unternehmens handelt. Gegenstand des Bußgeldverfahrens bildet die Speicherung bzw. Archivierung (oder Nichtlöschung) von Kundendaten. Es geht um einfach gelagerte und verständliche Sachverhalte und im Letzten um gewöhnliche Vorgänge in einem operativen Unternehmensbereich.

d) Nicht folgen kann der Senat der Überlegung der Betroffenen, der Bußgeldbescheid müsse konkretisieren, „welches Organ durch welche Handlung die Voraussetzungen des § 30 OWiG erfüllt hat“. Abgesehen davon, dass der Bußgeldbescheid die Rechtsverstöße auch in ihrer Entstehung („Handlung“) durchaus nachvollziehbar darstellt und umreißt, deduziert sich ein solches Erfordernis aus der überkommenen Vorstellung, eine Verbandshaftung erfordere das Verschulden eines Repräsentanten (§ 30 OWiG) oder eine Aufsichtspflichtverletzung (§ 130 OWiG). Sie lässt die europarechtlichen Einflüsse auf das Verbandsanktionenrecht außen vor und missachtet die Rechtsprechung des EuGH im hiesigen Vorabentscheidungsverfahren. Wenn der EuGH ausdrücklich formuliert, die Bebußung erfordere nicht, dass ein „Verstoß von einer identifizierten natürlichen Person begangen wurde“ (Rn. 46), so stellt er klar, dass juristische Personen dafür verantwortlich sind, dass Daten im Rahmen ihrer unternehmerischen Tätigkeit rechtmäßig verarbeitet werden (Rn. 44). Sanktioniert wird hiernach nicht (nur) eine fehlerhafte Organisation, sondern gerade die Pflichtverletzung des Verbands bzw. im Verband, als „genuine Verbandstat“ (vgl. als Kritik an der überkommenen nationalen Rechtslage: HK-OWiG/Schmitt-Leonardy, 2. Aufl., § 30 Rn. 13). Nach der Vorabentscheidung des EuGH ist auch eine juristische Person schuldfähig, so dass es zu einem Gleichlauf von Verantwortlichkeit und Haftbarkeit kommt (vgl. Grages/Strassemeyer, CR 2024, 10). Damit fallen alle Personen, die im Rahmen der unternehmerischen Tätigkeit handeln, in den abstrakten Verantwortungskreis der juristischen Person, und selbst eine normentsprechende Organisation führt – jedenfalls in aller Regel – nicht zur Exkulpation. Dies entspricht dem Effektivitätsgrundsatz des europäischen Rechts.

Dass der Verband (materiell-rechtlich) allein datenschutzrechtlich Verantwortlicher ist (vgl. Wünschelbaum, DSB 2024, 15), wirkt sich damit unmittelbar auf die verfahrensrechtlich gebotene Darstellungsdichte im Bußgeldbescheid aus. Insbesondere muss dieser gerade nicht bezeichnen, welchem Repräsentanten oder welchem „Organ“ welche konkrete Handlung oder welches konkrete Unterlassen zur Last fällt. Im Übrigen bleibt es aber auch insoweit dabei, dass der hier zu beurteilende Bußgeldbescheid die Tathandlungen bemerkenswert und – gemessen an den vom EuGH formulierten materiell-rechtlichen Haftungsvoraussetzungen ersichtlich – überobligatorisch konkret darstellt.

e) Auch kann sich der Senat der noch weitergehenden Überlegung der Verteidigung nicht anschließen, es sei sogar „unverzichtbar, dass ein Bußgeldbescheid die verfahrensmaßgeblichen Handlungen der natürlichen Person beschreibt“, um einen Vorwurf gegen den Verband „erkennen, abgrenzen, bewerten und sich gegen ihn verteidigen zu können“. Auch diese Auffassung verstößt eklatant gegen das im hiesigen Verfahren ergangene Urteil des EuGH. Das durch die Verteidigung erkannte Erfordernis geht darüber hinweg, dass eine Sanktionierung gerade nicht erfordert, dass ein „Verstoß von einer identifizierten natürlichen Person begangen wurde“ (Rn. 46). Dieses klare EuGH-Diktum ist mit der Forderung der Verteidigung, der Bußgeldbescheid müsse die „Handlung der natürlichen Person beschreiben“, ersichtlich unvereinbar. Allerdings gilt auch insoweit: Der Bußgeldbescheid beschreibt die vorgeworfenen Handlungen – zum großen Teil in der Form des Unterlassens der Löschung, teilweise als unterlassene Kennzeichnung von Daten – nachvollziehbar und deutlich. Der Betroffenen ist es möglich und unbenommen, im Bußgeldverfahren darzustellen, dass die Daten nicht gespeichert oder rechtmäßig gespeichert und ggf. rechtzeitig gelöscht wurden. Jedenfalls unter Zugrundelegung der vom EuGH umrissenen Grundzüge einer umfassenden Unternehmensverantwortung ist nicht ersichtlich, dass eine noch ausführlichere und noch „konkretere“ Darstellung der Tatvorwürfe im Bußgeldbescheid die Verteidigungsmöglichkeiten der Betroffenen substantiell erweitern könnte. Durch das EuGH-Judikat verringerte Exkulpationsmöglichkeiten sind nicht Folge eines unkonkret bleibenden Bußgeldbescheids, sondern einer dem Effektivitätsgrundsatz geschuldeten europarechtskonform erweiterten Verbandsverantwortung.

f) Folgerichtig ist der Verteidigung schließlich auch darin zu widersprechen, die Bezeichnung der dem Organ vorwerfbaren Tat sei unerlässliche Voraussetzung des Bußgeldbescheids. Dieses ehedem bestehende Erfordernis, das dem limitierten Haftungsregime des nationalen Rechts folgte, ist durch die im hiesigen Verfahren ergangene Vorabentscheidung des EuGH zu einer umfassenden Verbandsverantwortung nach kartellrechtlichem Vorbild obsolet. In dieser heißt es, „dass die Anwendung von Art. 83 DSG-VO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans“ voraussetzt (Rn. 77).

3. Da kein Verfahrenshindernis besteht, war der angefochtene Beschluss aufzuheben, und die Sache ist an das Landgericht zurückzuverweisen. Funktional zuständig ist nicht die große Strafkammer (Wirtschaftskammer), sondern die Kammer für Bußgeldsachen (§ 47 Abs. 7 OWiG). Der Senat kann nachvollziehen, dass die Kammer entgegen einer analogen Anwendung des § 68 Abs. 1 Satz 2 OWiG nicht durch Einzelrichter entschieden hat, sondern – wohl entsprechend §§ 46 Abs. 1 OWiG, 76 Abs. 1 GVG – zuletzt eine Besetzung gewählt hat, die der einer großen Strafkammer entspricht (vgl. zur funktionalen Zuständigkeit und zur Besetzungsfrage Brodowski/Nowak in BeckOK Datenschutzrecht, 46. Edition, § 41 BDSG Rn. 16). Hierfür spricht, dass sich die sachliche Zuständigkeit des Landgerichts (§ 41 Abs. 1 Satz 3 BDSG) aus dem Streben nach einer verbesserten Kontrolle ableiten dürfte, die sich jedenfalls im Leitbild aus der Beteiligung mehrerer (Berufs-) Richter ergibt.

4. Eine Kostenentscheidung ist in Bezug auf das Rechtsmittel nicht veranlasst (ex arg. BGH WuW 2020, 615). Über die Kosten des Vorabentscheidungsverfahrens hat an sich das vorlegende Gericht zu entscheiden (Art. 102 EuGHVerfO). Das Vorabentscheidungsverfahren erweist sich aber lediglich als Zwischenverfahren des gleichfalls unselbständigen Beschwerdeverfahrens, durch dessen Entscheidung das Bußgeldverfahren nicht abgeschlossen wird. Da das Bußgeldverfahren beim Landgericht Berlin fortgesetzt und durch dieses entschieden wird, ist es angemessen, dass die Kammer für Bußgeldsachen in der abschließenden Kostengrundentscheidung über die Kosten des Vorabentscheidungsverfahrens mitentscheidet (vgl. bei ähnlicher Konstellation BGH WM 1996, 1889 unter Bezug auf EuGH GRUR Int. 1996, 147).


Den Volltext der Entscheidung finden Sie hier:


ArbG Hamburg: Kein Mitbestimmungsrecht des Betriebsrats bei Gestattung der Nutzung von ChatGPT und anderer KI-Lösungen

ArbG Hamburg
Beschluss vom 16.01.2024
24 BVGa 1/24


Das ArbG Hamburg hat entschieden, dass kein Mitbestimmungsrecht des Betriebsrats bei Gestattung der Nutzung von ChatGPT und anderer KI-Lösungen besteht.

Aus den Entscheidungsgründen:
b) Der Antrag ist unbegründet, denn es fehlt bereits an einem Verfügungsanspruch des Beteiligten zu 1. (§§ 935, 940 ZPO, § 85 Abs. 2 ArbGG).

aa) Es kann dabei dahinstehen, ob ein Anspruch aus § 23 Abs. 3 BetrVG im Wege des einstweiligen Rechtsschutzes geltend gemacht werden kann (bejahend: LAG Rheinland-Pfalz vom 24.01.2019 – 2 TaBVGa 6/18; Fitting, § 23 BetrVG, Rn.76, Oetker, in: GK-BetrVG, § 23 BetrVG, Rn. 262; ablehnend: Besgen, in: Beck-OK Arbeitsrecht, § 23 BetrVG, Rn. 35; Koch, in: ErfK, § 23 BetrVG, Rn. 23; Thüsing, in: Richardi, § 23 BetrVG, Rn. 105), denn die Voraussetzungen des § 23 Abs. 3 BetrVG liegen nicht vor. Die Beteiligte zu 2. hat mit dem Einstellen von Guidelines, Handbuch und KI-Richtlinien ohne zuvor den Konzernbetriebsrat beteiligt zu haben, keine groben Verstöße gegen ihre Pflichten aus dem BetrVG begangen.

(1) Entgegen der Rechtsauffassung des Antragstellers hat die Beteiligte zu 2. mit den vorgenannten Maßnahmen, die zur Gestattung der Nutzung von ChatGPT und vergleichbarer Konkurrenzprogramme durch die Mitarbeiter geführt haben, § 87 Abs. 1 Nr. 1 BetrVG nicht verletzt.

Nach dieser Vorschrift hat der Betriebsrat mitzubestimmen in Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb. Gegenstand des Mitbestimmungsrechts ist das betriebliche Zusammenleben und kollektive Zusammenwirken der Beschäftigten. Es beruht darauf, dass die Beschäftigten ihre vertraglich geschuldete Leistung innerhalb einer vom Arbeitgeber vorgegebenen Arbeitsorganisation erbringen und deshalb dessen Weisungsrecht unterliegen. Das berechtigt den Arbeitgeber dazu, Regelungen vorzugeben, die das Verhalten der Beschäftigten im Betrieb beeinflussen und koordinieren sollen. Solche Maßnahmen bedürfen der Zustimmung des Betriebsrats. Dies soll gewährleisten, dass die Beschäftigten gleichberechtigt an der Gestaltung des betrieblichen Zusammenlebens teilhaben können (BAG vom

Gemäß der ständigen Rechtsprechung des BAG hat der Betriebsrat entgegen dem überschießenden Wortlaut nur mitzubestimmen bei Maßnahmen, die das so genannte Ordnungsverhalten der Arbeitnehmer betreffen. Dieses ist berührt, wenn die Maßnahme auf die Gestaltung des kollektiven Miteinander oder die Gewährleistung und Aufrechterhaltung der vorgegebenen Ordnung des Betriebs zielt (BAG vom 27.09.2005 - 1 ABR 32/04). Mitbestimmungsfrei sind dagegen Maßnahmen, die das so genannte Arbeitsverhalten der Beschäftigten regeln. Darum handelt es sich, wenn der Arbeitgeber kraft seines arbeitsver-raglichen Weisungsrechts näher bestimmt, welche Arbeiten auszuführen sind und in welcher Weise das geschehen soll. Mitbestimmungsfrei sind deshalb Anordnungen, mit denen lediglich die Arbeitspflicht konkretisiert wird (BAG vom 23.08.2018 – 2 AZR 235/18). Die Entscheidung, ob, wann und wie die vertraglich zugesagte Arbeit zu erledigen ist und wie deren Erbringung kontrolliert und gesichert wird, fällt nicht unter den Mitbestimmungstatbestand (BAG vom 15.04.2014 – 1 ABR 85/12).

Wendet man diese Grundsätze der ständigen BAG-Rechtsprechung an, so fallen die Vorgaben zur Nutzung von ChatGPT und vergleichbarer Tools unter das mitbestimmungsfreie Arbeitsverhalten (so auch: Holthausen, RdA 2023, S. 261 ff.; Kalbfus/Schöberle, NZA 2023, S. 251 ff.; Witteler, ZD 2023, S. 377 ff.). Die Beteiligte zu 2. stellt ihren Arbeitnehmern ein neues Arbeitsmittel unter bestimmten Bedingungen zur Verfügung. Richtlinien, Handbuch usw. sind somit Anordnungen, welche die Art und Weise der Arbeitserbringung betreffen, weshalb kein Mitbestimmungsrecht aus § 87 Abs. 1 Nr. 1 BetrVG besteht.

Der Antragsteller hat in der mündlichen Verhandlung den Einwurf erhoben, dass durch die Erlaubnis der Beteiligten zu 2., die Arbeitnehmer können entscheiden, ob sie ChatGPT einsetzen, letztlich zwei Gruppen von Arbeitnehmern geschaffen wer/den, nämlich die Gruppe der Arbeitnehmer, die Künstlicher Intelligenz aufgeschlossen und die Gruppe, die dieser Entwicklung skeptisch gegenüberstehen, weshalb das Zusammenleben der Belegschaft und damit das Ordnungsverhalten betroffen seien. Eine solche Ansicht hätte zur Konsequenz, dass die nicht flächendeckende Einführung neuer Arbeitsmittel für vergleichbare Arbeitnehmer stets zu einer Zweiteilung führt, nämlich der Gruppe, welche das neue Arbeitsmittel einsetzt und der Gruppe, die noch mit den alten Arbeitsmitteln ihre Arbeitspflicht erfüllt, so dass in diesen Fällen der Betriebsrat zu beteiligen wäre, obwohl der Arbeitgeber nur Anordnungen getroffen hat, wie die Arbeit zu leisten ist. Dies ist mit dem gesetzgeberischen Willen, warum § 87 Abs. 1 Nr. 1 BetrVG ein Beteiligungsrecht begründen soll, nicht vereinbar.

(2) Auch das Mitbestimmungsrecht aus § 87 Abs. 1 Nr. 6 BetrVG hat die Beteiligte zu 2. nicht verletzt. Nach § § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat u.a. mitzubestimmen bei der Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Das Mitbestimmungsrecht ist darauf gerichtet, Arbeitnehmer vor Beeinträchtigungen ihres Persönlichkeitsrechts durch den Einsatz technischer Überwachungseinrichtungen zu bewahren, die nicht durch schutzwerte Belange des Arbeitgebers gerechtfertigt und unverhältnismäßig sind (BAG vom 03.12.2016 – 1 ABR 7/15). „Überwachung“ im Sinne des Mitbestimmungsrechts ist ein Vorgang, durch den Informationen über das Verhalten oder die Leistung von Arbeitnehmern seitens des Arbeitgebers erhoben und – jedenfalls in der Regel – aufgezeichnet werden, um sie auch späterer Wahrnehmung zugänglich zu machen. Die Informationen müssen auf technische Weise ermittelt und dokumentiert werden, so dass sie zumindest für eine gewisse Dauer verfügbar bleiben und vom Arbeitgeber herangezogen werden können. Die Überwachung muss durch die technische Einrichtung selbst bewirkt werden. Dazu muss diese aufgrund ihrer technischen Natur unmittelbar die Überwachung vornehmen. Das setzt voraus, dass die technische Einrichtung selbst und automatisch die Daten über bestimmte Vorgänge erhebt, speichert und/oder verarbeitet. Ausreichend ist, wenn lediglich ein Teil des Überwachungsvorgangs mittels einer technischen Einrichtung erfolgt. Zur Überwachung „bestimmt“ sind technische Einrichtungen, wenn sie objektiv geeignet sind, dass der Arbeitgeber Verhaltens- oder Leistungsinformationen über den Arbeitnehmer erheben und aufzuzeichnen kann. Auf die subjektive Überwachungsabsicht des Arbeitgebers kommt es nicht an ((BAG vom 03.12.2016 – 1 ABR 7/15).

Vorliegend ist unstreitig, dass ChatGPT und die vergleichbaren Konkurrenzprodukte nicht auf den Computersystemen der Beteiligten zu 2. installiert wurden. Will ein Arbeitnehmer diese Tools nutzen, muss er diese wie jede andere Homepage auch, mittels eines Browsers aufrufen. Zwar wird der Browser die Einwahl regelmäßig aufzeichnen. Dies stellt aber keine Besonderheit von ChatGPT dar, sondern ergibt sich aus den Funktionsmöglichkeiten des Browsers, der den Surfverlauf des Nutzers abspeichert. Der Browser selbst ist somit eine technische Einrichtung, die geeignet ist, Leistungs- und Verhaltensinformationen der Arbeitnehmer aufzuzeichnen. Zur Nutzung von Browsern haben die Beteiligten eine Konzernbetriebsvereinbarung abgeschlossen, weshalb der Antragsteller sein Mitbestimmungsrecht aus § 87 Abs. 1 S. 1 BetrVG bereits ausgeübt hat.

Unstreitig ist, dass der Arbeitnehmer selbst einen Account bei ChatGPT anlegen und eventuell entstehende Kosten auch selbst tragen muss, weshalb die Beteiligte zu 2. keinerlei Meldung erhält, wann welcher Arbeitnehmer wie lange und mit welchem Anliegen ChatGPT genutzt hat. Dass der Hersteller etwa von ChatGPT die vorgenannten Daten aufzeichnet, ist zu unterstellen. Dies führt aber nicht zur Mitbestimmung, denn der dadurch entstehende Überwachungsdruck wird nicht vom Arbeitgeber ausgeübt. Die Beteiligte zu 2. kann auf die vom Hersteller gewonnenen Informationen nicht zugreifen. Mit der Nutzung von ChatGPT vergleichbar ist etwa „beck-online“ (Datenbank des Beck-Verlags), wenn der Nutzer seinen eigenen Account angelegt und die Kosten selber zu tragen hat.

Auch die Vorgabe der Beteiligten zu 2., dass Arbeitnehmer Arbeitsergebnisse, die mittels Unterstützung von Künstlicher Intelligenz entstanden sind, kennzeichnen müssen, führt nicht zu einem Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Wie ausgeführt muss die technische Einrichtung die Überwachung selbst bewirken, um eine Mitbestimmung auszulösen. Die Kennzeichnung und die damit verbundene Kontrollmöglichkeit der Beteiligten zu 2., wer Chatbots einsetzt, erfolgt aber hier durch den Arbeitnehmer selbst und nicht durch das Tool.

(3) Ebenfalls ist ein Mitbestimmungsrecht aus § 87 Abs. 1 Nr. 7 BetrVG nicht ersichtlich. Voraussetzung für das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 7 BetrVG i.V.m. § 3a Abs. 1 S. 1 ArbStättV; § 3 Abs. 1 S. 1 ArbStättV ist eine vorliegende oder im Rahmen einer Gefährdungsbeurteilung nach § 5 ArbSchG festgestellte konkrete Gefährdung der Mitarbeiter (LAG Düsseldorf vom 09.01.2018 – 3 TaBVGa 6/17). Zu einer konkreten Gefährdung hat der Antragsteller nichts vorgetragen, sie sind auch sonst nicht erkennbar.

(4) Dahinstehen kann, ob die Beteiligte zu 2. die Unterrichtungs- und Beratungsrechte des Betriebsrats nach § 90 Abs. 1 Nr. 3, Abs. 2 BetrVG hinreichend erfüllt hat, denn ein einmaliger Verstoß gegen § 90 BetrVG stellt noch keine grobe Pflichtverletzung i.S.d. § 23 Abs. 3 BetrVG dar.

bb) Ein Verfügungsanspruch ergibt sich auch nicht aus § 87 Abs. 1 BetrVG. Zwar steht dem Betriebsrat zum Schutz seiner in § 87 Abs. 1 BetrVG aufgeführten Mitbestimmungsrechte ein negatorischer Beseitigungs- und Unterlassungsanspruch zu (BAG vom 23.03.2021 – 1 ABR 31/19; Richardi/Maschmann, in: Richardi, § 87 BetrVG, Rn. 134 ff.). Wie dargelegt ist aber im vorliegenden Fall kein Mitbestimmungsrecht des Antragsstellers berührt, weshalb auch kein Beseitigungsanspruch besteht.

cc) Aus § 90 BetrVG kann sich ein Verfügungsanspruch nicht ergeben, denn § 90 BertVG gewährt lediglich Unterrichtungs- und Beratungsrechte, aber kein Mitbestimmungsrecht, das den Arbeitgeber an einer einseitigen Durchführung der Maßnahme hindert. Daher würde eine einstweilige Verfügung gerichtet auf Beseitigung oder Unterlassen einer Maßnahme über den Hauptanspruch hinausgehen (vgl. nur: Fitting, § 90 BetrVG, Rn. 48).


Den Volltext der Entscheidung finden Sie hier:

EuGH-Generalanwalt: Verbandsklagebefugnis für Verbraucherschutzverbände bei DSGVO-Verstoß - Verletzung der Informationspflicht aus Art. 12 Abs. 1 Satz 1 und Art. 13 Abs. 1 Buchst. c, e DSGVO

EuGH-Generalanwalt
Schlussanträge vom 25.01.2024
C‑757/22
Meta Platforms Ireland Limited
gegen
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V.


Der EuGH-Generalanwalt kommt in seinen Schlussanträgen zu dem Ergebnis, dass die Verbandsklagebefugnis für Verbraucherschutzverbände bei DSGVO-Verstößen u.a. dann anzunehmen ist, wenn es um die Verletzung der Informationspflicht aus Art. 12 Abs. 1 Satz 1 DSGVO und Art. 13 Abs. 1 Buchst. c und e DSGVO geht.

Ergebnis des EuGH-Generalanwalts:
Art. 80 Abs. 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass

die Bedingung, wonach eine ermächtigte Einrichtung, um eine Verbandsklage nach dieser Bestimmung erheben zu können, geltend machen muss, dass ihres Erachtens die Rechte einer betroffenen Person aus der DSGVO infolge einer Verarbeitung verletzt worden sind, voraussetzt, dass diese Einrichtung eine Verarbeitung personenbezogener Daten sowie einen Zusammenhang zwischen der Rechtsverletzung und der Verarbeitung behauptet. Die Bedingung ist erfüllt, wenn die Klage im Zusammenhang mit einer Verarbeitung personenbezogener Daten darauf gestützt wird, dass der Verantwortliche die Informationspflicht gemäß Art. 12 Abs. 1 Satz 1 in Verbindung mit Art. 13 Abs. 1 Buchst. c und e DSGVO verletzt hat, da eine solche Verletzung die Verarbeitung rechtswidrig machen kann.

Die vollständigen Schlussanträge finden Sie hier:


EuGH: Parlamentarischer Untersuchungsausschuss muss Vorgaben der DSGVO einhalten es sei denn die nationale Sicherheit ist betroffen

EuGH
Urteil vom 16.01.2024
C-33/22
Österreichische Datenschutzbehörde


Der EuGH hat entschieden, dass ein parlamentarischer Untersuchungsausschuss die Vorgaben der DSGVO einhalten muss, es sei denn, die Tätigkeit betrifft die nationale Sicherheit.

Die Pressemitteilung des EuGH:
Ein parlamentarischer Untersuchungsausschuss muss grundsätzlich die Datenschutz-Grundverordnung einhalten

Dies gilt nicht, wenn er eine die nationale Sicherheit betreffende Tätigkeit ausübt.

Ein vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzter Untersuchungsausschuss muss grundsätzlich die Datenschutz-Grundverordnung (DSGVO) einhalten. Gibt es in diesem Mitgliedstaat nur eine Aufsichtsbehörde, ist diese grundsätzlich auch für die Überwachung der Einhaltung der DSGVO durch den Untersuchungsausschuss zuständig. Übt der Untersuchungsausschuss jedoch eine Tätigkeit aus, die als solche der Wahrung der nationalen Sicherheit dient, unterliegt er nicht der DSGVO und folglich auch nicht der Kontrolle durch die Aufsichtsbehörde.

Der Nationalrat, die Abgeordnetenkammer des österreichischen Parlaments, setzte einen Untersuchungsausschuss ein, um eine mögliche politische Einflussnahme auf das Bundesamt für Verfassungsschutz und Terrorismusbekämpfung aufzuklären.

Dieser Untersuchungsausschuss befragte medienöffentlich eine Auskunftsperson. Das Protokoll dieser Befragung wurde auf der Webseite des österreichischen Parlaments veröffentlicht. Es enthielt den vollständigen Namen der Auskunftsperson, obwohl diese die Anonymisierung beantragt hatte.

Da die Nennung ihres Namens aus der Sicht der Auskunftsperson gegen die DSGVO verstieß, brachte sie bei der österreichischen Datenschutzbehörde eine Beschwerde ein. Sie legte dar, als verdeckter Ermittler bei der polizeilichen Einsatzgruppe für die Bekämpfung der Straßenkriminalität tätig zu sein. Die Datenschutzbehörde wies die Beschwerde mit der Begründung zurück, dass sie aufgrund des Gewaltenteilungsgrundsatzes als Teil der Exekutive nicht kontrollieren könne, ob der Untersuchungsausschuss, der der Legislative zuzurechnen sei, die DSGVO einhalte. Die Auskunftsperson bekämpfte diese Entscheidung sodann vor den österreichischen Gerichten.

Der österreichische Verwaltungsgerichtshof möchte vom Gerichtshof wissen, ob der Untersuchungsausschuss, der der Legislative zuzurechnen ist und Tätigkeiten betreffend die nationale Sicherheit untersucht, der DSGVO und damit der Kontrolle der Datenschutzbehörde unterliegt.

Der Gerichtshof stellt fest, dass auch ein vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzter Untersuchungsausschuss grundsätzlich die DSGVO einzuhalten hat.

Zwar ist die DSGVO nicht auf Verarbeitungen personenbezogener Daten anwendbar, die von Behörden im Rahmen einer Tätigkeit vorgenommen werden, die der Wahrung der nationalen Sicherheit dient. Vorbehaltlich einer Überprüfung durch den österreichischen Verwaltungsgerichtshof scheint die in Rede stehende Untersuchung jedoch nicht als solche der Wahrung der nationalen Sicherheit zu dienen. Der Untersuchungsausschuss sollte nämlich eine mögliche politische Einflussnahme auf eine der Exekutive zuzurechnende Behörde prüfen, die für Verfassungsschutz und Terrorismusbekämpfung zuständig war.

Allerdings können Beschränkungen der sich aus der DSGVO ergebenden Pflichten und Rechte im Wege von Gesetzgebungsmaßnahmen aufgrund der nationalen Sicherheit gerechtfertigt sein. Aus der Akte ergibt sich jedoch nicht, dass der in Rede stehende Untersuchungsausschuss dargetan hätte, dass die Offenlegung des Namens der Auskunftsperson für die Gewährleistung der nationalen Sicherheit erforderlich gewesen sei und auf einer Gesetzgebungsmaßnahme beruht habe. Es ist jedoch Sache des österreichischen Verwaltungsgerichtshofs, die in diesem Zusammenhang erforderlichen Überprüfungen vorzunehmen.

Da Österreich entschieden hat, nur eine Aufsichtsbehörde im Sinne der DSGVO einzurichten, nämlich die Datenschutzbehörde, ist diese grundsätzlich auch für die Überwachung der Einhaltung der DSGVO durch einen Untersuchungsausschuss wie den in Rede stehenden zuständig, und zwar ungeachtet des Gewaltenteilungsgrundsatzes. Dies ergibt sich aus der unmittelbaren Wirkung der DSGVO und dem Anwendungsvorrang des Unionsrechts, einschließlich gegenüber nationalem Verfassungsrecht.


Tenor der Entscheidung:

1. Art. 16 Abs. 2 Satz 1 AEUV und Art. 2 Abs. 2 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass nicht angenommen werden kann, dass eine Tätigkeit allein deshalb außerhalb des Anwendungsbereichs des Unionsrechts liegt und damit der Anwendung dieser Verordnung entzogen ist, weil sie von einem vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschuss ausgeübt wird.

2. Art. 2 Abs. 2 Buchst. a der Verordnung 2016/679 im Licht des 16. Erwägungsgrundes dieser Verordnung ist dahin auszulegen, dass die Tätigkeiten eines vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses, die der Untersuchung der Tätigkeiten einer polizeilichen Staatsschutzbehörde aufgrund des Verdachts politischer Einflussnahme auf diese Behörde dienen, als solche nicht als die nationale Sicherheit betreffende Tätigkeiten im Sinne dieser Bestimmung anzusehen sind, die außerhalb des Anwendungsbereichs des Unionsrechts liegen.

3. Art. 77 Abs. 1 und Art. 55 Abs. 1 der Verordnung 2016/679 sind dahin auszulegen, dass diese Bestimmungen, wenn ein Mitgliedstaat im Einklang mit Art. 51 Abs. 1 DSGVO bloß eine einzige Aufsichtsbehörde eingerichtet hat, sie aber nicht mit der Zuständigkeit für die Überwachung der Anwendung dieser Verordnung durch einen vom Parlament dieses Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschuss ausgestattet hat, dieser Behörde unmittelbar die Zuständigkeit übertragen, über Beschwerden betreffend von diesem Untersuchungsausschuss durchgeführte Verarbeitungen personenbezogener Daten zu befinden.

Den Volltext der Entscheidung finden Sie hier:


EuGH: Verpflichtungen der gemeinsam für eine Verarbeitung personenbezogener Daten Verantwortlichen sind nicht notwendigerweise vom Bestehen einer Vereinbarung abhängig

EuGH
Urteil vom 11.01.2024
C‑231/22


Der EuGH hat entschieden, dass die Verpflichtungen der gemeinsam für eine Verarbeitung personenbezogener Daten Verantwortlichen nicht notwendigerweise vom Bestehen einer Vereinbarung abhängig sind.

Tenor der Entscheidung:
1. Art. 4 Nr. 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass die für das Amtsblatt eines Mitgliedstaats zuständige Einrichtung oder Stelle, die nach den Rechtsvorschriften dieses Staates u. a. verpflichtet ist, Rechtsakte und amtliche Dokumente unverändert zu veröffentlichen, die von Dritten in eigener Verantwortung unter Einhaltung der geltenden Vorschriften erstellt wurden und anschließend bei einer Justizbehörde, die sie der Einrichtung oder Stelle zum Zweck der Veröffentlichung übermittelt, hinterlegt wurden, trotz fehlender Rechtspersönlichkeit als für die Verarbeitung der in diesen Rechtsakten und Dokumenten enthaltenen personenbezogenen Daten „Verantwortlicher“ eingestuft werden kann, wenn die Zwecke und Mittel der durch das Amtsblatt vorgenommenen Verarbeitung personenbezogener Daten durch das betreffende nationale Recht vorgegeben sind.

2. Art. 5 Abs. 2 in Verbindung mit Art. 4 Nr. 7 und Art. 26 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass die für das Amtsblatt eines Mitgliedstaats zuständige Einrichtung oder Stelle, die als „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO eingestuft wird, in Bezug auf die von ihr nach nationalem Recht vorzunehmenden Verarbeitungen personenbezogener Daten für die Einhaltung der in Art. 5 Abs. 1 DSGVO genannten Grundsätze allein verantwortlich ist, es sei denn, aus dem nationalen Recht ergibt sich in Bezug auf diese Verarbeitungen eine gemeinsame Verantwortlichkeit mit anderen Stellen.

Den Volltext der Entscheidung finden Sie hier:

LAG Thüringen: Kein Anspruch auf Löschung einer Abmahnung aus der Personalakte nach Art. 17 DSGVO wenn die Abmahnung Gegenstand einer Schadensersatzklage ist

LAG Thüringen
Urteil vom 24.10.2023
5 Sa 424/22, 1 Ca 212/22


Das LAG Thüringen hat entschieden, dass kein Anspruch auf Löschung einer Abmahnung aus der Personalakte nach Art. 17 DSGVO besteht, wenn die Abmahnung Gegenstand einer Schadensersatzklage ist.

Aus den Entscheidungsgründen:
Nach Beendigung des Arbeitsverhältnisses hat ein Arbeitnehmer regelmäßig keinen Anspruch mehr auf Entfernung aus der Personalakte, selbst einer zu Unrecht erteilten Abmahnung. Ein solcher Anspruch kann nur ausnahmsweise gegeben sein, wenn objektive Anhaltspunkte dafür bestehen, eine Abmahnung könne dem Arbeitnehmer auch noch nach Beendigung des Arbeitsverhältnisses schaden (BAG 19. April 2012 - 2 AZR 233/11 - Rn. 51). Der Kläger hat vorliegend keine entsprechenden Gründe dargelegt.

Vielmehr verfolgt der Kläger mit demselben Verfahren Schadensersatzansprüche gegenüber der Beklagten wegen der Verletzung von Persönlichkeitsrechten. Dabei spielt die streitgegenständliche Abmahnung die zentrale Rolle. Hieraus ergibt sich ein Dokumentationserfordernis der Beklagten, hier die Aufbewahrung der Abmahnung, zumindest bis zur endgültigen Klärung der Schadensersatzklage (vgl. auch Sächsisches LAG 31.03.2023 - 4 Sa 117/21 - Rn. 45).

Auch der Hinweis des Klägers auf die Vorschrift des § 17 DSGVO führt zu keinem anderen Ergebnis. Nach Art. 17 Abs. 1 a DSGVO besteht ein Anspruch auf Löschung der betreffenden personenbezogenen Daten, sofern die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Da die vorliegende streitige Abmahnung Gegenstand der Schadensersatzklage ist, besteht zumindest bis zur rechtskräftigen Beendigung des Verfahrens nach Art. 17 Abs. 3 a DSGVO kein Löschungsanspruch, da dieser zur Ausübung und Verteidigung von Rechtsansprüchen erforderlich ist.

2. Mit dem Berufungsvorbringen vermochte der Kläger auch das Bestehen eines Anspruchs auf Widerruf mittels öffentlichen Aushangs nicht begründen. Ein Widerrufsanspruch als quasinegatorischer Beseitigungsanspruch mittels öffentlichen Aushangs setzt voraus, dass der zu widerrufende Vorwurf auf gleiche Weise bekannt gegeben wurde. Nur in einem solchen Fall kann der Arbeitnehmer den Widerruf etwa durch öffentlichen Aushang verlangen (vgl. BAG 21. Februar 1979 - 5 AZR 568/77 - Leitsatz 1 und Rn. 16 – 20). Eine Bekanntgabe oder Veröffentlichung der gegenüber dem Kläger erhobenen Vorwürfe ist nicht vorgetragen worden. Vielmehr ist unstreitig, dass die Beklagte dem Kläger die Abmahnung im verschlossenen Umschlag übergeben hat. Die erste Instanz hat insoweit zu Recht sogar darauf hingewiesen, dass die Abmahnung weder betriebsintern bekannt geworden noch der Arbeitgeber ein etwaiges betriebsinternes Bekanntwerden zu verantworten habe.

3. Auch das Bestehen eines Schmerzensgeldanspruchs konnte der Kläger mit seinem Berufungsvorbringen nicht dartun. Zwar verweist er auf die maßgebliche höchstrichterliche Rechtsprechung, wonach bei schweren Eingriffen in das Persönlichkeitsrecht des Arbeitnehmers ein Schmerzensgeldanspruch in Betracht kommt. Der Vorwurf des Verbreitens von Unwahrheiten stellt jedoch ohne Hinzutreten weiterer Umstände keine Straftat dar. Wie bereits unter Ziffer 1 erläutert, ist der eigentliche Vorwurf in der Abmahnung, der Kläger habe nicht vor Dienstbeginn am 18.10.2021 seine Arbeitsverhinderung unverzüglich mitgeteilt, unbestritten. Mit dem Erstgericht ist die Kammer auch der Auffassung, dass eine fortwirkende Herabsetzung des Rufs des Klägers ohne die Beeinträchtigung in seinem beruflichen Fortkommen nicht erkennbar ist.


Den Volltext der Entscheidung finden Sie hier:


VG München: DSGVO-Verstoß durch Erhebung und Speicherung von Drohnenaufnahmen zu Durchführung der Beitrags- und Gebührenerhebung im Rahmen der Abwasserbeseitigung

VG München
Beschluss vom 22.11.2023
M 7 E 23.5047


Das VG München hat entschieden, dass die Erhebung und Speicherung von Drohnenaufnahmen zu Durchführung der Beitrags- und Gebührenerhebung im Rahmen der Abwasserbeseitigung nicht mit der DSGVO vereinbar ist.

Aus den Entscheidungsgründen:
3. Auch aus dem unionalen und nationalen Datenschutzrecht dürfte keine Ermächtigung zur Durchführung der streitgegenständlichen Maßnahmen folgen.

Der Anwendungsbereich der DSGVO ist eröffnet, da es sich bei den Informationen, die durch die streitgegenständlichen Maßnahmen erhoben werden sollen, um personenbezogene Informationen i. S. v. Art. 4 Nrn. 1 und 2 DSGVO handelt. Ein Personenbezug liegt nicht nur dann vor, wenn die Maßnahmen Personen möglicherweise (mit-)aufzeichnen, was hier durchaus im Bereich des Möglichen liegen könnte (vgl. OVG Saarl, U.v. 14.9.2017 ‒ 2 A 213/16 ‒ juris Rn. 23). Selbst wenn durch die streitgegenständlichen Maßnahmen tatsächlich keine Person mitaufgezeichnet würde, liegt der Personenbezug jedoch gleichwohl vor. Gemäß Art. 4 Nr. 1 DSGVO bezeichnen „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten etc. identifiziert werden kann. Die Informationen erfüllen die jeweils eigenständig zu prüfenden Merkmale (vgl. Klar/Kühling in Kühling/Buchner, DSGVO-BDSG, 3. Aufl. 2020, DSGVO Art. 4 Rn. 11) des Personenbezugs und der Identifizierbarkeit der Person. Bei den bildlichen Aufzeichnungen und ihrer anschließenden Auswertung insbesondere durch Erstellen von Modellen handelt sich nicht um Sachdaten, sondern um Informationen, die sich auf eine natürliche Person beziehen. Wenn in der Information über eine Sache aufgrund individualisierender Identifikationsmerkmale, des Detaillierungsgrads oder der Einzigartigkeit der Sache ein Personenbezug angelegt ist, handelt es sich um ein personenbezogenes Datum (vgl. Klar/Kühling a.a.O. Rn. 13). Der Personenbezug ergibt sich bei den streitgegenständlichen Maßnahmen aus mehreren Erwägungen. Es handelt sich bei den bildlichen Aufzeichnungen von Grundstücken (und daraus erstellten Modellen) nicht lediglich um Sachdaten, sondern um personenbezogene Daten. Der Personenbezug ergibt sich aus der Georeferenziertheit der Daten und der nachträglichen Bearbeitung der Daten durch den Ingenieurdienstleister. Die bildlichen Aufzeichnungen („Rohdaten“) zeigen stets auch die exakten Positionsdaten der Drohne wie die Flughöhe im Augenblick des Bildes, die geographische Lagebestimmung, die Aufnahmerichtung und den Neigungswinkel an. Auch die nachträgliche Verknüpfung der bildlichen Aufzeichnung mit den Informationen wie Name, Anschrift und Flurstücknummer stellt den Personenbezug i. S. v. Art. 4 Nr. 1 DSGVO her (ausdrücklich für die Anschrift als individualisierendes Identifikationsmerkmal Klar/Kühling a.a.O. Rn. 13). Zudem weisen die beabsichtigten Aufnahmen einen hohen Detailgrad auf und es handelt sich bei den aufzuzeichnenden Informationen um Wohngrundstücke. Die Aufzeichnungen sollen u. a. Terrassen und Balkone erfassen. Durch (leicht) seitliche Aufnahmen werden bei dem beabsichtigten Vorgehen auch Fenster zu (Wohn-)Räumen erfasst. Auch wenn man zu Gunsten der Antragsgegnerin von einem Detailgrad von drei Zentimetern ausgeht, könnten konkrete Details der Wohnverhältnisse erfasst werden. Auf nicht-überdachten Flächen wie Terrassen könnten Gegenstände von einer Größe über drei Zentimeter erfasst werden. Unter überdachten Flächen ist die Aufzeichnung der Wohnverhältnisse nicht ausgeschlossen. Die (leicht) seitliche Perspektive würde auch das Erfassen der Wohnverhältnisse in der Nähe eines Fensters oder einer Glastür ermöglichen. Wie weit durch die seitliche Perspektive der Einblick in Fenster und Glastüren ermöglicht wird, hängt von der konkreten Flugroute, während der Aufzeichnungen angefertigt werden, sowie von der vorhandenen Bebauung, dem Abstand zwischen den Gebäuden und dem Baumbestand ab. Je größer der Abstand zwischen zwei Wohngebäuden und je geringer der Baumbestand wäre, desto umfassender wären die möglichen Aufzeichnungen der Wohnverhältnisse. Ob der Ingenieurdienstleister die Grundstücke einzelnen befliegt oder eine zusammenhängende Befliegung mehrerer benachbarter Grundstücke „am Stück“ bei durchgehender Aufzeichnung vornimmt, kann zumindest im Eilverfahren offenbleiben. Bei lebensnaher Betrachtung ergeben sich die Vorzüge der Drohnenbefliegung gegenüber anderen Möglichkeiten der Geschossflächenermittlung indes daraus, dass in einem oder wenigen einheitlichen Vorgängen eine Vielzahl von Grundstücken erfasst wird. Bei durchgehender Aufzeichnung während der Befliegung wäre eine besonders weitreichende Aufzeichnung der Wohnverhältnisse durch Fenster und Glastüren möglich. Der Antragsteller ist durch die verarbeiteten Informationen auch identifizierbar. Ausgehend von den durch den Ingenieurdienstleister erstellten Modellen und Plänen folgt die Identität des Antragstellers unmittelbar aus der Information selbst. Mit Blick auf die Rohdaten wie bspw. „Orthofotos“ ist der Antragsteller zumindest unter Zuhilfenahme weiterer Informationen identifizierbar.

Die Verarbeitung personenbezogener Daten dürfte auch nicht gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. e, Abs. 3 Satz 1 Buchst. b DSGVO i. V. m. Art. 4 Abs. 1 BayDSG rechtmäßig sein.

Richtet sich die Datenverarbeitung gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. e, Abs. 3 Satz 1 Buchst. b DSGVO nach dem Recht der Mitgliedstaaten, handelt es sich bei Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO nicht um die Rechtsgrundlage zur Datenverarbeitung, sondern um eine Vorschrift mit Richtliniencharakter. Die eigentliche Legitimationsgrundlage muss im (unionalen oder) nationalen Recht geregelt sein. Für öffentliche Stellen der Länder ist gemäß § 1 Abs. 1 Satz 1 BDSG der Anwendungsbereich des Bayerischen Landesdatenschutzgesetzes eröffnet, vgl. auch Art. 1 Abs. 1 Satz 1 BayDSG. Die von Art. 6 Abs. 3 Satz 1 Buchst. b DSGVO vorausgesetzte Rechtsgrundlage ist Art. 4 Abs. 1 BayDSG (vgl. Wilde/Ehmann/Niese/Knoblauch Datenschutz in Bayern, Stand: Juni 2018, BayDSG Art. 4 Rn. 3; Buchner/Petri in Kühling/Buchner, DSGVO-BDSG, 3. Aufl. 2020, DSGVO Art. 6 Rn. 73).

Die streitgegenständlichen Maßnahmen dürften nicht gemäß Art. 4 Abs. 1 BayDSG zur Erfüllung einer der Antragsgegnerin obliegenden Aufgabe erforderlich sein. Da es sich bei Art. 4 Abs. 1 BayDSG um eine Durchführungsvorschrift handelt, richtet sich die Bestimmung der Begriffe „Aufgabe“ und „Erforderlichkeit“ nach Art. 6 Abs. 1 Unterabs. 1 Buchst. e, Art. 23 Abs. 1 Buchst. a bis Buchst. e DSGVO (vgl. vgl. Wilde/Ehmann/Niese/Knoblauch Datenschutz in Bayern, Stand: Juni 2018, BayDSG Art. 4 Rn. 6). Die Durchführung der Beitrags- und Gebührenerhebung im Rahmen der Abwasserbeseitigung fällt unter den Auffangtatbestand von Art. 23 Abs. 1 Buchst. e DSGVO (vgl. Bäcker in Kühling/Buchner, DSGVO-BDSG, 3. Aufl. 2020, Art. 23 Rn. 22) als wichtiges Ziel des allgemeinen öffentlichen Interesses. Wirtschaftliche und finanzielle Interessen werden von Art. 23 Abs. 1 Buchst. e DSGVO explizit aufgeführt.

Die streitgegenständlichen Maßnahmen dürften jedoch nicht zur Durchführung der Beitrags- und Gebührenerhebung im Rahmen der Abwasserbeseitigung erforderlich sein. Bei dem Kriterium der Erforderlichkeit handelt es sich um einen autonomen Begriff des Unionsrechts (vgl. Albers/Veit in Wolff/Brink/v.Ungern-Sternberg, BeckOK Datenschutzrecht, 45. Edition, DSGVO Art. 6 Rn. 60). Die Voraussetzung der Erforderlichkeit stellt sicher, dass der Verantwortliche ein vorgegebenes Ziel nicht zum Anlass nimmt, überschießend personenbezogene Daten zu verarbeiten (vgl. Buchner/Petri in Kühling/Buchner, DSGVO-BDSG, 3. Aufl. 2020, DSGVO Art. 6 Rn. 118, 81). Gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO ist eine Datenverarbeitung erforderlich, wenn ohne die Verarbeitung die Erreichung des Zwecks nicht, nur unzulänglich, nicht mit angemessenem Aufwand oder nicht in angemessener Zeit erfolgen könnte. Nach Erwägungsgrund 39 zur DSGVO sollten personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Ob Aufwand und Zeit angemessen sind, beurteilt sich nach einer Güterabwägung, in die einerseits die Schutzwürdigkeit der personenbezogenen Daten und andererseits der Verarbeitungszweck einzustellen ist (vgl. Wilde/Ehmann/Niese/Knoblauch in Datenschutz in Bayern, Stand Juni 2018, DSGVO Art. 6 Rn. 35).

Die streitgegenständlichen Maßnahmen dürften nicht erforderlich in diesem Sinne sein. Entgegen dem Vortrag der Antragsgegnerin dürften andere Verfahrensmöglichkeiten bestehen, mit denen der Zweck der Datenverarbeitung auch in zumutbarer Weise zu erreichen ist. So hat auch die Antragsgegnerin neben dem Befliegungsverfahren weitere Verfahrensmöglichkeiten zur Ermittlung der Geschossfläche in Betracht gezogen: die Grundstücksbegehung und das Selbstauskunftsverfahren.

Das Selbstauskunftsverfahren dürfte den Zweck hinlänglich, mit angemessenem Aufwand und in der angemessenen Zeit erreichen können. Es ist davon auszugehen, dass bei der letzten Beitragserhebung in 1995 über das Selbstauskunftsverfahren oder ein anderes geeignetes Verfahren ohne Befliegung und Aufzeichnung die Geschossflächenermittlung erfolgreich umgesetzt wurde. Es ist nicht ersichtlich, dass die Berechnung der Geschossfläche deutlich komplizierter wäre als die Berechnung der Wohnfläche. Der Großteil der Grundstückseigentümer dürfte bereits in der Grundsteuererklärung die Berechnung der Grundstücksfläche und ggf. der Wohnfläche vorgenommen haben und mit dem Selbstauskunftsverfahren vertraut sein. Zwar handelt es sich bei der Geschossfläche um einen anderen Wert als den der Wohnfläche, es dürfte sich jedoch bei beiden Flächen um Werte handeln, die ggf. durch händisches Messen der Bebauung unter Berücksichtigung des normativen Rahmens zu ermitteln sind. Die im Internet frei verfügbaren Berechnungshilfen für die Wohnfläche einerseits und die Geschossfläche andererseits dürften mit Blick auf ihre Anforderungen und die Komplexität des Vorhabens vergleichbar sein. Es ist auch nicht ersichtlich, weshalb bei der Ermittlung der Geschossfläche im Selbstauskunftsverfahren mit erheblichen Unrichtigkeiten und eventuell auch falschen Angaben gerechnet werden müsste. Bei Ermittlung der für die Herstellungsbeiträge erforderlichen Geschossfläche dürfte wie bei Ermittlung der für die Grundsteuer erforderlichen Wohnfläche (und anderen Angaben) davon auszugehen sein, dass die Beitragspflichtigen wie auch die Steuerpflichtigen wahrheitsgemäße Angaben machen, wovon die Antragsgegnerin grundsätzlich ausgehen können dürfte. Es liegen keine konkreten Anhaltspunkte dafür vor, dass die Antragsgegnerin bei Ermittlung der Werte im Selbstauskunftsverfahren in erheblichem Umfang mit bewussten oder unbewussten Falschangaben rechnen müsste. Die Antragsgegnerin hat in diesem Zusammenhang lediglich Vermutungen geäußert, ohne diese durch weiteren Vortrag plausibel zu belegen. Ob bspw. bei der letzten Erhebung des Beitrags und der dabei erfolgenden Geschossflächenermittlung Falschauskünfte zu verzeichnen waren, wurde nicht vorgetragen.

Das Selbstauskunftsverfahren dürfte auch mit angemessenem Aufwand und in der angemessenen Zeit durchführbar sein. Dies indiziert bereits ein der Antragsgegnerin vorliegendes Angebot einer anderen Kommunalberatung zur Kalkulation der Beiträge und Gebühren vom 23. Mai 2023, die ebenfalls mit einem (anderen) Ingenieurdienstleister zur Datenerhebung kooperiert. Nach dem Angebot dieses Ingenieurdienstleisters vom 19. Mai 2023 wurde zur Ermittlung der beitrags- und gebührenrelevanten Flächen vorgeschlagen, entweder auf die kostenpflichtig zu erwerbenden Bilder des Landesvermessungsamts zurückzugreifen und eine (lediglich ergänzende) Selbstauskunft durchzuführen („Alternative 1“) oder auf Grundlage des Amtlichen Liegenschaftskatasters ein reines Selbstauskunftsverfahren („Alternative 2“) durchzuführen. Für das als „Alternative 1“ bezeichnete Verfahren wurde wegen des geringen Baumbestands in der Gemarkung der Antragsgegnerin entgegen der üblichen Vorgehensweise vorgeschlagen, die Luftbilder des Landesvermessungsamtes zu erwerben. Auf dieser Grundlage würden die beitrags- und gebührenrelevanten Flächen ermittelt. Dadurch könnte direkt nach Erwerb der Luftbilder und damit deutlich schneller mit der Datenauswertung begonnen werden. Auch die Vorgehensweise in einem reinen Selbstauskunftsverfahren könnte in angemessener Zeit durchgeführt werden. Um die Rückgabe der Selbstauskunftsformulare zu beschleunigen, stünden der Antragsgegnerin verschiedene Möglichkeiten offen. Sie könnte Fristen setzen, Mahnungen aussprechen, Verspätungszuschläge erheben oder bei Einreichung innerhalb einer genannten Frist eine Reduzierung des Guthabens in Aussicht stellen. Auch der finanzielle Aufwand dürfte sowohl bei dem Rückgriff auf die Bilder des Landesvermessungsamtes als auch bei einem reinen Selbstauskunftsverfahren für die Antragsgegnerin und die Beitragspflichtigen nicht höher, sondern vielmehr niedriger sein.

Gegen die Rechtmäßigkeit der Datenverarbeitung durch die streitgegenständlichen Maßnahmen spricht auch der Grundsatz der Speicherbegrenzung. Nach Art. 5 Abs. 1 Buchst. e DSGVO müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der Betroffenen Personen nur solange ermöglicht, wie es für die Zwecke, für welche diese verarbeitet werden, erforderlich ist. Aus dem Grundsatz der Speicherbegrenzung folgt das Verbot der Datenerhebung und Datenspeicherung auf Vorrat (vgl. Wilde/Ehmann/Niese/Knoblauch Datenschutz in Bayern, Stand April 2023, DSGVO Art. 6 Rn. 36). Ist bei der Erhebung nicht absehbar, zu welchem Zweck sie irgendwann einmal benutzt werden könnten, handelt es sich um Datenerhebung und Speicherung auf Vorrat. Sofern die Antragsgegnerin mit der Datenerhebung weitere, zusätzliche Zwecke verfolgt wie die Ermittlung von Gebäudehöhen, Firsthöhen und Dachneigungen, rechtfertigen diese Zwecke die konkrete Datenerhebung und -speicherung nicht.


Den Volltext der Entscheidung finden Sie hier: