Das VG Berlin hat entschieden, dass juristische Personen kein Auskunftsverweigerungsrecht gegen Auskunftsersuchen der Datenschutzbehörde haben. Dieses steht nur natürlichen Personen zu.
Aus den Entscheidungsgründen: 1. Rechtsgrundlage für den Auskunftsheranziehungsbescheid ist Art. 58 Abs. 1 Buchst. a) DSGVO. Nach dieser Regelung verfügt die Beklagte als Aufsichtsbehörde (vgl. § 8 Abs. 1 Berliner Datenschutzgesetz) über sämtliche Untersuchungsbefugnisse, die es ihr gestatten, den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind. Die behördliche Anweisung, Informationen bereitzustellen, beinhaltet auch eine Auskunftsverpflichtung des Verantwortlichen, Auftragsverarbeiters und Vertreters.
2. Die gesetzlichen Voraussetzungen für das Auskunftsersuchen der Beklagten liegen vor. Die von der Klägerin angeforderten Informationen zum Umfang der an die jeweiligen Werbepartner übermittelten Kundendaten benötigt die Beklagte für die Erfüllung ihrer gesetzlichen Aufgaben.
Die Aufsichtsbehörde wird die in Art. 58 Abs. 1 DSGVO statuierten Untersuchungsbefugnisse regelmäßig für die Prüfung nutzen, ob in dem konkreten Fall eine Datenschutzverletzung vorliegt. Die Befugnis der Aufsichtsbehörden zur Heranziehung ist jedoch aus Gründen der Verhältnismäßigkeit auf die Anweisung der Bereitstellung der für die Erfüllung ihrer Aufgaben erforderlichen Informationen beschränkt (vgl. Art. 58 Abs. 1 Buchst. a) a. E. DSGVO. Für die Bestimmung der Erforderlichkeit wird auf den konkreten Verarbeitungsvorgang abgestellt, der auf die Einhaltung der datenschutzrechtlichen Vorschriften hin überprüft wird (Polenz, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, DS-GVO Art. 58 Rn. 12).
Der Vorwurf einer Datenschutzverletzung ist jedoch keine zwingende Voraussetzung eines Auskunftsverlangens. Informationen können beispielsweise auch dann verlangt werden, wenn die Aufsichtsbehörde die Öffentlichkeit gemäß Art. 57 Abs. 1 Buchst. b DSGVO über die Risiken eines bestimmten Verarbeitungsvorgangs aufklären will. Sie kann auch Informationen einholen, wenn sie sich vergewissern möchte, ob überhaupt personenbezogene Daten verarbeitet werden (vgl. Nguyen, in: Gola/Heckmann, DSGVO/BDSG, 3. Aufl. 2022, DS-GVO Art. 58 Rn. 4). Die Ausübung der Befugnis aus Art. 58 Abs. 1 DSGVO ist unabdingbare Voraussetzung dafür, dass die Beklagte die Anwendung der Datenschutz-Grundverordnung überwachen und durchsetzen kann, wie in Art. 57 Abs. 1 Buchst. a) DSGVO vorgesehen (Polenz, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, DS-GVO Art. 58 Rn. 12; Matzke, in: BeckOK DatenschutzR, 53. Ed. 2025, DS-GVO Art. 58 Rn. 5).
Gemessen daran ist die Beklagte nicht darauf beschränkt, ihr Auskunftsverlangen einzustellen, sobald nach ihrer Auffassung feststeht, dass die auskunftsverpflichtete Klägerin einen Datenschutzverstoß begangen hat. Vielmehr darf sie darüber hinaus auch das Ausmaß des datenschutzrechtlichen Verstoßes und die Beteiligung weiterer datenschutzrechtlich verantwortlicher Akteure aufklären, da die ihr nach Art. 57 Abs. 1 DSGVO obliegenden Aufgaben entsprechend angelegt sind. Anders als die Klägerin meint, ist es insbesondere auch nicht unzulässig, weitere Informationen über das Lettershop-Verfahren und die an ihm Beteiligten Datenschutzverantwortlichen zu erlangen. Denn hierbei geht es nicht um eine – sächlich und persönlich unbegrenzte – Informationsgewinnung über das datenschutzrechtlich relevante Handeln einer Vielzahl von dritten Akteuren zu Lasten der Klägerin, sondern um weitere Ermittlungen zu einem bereits beanstandeten Geschäftsmodell der Klägerin und ihrer Geschäftspartner. Darüber hinaus hat die Beklagte in der mündlichen Verhandlung nachvollziehbar dargelegt, dass das Ausmaß des datenschutzrechtlichen Verstoßes der Klägerin selbst wegen der begrenzten personellen und sächlichen Mittel der Behörde auch ausschlaggebend für die Priorisierung der Verfolgung der jeweiligen Verstöße ist. Die Beklagte benötigt die Informationen daher auch im Hinblick auf die zu ergreifenden Abhilfemaßnahmen gegen die Klägerin
Die Beklagte ist – anders als die Klägerin suggeriert – nicht verpflichtet, detailliert auszuführen, für welche der ihr durch Art. 57 DSGVO zugewiesenen Aufgaben die konkrete Auskunftserteilung erforderlich ist. Entsprechende einschränkende Vorgaben lassen sich weder den Bestimmungen der Datenschutzgrundverordnung noch den nationalen Datenschutzgesetzen entnehmen. Im Übrigen lässt sich den Begründungen zu den behördlichen Schreiben, insbesondere dem vom 6. September 2022, entnehmen, dass das Auskunftsersuchen im Zusammenhang mit der Untersuchung eines mutmaßlichen Datenschutzverstoßes erfolgt.
Der Einwand der Klägerin, der Auskunftsheranziehungsbescheid sei (auch) wegen eines Verstoßes gegen das Bestimmtheitsgebot gemäß § 37 Abs. 1 VwVfG rechtswidrig, weil die Beklagte mit der Formulierung „Welchen Werbepartnern“ in ihrer Frage nicht hinreichend deutlich gemacht habe, ob diese Werbepartner auch namentlich oder nur mit Platzhaltern benannt werden sollen, ist nicht nachvollziehbar: Die Beklagte fragt hier aus der Perspektive eines objektiven, verständigen Adressaten hinreichend deutlich nach der Identität der Werbepartner der Klägerin, denn sie muss im Rahmen der ihr nach Art. 57 Abs. 1 Buchst. a) DSGVO obliegenden Aufgaben prüfen, ob weitere Dritte Datenschutzverletzungen im Rahmen des LettershopVerfahrens der Klägerin verüben. Hier verbleiben im Ergebnis keine Unklarheiten über den Gegenstand des behördlichen Begehrens, die eine rechtlich relevante „Unbestimmtheit“ der Verfügung begründen könnten.
2. Die behördliche Befugnis zur Auskunftsheranziehung nach Art. 58 Abs. 1 Buchst. a DSGVO wird für den Fall der Klägerin nicht durch ein Auskunftsverweigerungsrecht beschränkt, dass den Bescheid vom 17. November 2022 nachträglich rechtswidrig gemacht haben könnte.
In Fällen, in denen die Aufsichtsbehörde eine Auskunft in Form der Beantwortung konkreter Fragen verlangt und nicht nur die Vorlage näher bezeichneter Unterlagen, kann dem Verpflichteten ein Auskunftsverweigerungsrecht zustehen. Die Klägerin hat sich ein Jahr nach Klageerhebung erstmals auf ein Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 Bundesdatenschutzgesetz (BDSG) berufen. Danach kann der nach § 40 Abs. 4 Satz 1 BDSG Auskunftspflichtige die Auskunft auf solche Fragen verweigern, deren Beantwortung ihn selbst oder einen der in § 383 Abs. 1 Nr. 1 bis 3 der Zivilprozessordnung bezeichneten Angehörigen der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde. Der Auskunftspflichtige ist gemäß § 40 Abs. 4 Satz 3 BDSG auf dieses Recht hinzuweisen. Ein entsprechender Hinweis ist in dem Auskunftsheranziehungsbescheid der Beklagten vom 17. November 2022 auf Seite 4 auch enthalten. Die Entscheidung, vom Auskunftsverweigerungsrecht Gebrauch zu machen, muss ausdrücklich erklärt, aber nicht im Einzelnen begründet werden (OVG Schleswig, a.a.O, Rn. 20)
Maßgebliche Sach- und Rechtslage für die Beurteilung der Rechtmäßigkeit des Auskunftsheranziehungsbescheids ist hier der Zeitpunkt der mündlichen Verhandlung (a.A. wohl VG Bremen, Urteil vom 27. November 2023 – 4 K 1160/22 – juris Rn. 47), denn verwaltungsrechtliche Auskunftsverweigerungsrechte können bereits dem behördlichen Auskunftsbegehren und nicht erst dessen Durchsetzung entgegenstehen (vgl. OVG Schleswig, Beschluss vom 28. Mai 2021 – 4 MB 14/21 – juris Rn. 32 m.w.N.). Die Auskunftsverweigerung durch die Klägerin ist demnach nicht wegen ihrer späten Erklärung unbeachtlich. Die Klägerin kann sich aber als juristische Person nicht auf das Auskunftsverweigerungsrecht berufen, so dass nicht mehr zu entscheiden ist, ob die behördlich angeforderten Informationen vom Umfang des Auskunftsverweigerungsrechts erfasst wären.
Wie andere spezialgesetzlich normierte Auskunftsverweigerungsrechte trägt § 40 Abs. 4 Satz 2 BDSG dem Grundsatz der Selbstbelastungsfreiheit (“nemo tenetur se ipsum accusare“) Rechnung, den das Bundesverfassungsgericht als – im Rechtsstaatsprinzip verankerten – Teil des allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG anerkennt. Der Einzelne soll vom Staat grundsätzlich nicht in eine Konfliktlage gebracht werden, in der er sich selbst strafbarer Handlungen oder ähnlicher Verfehlungen bezichtigen muss. Ein Zwang zur Selbstbezichtigung berührt die Würde des Menschen, dessen Aussage als Mittel gegen ihn selbst verwendet wird (vgl. BVerfG, Beschluss vom 13. Januar 1981 – 1 BvR 116/77 – juris Rn. 18; Beschluss vom 25. Januar 2022 – 2 BvR 2462/18 – juris Rn. 50; OVG Schleswig, Beschluss vom 28. Mai 2021 – 4 MB 14/21 – juris Rn. 33 m.w.N.). Nach der Rechtsprechung des Bundesverfassungsgerichts schließt Art. 19 Abs. 3 GG für juristische Personen einen Schutz vor einem derartigen Zwang aber aus. Eine Lage, wie sie dieser Zwang für natürliche Personen heraufbeschwört, kann bei juristischen Personen nicht eintreten. Diese bilden ihren Willen nur durch Organe und unterliegen im Hinblick auf Straftaten und Ordnungswidrigkeiten nur einer eingeschränkten Verantwortlichkeit (BVerfG, Beschluss vom 26. Februar 1997 – 1 BvR 2172/96 – juris Rn. 83).
Gemessen daran gilt auch das Auskunftsverweigerungsrecht des § 40 Abs. 4 Satz 2 BDSG nur für Auskunftspflichtige persönlich und steht juristischen Personen nicht zu. Letztere können sich selbst nicht strafbar machen und das Festsetzen einer Geldbuße gegen sie enthält – für den Schutz vor Selbstbezichtigung wesentlich (vgl. BVerfG, a.a.O. juris Rn. 84) – weder einen Schuldvorwurf noch eine ethische Missbilligung. Beschäftigte und Leitungspersonen eines Unternehmens können sich folglich auf das Auskunftsverweigerungsrecht nur dann berufen, wenn ihnen persönlich strafrechtliche Verfolgung oder ein Bußgeld drohen, d.h., das Auskunftsersuchen muss sich auf das konkrete Verhalten der auskunftspflichtigen Person beziehen, welches möglicherweise eine Straftat oder Ordnungswidrigkeit darstellt. Die Gefahr, dass dem jeweiligen Unternehmen ein Bußgeld nach Art. 83 DSGVO droht, reicht hingegen nicht aus (Nguyen, in: Gola/Heckmann, DSGVO/BDSG, 3. Aufl. 2022, DSGVO Art. 58 Rn. 6; Matzke, in: BeckOK DatenschutzR, 53. Ed. 2025, DS-GVO Art. 58 Rn. 7).
Vereinzelte Erwägungen, den Grundsatz der Selbstbelastungsfreiheit allein aus dem Rechtsstaatsprinzip des Art. 20 Abs. 3 GG oder aus Art. 6 Abs. 1 EMRK bzw. Art. 47 Abs. 2 Satz 1 GRCh herzuleiten und dadurch auch juristischen Personen das Recht zur Auskunftsverweigerung in Fällen möglicher Selbstbelastung zuzubilligen, überzeugen nicht (vgl. OVG Schleswig, Beschluss vom 28. Mai 2021 – 4 MB 14/21 – juris Rn. 33 m.w.N.). Das Recht auf ein faires, rechtsstaatliches Verfahren umfasst den Grundsatz der Selbstbelastungsfreiheit zwar als Teilaspekt. Dieser soll aber die Aussage- und Entschließungsfreiheit des Betroffenen innerhalb des Straf- oder Ordnungswidrigkeitenverfahrens wahren und unzumutbare Konfliktsituationen für – natürliche – Personen verhindern (vgl. BVerfG, Beschluss vom 25. Januar 2022 – 2 BvR 2462/18 – juris Rn. 50). Er steht also nicht unabhängig von dem Schutz der Menschenwürde für sich allein. Da juristische Personen selbst keine Entscheidungen treffen, nicht gegen sich selbst aussagen können und insoweit keines besonderen verfassungsrechtlichen Schutzes ihrer Entscheidungsfreiheit bedürfen, muss auch der staatliche Anspruch auf Schutz von Gemeinwohlbelangen nicht zurücktreten. Bisher haben auch weder der Europäische Menschengerichtshof noch der Europäische Gerichtshof entschieden, dass juristischen Personen aus Art. 6 EMRK oder Art. 47 Abs. 2 Satz 1 GRCh ein Schweigerecht bzw. ein Auskunftsverweigerungsrecht zusteht.
Für den Fall der Klägerin bedeutet dies, dass sie dem Auskunftsheranziehungsbescheid kein Auskunftsverweigerungsrecht entgegenhalten kann. Der Bescheid nimmt sie selbst in Anspruch und richtet sich nicht gegen einen ihrer Beschäftigten oder ihre Geschäftsführung und deren persönliches Verhalten im Rahmen des LettershopVerfahrens. Straf- oder Ordnungswidrigkeitenverfahren gegen natürliche Personen sind weder eingeleitet noch angekündigt. Es gibt noch nicht einmal ein Ordnungswidrigkeitenverfahren gegen die Klägerin selbst.
Das VG Berlin hat entschieden, dass keine Warnung im Sinne von § 7 Abs. 1 BSIG vorlieg, wenn das BSI eine sicherheitskritische Software in einer Veröffentlichung als "auffällig" und "nicht den üblichen Erwartungen entsprechend" bezeichnet.
Aus den Entscheidungsgründen: Der nach § 123 Abs. 1 S. 1 Verwaltungsgerichtsordnung (VwGO) gestellte Hauptantrag der Antragstellerin,
dem Antragsgegner bei Vermeidung eines vom Gericht für jeden Fall der Zuwiderhandlung festzusetzenden Ordnungsgeldes (...), zu untersagen, die im Rahmen des Projekts „E.W.“ gewonnen Erkenntnisse über die von der Antragstellerin betriebenen Produkte unter den Bezeichnungen „G. U.“ und „A.“ zu veröffentlichen und/oder vor diesen Produkten zu warnen,
war bereits unzulässig, da es der Antragstellerin an dem erforderlichen Rechtsschutzbedürfnis fehlte.
Verwaltungsrechtsschutz ist grundsätzlich nachgängiger Rechtsschutz. Das folgt aus dem Grundsatz der Gewaltenteilung, der der Gerichtsbarkeit nur die Kontrolle der Verwaltungstätigkeit aufträgt, ihr aber grundsätzlich nicht gestattet, bereits im Vorhinein gebietend oder verbietend in den Bereich der Verwaltung einzugreifen. Die Verwaltungsgerichtsordnung stellt darum ein System nachgängigen - ggf. einstweiligen - Rechtsschutzes bereit und geht davon aus, dass dieses zur Gewährung effektiven Rechtsschutzes (Art. 19 Abs. 4 GG) grundsätzlich ausreicht.
BVerwG, Urteil vom 23. Juni 2016 – 2 C 18/15 –, Rn. 19; OVG Niedersachsen, Beschluss vom 9. April 2014 – 13 LA 17/13 – ,Rn. 9; Bayerischer VGH, Beschluss vom 4. Mai 2022 – 10 CE 22.557 –, Rn. 4, sämtlich juris.
Um den Grundsatz der Gewaltenteilung und das der Verwaltung zugewiesene Handlungsfeld nicht übermäßig und "anlasslos" zu beeinträchtigen, setzt die den Gerichten übertragene Kontrollfunktion gegen Maßnahmen der Behörden grundsätzlich erst nachgelagert ein. Die Inanspruchnahme gerichtlichen Rechtsschutzes erfordert daher regelmäßig den Erlass einer Maßnahme, der nachfolgend Gegenstand gerichtlicher Überprüfung ist. Vorbeugender Rechtsschutz gegen erwartete oder befürchtete Entscheidungen der Verwaltung ist daher grundsätzlich unzulässig,
vgl. BVerwG, Urteil vom 23. Juni 2016 – 2 C 18/15 –, juris Rn. 19 f.; Beschluss vom 29. April 2019 – 6 B 141/18 –, juris Rn. 14; OVG NRW, Beschlüsse vom 3. Mai 2023 – 8 B 394/23 – , juris Rn. 33 und vom 08. Juni 2017 – 4 B 307/17 –, juris Rn. 13.
Etwas Anderes gilt nur dann, wenn dem Betroffenen ein weiteres Zuwarten nicht zugemutet werden kann und ein schutzwürdiges Interesse an einer vorzeitigen gerichtlichen Klärung besteht. Danach ist – ebenso wie bei der in der Hauptsache statthaften allgemeinen Leistungsklage in Form der vorbeugenden Unterlassungsklage – ein qualifiziertes, gerade auf die Inanspruchnahme vorbeugenden Rechtsschutzes gerichtetes Rechtsschutzinteresse notwendig. Dieses Rechtsschutzinteresse ist grundsätzlich zu verneinen, solange der Antragsteller in zumutbarer Weise auf den von der VwGO im Regelfall als angemessen und ausreichend angesehenen nachträglichen (vorläufigen) Rechtsschutz verwiesen werden kann,
vgl. die stRspr. BVerwG, Urteile vom 25. September 2008 – 3 C 35/07 –Rn. 26 m.w.N.; vom 7. Mai 1987 – 3 C 53/85 –, Rn. 25; vom 8. September 1972 – IV C 17.71 –, Rn. 29 m.w.N.; und vom 12. Januar 1967 – III C 58.65 –, Rn. 18; Beschluss vom 13. April 1976 – IV B 12.76 –,Rn. 3, sämtlich juris; Schoch, in: Schoch/Schneider, Verwaltungsrecht – VwGO, 47. EL (Februar 2025), § 123 Rn. 45 f. m.w.N.
Als unzumutbar ist der Verweis auf den nachträglichen vorläufigen Rechtsschutz nur dann anzusehen, wenn beim Zuwarten auf die behördliche Maßnahme die Gefahr besteht, dass irreversible Fakten geschaffen werden und dadurch nicht wiedergutzumachende Nachteile entstehen (können).
BVerfG, Kammerbeschluss vom 24. Oktober 1990 – 1 BvR 1028/90 –, juris Rn. 27 (in Bezug auf § 44a VwGO); VG Ansbach, Beschluss vom 31. Januar 2020 – AN 10 E 20.00157 –, juris Rn. 15; Schoch, in: Schoch/Schneider, Verwaltungsrecht – VwGO, 47. EL (Februar 2025), § 123 Rn. 46.
Die Antragstellerin hat nicht glaubhaft gemacht, dass ihr wegen der Veröffentlichung der von der Antragsgegnerin gewonnenen Erkenntnisse über die von der Antragstellerin betriebenen Produkte irreversible Fakten geschaffen werden oder nicht wiedergutzumachende Nachteile entstehen und ihr daher nicht zugemutet werden kann, die Veröffentlichung des Berichts abzuwarten.
Nicht ersichtlich ist insoweit, dass es sich bei der beabsichtigten Veröffentlichung um eine Warnung i.S.d. § 7 Abs. 1 BSIG handelte, von der bei ihrer Veröffentlichung wegen der damit verbundenen Prangerwirkung irreversible Nachteile ausgegangen wären. Die Antragsgegnerin betitelte das dem Produkt der Antragstellerin zugrundeliegende [„Wort wurde entfernt“] Konzept in ihrem Abschlussbericht zwar als „auffällig“ und resümierte, dass das Produkt insgesamt nicht die üblichen Erwartungen an sicherheitskritische Software [„Wort wurde entfernt“] erfülle [„Textzeile wurde entfernt“].
Mit dieser Produktbewertung wird in erster Linie ein Diskussionsbeitrag erbracht. Diese Einschätzung war zwar dem Grunde nach geeignet, die Nutzungsentscheidung der Verbraucherinnen und Verbraucher in diesem besonders sensiblen Bereich der Datensicherheit zu beeinflussen. Sie enthielt aber keinerlei ausdrückliche Empfehlung, das Produkt der Antragstellerin nicht zu nutzen bzw. durch andere Produkte zu ersetzen. Die mit der Veröffentlichung potenziell verbundene Veränderung der Marktbedingungen stellt damit vielmehr einen Reflex einer abstrakten Verbraucherinformation dar; denn ein gezieltes Mittel, das Marktverhalten der Adressaten zu beeinflussen. Hinzu tritt, dass der Bericht nicht isoliert auf der Webseite der Beklagten prangern, sondern Teil eines Abschlussberichtes zum Projekt „E.W.“ sein sollte, der wiederum nicht auf der Startseite der Antragsgegnerin, sondern über mehrere Reiter als ein Bericht unter mehreren abrufbar sein sollte. Die mit der Veröffentlichung verbundene Prangerwirkung, die öffentlichen Informationen im Internet grundsätzlich zukommt, war damit insgesamt als gering anzusehen.
Vor allem aber hat die Antragstellerin nicht schlüssig dargelegt, dass etwaige, durch den Abschlussbericht entstandene Nachteile der Antragstellerin irreparabel gewesen wären. Soweit die Antragstellerin vorträgt, der Bericht wäre unmittelbar nach seiner Veröffentlichung richtigzustellen, was der Zielsetzung des Projekts der Antragsgegnerin sowie ihrem gesetzlichen Auftrag nach § 3 Abs. 1 Nr. 14a BSIG zuwiderlaufen würde, da die adressierten Verbraucher verunsichert würden, statt für den Einsatz von [„Wort wurde ersetzt durch: Produkten wie denen der Antragstellerin“] interessiert zu werden, vermag sie damit nicht durchzudringen. Anders etwa, als in Fällen lebensmittelrechtlicher Verstöße, in denen der durch einen einmal erschienenen Bericht nach § 40 Abs. 1a LFGB entstandene Eindruck wegen der damit bei der Bevölkerung hervorgerufenen gesundheitlichen Bedenken und des Ekelgefühls kaum wieder rückgängig zu machen ist, kann eine neue sicherheitstechnische Bewertung eine alte wieder revidieren. Verlorenes Vertrauen in das Produkt der Antragstellerin wäre insofern durch eine Gegendarstellung der Antragsgegnerin, etwa mittels Presseerklärung oder Veröffentlichung auf der Startseite ihrer Homepage wiederherzustellen. Auch wäre eine Richtigstellung in einer weiteren Podcastfolge denkbar gewesen, die schließlich dazu geführt hätte, dass einer positiven Gegendarstellung deutlich mehr Sichtbarkeit zugekommen wäre, als der ursprünglichen Veröffentlichung des Abschlussberichts.
Auch die von der Antragstellerin gestellten Hilfsanträge,
dem Antragsgegner aufzugeben, die Zusammenfassung der Erkenntnisse über die Produkte der Antragstellerin unter den Bezeichnungen „G. U.“ und „A.“ in der am 00.00.2025 vom Antragsgegner abgeänderten Fassung vom 00.00.2025 vor Veröffentlichung dahin gehend anzupassen, dass
a) konkret die Verbesserungen und Umsetzung der Empfehlungen des Ergebnisberichtes des FZI Forschungszentrum Informatik vom 00.00.2025, insbesondere die transparente Dokumentation, aufgenommen werden;
b) zur Produktbewertung im Abschlussbericht zu Ziffer 000 Tabelle 00 / Ziffer 000. Tabelle 00 zu „Einschätzung und Empfehlungen für Verbraucherinnen und Verbraucher“ festgestellt wird: [„Zitat wurde entfernt“].
b. zu „Herstellerkommunikation“ festgestellt wird: “C. erteilte die angeforderten Auskünfte.“
waren mangels besonderen Rechtsschutzbedürfnisses, welches vorliegend aufgrund des begehrten, ebenfalls vorbeugenden Rechtsschutzes, zwingend glaubhaft zu machen war, ebenfalls unzulässig.
Das VG Berlin hat entschieden, dass keine gemeinsame Verantwortlichkeit nach Art 4 Nr 7, Art 26 Abs 1 S 1 DSGVO von Adresshändler und beworbenem Unternehmen bei Werbung per Lettershop-Verfahren besteht.
Aus den Entscheidungsgründen: 3. Der Bescheid erweist sich als materiell rechtswidrig. Zwar liegt eine Verarbeitung personenbezogener Daten vor (nachfolgend a)). Es kann jedoch offenbleiben, ob diese Verarbeitung nach Art. 6 Abs. 1 DSGVO rechtmäßig war. Denn die Klägerin ist nicht taugliche Adressatin der Verwarnung, weil sie nicht als gemeinsam mit der Adresshändlerin Verantwortliche im Sinne von Art. 4 Nr. 7, Art. 26 Abs. 1 Satz 1 DSGVO anzusehen ist (unten b)).
a) Eine Verarbeitung personenbezogener Daten liegt im Auslesen und Verwenden der relevanten Adressdaten für das Erstellen des Werbeschreibens. Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten in allen Informationen zu erblicken, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei als identifizierbar eine natürliche Person angesehen wird, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einer Kennnummer identifiziert werden kann. Eine Verarbeitung liegt gemäß Art. 4 Nr. 2 DSGVO in jedem mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder in jeder solchen Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wobei die Verordnung beispielhaft etwa das Auslesen, Abfragen und Verwenden der Daten als Verarbeitungsvorgänge nennt.
Nach diesen Maßstäben liegt im Auslesen und Verwenden der Adressdaten für das Werbeschreiben eine der Datenschutzgrundverordnung unterfallende Verarbeitung personenbezogener Daten. Dafür kann offenbleiben, ob die Zuschreibung eines statistischen Merkmals – etwa hinsichtlich der Kaufkraft – auf Ebene der Mikrozellen und die anschließende Auswahl unter den Mikrozellen anhand eines solchen Merkmals schon für sich genommen Verarbeitungen personenbezogener Daten darstellen. Denn jedenfalls die Adressdaten – Vor- und Familienname sowie postalische Anschrift – sind personenbezogene Daten, die verarbeitet, nämlich aus dem Adressdatenbestand der Adresshändlerin ausgelesen und für den Versand des Werbeschreibens genutzt werden. Auch hebt die Zuordnung der Adressdaten zu den Mikrozellen ihren Personenbezug nicht auf. Dafür kommt es wiederum nicht darauf an, inwiefern die im Hinblick auf die Mikrozellen verarbeiteten Daten personenbezogen sind, weil der Adressdatenbestand, der für das Versenden der Werbeschreiben genutzt wird, durch die bloße Zuordnung der Adressen zu den Mikrozellen unverändert bleibt. Zugleich ist vorliegend unerheblich, dass der Adressdatenbestand der Adresshändlerin schon unabhängig vom Auftrag der Klägerin bestand, die Erhebung der personenbezogenen Daten also schon abgeschlossen war. Denn im späteren Auslesen und Verwenden der Adressdaten liegt eine eigenständig zu betrachtende Datenverarbeitung im Sinne von Art. 4 Nr. 2 DSGVO.
b) Die Klägerin war für diese Verarbeitung personenbezogener Daten jedoch nicht im Sinne von Art. 4 Nr. 7, Art. 26 Abs. 1 Satz 1 DSGVO gemeinsam mit der Adresshändlerin verantwortlich.
Nach der Definition in Art. 4 Nr. 7 DSGVO ist Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemäß Art. 26 Abs. 1 Satz 1 DSGVO gemeinsam Verantwortliche.
aa) Der Europäische Gerichtshof (EuGH) hat die Anforderungen, die sich aus diesen Bestimmungen für eine gemeinsame Verantwortlichkeit ergeben, in seiner Rechtsprechung weiter konkretisiert. Danach muss jeder der im Sinne von Art. 26 Abs. 1 Satz 1 gemeinsam Verantwortlichen die Definition des „Verantwortlichen“ in Art. 4 Nr. 7 DSGVO erfüllen, wobei die Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein können (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein, Rn. 43; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 70; Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 58). Andererseits setzt die gemeinsame Verantwortlichkeit mehrerer Akteure für dieselbe Verarbeitung nach ständiger Rechtsprechung des EuGH nicht voraus, dass jeder von ihnen Zugang zu den betreffenden personenbezogenen Daten hat (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein, Rn. 38; Urteil vom 10. Juli 2018 – C-25/17 – Jehovan todistajat, Rn. 69; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 69, 82; Urteil vom 11. Januar 2024 – C-231/22 – Données traitées par un journal officiel, Rn. 48; Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 58).
Nach einer in der Rechtsprechung wiederkehrenden Formulierung geht der EuGH zudem davon aus, dass eine Person, die „aus Eigeninteresse“ beziehungsweise „zu ihren eigenen Zwecken“ auf die Verarbeitung personenbezogener Daten „Einfluss nimmt“ und damit „an der Entscheidung über die Zwecke und Mittel“ der Verarbeitung „mitwirkt“ beziehungsweise „beteiligt ist“, als für die Verarbeitung Verantwortliche angesehen werden kann (EuGH, Urteil vom 10. Juli 2018 – C-25/17 – Jehovan todistajat, Rn. 68; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 68; Urteil vom 11. Januar 2024 – C-231/22 – Données traitées par un journal officiel, Rn. 48; Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 57). Dieses Abstellen auf die „Einflussnahme“ aus „Eigeninteresse“, aus der eine Entscheidung über Zwecke und Mittel der Verarbeitung resultieren soll, scheint sehr weit zu reichen. Es ist jedoch zu berücksichtigen, dass dieses Kriterium nach der Formulierung des EuGH („kann“) noch keine hinreichende Bedingung für die gemeinsame Verantwortlichkeit darstellt und außerdem zunächst auf die Rechtslage vor Inkrafttreten der Datenschutzgrundverordnung bezogen war, als der Begriff der gemeinsamen Verantwortlichkeit noch nicht gesetzlich fixiert war. In seiner jüngeren – unter der Geltung der Datenschutzgrundverordnung ergangenen – Rechtsprechung prüft der EuGH alle drei Voraussetzungen kumulativ, das heißt, für die gemeinsame Verantwortlichkeit muss eine Stelle „tatsächlich im Eigeninteresse auf die Entscheidung über die Zwecke und Mittel der Verarbeitung“ Einfluss nehmen (EuGH, Urteil vom 5. Dezember 2023 – C-683/21 – Nacionalinis visuomenės sveikatos centras, Rn. 31; ähnlich auch Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 61; siehe zur erforderlichen kumulativen Prüfung von Entscheidungen über Zwecke und Mittel auch: European Data Protection Board – EDPB, Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0, 7. Juli 2021, Rn. 53; Der Bayerische Landesbeauftragte für den Datenschutz, Gemeinsame Verantwortlichkeit – Orientierungshilfe, Stand: 1. Juni 2024, Rn. 44, 70).
bb) Nach diesen Maßstäben erfüllte die Klägerin in Bezug auf die von der Adresshändlerin vorgenommenen Datenverarbeitungsvorgänge nicht die Voraussetzungen einer gemeinsamen Verantwortlichkeit nach Art. 26 Abs. 1 Satz 1 DSGVO.
Zwar hat die Klägerin im Eigeninteresse Einfluss auf die Zwecke der Datenverarbeitung durch die Adresshändlerin genommen. Denn unabhängig davon, ob man den Zweck der Verarbeitung im Versand des Werbeschreibens oder – allgemeiner – in der Beförderung ihrer Geschäftstätigkeit durch die Anwerbung von Neukunden erblickt, hat sie diesen Zweck der Datenverarbeitung gegenüber der Adresshändlerin festgesetzt. Er entspricht auch ihrem Eigeninteresse, nämlich ihrem wirtschaftlichen Gewinnstreben. Dafür spricht auch der Empfängerhorizont, also die Perspektive eines objektiven Beobachters, der das Werbeschreiben erhält. Für diesen stellt es sich äußerlich als eine ausschließliche Maßnahme der Klägerin dar, weil es mit ihrem Briefkopf bzw. Corporate Design auftritt und allein für einen Besuch der von ihr angebotenen Show wirbt, ohne dass die Beteiligung der Adresshändlerin an der Datenverarbeitung jenseits der Datenschutzhinweise ersichtlich würde (vgl. zur Maßgeblichkeit des nach außen hin vermittelten Eindrucks: Der Bayerische Landesbeauftragte für den Datenschutz, a. a. O., Rn. 36).
Die Klägerin hatte aber keinerlei Einfluss auf die Mittel der Datenverarbeitung. Die Adresshändlerin führte den gesamten Datenverarbeitungsprozess nach dem von ihr konzipierten „Lettershop“-Verfahren beziehungsweise Mikrozellen-Modell durch, ohne dass die Klägerin die Möglichkeit gehabt hätte, auf die strukturelle beziehungsweise organisatorische Ausgestaltung dieses Prozesses in irgendeiner Form einzuwirken. Auch insoweit kommt es nicht darauf an, ob man nur das Auslesen und Verwenden der Adressen im zweiten Schritt oder darüber hinaus auch die Selektion der Mikrozellen anhand bestimmter Merkmale im ersten Schritt als Verarbeitung personenbezogener Daten ansieht. Denn die bloße Vorgabe einer Zielgruppe (Haushalte in Berlin und Brandenburg mit zumindest überdurchschnittlicher Kaufkraft) führte auch dann nicht dazu, dass die Klägerin auf die „Mittel“ der Datenverarbeitung Einfluss genommen hätte, wenn man die Mikrozellenselektion als Verarbeitung personenbezogener Daten versteht. Die Festlegung der Zielgruppe ist vielmehr wegen ihrer eindeutigen wirtschaftlichen Motivation untrennbar mit der Zwecksetzung für die Datenverarbeitung verbunden und stellt sich demgegenüber nicht als Entscheidung über ihre Mittel dar.
Für eine Einflussnahme auf die Mittel der Datenverarbeitung müsste es irgendeine über die Auftragserteilung hinausgehende organisatorisch-konzeptionelle Mitwirkung der Klägerin an der Datenverarbeitung gegeben haben, die hier aber nicht ersichtlich ist. Sie hat lediglich eine Leistung eingekauft, deren prozedurale Ausgestaltung – von der grundlegenden Konzeption über die datenschutzrechtlich relevanten Organisationsmaßnahmen bis hin zur technischen Umsetzung – allein in den Händen der Adresshändlerin verblieb. Es ist nicht ersichtlich, dass die Klägerin irgendwelche Entscheidungen in Bezug darauf hätte treffen können, wie die Mikrozellen gebildet, wie ihnen Merkmale zugeschrieben werden, wie der Selektionsprozess anhand ihrer Vorgaben ausgestaltet ist und wie letztlich die Adressauswahl technisch hin zum Versand des Werbeschreibens umgesetzt wird. Auch die bloße Entscheidung, ein Werbeschreiben an potenzielle Neukunden zu versenden, kann nicht als Einflussnahme auf die Mittel der Datenverarbeitung gewertet werden. Denn das Leistungsangebot der Adresshändlerin besteht gerade darin, ihren Kunden das Versenden von Werbeschreiben zu ermöglichen. Andere Modalitäten des Verwendens personenbezogener Daten ohne Zugriff des Kunden auf die Daten bietet sie in diesem Bereich ihrer Geschäftstätigkeit nicht an.
cc) Für das Ergebnis spricht schließlich auch ein Vergleich mit denjenigen Fällen, in denen der EuGH bisher eine gemeinsame Verantwortlichkeit im Sinne von Art. 26 Abs. 1 Satz 1 DSGVO angenommen beziehungsweise auf Grundlage der entsprechenden Vorlagebeschlüsse der nationalen Gerichte für möglich gehalten hat. Bei diesen Sachverhalten gab es anders als hier stets ein Ineinandergreifen der Entscheidungen beider Verantwortlicher gerade auch in Bezug auf die Mittel der Datenverarbeitung.
Am ehesten ist der vorliegende Fall mit den Konstellationen vergleichbar, über die der EuGH in der sogenannten Fanpage- sowie in der Fashion-ID-Entscheidung befunden hat. Hier ging es um die gemeinsame Verantwortlichkeit von Website-Betreiberinnen, die ihre Website auf einer sozialen Plattform einrichten beziehungsweise ein Plugin einer sozialen Plattform in ihre Website einbinden mit der Folge, dass beim Aufrufen der Website personenbezogene Daten der Nutzer automatisch an die soziale Plattform übermittelt und von dieser weiterverarbeitet werden. Der EuGH hat die Einbindung der sozialen Plattform jeweils für die gemeinsame Verantwortlichkeit der Website-Anbieterinnen genügen lassen (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID). Das wäre ein starkes Argument für die gemeinsame Verantwortlichkeit auch der Klägerin im vorliegenden Fall, wenn für den EuGH die bloße Kausalität der Website-Anbieterinnen für die Datenverarbeitung durch die Plattform ausgereicht hätte.
Zu beachten ist jedoch, dass der EuGH in den genannten Entscheidungen zwischen dem Erheben und dem weiteren Verarbeiten der Nutzerdaten durch die Plattform unterscheidet (insbesondere EuGH, Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 76). Ein zentrales Argument des EuGH für die Verantwortlichkeit der Website-Betreiberinnen in Bezug auf das Erheben der Daten lag in beiden Entscheidungen darin, dass es das Einrichten der Website beziehungsweise das Einbinden des Plugins der sozialen Plattform erst ermöglicht hatte, die personenbezogenen Daten zu erheben (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein, Rn. 35; Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID, Rn. 75). Das Verhalten der Website-Anbieterinnen stellte sich für die soziale Plattform so gleichsam als „Schlüssel“ zu den Nutzerdaten dar. Einen solch beherrschenden Einfluss auf die Datenverarbeitung durch die Adresshändlerin hatte die Klägerin vorliegend nicht. Zwar wirkte sich auch ihre Entscheidung im Sinne einfacher Kausalität dahingehend aus, dass es ohne ihren Auftrag den konkreten Datenverarbeitungsvorgang durch die Adresshändlerin nicht gegeben hätte. Sie hat ihr die Datenverarbeitung aber nicht erst ermöglicht, ihr nicht erst die Tür zu den Daten geöffnet. Die Adresshändlerin verfügte unabhängig vom Verhalten der Klägerin über ihren Adressdatenbestand. Ihre tatsächlichen Zugriffsmöglichkeiten auf diese Daten bestanden vollkommen unabhängig davon, ob die Klägerin ihr einen Auftrag, der mit einer (weiteren) Datenverarbeitung einherging, erteilte.
Aus diesem Grund ist auch das Argument der Parametrierung, welches der EuGH in der Fanpage-Entscheidung für eine gemeinsame Verantwortlichkeit der Website-Betreiberin auch im Hinblick auf die Weiterverarbeitung der Nutzerdaten durch die soziale Plattform anführte (EuGH, Urteil vom 5. Juni 2018 – C-210/16 – Wirtschaftsakademie Schleswig-Holstein, Rn. 36), nicht auf den vorliegenden Fall übertragbar. Denn es macht einen Unterschied, ob sich solche (statistischen) Selektionskriterien nur auf die Auswahl unter schon bei einem Dritten vorhandenen Daten auswirken oder auf Daten bezogen sind, die nur erhoben werden können, weil der Verantwortliche diese Datenerhebung für einen Dritten ermöglicht.
Auch in den weiteren vom EuGH entschiedenen Konstellationen war die Einflussnahme des gemeinsam Verantwortlichen auf die Mittel der Datenverarbeitung anders als im Fall der Klägerin deutlich ausgeprägt. So stellte der EuGH in der Entscheidung zu den Zeugen Jehovas neben dem erheblichen Eigeninteresse der Gemeinschaft an der Datenverarbeitung auch darauf ab, dass die Dachorganisation die Verkündigungstätigkeit der einzelnen Mitglieder durch eine Zuteilung von Tätigkeitsbezirken „organisiert und koordiniert“ hat (EuGH, Urteil vom 10. Juli 2018 – C-25/17 – Jehovan todistajat, Rn. 71, 73). In der Entscheidung zur litauischen Corona-Warn-App bezog sich der EuGH darauf, dass die Parameter der Anwendung, z. B. welche Fragen in der App gestellt wurden und wie diese formuliert waren, an den Bedarf der auftraggebenden Behörde angepasst waren und sie bei der Festlegung der Fragen eine aktive Rolle gespielt hatte (EuGH, Urteil vom 5. Dezember 2023 – C-683/21 – Nacionalinis visuomenės sveikatos centras, Rn. 32). In der Entscheidung zum belgischen Amtsblatt war ein tragendes Argument für die datenschutzrechtliche Verantwortlichkeit der herausgebenden Behörde, dass für sie bereits auf gesetzlicher Ebene die Zwecke und Mittel der Datenverarbeitung festgelegt waren (EuGH, Urteil vom 11. Januar 2024 – C-231/22 – Données traitées par un journal officiel, Rn. 34; vgl. zur Maßgeblichkeit rechtlicher Bestimmungen beim Begriff des Verantwortlichen: Art. 4 Nr. 7 Halbsatz 2 DSGVO). Schließlich rekurrierte der EuGH in der Entscheidung zu einem europäischen Werbebranchenverband darauf, dass dieser seinen Mitgliedern für die Datenverarbeitung einen verbindlichen Regelungsrahmen vorgegeben hatte, in dem auch technische Spezifikationen für den Verarbeitungsvorgang enthalten waren (EuGH, Urteil vom 7. März 2024 – C-604/22 – IAB Europe, Rn. 65 f.). Auch eine solche Form der Einflussnahme gab es hier jedoch nicht.
Das VG Berlin hat dem EuGH Fragen zur Vereinbarkeit der Pflicht zu Transparenzangaben nach dem Medienstaatsvertrag (MStV) mit dem Digital Services Act (DSA) und der E-Commerce-Richtlinie zur Vorabentescheidung vorgelegt.
Die Pressemitteilung des Gerichts: EuGH-Vorlage: Pflicht zu Transparenzangaben nach dem Medienstaatsvertrag unionsrechtswidrig?
Das Verwaltungsgericht Berlin hat dem Gerichtshof der Europäischen Union (EuGH) mehrere Fragen zur Auslegung europäischer Rechtsvorschriften (Digital Services Act und E-Commerce-Richtlinie) zur Vorabentscheidung vorgelegt. Hintergrund ist, dass der von allen Bundesländern geschlossene Medienstaatsvertrag Anbieter von Internetdiensten, die eigene oder fremde Inhalte aggregieren, selektieren und allgemein zugänglich präsentieren (so genannte Medienintermediäre), zu Transparenzangaben verpflichtet, d.h. sie müssen bestimmte Informationen leicht wahrnehmbar, unmittelbar erreichbar und ständig verfügbar halten.
Die Klägerin ist Anbieterin eines großen Audio-Streamingdienstes, unter anderem mit einem umfangreichen Podcast-Angebot. Sie hat ihren Hauptsitz in einem anderen EU-Staat. Die Medienanstalt Berlin-Brandenburg beanstandete die von der Klägerin auf ihrer Internetseite und in ihren Apps vorgehaltenen Transparenzangaben als unzureichend und forderte sie zur Ergänzung auf. Hiergegen beantragte die Klägerin erfolgreich vorläufigen Rechtsschutz (vgl. Pressemitteilung Nr. 36/2024 vom 19. Dezember 2024). Mit ihrer Klage macht sie weiterhin geltend, die im Medienstaatsvertrag geregelte Pflicht zu Transparenzangaben finde in ihrem Fall keine Anwendung, weil sie gegen den Digital Services Act und die E-Commerce-Richtlinie verstoße.
Die 32. Kammer hat das Klageverfahren ausgesetzt und dem EuGH Fragen zur Auslegung des Digital Services Acts und der E-Commerce-Richtlinie zur Vorabentscheidung vorgelegt. Es bestünden Zweifel, ob diese die im Medienstaatsvertrag geregelte Verpflichtung zu Transparenzangaben zuließen. Es sei nicht geklärt, ob der Digital Services Act eine solche Verpflichtung zu Transparenzangaben unionsrechtlich abschließend regele, so dass kein Raum mehr für die Anwendung nationaler Vorschriften verbleibe. Außerdem sei ungeklärt, ob nach der E-Commerce-Richtlinie nationale Vorschriften – wie die in Rede stehenden Transparenzvorschriften – auf Medienunternehmen dann keine Anwendung fänden, wenn sie in einem anderen EU-Staat ansässig seien.
Gegen den Beschluss kann ein Rechtsmittel nicht eingelegt werden.
Vorlagebeschluss der 32. Kammer vom 10. Juli 2025 (VG 32 K 222/24)
VG Berlin
Beschluss vom 24.04.2025 - VG 32 L 25/25
Beschluss vom 24.04.2025 - VG 32 L 26/25
Das VG Berlin hat entschieden, dass die Sperrung des Zugriffs auf zwei pornographische Internetangebote mit unzureichender Altersverifikation nicht im Eilverfahren aufgehoben wird.
Die Pressemitteilung des Gerichts: Pornoseiten bleiben gesperrt
Der Zugriff auf zwei deutschsprachige Internetseiten mit pornografischen Inhalten bleibt vorerst gesperrt. Das hat das Verwaltungsgericht Berlin in einem Eilverfahren entschieden.
Bereits im Jahr 2020 wurde die Landesanstalt für Medien Nordrhein-Westfalen auf Videosharing-Plattformen im Internet aufmerksam, auf denen pornografische Inhalte uneingeschränkt und kostenlos zum Streaming und Download abrufbar waren. Daraufhin untersagte die Landesmedienanstalt der Betreiberin dieser Internetseiten (Content-Providerin), einer Gesellschaft mit Sitz auf Zypern, die weitere Verbreitung dieses Angebots, solange sie nicht eine geschlossene Benutzergruppe einrichte, durch die sichergestellt sei, dass nur Erwachsene Zugang zu den pornografischen Inhalten erhielten. Gegen die sofortige Vollziehbarkeit der Untersagung suchte die Content-Providerin um Rechtsschutz nach, der ihr letztinstanzlich versagt wurde (vgl. die Pressemitteilung des Oberverwaltungsgerichts für das Land Nordrhein-Westfalen vom 8. September 2022). Gleichwohl stellte sie auch in der Folge weder die Verbreitung der pornografischen Inhalte ein, noch schuf sie eine geschlossene Benutzergruppe. Da auch die Verhängung eines Zwangsgeldes gegen die Content-Providerin erfolglos blieb, entschieden sich die Landesmedienanstalten zu einem gemeinsamen Vorgehen gegen in Deutschland ansässige Unternehmen, die ihren Kunden den Zugang zum Internet vermitteln (Access-Provider). Im April 2024 ordnete die Medienanstalt Berlin-Brandenburg gegenüber einer Access-Providerin aus Berlin an, den Abruf der betreffenden Internetseiten aus Deutschland zu sperren. Gegen diese – an die Access-Providerin gerichteten – Bescheide erhob die Content-Providerin Klagen und stellte Eilanträge.
Die 32. Kammer hat die Eilanträge als unzulässig zurückgewiesen. Die Content-Providerin habe kein schutzwürdiges Interesse an der Außervollzugsetzung der gegenüber der Acces-Providerin ergangenen Sperrverfügungen. Denn der Anordnung der Sperrungen hätte es nicht bedurft, wenn die Content-Providerin sich rechtstreu verhalten würde. Stattdessen verbreite sie die pornografischen Inhalte trotz sofort vollziehbarer Untersagung weiterhin uneingeschränkt und für jeden zugänglich. Diese fortgesetzte und beharrliche Missachtung geltenden Rechts sei umso verwerflicher, als die betreffenden Maßnahmen Belangen des Kinder- und Jugendschutzes dienten, denen die Rechtsordnung eine überragende Bedeutung beimesse. Wenn die Antragstellerin nun gerichtlichen Rechtsschutz gegen die Sperrung ihrer Inhalte verlange, sei dies rechtsmissbräuchlich. Die Eilanträge seien in der Sache alleine darauf gerichtet, dass sie ihr rechtswidriges Verhalten ungehindert fortsetzen könne. Mit ihrer Zielsetzung missachte die Content-Providerin die Verbindlichkeit gerichtlicher Entscheidungen als wesentliches Element des Rechtsstaatsprinzips. Für dieses Ansinnen könne sie gerichtlichen Rechtsschutz nicht in Anspruch nehmen.
Gegen die Beschlüsse kann Beschwerde beim Oberverwaltungsgericht Berlin-Brandenburg erhoben werden.
Das VG Berlin hat entschieden, dass ein allgemeines Zurückbehaltungsrecht nach § 273 Abs. 1 BGB einem Aukunftsanspruch aus Art 15 DSGVO nicht entgegengehalten werden kann. Nach Ansicht des Gerichts handelt es sich bei § 273 Abs. 1 BGB nicht um eine zulässige Beschränkung im Sinne von Art. 23 Abs. 1 DSGVO.
Aus den Entscheidungsgründen: II. Diese Voraussetzungen liegen hier vor, weil die Klägerin mit der der Beschwerdeführerin erst am 4. März 2022 erteilten Auskunft gegen Art. 15 Abs. 1 Hs. 2 Var. 1 i.V.m. Art. 12 Abs. 3 Satz 1 DS-GVO verstoßen hat. Die Klägerin war gegenüber der Beschwerdeführerin zur Auskunftserteilung bis zum 22. Januar 2022 verpflichtet (vgl. hierzu unter 1.), hat die begehrte Auskunft jedoch verspätet erteilt (vgl. hierzu unter 2.).
1. Nach Art. 15 Abs. 1 Hs. 2 Var. 1 DS-GVO hat die betroffene Person gegenüber dem Verantwortlichen einer Verarbeitung personenbezogener Daten das Recht auf Auskunft über diese personenbezogenen Daten.
Zur Wahrung des Auskunftsrechts ist es erforderlich, dass der Betroffene eine vollständige Übersicht der Daten erhält, die Gegenstand der Verarbeitung sind, in verständlicher Form (vgl. EuGH, Urteil vom 17. Juli 2014 – C-141/12 und C-372/12, ZD 2014, 515, 518). Sinn und Zweck des Auskunftsanspruchs aus Art. 15 Abs. 1 DS-GVO ist es, wie sich unter anderem aus Erwägungsgrund 63 zur DS-GVO ergibt, den Betroffenen in die Lage zu versetzen, von einer Verarbeitung ihn betreffender personenbezogener Daten Kenntnis zu erhalten, um im Folgenden nicht nur die Richtigkeit dieser Daten, sondern auch die Zulässigkeit ihrer Verarbeitung überprüfen und ggf. die ihm nach den Art. 16 ff. DS-GVO zustehenden Rechte – beispielweise auf Löschung oder Einschränkung der Verarbeitung der Daten – ausüben zu können (vgl. EuGH, Urteil vom 4. Mai 2023 – C-487 –, juris Rn. 33f.; vgl. auch: Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 15 Rn. 32; Franck, in: Gola/Heckmann, DS-GVO/BDSG, 3. Auflage, 2022, DS-GVO Art. 15 Rn. 22; vgl. zum Vorstehenden: VG Berlin, Urteil vom 6. Februar 2024 – VG 1 K 187/21 –, juris Rn. 34).
Die Klägerin war gegenüber der Beschwerdeführerin aufgrund deren Auskunftsersuchens von 22. Dezember 2021 zu einer Auskunft im oben genannten Sinne verpflichtet. Die Beschwerdeführerin hat die Klägerin mit E-Mail vom 22. Dezember 2021, 15:34 Uhr, um Datenauskunft ersucht, als sie schrieb: „Please send me all my data before deleting the account“.
Anders als die Klägerin meint, stand der Verpflichtung zur Auskunftserteilung kein Zurückbehaltungsrecht nach § 273 Abs. 1 Bürgerliches Gesetzbuch (BGB) entgegen. Denn auf ein solches kann sich die Klägerin im Zusammenhang mit dem Auskunftsanspruch nach Art. 15 DS-GVO nicht berufen. § 273 Abs. 1 BGB ist hier nach Überzeugung der Einzelrichterin nicht anwendbar (offen gelassen: OLG Düsseldorf, NZG 2023, 1138 Rn. 30, das im Rahmen eines insolvenzrechtlichen Verfahrens bereits die Konnexität verneint; für den umgekehrten Fall im Ergebnis a.A. AG Wiesbaden, ZD 2022, 395 Rn. 20 ff., das die Anwendbarkeit des § 273 Abs. 1 BGB im Zusammenhang mit Art. 15 DS-GVO jedoch nicht thematisiert).
Hierfür sprechen zunächst, die divergierenden Schutzrichtungen des § 273 Abs. 1 BGB und des Art. 15 DS-GVO. Während § 273 Abs. 1 BGB der Schaffung eines Druckmittels zur Durchsetzung eines zivilrechtlichen Anspruchs dient (vgl. Krüger, in: Münchener Kommentar zum BGB, 9. Auflage, 2022, § 273 Rn. 3), ist Art. 15 DS-GVO Ausprägung des Schutzes personenbezogener Daten nach Art. 8 Abs. 2 Satz 2 der Charta der Grundrechte der Europäischen Union (GRCh) (vgl. Paal, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 15 Rn. 3) und in seiner Anwendung in Deutschland auch des Grundrechts auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG.
Der Auskunftsanspruch aus der Datenschutzgrundverordnung hat per se keinerlei Bezug zu einer vertraglichen Beziehung und setzt eine solche auch nicht voraus – mag der Anspruch in einer Vielzahl von Fällen auch parallel zu einem vertraglichen Verhältnis der Beteiligten geltend gemacht werden.
Darüber hinaus spricht gegen eine Anwendbarkeit des im BGB geregelten Zurückbehaltungsrechts im Rahmen eines Auskunftsanspruchs nach Art. 15 DS-GVO, der Anwendungsvorrang des Gemeinschaftsrechts. Als unmittelbar in allen Mitgliedstaaten geltendes EU-Recht hat Art. 15 DS-GVO in seinem Anwendungsbereich Vorrang vor nationalem Recht (vgl. Artikel 288 Abs. 2 des Vertrags über die Arbeitsweise der Europäischen Union [AEUV]).
Das Auskunftsrecht nach Art. 15 DS-GVO kann nur unter den besonderen Voraussetzungen des Art. 23 DS-GVO beschränkt werden. Nach Art. 23 Abs. 1 DS-GVO können durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, unter anderem die Pflichten und Rechte gemäß den Artikeln 12 bis 22 im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die neben anderen Zielen (vgl. lit. a) bis h)) unter anderem Folgendes sicherstellt: i) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen; j) die Durchsetzung zivilrechtlicher Ansprüche.
Zwar erfüllt § 273 Abs. 1 BGB das Tatbestandsmerkmal der Beschränkung, denn eine solche liegt auch dann vor, wenn die Ausübung eines Rechts zeitlich verzögert wird (vgl. European Data Protection Board, Leitlinien 10/2020 zu Beschränkungen nach Artikel 23 DSGVO, Fassung 2.1, 13. Oktober 2021 Rn. 8, abrufbar: https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/publikationen/EDSA/ 2020-10_EDSA_Leitlinien_Beschraenkungen-Artikel-23-DS-GVO.pdf, zuletzt abgerufen: 11. Oktober 2024 – im Folgenden: Leitlinien – Rn. 12).
Jedoch liegt im Hinblick auf § 273 Abs. 1 BGB kein Fall einer nach Art. 23 Abs. 1 DS-GVO zulässigen Beschränkung vor. Denn das Zurückbehaltungsrecht nach § 273 Abs. 1 BGB dient nicht der Sicherstellung eines der in Art. 23 Abs. 1 lit. a) bis j) DS-GVO genannten Ziele. In Betracht kommen hier nur Art. 23 Abs. 1 lit. i) Var. 2 (vgl. unter a.) und Art. 23 Abs. 1 lit. j) DS-GVO (vgl. unter b.).
a. Das Zurückbehaltungsrecht nach § 273 Abs. 1 BGB stellt nicht den Schutz der Rechte und Freiheiten anderer Personen i.S.d. Art. 23 Abs. 1 lit. i) Var. 2 DS-GVO sicher. Die Norm ist nach Überzeugung der Einzelrichterin im Interesse des effektiven Schutzes der Betroffenenrechte restriktiv auszulegen.
Hierfür spricht zunächst der Wortlaut, wonach eine Beschränkung der Betroffenenrechte zur „Sicherstellung“ des Schutzes der Rechte und Freiheiten anderer möglich ist. Das Zurückbehaltungsrecht nach § 273 Abs. 1 BGB geht jedoch über eine reine „Sicherstellung“ der Rechte anderer hinaus. Dessen Sinn und Zweck besteht vielmehr – wie bereits erwähnt – in der Schaffung eines Druckmittels zur Durchsetzung eines zivilrechtlichen Anspruchs (s.o.).
Für eine restriktive Auslegung des Art. 23 Abs. 1 lit. i) DS-GVO spricht zudem der systematische Vergleich mit den anderen Buchstaben des Art. 23 Abs. 1 (vgl. z.B. lit. a) die nationale Sicherheit; lit. b) die Landesverteidigung; lit. c) die öffentliche Sicherheit; lit. f) den Schutz der Unabhängigkeit der Justiz und den Schutz von Gerichtsverfahren). Die in den anderen Buchstaben des Art. 23 Abs. 1 DS-GVO benannten Schutzgüter zeigen, dass eine Beschränkung des Auskunftsrechts nach Art. 15 DS-GVO nur in besonders gewichtigen Fällen und zum Schutz hochrangiger (Rechts-)Güter zulässig sein soll (vgl. Leitlinien Rn. 8, die auf „wichtige Ziele“ Bezug nehmen), wozu ein vertragliches Zurückbehaltungsrecht nach Überzeugung der Einzelrichterin nicht zählt. Dementsprechend benennen die Leitlinien des European Data Protection Boards im Zusammenhang mit Art. 23 Abs. 1 lit. i) DS-GVO beispielhaft den Schutz eines Zeugen, Opfers oder Hinweisgebers im Rahmen eines Disziplinarverfahrens, der durch Beschränkung des Auskunftsrechts nach der DS-GVO vor Vergeltungsmaßnahmen des Auskunftsberechtigten geschützt werden soll (vgl. Leitlinien Rn. 34). In ähnlicher Weise wird in der Literatur darauf Bezug genommen, dass höherrangige, menschenrechtsrelevante Interessen, die Grundlage einer beschränkenden Rechtsvorschrift i.S.d. Art. 23 Abs. 1 lit. i) DS-GVO sein können (vgl. Paal, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 23 Rn. 42).
Für eine restriktive Auslegung des Art. 23 Abs. 1 lit. i) DS-GVO spricht darüber hinaus der effektive Schutz der Betroffenenrechte. Würde eine Beschränkung des datenschutzrechtlichen Auskunftsanspruch zugunsten eines Druckmittels zur Durchsetzung zivilrechtlicher Ansprüche zugelassen, könnte dieses datenschutzrechtliche Betroffenenrecht weitgehend ausgehebelt werden (vgl. auch Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 23 Rn. 33b, der sich aus diesem Grund gegen eine extensive Auslegung des Art. 23 Abs. 1 lit. j) ausspricht). In der Praxis führte dies etwa dazu, dass eine auskunftsberechtigte Privatperson, in die Lage versetzt würde, gegenüber einem Unternehmen, welches ggf. dauerhaft auf professionelle rechtliche Beratung zurückgreifen kann, nachweisen – und ggf. gerichtlich – durchsetzen zu müssen, dass die Voraussetzungen eines Zurückbehaltungsrechts im konkreten Fall nicht vorliegen. Gerade derartigen Hürden soll der Auskunftsanspruch nach Art. 15 DS-GVO jedoch nicht unterliegen, denn dieser soll den Betroffenen die Möglichkeit eröffnen, sich problemlos über die Verarbeitung der eigenen personenbezogenen Daten zu informieren (vgl. Paal, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 15 Rn. 3).
b. Das Zurückbehaltungsrecht nach § 273 Abs. 1 BGB stellt auch nicht die Durchsetzung zivilrechtlicher Ansprüche i.S.d. lit. j) sicher. Die Regelung des lit. j) ist weitestgehend schon von der in lit. i) getroffenen Regelung abgedeckt und stellt hierzu einen Sonderfall dar. Sie entfaltet eigenständige Bedeutung etwa im Bereich der Zwangsvollstreckung oder der Gewinnung von Beweismitteln für einen Zivilprozess (vgl. zum Vorstehenden: Bertermann, in: Ehmann/Selmayr, DS-GVO, 3. Auflage, 2024, DS-GVO Art. 23 Rn. 13; Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 23 Rn. 33c; Paal, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 23 Rn. 43).
Aus den o.g. Gründen ist auch Art. 23 Abs. 1 lit. j) DS-GVO restriktiv auszulegen (Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 23 Rn. 33b). Die Norm dient weder dem Zweck, ein informationelles Gleichgewicht zwischen Prozessbeteiligten (vgl. Bäcker, in: Kühling/Buchner, DS-GVO/BDSG, 4. Auflage, 2024, DS-GVO Art. 23 Rn. 33d), noch sonst ein (zivilrechtliches) Gleichgewicht zwischen den Parteien herzustellen oder einer Partei ein Druckmittel zur Durchsetzung zivilrechtlicher Rechte zu verschaffen (s.o.).
2. Die Auskunftserteilung durch die Klägerin gegenüber der Beschwerdeführerin am 4. März 2022 war verspätet. Nach Art. 12 Abs. 3 Sätze 1 bis 3 DS-GVO stellt der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung.
Die der Beschwerdeführerin erteilte Auskunft war nicht fristgerecht im Sinne des Art. 12 Abs. 3 Satz 1 DS-GVO. Die Monatsfrist nach Satz 1 der Norm ist offenkundig nicht gewahrt. Der Auskunftsanspruch der Beschwerdeführerin ist bei der Klägerin erstmals mit E-Mail vom 22. Dezember 2021,15:34 Uhr, eingegangen, als sie schrieb: „Please send me all my data before deleting the account“. Nach Überzeugung der Einzelrichterin geht bereits aus dieser Formulierung – unabhängig von dem durch die Beschwerdeführerin ebenfalls verwendeten Begriff des „subject access requests“, von dem die Klägerin vorträgt, dass ihr Mitarbeiter diesen nicht verstanden habe, eine Auskunftsbegehren i.S.d. Art. 15 Abs. 1 DS-GVO klar und eindeutig hervor. In der Folge hat die Beschwerdeführerin ihr Auskunftsbegehren gegenüber der Klägerin mehrfach wiederholt – so etwa in einer E-Mail vom 23. Dezember 2021, 17:15 Uhr, in der es heißt: „(…) Please send me all of the data that you have collected on me (…)“ oder in einer E-Mail vom 28. Dezember 2021, 00:51 Uhr, in der es heißt: „I am entitled to my data under GDPR. If you refuse to provide this data I will ask the BfDI to fine you for breaking European law“. Unter Berücksichtigung dieser eindeutigen Formulierungen und des Umstandes, dass die Klägerin die Kommunikation mit der Beschwerdeführerin offenkundig unproblematisch in der englischen Sprache geführt hat, ist nach Überzeugung der Einzelrichterin nicht glaubhaft, dass sie das Auskunftsbegehren der Beschwerdeführerin nicht verstanden oder übersehen hätte.
Es liegt auch kein Fall der Verlängerung der Auskunftsfrist i.S.d. Art. 12 Abs. 3 Satz 2, 3 DS-GVO vor. Den offenkundig hat die Klägerin die Auskunftsfrist gegenüber der Beschwerdeführerin nicht verlängert und es ist auch nicht ersichtlich, dass dies erforderlich gewesen wäre; im Übrigen beruft sich die Klägerin hierauf auch nicht.
III. Die Beklagte hat das ihr im Rahmen des Art. 58 Abs. 2 DS-GVO eröffnete Ermessen rechtmäßig ausgeübt und sich für eine Verwarnung i.S.d. des lit. b) entschieden.
Ist die Behörde ermächtigt, nach ihrem Ermessen zu handeln, hat sie ihr Ermessen entsprechend dem Zweck der Ermächtigung auszuüben und die gesetzlichen Grenzen des Ermessens einzuhalten (vgl. § 40 VwVfG). Im Sinne des eingeschränkten gerichtlichen Prüfungsumfanges des durch die Verwaltung ausgeübten Ermessens nach § 114 VwGO sind nach der Rechtsprechung der Ermessensausfall, die Ermessensunterschreitung, die Ermessensüberschreitung sowie der Ermessensfehlgebrauch als Ermessensfehler zu prüfen (vgl. Wolff, in: Sodan/Ziekow, VwGO, 5. Auflage, 2018, § 114 Rn. 84). Auch im Rahmen der Ermessensentscheidung hat die Verwaltung den Grundsatz der Verhältnismäßigkeit zu wahren (vgl. Wolff, in: Sodan/Ziekow, VwGO, 5. Auflage, 2018, § 114 Rn. 159). Ein Ermessensfehler liegt unter anderem vor, wenn die Behörde bei ihrer Ermessensentscheidung nicht alle diejenigen Gesichtspunkte in den Blick genommen und zutreffend gewürdigt hat, die bei einer Ermessensentscheidung zu beachten sind (vgl. BVerwG, NVwZ 2000, 688).
Gemessen an diesem Maßstab liegen nach Überzeugung der Einzelrichterin keine Ermessensfehler vor. Die Beklagte hat alle relevanten Gesichtspunkte beachtet, insbesondere hat sie den Verstoß der Klägerin als nicht schwerwiegend eingestuft und in ihrer Abwägungsentscheidung ihre Erwartung berücksichtigt, dass die Klägerin sich künftig an datenschutzrechtliche Vorschriften halten werde.
Der Ausspruch einer Verwarnung gegenüber der Klägerin ist zudem verhältnismäßig. Entgegen der Auffassung der Klägerin war die Beklagte nicht verpflichtet, anstelle der Verwarnung als milderes gleich geeignetes Mittel eine Anweisung nach Art. 58 Abs. 2 lit. c) DS-GVO auszusprechen. Denn die Anweisung stellt die gegenüber der Verwarnung schärfere und nicht mildere Maßnahme dar. Dies geht bereits systematisch aus dem Aufbau des Art. 58 Abs. 2 DS-GVO hervor, der mit den Buchstaben a) ff. eine Steigerung in der Intensität der Maßnahmen erkennen lässt. So sieht etwa lit. a) eine Warnung in Bezug auf voraussichtliche Verstöße als eingriffsschwächste Maßnahme vor, während lit. f) die Verhängung einer vorübergehenden oder endgültigen Beschränkung der Verarbeitung, einschließlich eines Verbots, ermöglicht (vgl. zum Vorstehenden: Sven Polenz, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 58 Rn. 6; vgl. auch: Selmayr, in: Ehmann/Selmayr, DS-GVO, 3. Auflage, 2024, DS-GVO Art. 58 Rn. 18 ff.; Nguyen, in: Gola/Heckmann, DS-GVO/BDSG, 3. Auflage, 2022, DS-GVO Art. 58 Rn. 14). Dass die Verwarnung das gegenüber der Anweisung mildere Mittel ist, ergibt sich auch daraus, dass die Verwarnung zwar einen Verwaltungsakt darstellt, aber – anders als die Anweisung – keine unmittelbare Rechtspflicht auslöst, die Verarbeitung abzustellen oder zu ändern. Wegen der beschränkten Feststellungswirkung ist sie auch nicht vollstreckbar und als solche nicht bußgeldbewehrt, sondern kann lediglich bei späterer Verhängung einer Anweisung wegen einer anderen Maßnahme als bußgelderhöhender Faktor berücksichtigt werden (vgl. Selmayr, in: Ehmann/Selmayr, DS-GVO, 3. Auflage, 2024, DS-GVO Art. 58 Rn. 20; Körffer, in: Pauly/Paal, DS-GVO/BDSG, 3. Auflage, 2021, DS-GVO Art. 58 Rn. 18; Sven Polenz, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 58 Rn. 29). Demgegenüber ist die Anweisung vollstreckbar und nach Art. 83 Abs. 5 lit. e) DS-GVO im Falle ihrer Nichtbefolgung bußgeldbewehrt.
Das VG Berlin hat - was wenig verwunderlich ist - die Klage gegen die Rundfunkbeitragspflicht auf Grundlage einer kostenpflichtigen "Musterklageschrift" aus dem Internet abgewiesen.
Die Pressemitteilung des Gerichts: 55,08 Euro, die nicht lohnen
Der Erwerb einer Musterklageschrift gegen die Zahlung von Rundfunkbeiträgen aus dem Internet führt nicht zwingend zum Erfolg, wie eine Entscheidung des Verwaltungsgerichts Berlin zeigt.
Der Kläger hatte im Juni 2024 gegen seine Heranziehung zu Rundfunkbeiträgen und die Erhebung von Säumniszuschlägen Klage erhoben, wobei er eine 178-seitige Musterklageschrift verwandte, die im Internet für 55,08 Euro bezogen werden kann. Auf der Seite des Anbieters wird hierfür wie folgt geworben:
„Wir gehen gemeinsam mit allen juristischen Mitteln dagegen vor, dass der Rundfunkbeitrag weiterhin festgesetzt und durchgesetzt wird. Das ist eine Aufgabe, die von unseren Rechtsanwälten umfassend ausgearbeitet wurde. Jeder einzelne wird damit in die Lage versetzt, auf höchstem Niveau gegen Beitragsbescheide vorzugehen, datenschutzrechtliche Verfehlungen anzukreiden und auch vor ein Verwaltungsgericht zu ziehen. Die erforderliche Klage mit über 240 Seiten und tausenden Beweisangeboten stellen wir bereit. Eine individuelle, anwaltliche Vertretung mit hohen Kosten ist deshalb nicht mehr erforderlich. Egal, wie die Gegenseite reagiert, erhältst Du die dafür passenden Antwortschreiben für Kommunen und Landesrundfunkanstalten.“
Die 8. Kammer des Verwaltungsgerichts hat die Klage in Auseinandersetzung mit sämtlichen Argumenten der Musterklageschrift abgewiesen. Die gesetzlichen Voraussetzungen des Rundfunkbeitragsstaatsvertrages für die Beitragserhebung nebst Säumniszuschlägen lägen vor. Die Vorschriften seien in jeder Hinsicht mit dem Grundgesetz vereinbar. Insbesondere könne der Kläger nicht geltend machen, die Landesrundfunkanstalten verfehlten ihren öffentlich-rechtlichen Programmauftrag strukturell. Er habe nicht dargetan, dass das gesamte Programmangebot des öffentlich-rechtlichen Rundfunks über einen erheblichen Zeitraum offenkundige und regelhaft auftretende Mängel hinsichtlich der gegenständlichen und meinungsmäßigen Vielfalt aufweise. Punktuell auftretende Defizite oder Unausgewogenheit in der Berichterstattung oder sonstigen Formaten reichten hierfür nicht aus.
Die Kammer hat die Berufung zum Oberverwaltungsgericht Berlin-Brandenburg zugelassen.
Urteil der 8. Kammer vom 14. November 2024 (VG 8 K 123/24)
Das VG Berlin hat entschieden, dass einem Auskunftsanspruch aus Art. 15 DSGVO ein unverhältnismäßiger Aufwand zur Auskunftserteilung nur ein eng begrenzten Ausnahmefällen entgegengehalten werden kann.
Aus den Entscheidungsgründen: Soweit der Kläger – mit seinem Antrag zu 1.) – die Verpflichtung der Beklagten begehrt, die ihm unter dem 18. November 2020 erteilte Auskunft zu vervollständigen und ihm Auskunft über seine bis zum Datum seines Auskunftsantrages in den Verwaltungsvorgängen der Beklagten verarbeiteten personenbezogenen Daten zu erteilen, indem die Beklage ihm eine Kopie dieser Daten zur Verfügung stellt, ist die nach § 42 Abs. 1 Alt. 2 VwGO statthafte (vgl. BVerwG, Urteil vom 30. November 2022 - 6 C 10.21, juris Rn. 14) und auch sonst zulässige Verpflichtungsklage begründet (§ 113 Abs. 5 Satz 1 VwGO).
Grundlage für den insoweit geltend gemachten Anspruch ist Art. 15 Abs. 1 i.V.m. Abs. 3 Satz 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung - DSGVO).
Sinn und Zweck des Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO ist es, wie sich u.a. aus Erwägungsgrund 63 zur DSGVO ergibt, den Betroffenen in die Lage zu versetzen, von einer Verarbeitung ihn betreffender personenbezogener Daten Kenntnis zu erhalten, um im Folgenden nicht nur die Richtigkeit dieser Daten, sondern auch die Zulässigkeit ihrer Verarbeitung überprüfen und im Folgenden ggf. die ihm nach den Art. 16f. DSGVO zustehenden Rechte – beispielweise auf Löschung oder Einschränkung der Verarbeitung der Daten – ausüben zu können (EuGH, Urteil vom 4. Mai 2023 - C-487, juris Rn. 33f.). Gerade für eine Rechtmäßigkeitskontrolle ist aber, worauf der Kläger zu Recht hingewiesen hat, eine bloß abstrakte Übersicht über die verarbeiteten Daten nicht ausreichend, weshalb der Anspruch des Klägers nicht durch die ihm unter dem 18. November 2020 erteilte Auskunft der Beklagten erloschen ist, die sich lediglich auf die in den IT-Systemen der Beklagten gespeicherten (Stamm-)Daten des Klägers erstreckte. Vielmehr bedarf es, um die Rechtmäßigkeit der Datenverarbeitung im jeweiligen Einzelfall überprüfen zu können, notwendigerweise der konkreten Mitteilung, in welchem Kontext die Daten verarbeitet wurden (EuGH, Urteil vom 4. Mai 2023, a.a.O. Rn. 41f.; vgl. auch EuGH, Urteil vom 22. Juni 2023 - C-579/21, juris Rn. 64f., 66). Dies lässt sich regelmäßig durch Zurverfügungstellung einer Kopie i.S.d. Art. 15 Abs. 3 Satz 1 DSGVO erreichen, d.h. einer vollständigen, originalgetreuen Reproduktion der verarbeiteten Daten (EuGH, Urteil vom 4. Mai 2023, a.a.O. Rn. 32, 39 und Urteil vom 22. Juni 2023, a.a.O.; vgl. auch EuGH, Urteil vom 26. Oktober 2023 - C-307/22, juris Rn. 79).
Der Klagebegründung zufolge (vgl. Schriftsatz vom 22. Dezember 2023, S. 3, 4) soll der geltend gemachte Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO auf diese Weise erfüllt werden. Durch die (dementsprechend tenorierte) Verpflichtung der Beklagten zur Zurverfügungstellung einer Kopie i.S.d. Art. 15 Abs. 3 Satz 1 DSGVO wird zugleich der durch den Kläger weiter geltend gemachten Anspruch auf Auskunft über die sogenannten „Metadaten“ i.S.d. Art. 15 Abs. 1 HS. 2 lit. a) bis h) DSGVO erfüllt (vgl. Urteil der Kammer vom 10. Januar 2024 - VG 1 K 73/22, UA S. 5f.).
Dem damit dem Grunde nach bestehenden Anspruch des Klägers aus Art. 15 Abs. 1 i.V.m. Abs. 3 Satz 1 DSGVO kann die Beklagte nicht mit Erfolg den Einwand der Unverhältnismäßigkeit oder des Rechtsmissbrauchs entgegenhalten.
Das Gericht verkennt nicht, dass mit der Zurverfügungstellung von Kopien aller in den Verwaltungsvorgängen der Beklagten enthaltenen Dokumente, in denen personenbezogene Daten des Klägers verarbeitet werden, nicht nur wegen der in jedem Einzelfall erforderlichen Prüfung entgegenstehender Rechte i.S.d. Art. 15 Abs. 4 DSGVO ein erheblicher Aufwand einhergeht. Aufgrund der Bedeutung des – grundsätzlich unbedingt gewährleisteten – Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO kommt eine Weigerung des Verantwortlichen, einem Auskunftsbegehren wegen des zu seiner Erfüllung zu treibenden unverhältnismäßigen Aufwandes Folge zu leisten, jedoch nur in eng begrenzten Ausnahmefällen in Betracht, beispielsweise bei einem offenkundig groben Missverhältnis zwischen den zur Erfüllung des Auskunftsanspruches erforderlichen Anstrengungen und dem Informationsinteresse des Betroffenen (vgl. Urteil der Kammer vom 12. Oktober 2023 - 1 K 561/21, juris Rn. 60). Diese Voraussetzung ist hier jedoch – trotz des großen Umfangs der durch die Beklagte zu sichtenden und vor einer Herausgabe an den Kläger ggf. zu anonymisierenden Akten – nicht erfüllt. Denn der Kläger hat unter Bezugnahme auf die besondere Schutzwürdigkeit seiner personenbezogenen Daten (vgl. hierzu das den Beteiligten bekannte Urteil der Kammer vom 10. Juni 2020 - VG 1 K 143/16, UA S. 9f.) plausibel dargelegt, dass er vorrangig deren Weitergabe durch die Beklagte an Dritte nachvollziehen wolle (die laut der Mitteilung der Beklagten an den Kläger vom 18. November 2020 mehrfach erfolgt ist), um diesen Dritten gegenüber eventuell die Löschung oder die Einschränkung der Verarbeitung der Daten geltend zu machen. Dem lässt sich allein dadurch Rechnung tragen, dass die Beklagte die betreffenden Dokumente in Kopie an den Kläger herausgibt; eine abstrakte Mitteilung der Empfänger der Daten ist nach dem oben Gesagten für die jeweils erforderliche Einzelfallprüfung nicht ausreichend. Der Einwand des Rechtsmissbrauchs, an den gleichermaßen strenge Anforderungen zu stellen sind, greift vor diesem Hintergrund ebenfalls nicht durch.
Das VG Berlin hat entschieden, kein Auskunftsanspruch nach Art 15 DSGVO hinsichtlich im Rahmen der Videoüberwachung in S-Bahnen gewonnenen Aufzeichnungen besteht, da der Aufwand unverhältnismäßig wäre.
Aus den Entscheidungsgründen: Letztlich kann jedoch offenbleiben, ob die im Rahmen der Videoüberwachung in den S-Bahnen der Klägerin gewonnenen Aufzeichnungen – allgemein bzw. im vorliegenden Sachverhalt – personenbezogene Daten darstellen. Denn der Beigeladene hatte, unter keinem Gesichtspunkt einen Anspruch auf Zurverfügungstellung einer Kopie der Videoaufzeichnungen.
Der insoweit nach dem allgemeinen Günstigkeitsprinzip (vgl. hierzu BVerwG, Urteil vom 27. November 1980 - 2 C 38.79, juris Rn. 39) darlegungsbelastete Beigeladene hat schon nicht nachgewiesen, dass – was von der zuvor aufgeworfenen Frage des Personenbezugs der Daten zu unterscheiden ist – er tatsächlich die „betroffene Person“ i.S.d. Art. 15 DSGVO ist, deren Bilddaten zu dem von ihm angegebenen Zeitraum in dem von ihm benannten Zug der Klägerin gespeichert wurden. Die Klägerin hat in diesem Zusammenhang zu Recht darauf hingewiesen, dass, um die Herausgabe an unberechtigte Dritte ausschließen zu können, eine zweifelsfreie Übereinstimmung der Person des Auskunftsbegehrenden mit der Person des auf den Videos Abgebildeten gewährleistet werden muss. Hierfür reichen aber allein Angaben, wie der Beigeladenen sie gemacht hat (Zeitraum der Beförderung, Zugnummer, äußeres Erscheinungsbild und Verhaltensweise der Person) nicht aus. Denn es erscheint beispielsweise denkbar, dass ein Antragsteller derartige Angaben zu einer anderen Person macht, die ihm etwa deshalb bekannt sind, weil er mit ihr zusammen in einem der Züge der Klägerin gefahren ist, um so an die Videoaufzeichnungen dieser Person zu gelangen. Unabhängig von der Frage, ob überhaupt – und wenn ja auf welche Art und Weise – verlässlich die Identität eines Antragstellers mit einer im Rahmen der Videoaufzeichnung erfassten Person überprüft werden könnte, erscheint dies im vorliegenden Fall ferner schon deshalb ausgeschlossen, weil der Beigeladene seinen eigenen Angaben zufolge anlässlich der Zugfahrt eine Mund-Nasen-Bedeckung trug und seine Gesichtszüge daher nicht erkennbar waren. Auf die von den Beteiligten in diesem Zusammenhang aufgeworfene Frage, ob aus Art. 11 DSGVO abgeleitet werden kann, dass die Klägerin nicht verpflichtet ist, weitere Anstrengungen zu unternehmen, um einen Auskunftsbegehrenden auf den Videoaufzeichnungen zu identifizieren, kommt es damit nicht mehr an.
Hinzu kommt, dass der Klägerin die Auskunftserteilung auch wegen eines dafür zu treibenden unverhältnismäßigen Aufwandes nicht zumutbar war. Hierzu hat das Amtsgericht Pankow in einem Verfahren, in dem der Beigeladene die Klägerin, gestützt auf Art. 82 DSGVO, wegen der Zurückweisung eines weiteren Auskunftsbegehrens auf Zahlung von Schadensersatz in Anspruch genommen hat, Folgendes ausgeführt (Urteil vom 28. März 2022 - 4 C 199/21, juris):
„Hinsichtlich des hierauf basierenden Auskunftsanspruch gemäß Art. 15 DSGVO ist der Beklagten das Erfüllen dieses Auskunftsanspruchs jedoch aufgrund unverhältnismäßigen Aufwands unzumutbar gemäß § 275 Abs. 2 BGB (vgl. Gola/Franck, DS-GVO, Kommentar, 1. Aufl. 2017, Art. 15, Rn. 30). Aufgrund des Ausnahmecharakters von § 275 Abs. 2 BGB und aufgrund der zentralen Bedeutung des Auskunftsanspruchs gemäß Art. 15 DSGVO sind strenge Maßstäbe an die Unverhältnismäßigkeit eines Auskunftsbegehrens anzulegen. Insbesondere besteht ein Verweigerungsrecht nur bei einem groben Missverhältnis zwischen Aufwand und Leistungsinteresse.
Ein solch grobes Missverhältnis besteht jedoch hier. Denn das Transparenzinteresse des Klägers ist äußerst gering. Insbesondere war er sich des Ob, Wie und Was der Datenverarbeitung bewusst (vgl. Gola/Franck, DS-GVO, Kommentar, 1. Aufl. 2017, Art. 15, Rn. 2). Der Kläger wusste genau, dass und in welchem Umfang personenbezogene Daten erhoben werden. Der Normzweck von Art. 15 DSGVO - das Bewusstwerden über die Datenverarbeitung - war daher weitestgehend schon erfüllt. Der hier vorliegende Sachverhalt ist gerade nicht einer Situation vergleichbar, bei der sich ein Auskunftsbegehrender einen Überblick über verarbeitete personenbezogene Daten verschaffen will, die gegebenenfalls länger in der Vergangenheit zurücklegen, oder bei den Daten zu unterschiedlichen Anlässen verarbeitet werden. Die Datenverarbeitung durch die Beklagte ist von vornherein auf 48 Stunden zeitlich und örtlich auf die Züge der Beklagten begrenzt. Dem Kläger und jedem anderen Dritten ist es zumutbar, sich innerhalb des kurzen Zeitraums von 48 Stunden zu erinnern, wann eine Dienstleistung der Beklagten in Anspruch genommen wurde und wann entsprechend eine Verarbeitung personenbezogener Daten stattgefunden hat. Mit Blick auf den sehr kurzen Zeitraum ist der vom Kläger beklagte Kontrollverlust nicht erkennbar. Wie der Kläger selbst darlegt, wurde er zudem von der Beklagten auch über sämtliche von Art. 15 Abs. 1 lit. a - h DSGVO erfassten Aspekte der Datenverarbeitung, einschließlich Verarbeitungszweck, Dauer der Verarbeitung und Beschwerderecht informiert. Auch insoweit ist der Normzweck von Art. 15 DSGVO der Vergewisserung über "Existenz, Zwecke, Absichten und Rechtsfolgen" der Datenverarbeitung erfüllt (vgl. Paal/Pauly Datenschutzgrundverordnung, Bundesdatenschutzgesetz, 3. Aufl. 2021, Art. 15 Rn. 3). Welches darüber hinausgehende Interesse der Kläger an der konkreten Gestalt der Videoaufzeichnung hat, hat er nicht hinreichend dargelegt und erschließt sich nicht. Denn für die Überprüfung der Rechtmäßigkeit der Videoaufzeichnung als einen wesentlichen Zweck von Art. 15 DSGVO bedarf der Kläger der konkreten Gestalt der Videoaufzeichnung nicht. Unabhängig von der konkreten Auflösung der Videoaufzeichnung oder der möglichen Erfassung von biometrischen Daten, steht der Eingriffscharakter der Aufzeichnung im Wesentlichen fest. Entsprechend gering ist das von Art. 15 DSGVO geschützte Vergewisserungsinteresse des Klägers.
Demgegenüber hat die Beklagte substantiiert dargelegt, dass die Erfüllung des Auskunftsanspruchs durch Verhinderung der automatischen Löschung und anschließenden Auskunft an den Kläger einen erheblichen Aufwand an Zeit, Kosten und Arbeitskraft bedeutet. Dass ein solcher Aufwand einem Auskunftsbegehren entgegenstehen kann, ist europarechtlich anerkannt (vgl. EuGH, Urteil v. 19.10.2016 C-582/14). Zum einen verfügt die Beklagte über keine Software zur Gesichtserkennung. Entsprechend komplex wäre es für die Beklagte, den Kläger aufgrund seiner Angaben zu identifizieren. Die Beklagte hat insoweit substantiiert vorgetragen, dass erhebliche Ressourcen zur Identifizierung von Personen nötig wären und dass die datenschutzgerechte Entnahme der Kassetten aufgrund von Anreisezeiten zu den Zügen und Sicherheitsvorkehrungen aufwendig sind. Zum anderen würde die Auskunft an den Kläger erfordern, dass die Beklagte ihre Betriebsvereinbarung mit Hinblick auf die Auswertung der Speicherkassetten anpasst und diese selbst auswertet, bzw. Dritte hiermit beauftragt. Eine Anpassung ihrer Prozesse, zum Beispiel durch die Anschaffung einer Software zur automatisierten Gesichtserkennung oder über eine zentrale Speicherung der Videoaufzeichnungen, bedeuten jedoch ebenso einen erheblichen Aufwand und begegnen darüber hinaus erheblichen datenschutzrechtlichen Bedenken. Die Beklagte hat insoweit dargelegt, dass ihre dezentralisierten Verarbeitungsprozesse gerade dem Datenschutz dienen. Wäre sie zu einer längeren Speicherung aufgrund des Verlangens des Klägers verpflichtet, wären notwendig auch die durch Art. 15 Abs. 4 DSGVO geschützten Interessen von Dritten betroffen. Aufgrund der datenschutzrechtlichen Verpflichtung der Beklagten gegenüber Dritten ist diese Drittbetroffenheit auch im Rahmen der gemäß § 275 Abs. 2 BGB erforderlichen Prüfung des Äquivalenzinteresses von Kläger und Beklagten zu berücksichtigen. Denn selbst wenn die Verpixelung oder anderweitige Unkenntlichmachung von Dritten technisch möglich ist, dürfte diese Identifizierung und Unkenntlichmachung regelmäßig nicht zuverlässig innerhalb von 48 Stunden, gegebenenfalls in sogar noch kürzeren Zeiträumen zu leisten sein. Daher würden bei einer längeren Speicherung nach einem Auskunftsersuchen notwendig die Datenschutzrechte von Dritten beeinträchtigt. Der Kläger verkennt insoweit, dass die von ihm begehrte Auskunft die strengen Löschfristen von § 20 Abs. 5 Bln DSG i. v. m. Art 17 DSGVO gegenüber Dritten und hiermit ein zentrales normatives datenschutzrechtliches Anliegen aufzuweichen droht. Aufgrund dessen tritt mit Blick auf den erheblichen Ressourcenaufwand der Beklagten, sowie Datenschutzrechten von Dritten, der begrenzte Erkenntnisgewinn des Klägers an der konkreten Gestalt der Videoaufzeichnung zurück, weswegen von einem groben Missverhältnis zwischen Leistungsinteresse und Aufwand gemäß § 275 Abs. 2 BGB auszugehen ist.
Es kann insoweit dahinstehen, ob ein Verweigerungsrecht der Beklagten auch aus einer analogen Anwendung von Art. 14 Abs. 5 DSGVO folgt. Ebenso kann dahinstehen, ob die vom Kläger begehrte längere Speicherung der personenbezogenen Daten und anschließender Auskunft hierüber bereits wegen eines Verstoßes gegen § 20 Abs. 5 Bln DSG rechtlich unmöglich ist, § 275 Abs. 1 BGB.“
Diesen Ausführungen schließt sich die Kammer an. Zwar ist in Art. 15 DSGVO keine ausdrückliche Ausnahme wegen unverhältnismäßigen Aufwands vorgesehen. Der durch das Amtsgericht herangezogene § 275 Abs. 2 BGB beinhaltet jedoch einen allgemeinen Rechtsgedanken, der auch in Erwägungsgrund 62 der DSGVO zum Ausdruck kommt. Danach darf eine Leistung verweigert werden, soweit diese einen Aufwand erfordert, der unter Beachtung des Gebots von Treu und Glauben, das nach Art. 8 Abs. 2 Satz 1 der Charta der Grundrechte der Europäischen Union und Art. 5 Abs. 1 lit. a DSGVO über dem gesamten Verarbeitungsvorgang steht, in einem groben Missverhältnis zum Leistungsinteresse des Gläubigers steht (vgl. Franck in: Gola/Heckmann, DSGVO - BDSG, 3. Aufl. 2022, Art. 15 Rn. 51 m.w.N.). Insoweit hat das Amtsgericht deutlich gemacht, dass zwar der Einwand der Klägerin, es sei nicht erkennbar, welchen Zweck der Beigeladene mit seinem Auskunftsanspruch verfolge, nicht unmittelbar verfängt, dass aber jedenfalls mittelbar das offenkundig nur geringe Informationsinteresse des Beigeladenen bei der vorzunehmenden Abwägung zu seinen Lasten zu berücksichtigen ist. Dies gilt gleichermaßen für die durch das Amtsgericht betonte Kollision des vom Beigeladenen geltend gemachten Anspruches mit der nach § 20 Abs. 5 BlnDSG gesetzlich vorgesehenen automatischen Löschung der Daten, die dem Schutz der Interessen aller anderen durch die Videoüberwachung erfassten Personen dient. Dieser ließe sich durch eine Unkenntlichmachung ihrer Gesichter nicht im gleichen Maße gewährleisten wie durch eine vorbehaltlose Löschung der gespeicherten Daten. Diese Unkenntlichmachung wäre, neben dem größeren datenschutzrechtlichen Risiko des Missbrauchs im Vergleich zu einer Löschung, zudem mit einigem Aufwand verbunden.
Schon aus diesem Grund bestand auch kein Anspruch des Beigeladenen auf Verhinderung der automatischen Löschung der Daten. Weder die Regelung in Art. 17 Abs. 3 lit.b) DSGVO noch die Rechte aus Art. 18 Abs. 1 lit. c) DSGVO standen dem entgegen, weil mit den dort angeführten rechtlichen Verpflichtungen der Klägerin bzw. den Rechtsansprüchen des Beigeladenen nicht die Auskunftsrechte i.S.d. Art. 15 DSGVO, sondern außerhalb der DSGVO liegende Rechtsansprüche gemeint sind. Hierfür spricht schon in systematischer Hinsicht, dass die genannten Regelungen ansonsten leerliefen, weil die Möglichkeit der zukünftigen Geltendmachung etwaiger Auskunftsansprüche in jedem Fall einer Löschung entgegenstünde. Im Übrigen spricht auch der Wortlaut des Art. 18 Abs. 1 lit. c) DSGVO gegen die Annahme, dass die Verhinderung der Löschung von Daten verlangt werden darf, nur um einen nach Art. 15 DSGVO bestehenden Auskunftsanspruch über jene Daten zu sichern. Denn danach ist Voraussetzung, dass die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen „benötigt“ werden – diese also nicht unmittelbar bzw. selbst Gegenstand des geltend gemachten Anspruchs sind.
Letztlich wäre, selbst wenn die Klägerin mit der Verweigerung der Auskunftserteilung gegen die Regelungen der DSGVO verstoßen hätte, die deswegen ausgesprochene Verwarnung deshalb rechtswidrig, weil die Beklagte das ihr insoweit nach Art. 58 Abs. 2 lit. b) DSGVO eröffnete Ermessen fehlerhaft ausgeübt hat.
Die Beklagte ist hierbei eigenem Bekunden nach davon ausgegangen, dass im Falle der Feststellung eines Datenschutzverstoßes zumindest eine Verwarnung auszusprechen sei, weil dies die mildeste der in Art. 58 Abs. 2 DSGVO vorgesehenen datenschutzrechtlichen Aufsichtsmaßnahmen darstelle. Dabei hat die Beklagte außer Acht gelassen, dass auch Sachverhaltskonstellationen denkbar sind, in denen sich trotz eines festgestellten Datenschutzverstoßes die Aussprache einer Verwarnung – wegen der Geringfügigkeit des Verstoßes auf der einen und den damit auf der anderen Seite für den Adressaten verbundenen Folgen – als unverhältnismäßig darstellen und damit gegen das rechtsstaatliche Übermaßverbot verstoßen würde. Der Beklagten kommt daher nicht nur ein Auswahlermessen hinsichtlich der Frage zu, wie bzw. mit welchem der in Art. 58 DSGVO vorgesehenen Mittel sie auf einen datenschutzrechtlichen Verstoß reagiert, sondern auch ein Entschließungsermessen dahin, ob sie im Einzelfall von einem Einschreiten absieht. Da die Beklagte dieses ihr eröffnete Ermessen im vorliegenden Fall unstreitig nicht ausgeübt hat, ist der Bescheid wegen Ermessensausfalls rechtswidrig. Es kann daher offenbleiben, ob der Bescheid – angesichts der oben aufgezeigten Diskrepanz zwischen dem geringfügigen Informationsinteresse des Beigeladenen einerseits und dem durch die Klägerin für eine Auskunftserteilung zu betreibenden erheblichen Aufwand andererseits – auch wegen Ermessensüberschreitung rechtswidrig ist.
Das VG Berlin hat entschieden, dass ein schriftlicher Verweis gerechtfertigt ist, wenn ein Schüler einen Lehrer heimlich im Unterricht und verbreitet der Schüler die Fotos weiter so rechtfertigt dies schriftlichen Verweis
Die Pressemitteilung des Gerichts: Schriftlicher Verweis wegen Fotoaufnahmen vom Lehrer
Einem Schüler, der während der Unterrichtszeit von seinem Lehrer ohne dessen Einverständnis Fotos machte und diese versendete, ist zurecht ein schriftlicher Verweis erteilt worden. Das hat das Verwaltungsgericht Berlin entschieden.
Der Achtklässler fotografierte seinen Klassenlehrer – nach seinen Angaben aus Langeweile – heimlich während des Unterrichts mit seinem Tablet und versendete die Fotos an eine unbekannte dritte Person. Die Bilder wurden sodann über Nachrichtendienste in der Schülerschaft der Schule digital weiterverbreitet. Eine einberufene Klassenkonferenz unter Leitung des Klassenlehrers beschloss einstimmig, dem Schüler einen schriftlichen Verweis zu erteilen, und mehrheitlich, den Verweis auf dem Schuljahreszeugnis einzutragen. Der Widerspruch des Schülers gegen den Verweis blieb ohne Erfolg.
Die 3. Kammer des Verwaltungsgerichts hat die daraufhin eingereichte Klage des Schülers abgewiesen. Der schriftliche Verweis habe als schulische Ordnungsmaßnahme keinen Strafcharakter, sondern sei eine pädagogische Maßnahme, die neben der Erziehung des betroffenen Schülers vornehmlich der Sicherung der Funktionsfähigkeit der Schule, insbesondere des Schulunterrichts, diene. Voraussetzung seien objektive Pflichtverletzungen des betreffenden Schülers. Bei der Verhängung einer Ordnungsmaßnahme komme der Schule ein pädagogischer Beurteilungsspielraum zu, der nur sehr begrenzt einer gerichtlichen Kontrolle unterliege, insbesondere dahingehend, ob der Sachverhalt zutreffend ermittelt worden sei, die Maßnahme willkürfrei sei und die Grenzen der Verhältnismäßigkeit wahre. Dies sei hier gegeben. Der Schüler habe eingeräumt, die Fotos vom Klassenlehrer ohne dessen Einverständnis angefertigt und versendet zu haben. Damit habe er gegen die Hausordnung der Schule verstoßen, den Unterrichtsablauf gestört sowie das allgemeine Persönlichkeitsrecht des Lehrers verletzt. Der schriftliche Verweis sei als mildeste Ordnungsmaßnahme angesichts der viralen Verbreitung der Fotos in der Schule, der damit verbundenen Nachahmungsgefahr und des uneinsichtigen Verhaltens des Schülers verhältnismäßig. Der Schule stehe es frei, sich wegen desselben Vorfalls ggf. sowohl erzieherischer Maßnahmen – etwa in Form eines erzieherischen Gesprächs mit dem Schüler – als auch förmlicher Maßnahmen – wie hier dem Verweis – zu bedienen. Auch die Eintragung des Verweises auf dem Zeugnis sei vor dem Hintergrund der Pflichtverletzung des Schülers, der durch das Versenden der ungenehmigten Fotos erst das Risiko ihrer Verbreitung geschaffen habe, nicht zu beanstanden, zumal es sich nicht um ein Abschlusszeugnis handle.
Gegen das Urteil kann Antrag auf Zulassung der Berufung zum Oberverwaltungsgericht Berlin-Brandenburg gestellt werden.
Urteil der 3. Kammer vom 21. Juli 2023 (VG 3 K 211/22)
