Hessische Datenschutzbehörde: Keine hohen Anforderungen an „Schriftform“ von Auftragsverarbeitungsverträgen

Der Hessische Datenschutzbeauftragte (HBDI) hat kürzlich seinen neuen, 48. Tätigkeitsbericht veröffentlicht (pdf).

Unter anderem befasst sich die Aufsichtsbehörde dort auch mit einem immer noch praxisrelevanten Thema: in welcher Form dürfen bzw. müssen Verträge zur Auftragsverarbeitung (AVV) abgeschlossen werden?

Bereits in der Vergangenheit hatte ich darauf hingewiesen, dass selbst die Europäische Kommission keine allzu hohen Anforderungen an die Form eines AVV stellt.

Art. 28 Abs. 9 DSGVO gibt vor:

Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.“

Bedeutend ist also, was mit „schriftlich“ und „elektronischen Format“ gemeint ist.

Nach Ansicht des HBDI ist das Schriftformerfordernis des Art. 28 Abs. 9 DSGVO nicht identisch mit der Schriftform nach § 126 BGB. Meines Erachtens ist diese Ansicht zutreffend. Unter anderem auch deshalb, weil es sich bei der DSGVO um EU-Recht handelt und eine europarechtsautonome Auslegung erforderlich ist. Der Verweis auf nationale Formvorschriften im Zivilrecht passt daher nicht.

Der HBDI geht davon aus, dass demnach nicht wie nach § 126 Abs. 1 BGB zwingend eine vom Aussteller eigenhändig unterschriebene Urkunde erstellt werden muss. Oder anders ausgedrückt: ein AVV muss nicht handschriftlich unterzeichnet werden.

Danach geht der HBDI auf den Sinn und Zweck der Formvorschrift in Art. 28 DSGVO ein. Mit der in der DSGVO angeordneten Schriftform soll sichergestellt werden, dass die Beteiligten die Möglichkeit haben, sich dauerhaft und zuverlässig über den Inhalt des AVV oder einer einseitigen Verpflichtungserklärung zu informieren.

Diese dauerhafte Informationsfunktion erfüllt auch die Textform, wie sie in § 126b BGB geregelt ist.

Der HBDI lässt also auch solche AVV als wirksam gelten, die „nur“ das deutsche Erfordernis an die Textform erfüllen würden.

Und dann nennt der HBDI auch konkrete Beispiele, wie in der Praxis ein AVV wirksam abgeschlossen werden kann:

  • Austausch von Computerfaxen
  • Austausch von E-Mails mit oder ohne PDF-Anhang

Beide Varianten genügen dem Schriftformerfordernis des Art. 28 Abs. 9 DSGVO.

Zudem weist der HBDI darauf hin, dass der Auftragsverarbeiter auch einen Vertragstext auf seiner Webseite einstellen und der Verantwortliche die Annahmeerklärung durch Anklicken eines Kästchens wirksam abgeben kann.

Jedoch muss dann sichergestellt sein, dass der Verantwortliche den Vertrag speichern und ausdrucken kann. Nach Ansicht des HBDI verlangt die DSGVO nicht, dass ein Download tatsächlich erfolgt.

Zudem geht der HBDI auch auf das Merkmal „elektronischem Format“ ein. Hiermit kann nicht ein nach § 126 a BGB elektronisch signiertes Dokument gemeint sein. Begründet wird diese Ansicht (meines Erachtens zutreffend) u.a. damit, dass sich in Art. 30 Abs. 3 DSGVO für das Führen des Verarbeitungsverzeichnisses eine wortgleiche Schriftformregelung findet.

Es ist jedoch kein Grund ersichtlich, weshalb ein Verzeichnis von Verarbeitungstätigkeiten mit einer qualifizierten elektronischen Signatur versehen werden sollte. Es gibt aber auch keine Anhaltspunkte, dass der Unionsgesetzgeber den Begriff „elektronisches Format“ in den beiden Regelungen mit unterschiedlichem Inhalt verwendet hat.

LAG Nürnberg: Nationaler Kündigungs- und Abberufungsschutz für Datenschutzbeauftragte ist mit DSGVO vereinbar

Mit Urteil vom 19.2.2020 (Az. 2 Sa 274/19, pdf) hat das Landesarbeitsgericht Nürnberg den im BDSG geregelten besonderen Kündigungs- und Abberufungsschutz für Datenschutzbeauftragte als europarechtskonform angesehen. Die Regelungen verstoßen nach Ansicht des LAG nicht gegen die Vorgaben der DSGVO.

Sachverhalt

Die Klägerin wurde mit Schreiben vom 15.1.2018 von der Beklagten zur betrieblichen Datenschutzbeauftragten bestellt. Mit weiteren späteren Schreiben wurde die Klägerin zur betrieblichen Datenschutzbeauftragten von Tochterunternehmen bestellt

Mit Schreiben vom 13.7.2018 wurde das Arbeitsverhältnis der Klägerin durch die Beklagte mit Wirkung zum 15.08.2018 gekündigt. Im Kündigungsschreiben wurde der Klägerin mitgeteilt, dass ihre bisherige Stellung als Datenschutzbeauftragte – vorsorglich auch im Auftrag der Tochterunternehmen – spätestens zum 15.08.2018 enden und hilfsweise aus wichtigem Grund widerrufen wird.

Die Klägerin begehrt gegenüber der Beklagten u.a. die Feststellung der Unwirksamkeit einer Kündigung des zwischen beiden bestehenden Arbeitsverhältnisses und die Feststellung des Bestehens einer Rechtsstellung der Klägerin als interne Beauftragte für den Datenschutz.

Das Arbeitsgericht hatte festgestellt, dass das Arbeitsverhältnis der Klägerin zur Beklagten nicht durch die Kündigung vom 13.7.2018 mit Ablauf des 15.8.2018 beendet wurde, und dass die Rechtsstellung der Klägerin als Beauftragte für den Datenschutz der Beklagten nicht durch den Widerruf der Beklagten vom 13.7.2018 beendet wurde. Hiergegen wendeten sich die Beklagten mit einer Berufung.

Urteil

Besonderer Kündigungs- und Abberufungsschutz

Nach Ansicht des LAG genoss die Klägerin zum Zeitpunkt der Kündigung den besonderen Kündigungsschutz für Datenschutzbeauftragte nach §§ 38 Abs. 2, 6 Abs. 4 S. 2 BDSG.

Nach § 6 Abs. 4 S. 1 BDSG ist die Abberufung des Datenschutzbeauftragten nur in entsprechender Anwendung des § 626 BGB zulässig. Nach S. 2 ist die Kündigung des Arbeitsverhältnisses unzulässig, es sei denn, dass Tatsachen vorliegen, welche zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigen.

Nach Ansicht des LAG gilt dieser Sonderkündigungsschutz auch bereits in der Probezeit.

Nationale Regelung zum Kündigungsschutz verstößt nicht gegen DSGVO

Fraglich war sodann, ob der nationale Gesetzgeber überhaupt befugt ist, entsprechende Regelungen im BDSG zur Stellung und Abberufung bzw. Kündigung des Datenschutzbeauftragten zu treffen.

Nach Ansicht des LAG verstößt der besondere Kündigungsschutz auf nationaler Ebene nicht gegen Art. 38 Abs. 3 S. 2 DSGVO. Nach dieser Vorschrift darf der Datenschutzbeauftragte wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Zwar ist davon auszugehen, dass die DSGVO als EU-Verordnung unmittelbar und zwingend im Sinne einer Vollharmonisierung gilt und nicht lediglich Mindeststandards setzt („Mindestharmonisierung“). Die Mitgliedstaaten dürfen somit von ausdrücklichen Vorgaben der DSGVO nur insoweit abweichen, wie dies die DSGVO ausdrücklich oder durch Auslegung ermittelbar zulässt, und im Übrigen die Vorgaben der DSGVO lediglich konkretisieren.

Zwar existiere eine ausdrückliche Öffnungsklausel für den nationalen Gesetzgeber, einen besonderen Kündigungsschutz für Datenschutzbeauftragte zu regeln, in der DSGVO nicht.

Allerdings ergibt die Auslegung, dass die DSGVO spezifisch arbeitsrechtliche Regelungen für den Datenschutzbeauftragten zulässt, soweit der Schutz nicht hinter des DSGVO zurückbleibt.

Das LAG betrachtet für seine Begründung zunächst die Kompetenzgrundlagen des europäischen Gesetzgebers. Die DSGVO regele den Datenschutz als Querschnittsmaterie mit Art. 16 Abs. 2 AEUV als Kompetenzgrundlage. Das LAG weist dann darauf hin, dass die Kompetenznorm für spezifisch arbeitsrechtliche Regelungen hingegen in Art. 153 AEUV und hier insbesondere für Arbeitsbedingungen in Abs. 1 lit. b und für den Schutz der Arbeitnehmer bei Beendigung des Arbeitsvertrags in Abs. 1 lit. d. zu finden sei.

Im Bereich der arbeitsrechtlichen Regelungen handelt die EU nach Art. 153 Abs. 2 AEUV in diesem Bereich jedoch durch Richtlinien, nicht durch Verordnung. Dies spricht aus Sicht des LAG dafür, dass die DSGVO keine genuinen abschließenden arbeitsrechtlichen Regelungen trifft,

jedenfalls nicht für das Arbeitsverhältnis, das der Tätigkeit als Datenschutzbeauftragtem zu Grunde liegt.

Zudem argumentiert das LAG mit der DSGVO selbst. Für seine Sicht spreche auch der Wortlaut des Art. 38 Abs. 3 S. 2 DSGVO. Der Datenschutzbeauftragte darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Das LAG geht daher davon aus, dass er deshalb auch nicht gekündigt werden darf.

Jedoch, so das LAG, enthält Art. 38 Abs. 3 S. 2 DSGVO keine spezifischen Regeln des Kündigungsschutzes für Datenschutzbeauftragte und

verbietet somit auch vom Wortlaut her keinen darüber hinaus gehenden Kündigungsschutz, um die Unabhängigkeit des im Übrigen abhängig beschäftigten Arbeitnehmers von der Einflussnahme seines Arbeitgebers auf die Arbeit als Datenschutzbeauftragten zu gewährleisten.

Der Ausschluss der ordentlichen Kündigung des Arbeitsverhältnisses des Datenschutzbeauftragten während seiner Bestellung und ein Jahr danach steht daher mit der DSGVO in Einklang

Nationale Regelung zur Abberufung des Datenschutzbeauftragten ist DSGVO-konform

Neben der Frage der Zulässigkeit der Kündigung, musste sich das LAG auch mit der Abberufung als Datenschutzbeauftragte befassen.

Nach Ansicht des LAG bedurfte die Beklagte auch für die Abberufung der Klägerin als ihre interne Datenschutzbeauftragte eines wichtigen Grundes. Auch diese, in §§ 38 Abs. 2 iVm § 6 Abs. 4 S. 1 BDSG enthaltene nationale Regelung, verstoße nicht gegen Art. 38 Abs. 3 S. 2 DSGVO.

Zunächst stellt das LAG fest, dass auch die Modalitäten der Abberufung des Datenschutzbeauftragten in der DSGVO nicht abschließend geregelt sind. Nach Art. 38 Abs. 3 S. 2 DSGVO darf der Datenschutzbeauftragte zwar nicht wegen der Erfüllung seiner Aufgaben abberufen oder benachteiligt werden.

Damit ist aber nicht geregelt, unter welchen weitergehenden Voraussetzungen eine Abberufung des Datenschutzbeauftragten tatsächlich erfolgen kann.

Unter Verweis auf die Rechtsprechung des BAG (Urt. v. 23.3.2011, Az. 10 AZR 652/09; mit Bestellung zum Datenschutzbeauftragten überträgt der Arbeitgeber dem Arbeitnehmer die entsprechenden Aufgaben als Teil seiner arbeitsvertraglichen Pflichten) legt das LAG dar, dass auch die Abberufung als interner Datenschutzbeauftragter damit im Umkehrschluss ebenfalls auf eine Änderung der arbeitsvertraglichen Pflichten ziele. Damit handele es sich auch beim besonderen nationalen Abberufungsschutz nach § 38 Abs. 2 iVm § 6 Abs. 4 S. 1 BDSG im Kern um eine arbeitsrechtliche Regelung.

Es bedurfte daher auch bezüglich der arbeitsrechtlichen Regeln über die Abberufung keiner ausdrücklichen Öffnungsklausel.

Denn wie der Kündigungsschutz diene auch verstärkte nationale Abberufungsschutz gerade dem Ziel, dass der als Arbeitnehmer abhängig beschäftigte interne Datenschutzbeauftragte seine Pflichten und Aufgaben in vollständiger Unabhängigkeit ausüben kann. Das LAG geht zudem davon aus, dass es sich auch

bei dem besonderen Abberufungsschutz eines internen Datenschutzbeauftragten um eine arbeitsrechtliche Regelung handelt, die ergänzend zu den Vorgaben der DSGVO auch im BDSG n. F. beibehalten werden kann.

Ein wichtiger Grund für die Abberufung der Klägerin als Datenschutzbeauftragte lag hier nach Ansicht des LAG gerade nicht vor.

Ein wichtiger Grund liegt insbesondere nicht darin, einen internen Datenschutzbeauftragten durch einen externen Datenschutzbeauftragten aus organisatorischen, finanziellen oder personalpolitischen Gründen zu ersetzen.

Fazit

Das LAG legt, meines Erachtens durchaus überzeugend, dar, warum im nationalen Recht die spezifische Ausgestaltung des Beschäftigungsverhältnisses des Datenschutzbeauftragten noch näher ausgestaltet werden kann. Hinsichtlich der Kündigung des zugrundeliegenden Arbeitsverhältnisses, dürfte dies auch recht klar sein. Allenfalls bei dem Thema der Abberufung könnte man ggfs. überlegen, ob der vom LAG eröffnete Konnex zur Kündigung (da auch durch die Abberufung nach der Respr. des BAG das Arbeitsverhältnis geändert wird) so eindeutig ist.

Da insbesondere die Frage, ob § 6 Abs. 4 S. 1 iVm § 38 Abs. 2 BDSG mit Art. 38 Abs. 3 S. 2 DSGVO vereinbar ist, höchstrichterlich noch nicht geklärt ist, hat das LAG die Revision zugelassen.

Die Revision wurde beim BAG am 16.04.2020 unter dem Az 2 AZR 225/20 eingelegt.

Gesetzentwurf zu DSGVO-Bußgeldverfahren – aktuelle Regelungen verfassungswidrig?

Sind Entscheidungen in Bußgeldverfahren über 100.000 EUR wegen Datenschutzverstößen verfassungsrechtlich angreifbar? Diese Ansicht scheint zumindest das Land Hessen in einem aktuellen Gesetzesentwurf im Bundesrat zu vertreten. Wenn dem so ist, wäre das natürlich ein ziemlicher „Knaller“.

Der Gesetzentwurf

Das Land Hessen hat im Bundesrat einen Gesetzentwurf eingebracht. Eventuell geht dieser Entwurf auch auf einen Beschluss der Justizministerkonferenz aus November 2018 zurück (pdf).

In dem „Entwurf eines Gesetzes zur Effektivierung des Bußgeldverfahrens“ (BR Drs 107/20, pdf, 2.3.2020) wird vorgeschlagen, § 41 Abs. 1 S. 3 BDSG zu streichen.

Artikel 2 des Entwurfs sieht vor: § 41 Absatz 1 Satz 3 des Bundesdatenschutzgesetzes vom 30. Juni 2017 (BGBl. I S. 2097) wird aufgehoben.“

§ 41 Abs. 1 S. 3 BDSG bestimmt für das Bußgeldverfahren die Anwendung des § 68 OWiG mit der Maßgabe, dass das Landgericht entscheidet, wenn die festgesetzte Geldbuße den Betrag von einhunderttausend Euro überschreitet. Ungeachtet des Umstandes, dass die Amtsgerichte in anderen Rechtsgebieten befugt sind, Geldbußen in Millionenhöhe festzusetzen (§§ 30, 130 Abs. 3 OWiG),

sind bisher keine verfahrensrechtlichen Vorschriften zur Besetzung der Kammern der Landgerichte in Bußgeldsachen gegeben.

§ 41 Abs. 1 S. 3 BDSG verweist allein auf § 68 OWiG. In dem Entwurf wird als mögliche Neuregelung angedacht, ob man über §§ 46 Abs. 1, 71 Abs. 1 OWiG auf die Vorschriften der Strafprozessordnung und des Gerichtsverfassungsgesetzes Bezug nehmen könnte. Dann, so der Entwurf, müsste man wohl von einer Besetzung der Kammern der Landgerichte mit zwei Richtern und zwei Schöffen ausgehen. Es wird davon ausgegangen, dass dies nicht intendiert war.

Es zeigt sich, dass aktuell tatsächlich unklar und nicht gesetzlich vorgegeben ist, in welcher Besetzung das Landgericht in Bußgeldverfahren bei Datenschutzverstößen entscheidet.

Zwar sieht § 46 Abs. 7 OWiG derzeit vor, dass im gerichtlichen Verfahren beim Landgericht Kammern für Bußgeldsachen entscheiden. Jedoch fehlt es an einer Regelung im GVG und es stellt sich die Frage der Besetzung der Kammer.

Der Entwurf stellt die Folge dieser Situation sehr konkret dar:

Da bisher keine entsprechenden verfahrensrechtlichen Vorschriften existieren, dürfte dies wohl nicht nur bei der entsprechenden Geschäftsverteilung der Landgerichte im Hinblick auf die Fälle des § 41 Absatz 1 Satz 3 BDSG zu Problemen führen können, sondern es dürfte zusätzlich nahezu ausgeschlossen sein, das gerichtliche Verfahren ohne entsprechende Vorschriften ordnungsgemäß vollziehen zu können. (Hervorhebungen durch mich)

Diese Einschätzung hat meines Erachtens durchaus Sprengkraft, zu der ich gleich noch ausführe.

Der Gesetzesentwurf sieht daher die Streichung des § 41 Abs. 1 S. 3 BDSG vor. Hierdurch würde in sämtlichen Fällen von Bußgeldverfahren die Zuständigkeit der Amtsgerichte nach § 68 Abs. 1 OWiG begründet.

Angreifbarkeit landgerichtlicher Entscheidungen in Bußgeldverfahren?

Die soeben dargestellte Situation könnte für Unternehmen, die sich aktuell oder zukünftig (bis zu einer Anpassung) Bußgeldern über 100.000 EUR ausgesetzt sehen, einen möglichen Angriffspunkt gegen entsprechende Entscheidungen der Landgerichte bieten. Dann würde praktisch über all diesen gerichtlichen Verfahren gegen Bußgelder das Damoklesschwert der Verfassungswidrigkeit schweben.

Aufgrund der Einschätzung des Landes Hessen in dem Gesetzesentwurf, wird man meines Erachtens zumindest darüber diskutieren können, ob denn nicht eine Situation, in der es „nahezu ausgeschlossen“ ist, dass gerichtliche Verfahren ordnungsgemäß durchgeführt werden können, auch verfassungsrechtliche Probleme aufwirft.

Das Bundesverfassungsgericht (BVerfG) sieht etwa von der Garantie des gesetzlichen Richters (Art. 101 Abs. 1 S. 2 GG) den Bestand von Rechtssätzen umfasst, die für jeden Streitfall den Richter bezeichnen, der für die Entscheidung zuständig ist. Art. 101 Abs. 1 S. 2 GG verpflichtet auch dazu, Regelungen zu treffen, aus denen sich der gesetzliche Richter ergibt (vgl. etwa BVerfG, Beschl. v. 08.04.1997 – 1 PBvU 1/95). Andererseits ist eine sich aus der Sache ergebende und unvermeidbare Ungewissheit darüber, wer den Rechtsstreit entscheiden wird (insbesondere in Fällen des Ausscheidens, der Krankheit, der Verhinderung, des Urlaubs) hinzunehmen.

Gesetzlicher Richter im Sinne des Art. 101 Abs. 1 S. 2 GG ist nach der Rechtsprechung des BVerfG

nicht nur das Gericht als organisatorische Einheit oder das erkennende Gericht als Spruchkörper, sondern sind auch die zur Entscheidung im Einzelfall berufenen Richter.

(BVerfG, Beschl. v. 30.03.1965 – 2 BvR 341/60)

Daher müssen die Geschäftsverteilungspläne, die der Bestimmung des gesetzlichen Richters dienen,

von vornherein so eindeutig wie möglich festlegen, welche Spruchkörper und welche Richter zur Entscheidung des Einzelfalls berufen sind

(ebenda)

Übertragen auf die aktuelle Situation mit fehlenden Regelungen zur Besetzung der Spruchkörper, wird man sicher darüber nachdenken können, ob etwa Unternehmen, die sich gegen ein hohes Bußgeld zu Wehr setzen (man denke an die Fälle Delivery Hero, Deutsche Wohnen SE oder 1&1 Telecom GmbH), am Ende gegen eine entsprechende Entscheidung des erkennenden Gerichts bzw. eine ablehnende Entscheidung zu einer Besetzungsrüge nicht eine Verfassungsbeschwerde einlegen können.

Das Recht auf den gesetzlichen Richter steht natürlichen und juristischen Personen zu. Darauf kann sich berufen, wer nach den einschlägigen Prozessnormen parteifähig ist (BVerfG, Beschl. v. 26.02.1954 – 1 BvR 537/53).

Es wird davon ausgegangen, dass für die Verfassungsbeschwerde wegen Verletzung des Rechts auf den gesetzlichen Richter die üblichen Zulässigkeitsvoraussetzungen gelten. Also auch das Erfordernis der Rechtswegerschöpfung. Daher wäre es wohl erforderlich, Besetzungsrügen schon vor dem zuständigen Gericht zu erheben. Der Beschluss über ein Ablehnungsgesuch ist eine Zwischenentscheidung, die selbstständig mit der Verfassungsbeschwerde angegriffen werden kann (BVerfG, Beschl. v. 25.06.1968 – 2 BvR 599, 677/67).

Zudem muss, für den Erfolg der Verfassungsbeschwerde, die angegriffene Entscheidung auf einer Verletzung des Art. 101 Abs. 1 S. 2 GG beruhen. Dies könnte dann der Fall sein, wenn eine andere Besetzung des Gerichts ohne den Fehler nicht ausgeschlossen werden kann (BVerfG, Urt. v. 20.03.1956 – 1 BvR 479/55).

Daneben ist meines Erachtens auch über einen Verstoß der Bundesrepublik Deutschland gegen die Vorgabe des Art. 83 Abs. 8 DSGVO nachzudenken: „Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde … muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen“. Hier könnte das Erfordernis der „ordnungsgemäßen Verfahren“ nicht erfüllt sein.

Fazit

Ich würde mich sehr drüber freuen, wenn wir zu dieser juristisch wirklich spannenden Frage eine Entscheidung sehen. Ob es soweit kommt, wird aber an den Parteien der aktuell bei den Gerichten anhängigen Bußgeldverfahren liegen.

Rundfunkdatenschutzbeauftragter: Zweistufiges Auskunftsverfahren ist DSGVO-konform

In seinem aktuellen (und ersten) Tätigkeitsbericht für 2019 (pdf, S. 50 ff.) berichtet der  gemeinsame Rundfunkdatenschutzbeauftragter für den Bayerischen Rundfunk, den Saarländischen Rundfunk, den Westdeutschen Rundfunk, das Deutschlandradio und das Zweite Deutsche Fernsehen u.a. auch über die Erteilung von Auskünften durch den Beitragsservice.

In einigen Fällen beschwerten sich Betroffene, dass die ihnen erteilte Auskunft nicht vollständig gewesen sei. Hintergrund dieser Beschwerden ist, dass der Beitragsservice, Auskünfte grundsätzlich im Rahmen eines zweistufigen Verfahrens erteilt.

  • Die Erstauskunft umfasst die wichtigsten Informationen über die Umstände der Datenverarbeitung wie etwa die Herkunft der Daten, die Datenverarbeitungskategorien und die Verarbeitungszwecke. Hierbei orientiert man sich an Daten der Anzeigepflicht nach § 8 Abs. 4 RBStV.
  • Diese Erstauskunft wird um die Mitteilung der etwa vorhandenen weiteren Daten ergänzt, sofern die Antragsteller dies wünschen.

Nach Aussage des Rundfunkdatenschutzbeauftragten genügt den Antragstellern die auf diese Angaben beschränkte Erstauskunft des Beitragsservice in den weitaus meisten Fällen.

Nach Ansicht des Rundfunkdatenschutzbeauftragten erfüllt ein solches zweistufiges Verfahren

sowohl den Sinn und Zweck als auch materiell die Anforderungen des Art. 15 DSGVO.

Zur Begründung führt er aus, dass dies nicht zuletzt den Verwaltungsaufwand deutlich reduziert und damit im Interesse aller Beitragszahler unnötige Kosten vermeidet.

Zudem können Aspekte der

Verhältnismäßigkeit bzw. des vertretbaren Aufwands in die Anwendung bzw. Umsetzung der Vorgaben zum Auskunftsanspruch nach Art. 15 DSGVO einfließen.

Dies ergibt sich aus ErwG 63 DSGVO sowie Vorschriften wie etwa § 34 Abs. 1, 4 BDSG, § 12 Abs. 1 LDSG NRW, Art. 10 Abs. 2 Nr. 4 und 5 BayDSG oder § 9 Abs. 2 LDSG B-W. Dabei ist insbesondere zu berücksichtigen, dass der Beitragsservice einen außerordentlich großen Datenbestand zu verwalten und dabei auf ein Höchstmaß an Effizienz, Wirtschaftlichkeit und Sparsamkeit zu achten hat, vgl. § 14 RStV.

Der Rundfunkdatenschutzbeauftragte stellt für seine Begründung mit Blick auf ErwG 63 DSGVO wohl vor allem darauf ab, dass dort für Verantwortliche die Möglichkeit der Bitte um Präzisierung vorgesehen ist, wenn der Verantwortliche eine große Menge von Informationen über die betroffene Person verarbeitet.

Das interessante und praxisrelevante an der Begründung ist, dass hier per se ein gestuftes Auskunftsverfahren als zulässig angesehen wird. Der Rundfunkdatenschutzbeauftragte verlangt also nicht eine Prüfung im Einzelfall, ob wirklich eine große Menge an Daten verarbeitet werden. Dieser Faktor wird sicherlich auch bei vielen Unternehmen in der Privatwirtschaft (gerade im B2C Bereich) relevant sein.

Daneben ist die Begründung des Rundfunkdatenschutzbeauftragten basierend auf dem Gebot der Wirtschaftlichkeit interessant. Geht man davon aus, dass die Masse an Anfragen mit der ersten Stufe der Auskunft zufriedenstellend erfüllt ist, würde es unnötigen Aufwand und personellen als auch finanziellen Aufwand bedeuten, wenn man (quasi überschießend) immer eine Vollauskunft erteilt. Die Besonderheit im konkreten Fall dürfte hier darin liegen, dass aufgrund einer ausdrücklichen Regelung (nach § 14 RStV) der Finanzbedarf des öffentlich-rechtlichen Rundfunks regelmäßig entsprechend den Grundsätzen von Wirtschaftlichkeit und Sparsamkeit geprüft und ermittelt werden muss. Die Sparsamkeit also gesetzlich angeordnet ist.

Ob man dieses Argument auch auf den privatwirtschaftlichen Bereich übertragen kann, wird man diskutieren können. Unternehmen sind nicht gesetzlich zur Wirtschaftlichkeit oder Sparsamkeit verpflichtet. Andererseits müssen auch Unternehmen die „Kosten im Blick“ behalten, da sich eine Erhöhung eben dieser auch insgesamt negativ auf die wirtschaftliche Entwicklung auswirken kann.

Wichtig ist noch die Klarstellung des Rundfunkdatenschutzbeauftragten, dass das Recht auf Auskunft weder inhaltlich beschränkt noch unzumutbar erschwert werden darf. Der Beitragsservice informiert die Betroffenen hinreichend klar auf das abgestufte Verfahren und das Recht des Betroffenen, die Auskunft vervollständigen zu lassen. Bei einer entsprechenden Umsetzung in Unternehmen, sollten dieser Aspekt der Transparenz und Erleichterung der Geltendmachung des Auskunftsrechts (vgl. Art. 12 Abs. 2 DSGVO) ebenfalls besonders berücksichtigt werden.

Gesetzgeber erlaubt Sitzungen des Betriebsrats per Videokonferenz – Darstellung der Voraussetzungen

Am 23.4.2020 hat der Bundestag die Beschlussempfehlung und den Bericht des Ausschusses für Arbeit und Soziales (BT Drs 19/18753, pdf) zu dem Entwurf für ein Gesetz zur Förderung der beruflichen Weiterbildung im Strukturwandel und zur Weiterentwicklung der Ausbildungsförderung (BT Drs. 19/17740) angenommen, mit dem auch ein neuer § 129 in das Betriebsverfassungsgesetz (BetrVG) aufgenommen wird.

Dadurch wird es dem Betriebsrat, dem Gesamt- und Konzernbetriebsrat sowie der Jugend- und Auszubildendenvertretung, der Gesamt-Jugend- und Auszubildendenvertretung und der Konzern-Jugend- und Auszubildendenvertretung sowie den Ausschüssen dieser Gremien ermöglicht, Sitzungen und Beschlussfassungen mittels Video- und Telefonkonferenz einschließlich online gestützter Anwendungen durchzuführen.

Die Regelung tritt rückwirkend zum 1. März 2020 in Kraft und gilt zeitlich beschränkt bis zum 31. Dezember 2020.

Nachfolgend möchte ich kurz die in der Norm aufgestellten Anforderungen und deren datenschutzrechtliche Implikationen belechten.

Der neue § 129 Abs. 1 BetrVG lautet:

§ 129

Sonderregelungen aus Anlass der Covid-19-Pandemie

(1) Die Teilnahme an Sitzungen des Betriebsrats, Gesamtbetriebsrats, Konzernbetriebsrats, der Jugend- und Auszubildendenvertretung, der Gesamt-Jugend- und Auszubildendenvertretung und der Konzern- Jugend- und Auszubildendenvertretung sowie die Beschlussfassung können mittels Video- und Telefonkonferenz erfolgen, wenn sichergestellt ist, dass Dritte vom Inhalt der Sitzung keine Kenntnis nehmen können. Eine Aufzeichnung ist unzulässig. § 34 Absatz 1 Satz 3 gilt mit der Maßgabe, dass die Teilnehmer ihre Anwesenheit gegenüber dem Vorsitzenden in Textform bestätigen. Gleiches gilt für die von den in Satz 1 genannten Gremien gebildeten Ausschüsse.

 

Die Regelung trägt nach der Begründung der Situation um die Covid-19-Pandemie und den damit verbundenen Schwierigkeiten einer Präsenzsitzung Rechnung. Die neue Regelung soll Rechtssicherheit für diese Ausnahmesituation schaffen und ermögliche es dem

Betriebsrat für einen begrenzten Zeitraum, Sitzungen und Beschlussfassungen mittels Video- und Telefonkonferenz einschließlich online gestützter Anwendungen wie WebEx Meetings oder Skype durchzuführen.

Besonders interessant an dieser Begründung ist natürlich, dass der Ausschuss hier zwei ganz spezifische Anbieter bzw. deren Produkte in der Begründung des Gesetzesentwurfs nennt. Aus praktischer Sicht stellt sich Frage, ob hiermit gleichzeitig deren datenschutzrechtliche Konformität und Geeignetheit zur Erfüllung der aufgestellten Anforderungen (qua Gesetz) festgestellt wird? Ich persönlich vermute, dass die Mitglieder des Ausschusses eine solche Konformitätserklärung nicht intendiert hatten. Dies wird mE auch durch die beispielhafte Aufzählung der Dienste deutlich („wie“). Es wird also sicher auch andere Anbieter geben, die die Anforderungen des neuen § 129 BetrVG erfüllen.

Zudem werden die bei dem Einsatz solcher Anwendungen zu beachtenden Anforderungen auch nachfolgend in der Norm, also ganz allgemein und anbieterunabhängig, genannt.

Damit stellt sich die Frage, was diese Anforderungen sind.

Die Begründung führt hierzu aus:

Es soll sichergestellt sein, dass Dritte vom Inhalt der Sitzung keine Kenntnis nehmen können. Dies umfasst technische Maßnahmen wie zum Beispiel eine Verschlüsselung der Verbindung und organisatorische Maßnahmen wie die Nutzung eines nichtöffentlichen Raumes während der Dauer der Sitzung.

Auch aus dieser Begründung ergibt sich, dass die beispielhaft benannten Dienste diese Voraussetzung auch erfüllen müssen. Ob sie dies nach Ansicht des Ausschusses tun, ergibt sich aus der Begründung leider nicht.

Aus datenschutzrechtlicher Perspektive ist diese Anforderung des neuen § 129 BetrVG (in Zusammenschau mit der Begründung) wohl die relevanteste. Daher im Einzelnen:

Dritte

Ist hiermit der „Dritte“ im Sinne des Art. 4 Nr. 10 DSGVO gemeint? Ich meine, wohl nicht, denn in der ganzen Begründung wird kein einziges Mal auf die DSGVO verwiesen. Und damit auch nicht auf ihre Definitionen. Andererseits ist es damit aber natürlich nicht ausgeschlossen, dass man von dem Terminus „Dritte“ eventuell eingesetzte Auftragsverarbeiter iSd DSGVO gerade nicht umfasst sieht. Dies würde in der Konsequenz bedeuten, dass ein Anbieter von Videokonferenzsystemen, wenn er als Auftragsverarbeiter agiert, nicht als „Dritter“ anzusehen wäre. Wie gesagt, ist die Begründung und auch der Wortlaut der Norm hier aber nicht klar.

Inhalt der Sitzung

Diese Dritten dürfen spezifisch den Inhalt der Sitzung nicht zur Kenntnis nehmen. Damit ist aber nicht ausgeschlossen, dass Dritte angrenzende Informationen zu der Sitzung, insbesondere Angaben zum Datum, zur Uhrzeit oder auch zu den Teilnehmern erhalten dürfen. Man könnte hiervon etwa (Tool)Anbieter umfasst sehen, wenn dort Daten zur Planung einer Videokonferenz erfasst und verarbeitet werden. Diese Informationen dürften, auch vom Schutzzweck der Norm her, daher nicht zum „Inhalt“ der Sitzung zählen. Denn es dürfte darum gehen, dass Dritte (im Sinne Unbefugter) nicht Kenntnis von den Themen und Beschlüssen der Sitzung nehmen. Dies würde auch mit der Verschwiegenheitspflicht der Mitglieder korrespondieren (vgl. etwa § 79Abs. 1 BetrVG).

Keine Kenntnis nehmen können

Es soll sichergestellt sein, dass die Dritten keine Kenntnis nehmen „können“. Ausreichend ist nach dem Wortlaut daher nicht, dass sie keine Kenntnis nehmen „dürfen“, etwa durch vertragliche Regelungen. Der Gesetzgeber scheint hier tatsächlich stark auf die technisch-organisatorisch Ebene zu schielen. Es soll also durch entsprechend umzusetzende Maßnahmen die Gewähr dafür geboten werden, dass die Kenntnisnahme nicht möglich ist. Interessant ist auch, dass der Gesetzgeber kein Verhältnismäßigkeitskriterium bei der Maßnahmenumsetzung einzieht. Etwa: nach dem „Stand der Technik“ oder der Kosten der Umsetzung.

Technische Maßnahmen, wie z.B. eine Verschlüsselung

Die Begründung zu § 129 Abs. 1 BetrVG trennt, wie etwa auch die DSGVO, zwischen technischen und organisatorischen Maßnahmen. Meines Erachtens kann man sicher daher, bei der konkreten Umsetzung, durchaus an bekannten Kriterien und Praxisbeispielen aus Art. 32 DSGVO orientieren.

Das Gesetz nennt ausdrücklich die Verschlüsselung. Jedoch nur beispielhaft, als eine mögliche Maßnahme („wie zum Beispiel“). Daher ist der Einsatz eines Anbieters, der nicht verschlüsselt oder nur zum Teil verschlüsselt, nicht ausgeschlossen. Es müssen dann eben alternativ adäquate Maßnahmen gefunden werden.

Interessant ist auch, dass die Begründung nicht näher erläutert, welche Art von Verschlüsselung gemeint ist. Es ist also nicht vorgegeben, ob etwa eine Transportverschlüsselung mindestens umzusetzen wäre. Jedoch gilt es hierbei zu beachten, dass bei einer Verarbeitung von personenbezogenen Daten daneben natürlich die Vorgaben der DSGVO zu beachten sind. Eine Transportverschlüsselung der Daten darf man nach Art. 32 DSGVO wohl als den Stand der Technik erwarten.

Organisatorische Maßnahmen

Daneben erwähnt die Gesetzesbegründung auch organisatorische Maßnahmen. Hierfür wird als Beispiel die Nutzung eines nichtöffentlichen Raumes während der Dauer der Sitzung genannt. Als weiteres Beispiel wird die Abgabe der Zusicherung aller Teilnehmer erwähnt, dass nur teilnahmeberechtigte Personen in dem von ihnen genutzten Raum anwesend sind.

Nach der Begründung sollen sowohl technische als auch organisatorische Maßnahmen umgesetzt werden („Dies umfasst technische Maßnahmen … und organisatorische Maßnahmen …“). Die Aufzählung erfolgt nicht alternativ („oder“). Daher darf man davon ausgehen, dass auf beiden Ebenen entsprechende Maßnahmen umzusetzen sind, um die Anforderung des § 129 Abs. 1 BetrVG zu erfüllen.

Keine Aufzeichnung

Zuletzt ist, im Geiste des Privacy by Default, zu beachten, dass nach § 129 Abs. 1 BetrVG eine Aufzeichnung der Sitzung unzulässig ist. Dies soll nach der Begründung Persönlichkeitsschutz der Teilnehmer und der Wahrung der Nichtöffentlichkeit der Betriebsratssitzung dienen.

Rein praktisch ist also bei dem Einsatz eines entsprechenden Anbieters darauf zu achten, dass die Videokonferenz nicht aufgezeichnet wird (bzw. werden kann). Gelichzeitig ist aber mE nicht ausgeschlossen, einen Dienst zu nutzen, der per se die Aufzeichnung ermöglicht. Es muss aber sichergestellt sind, dass eine solche nicht erfolgt.

Daneben: DSGVO

Natürlich müssen neben den speziellen neuen Anforderungen in § 129 BetrVG auch weiterhin die Vorgaben des Datenschutzrecht beachtet werden. Denn im Rahmen der Sitzungen werden personenbezogene Daten der Teilnehmer verarbeitet. Zu beachten ist hierbei insbesondere:

  • Informationen der Betroffenen zur Datenverarbeitung (Art. 12, 13 DSGVO)
  • Aufnahme des Tools als Verfahren in das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
  • Abschluss erforderlicher Verträge mit dem Anbieter (Art. 28 DSGVO)
  • Bei einer Übermittlung in Länder außerhalb der EU: Erfüllen der Vorgaben der Art. 44 ff. DSGVO (z.B. EU-Standardvertragsklauseln).

Zudem bietet diese Neuerung auch wieder Potential für eine Diskussion darüber, wer im Rahmen der Durchführung von Videokonferenzen bei Betriebsratssitzungen eigentlich der datenschutzrechtlich Verantwortliche ist: der Arbeitgeber oder der Betriebsrat? (siehe etwa hier).

Fazit

Die in § 129 Abs. 1 BetrVG neu geschaffenen Anforderungen zum Einsatz von Anwendungen für Video- und Telefonkonferenz dürften aus datenschutzrechtlicher Brille betrachtet nicht wirklich überraschen. In der Norm selbst sind die erforderlichen Maßnahmen jedoch nur vage geregelt. Praktisch empfiehlt es sich, die Erfüllung der Anforderungen intern sowohl über entsprechende Vorgaben bzw. Leitlinien sicherzustellen, in denen der korrekte und DSGVO- als auch BetrVG-konforme Umgang mit der jeweiligen Software erläutert und vorgegeben wird. Auf technischer Ebene ist für eine Validierung der Sicherheit der Verbindung zu sorgen.

Verwaltungsgericht Schleswig: Interne Übertragung der Aufgabe zur Erstellung eines Verarbeitungsverzeichnisses ist zulässig

Das Verwaltungsgericht (VG) Schleswig hat am 31.3.2020 entschieden (Beschl. v. 31.03.202012 B 79/19), dass die Übertagung der von einer öffentlichen Stelle nach der DSGVO zu erfüllenden konkreten Aufgaben im Rahmen der Behördenorganisation zulässig ist.

(Ja, mir ist bekannt, dass es unter der DSGVO nicht mehr „Verarbeitungsverzeichnis“ heißt; wenn ich aber stattdessen „Verzeichnis der Verarbeitungstätigkeiten“ in die Überschrift aufnehme, wird diese zu lang)

Sachverhalt

In dem Verfahren im Rahmen des vorläufigen Rechtsschutzes (Antrag auf Erlass einer einstweiligen Anordnung) ging ein Justizamtmann gegen die dienstliche Weisung an ihn vor, an einem Arbeitskreis zur DSGVO, der bei der Generalstaatsanwaltschaft eingerichtet wurde, teilzunehmen und die Erstellung und Führung des Verarbeitungsverzeichnisses gem. Art. 30 DSGVO zu übernehmen. Zuvor war der Antragsteller gegenüber dem Generalstaatsanwalt als „Datenschutzverantwortlicher“ benannt worden.

Der Antragsteller ging davon aus, dass diese Weisung rechtswidrig sei, weil eine Tätigkeit als „Datenschutzverantwortlicher“ mit seiner Tätigkeit als Personalratsmitglied und als ständiger Vertreter der Personalratsvorsitzenden nicht vereinbar sei. Zudem dürfte eine vollständige Übertragung der Verantwortlichkeit i.S.d. DSGVO nicht möglich sein.

Entscheidung

Das VG lehnte den Antrag als unbegründet ab.

Zunächst stellte das VG zurecht ein paar datenschutzrechtliche Begrifflichkeiten klar.

Die anfängliche Formulierung der Antragsgegnerin, nach der dem Antragsteller die Position als „Datenschutzverantwortlicher“ (vollumfänglich) übertragen werden sollte, dürfte schon aufgrund der Unbestimmtheit nicht zulässig sein.

Sodann führt das VG zu den rechtlichen Möglichkeiten der Übertragung von Pflichten nach der DSGVO aus.

Außerdem dürfte eine vollständige Übertragung der Verantwortlichkeit i.S.d. DSGVO nicht möglich sein, wie der Personalrat mit seinem Schreiben vom 19. Dezember 2019 zutreffend ausführte.

Nach zutreffender Ansicht des VG ist „Datenschutzverantwortlicher“ (nicht gemeint war hier der Datenschutzbeauftragte) nach Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Die Letztverantwortung muss damit bei Behörde selbst als juristischer Person bleiben und kann nicht etwa zur Gänze wie die Position des Datenschutzbeauftragten i.S.v. Art. 37 DSGVO einem Beamten übertragen werden.

Jedoch konkretisierte die Antragsgegnerin die dem Antragsteller übertragenen Aufgaben nachträglich dahingehend, dass mit den übertragenen Aufgaben

  • die Teilnahme an einem Arbeitskreis bei der Generalstaatsanwaltschaft und
  • die Erstellung und Führung des Verarbeitungsverzeichnisses gem. Art. 30 DSGVO gemeint seien.

Die Antragsgegnerin bezog sich hierbei anscheinend auch auf einen Beschluss der DSK, in dem die Empfehlung ausgesprochen wurde, „durch eine allgemeine Aufbauorganisation sicherzustellen, dass im Innenverhältnis die Anwendung des Datenschutzrechts in der Behörde organisiert und gewährleistet wird“.

Aus Sicht des VG bleibt daher die Antragsgegnerin (also die öffentliche Stelle) die eigentliche Verantwortliche, da sie die Verfügungsgewalt über die erhobenen Daten besitzt.

Die Übertagung der von der Antragsgegnerin nach der DSGVO zu erfüllenden konkreten Aufgaben im Rahmen der Behördenorganisation ist dagegen zulässig.

Gerade diese letzte Einschätzung des VG ist meines Erachtens auch für den privatwirtschaftlichen Bereich relevant. Es ist innerbetrieblich möglich (und rein faktisch oft anders gar nicht handhabbar), dass die Aufgabenerfüllung von der Führungsebene nach unten delegiert und bestimmten Personen übertragen wird. Wichtig zu beachten ist, dass nicht die gesetzliche Pflicht an sich übertragen werden kann, sondern nur die Aufgabe, bei der Erfüllung dieser Pflicht zu unterstützen.

Fazit

Die Entscheidung des VG ist meines Erachtens richtig und spiegelt auch die tatsächlichen Gegebenheiten in der Praxis wider, wenn man DSGVO-Anforderungen in größeren Einheiten umsetzen möchte. Dies erfordert eine arbeitsteilige Erledigung der verschiedenen Aufgaben. Intern kann eine solche Aufgabe dann im Rahmen des Weisungsrechts auch an Angestellte übertragen werden. Datenschutzrechtlich verpflichtet bleibt aber allein der Verantwortliche (oder Auftragsverarbeiter).

Einsatz von Dienstleistern im Rahmen der Erfüllung von Betroffenenrechten – LDA Brandenburg verhängt 50.000 EUR Bußgeld

In seinem aktuellen Tätigkeitsbericht für 2019 (S. 29 ff, pdf), berichtet das LDA Brandenburg über einen praktisch interessanten und relevanten Fall, in dem gegen ein Unternehmen wegen Verstößen gegen Art. 28 Abs. 9 DSGVO und Art. 12 DSGVO ein Bußgeld verhängt wurde.

Abschluss eines Auftragsverarbeitungsvertrages

Das Unternehmen setzte im Rahmen der Auskunftserteilung nach Art. 15 DSGVO einen Dienstleister ein, der Zugriff auf die für die Auskunftserteilung notwendigen personenbezogenen Daten der betroffenen Person hatte. Die Korrespondenz im Rahmen der Auskunftserteilung wurde unter dem Logo des Dienstleisters durchgeführt.

Erste wichtige Erkenntnis: das LDA scheint grundsätzlich davon auszugehen, dass Dienstleister als Auftragsverarbeiter Betroffenenrechte erfüllen dürfen.

Jedoch wurde hier ein Vertrag nach Art. 28 Abs. 9 DSGVO wohl nicht schriftlich abgeschlossen. Aus den Darstellungen geht nicht klar hervor, ob gar kein Vertrag abgeschlossen wurde oder nur nicht schriftlich. Leider geht das LDA nicht auf die Möglichkeit ein, dass der Vertrag auch in einem elektronischen Format abgeschlossen werden kann. Ich vermute aber daher, dass gar kein Vertrag vorlag.

Das LDA verweist mit Blick auf Art. 28 Abs. 9 DSGVO darauf, dass diese Regelung Dokumentations-, Beweissicherungs- und Authentizitätssicherungszwecke verfolge.

Die Schriftform soll sicherstellen, dass die Parteien, die in dem Dokument genannt sind, sich zu den eingegangenen Verpflichtungen mit dem konkreten Inhalt bekennen.

Ein Verstoß kann nach Art. 83 Abs. 4 lit. a DSGVO mit einer Geldbuße von bis zu 10 Millionen Euro oder im Falle eines Unternehmens mit bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden.

Transparenz der Auskunft

Ein zweiter Aspekt des Falles war, dass die Betroffenen nicht wussten, dass es sich bei dem antwortenden Unternehmen um den Dienstleister des Verantwortlichen handelte. Insofern konnten sie nach Ansicht des LDA nicht erkennen, wer der Verantwortliche der Datenverarbeitung war. Zudem erfolgte die erste Antwort an anfragende Betroffene nach Antragstellung zur Auskunftserteilung zunächst nur in englischer Sprache.

Nach Art. 12 Abs. 1 DSGVO muss der Verantwortliche geeignete Maßnahmen treffen, um der betroffenen Person zum Beispiel alle Mitteilungen gemäß dem Art. 15 DSGVO (also im Rahmen der Auskunftserteilung) in präziser, transparenter, verständlicher und leicht zugänglicher Form zu übermitteln.

Vorliegend befand das LDA, dass das Unternehmen dadurch, dass es die Antragsteller nicht darüber aufklärte, dass es sich bei dem eingesetzten Dienstleister um einen Auftragsverarbeiter handelte und dass, trotz Erteilung der Auskunft unter dem Logo des Dienstleisters, das Unternehmen selbst für die Datenverarbeitung verantwortlich blieb, gegen den in Art. 12 DSGVO niedergelegten Transparenzgrundsatz verstieß.

Gleichzeitig habe das Unternehmen dadurch, dass es die Antragsteller zunächst in englischer Sprache kontaktierte, gegen den in Art. 12 DSGVO niedergelegten Grundsatz der Verständlichkeit verstoßen.

Die Ansicht des LDA ist hier meines Erachtens für die Praxis ziemlich relevant:

Wenn sich ein Unternehmen mit seinem Angebot an den deutschsprachigen Markt richtet, muss die Auskunftserteilung (zumindest auch) auf Deutsch erfolgen.

Das bedeutet, dass selbst international tätige Unternehmen in der jeweiligen Landessprache der von ihnen bedienten Märkte gegenüber Betroffenen kommunizieren müssen, wenn diese von ihren Rechten Gebrauch machen.

Das LDA beurteilte diesen Verstoß gegen Art. 12 DSGVO auf der Grundlage von Art. 83 Abs. 5 DSGVO. Danach können Geldbußen von bis zu 20 Millionen Euro oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden.

Insgesamt verhängte das LDA für die vorbenannten Verstöße ein Bußgeld in Höhe von 50.000 EUR.

Rechtsanwaltskammer Berlin: Tätigkeit als Datenschutzbeauftragter ist für den Rechtsanwalt grundsätzlich kein Nebenberuf, sondern ein Mandat

Anwälte als externe Datenschutzbeauftragte. Ein schon länger berufs- und steuerrechtlich diskutiertes Thema.

In beiden genannten Rechtsgebieten existieren nun auch höchstrichterliche Entscheidungen. Im Oktober 2018 entschied bereits der BGH (Urt. v. 15.10.2018 – AnwZ (Brfg) 20/18) u.a., dass die Tätigkeit als interner Datenschutzbeauftragter grundsätzlich die für eine Zulassung als Syndikusrechtsanwalt erforderlichen Tätigkeitsmerkmale erfülle und das Arbeitsverhältnis von diesen Merkmalen auch geprägt sein kann. Grund war insbesondere die gestiegene Komplexität des Datenschutzrechts auch im Zuge der Einführung der DSGVO. Das Amt des Datenschutzbeauftragten umfasse Tätigkeiten, welche die Merkmale anwaltlicher Tätigkeit nach § 46 Abs. 3 Nr. 1 bis 4 BRAO erfüllen.

Der Bundesfinanzhof (BFH) hat nun Anfang dieses Jahres zu der Frage entschieden (Urt. v. 14.1.2020 – VIII R 27/17), wie Umsätze eines als Datenschutzbeauftragter tätigen Rechtsanwalts steuerrechtlich einzuordnen sind. Nach Ansicht des BFH ist der Rechtsanwalt in Bezug auf seine Tätigkeit als externer Datenschutzbeauftragter gewerblicher Unternehmer i.S. des § 141 Abs. 1 AO. Der BFH geht davon aus, dass die Tätigkeit als Datenschutzbeauftragter weder eine dem Beruf des Rechtsanwalts vorbehaltene noch eine berufstypische Tätigkeit sei. Der BFH nimmt hierbei auch Bezug zum Urteil des BGH, verweist aber darauf, dass die Tätigkeit des (internen) Datenschutzbeauftragten zwar mit den für Rechtsanwälte geltenden berufsrechtlichen Vorschriften in Einklang steht. Dies aber für die steuerliche Qualifizierung der Tätigkeit als solche iSd § 18 EStG nicht maßgebend sei, wie der Umstand, dass eine Zulassung als Syndikusrechtsanwalt im Einzelfall möglich ist.

Man kann daher wohl aktuell folgendes Resümee ziehen: berufsrechtlich ist die Tätigkeit als Datenschutzbeauftragter zulässig. Die steuerrechtliche Beurteilung scheint, nach Ansicht des BFH, jedoch nicht zwingend gleichlaufen zu müssen. Umsätze können daher, auch bei der Tätigkeit als Anwalt, der Gewerbesteuer unterliegen. Insgesamt ist das, mit Blick auf die Rechtssicherheit, natürlich immer noch keine letztlich befriedigende Situation.

Besonders interessant ist vor diesem Hintergrund ein Beschluss des Vorstandes der Rechtsanwaltskammer Berlin vom 8. Mai 2019. Die RAK überträgt die vom BGH aufgestellten Grundsätze zur Einordnung des internen Datenschutzbeauftragten folgerichtig auf die des externen Datenschutzbeauftragten.

Nach Ansicht der RAK Berlin unterscheidet die BRAO

nicht zwischen einer anwaltlichen Tätigkeit des Syndikusrechtsanwalts und einer solchen des Rechtsanwalts. Der Gesetzgeber verfolgt ein einheitliches Berufsbild des Rechtsanwalts. Daher ist schon nach dem Wortlaut des Gesetzes zu schlussfolgern, dass Tätigkeiten, die für den Syndikusrechtsanwalt als anwaltliche gelten, auch anwaltliche Tätigkeiten für den Rechtsanwalt sind.

Daher geht die RAK (meines Erachtens zutreffend) davon aus, dass die Tätigkeit als Datenschutzbeauftragter für den Rechtsanwalt regelmäßig kein Nebenberuf ist, wenn er zugleich als Rechtsanwalt auftritt. Dieser Zusatz ist meines Erachtens wichtig. Diese Feststellung ist insbesondere für ein in der Vergangenheit diskutiertes Tätigkeitsverbot nach § 45 Abs. 1 Nr. 4 BRAO relevant, was, nach dem Beschluss der RAK Berlin, nicht vorliegen dürfte. Auch das Risiko eines Widerrufs der Zulassung nach § 14 Abs. 2 Nr. 8 BRAO besteht vor diesem Hintergrund wohl nicht mehr.

Es handelt sich grundsätzlich um ein Mandat, auf das das Berufsrecht Anwendung findet.

Die RAK weist auf das damals noch anhängige Verfahren am BFH und evtl. folgende steuer- und versicherungsrechtliche Auswirkungen hin.

Sehr aufschlussreich, mit weiterem Inhalt und Begründungen zu dem Beschluss, ist das Protokoll (PDF) zur Sitzung des Vorstandes der RAK. Unter anderem wird dort auch ausgeführt, dass ein Vorstandsmitglied die Auffassung des Berichterstatters bestätigt, dass auch bei einer abweichenden Entscheidung des BFH die Arbeit des externen Datenschutzbeauftragten als  anwaltliche Tätigkeit gewertet werden könne.

Eigentlich wäre diese Situation, dass zwei oberste Gerichtshöfe in einer Rechtsfrage unterschiedlicher Auffassung sind, nun ein Fall für den Gemeinsamen Senat der obersten Gerichtshöfe des Bundes. Dieser existiert, um die Einheitlichkeit der Rechtsprechung zu gewährleisten. Er entscheidet, wenn ein Senat eines obersten Gerichtshofs in einer Rechtsfrage von der Entscheidung eines Senats eines anderen obersten Gerichtshofs abweichen will. Dass der BFH, in Kenntnis der Entscheidung des BGH, jedoch keinen entsprechenden Vorlegungsbeschluss gefasst hat, wird man wohl so interpretieren können, dass der BFH gerade nicht von der Auffassung des BGH in berufsrechtlicher Sicht abweichen wollte.

Gesetzentwurf des Gesundheitsministeriums: Festlegung der federführenden Datenschutzbehörde für Forschungsvorhaben bei mehreren Verantwortlichen

Das Bundeskabinett hat heute eine Formulierungshilfe des Bundesministeriums für Gesundheit zu einem „Entwurf eines Gesetzes zum Schutz der Bevölkerung bei einer epidemischen Lage von nationaler Tragweite“ (pdf) beschlossen. Medial wurde vor allem über die vorgeschlagenen Anpassungen des Infektionsschutzgesetzes berichtet.

Jedoch wird daneben in Artikel 4 des Entwurfs auch vorgeschlagen, im SGB V einen neuen § 287a SGB V einzufügen. Dieser Vorschlag ist aus datenschutzrechtlicher Sicht sehr interessant, da er nicht nur Auswirkungen im Gesundheitsbereich oder in der jetzigen Zeit haben könnte.

Der Vorschlag lautet:

§ 287a

Federführende Datenschutzaufsicht in der Versorgungs- und Gesundheitsforschung

Bei länderübergreifen Vorhaben der Versorgungs- und Gesundheitsforschung, an denen nicht-öffentliche Stellen oder öffentliche Stellen des Bundes oder der Länder aus zwei oder mehr Ländern als Verantwortliche beteiligt sind, findet § 27 des Bundesdatenschutzgesetzes Anwendung. Die beteiligten Verantwortlichen benennen einen Hauptverantwortlichen und melden diesen der für die Hauptniederlassung des Hauptverantwortlichen zuständigen Aufsichtsbehörde. Artikel 56 und Artikel 60 der Verordnung (EU) 2016/679 sind entsprechend anzuwenden.

(Hervorhebungen durch mich)

Zweck der Regelung

Was das BMG mit der Regelung bezweckt, wird schon aus der Überschrift deutlich. Es soll eine federführende Datenschutzbehörde für Datenverarbeitungen im Rahmen der Gesundheitsforschung geben, auch wenn mehrere Verantwortliche beteiligt sind.

Warum nach Ansicht des BMG eine solche Regelung erforderlich ist, ergibt sich aus der weiteren Gesetzesbegründung und liest sich durchaus wie eine implizite Kritik an der föderalen Struktur der Datenschutzaufsicht in Deutschland, die oft untereinander abweichende Ansichten der Datenschutzbehörden bedingt.

Die Heterogenität der Landesdatenschutz- und Krankenhausgesetze und die Zuständigkeit verschiedener Landesdatenschutzbehörden erschweren und verlangsamen in Folge derzeit länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung.

(S. 15)

Daher sieht der Entwurf für länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung an denen öffentliche und nichtöffentliche Stellen des Bundes und der Länder beteiligt sind, Regelungen vor, die eine Klarstellung der Zuständigkeiten der datenschutzrechtlichen Aufsichtsbehörden bei Vorhaben der Versorgungs- und Gesundheitsforschung im Sinne eines „One-Stop-Shop“ ermöglichen sollen. Dadurch soll die die länderübergreifende Versorgungs- und Gesundheitsforschung unter Wahrung des Datenschutzes beschleunigt und eine einheitliche Rechtsauslegung zum Wohle aller Betroffenen gewährleistet werden.

Inhalt der Regelung selbst

Zunächst geht es dem BMG in dem vorgeschlagenen § 287a SGB V um länderübergreifende Forschungsvorhaben, an denen mehrere datenschutzrechtlich Verantwortlichen (ob als öffentliche oder nicht-öffentliche) Stellen beteiligt sind. Die Stellen müssen aber als „Verantwortliche“ beteiligt sein.

Nicht klar ist, ob hiervon auch eine gemeinsame Verantwortlichkeit umfasst wäre. Zudem geht weder die Vorschrift selbst noch die Begründung darauf ein.

Sind mehrere Verantwortliche beteiligt, so sieht § 287a SGB V die Pflicht vor („benennen“), dass die Beteiligten untereinander einen Hauptverantwortlichen wählen und diesen bei der Datenschutzbehörde seiner Hauptniederlassung als Hauptverantwortlichen des Forschungsvorhabens melden. Der Vorschlag ist hier meines Erachtens nicht besonders präzise, da etwa nicht konkretisiert wird, für das der Hauptverantwortliche als solcher benannt werden soll: allein für das Vorhaben oder die damit zusammenhängende Datenverarbeitung? Die Datenschutzbehörde dürfte sich nur für Letztere interessieren.

Begründung der Regelung

Nach der Gesetzesbegründung werden für länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung an denen öffentliche und nichtöffentliche Stellen des Bundes und der Länder beteiligt sind, Regelungen vorgesehen, die eine Klarstellung der Zuständigkeiten der datenschutzrechtlichen Aufsichtsbehörden bei Vorhaben der Versorgungs- und Gesundheitsforschung im Sinne eines „One-Stop-Shop“ ermöglichen (S. 16).

§ 287a SGB V sehe die verfahrensrechtliche Koordinierung der Zuständigkeiten verschiedener datenschutzrechtlicher Landesbehörden vor (S. 30). Hierdurch möchte das BMG den der DSGVO vorgesehene One-Stop-Shop zur Zuständigkeit der Datenschutzaufsichtsbehörden auf die länderübergreifende Versorgungs- und Gesundheitsforschung anwenden.

Der wichtige Unterschied zu den Regeln des Art. 56 und 60 DSGVO ist natürlich, dass es vorliegend um mehrere Verantwortliche (sicher getrennte, evtl. auch gemeinsam Verantwortliche?) geht. Art. 56 und 60 DSGVO beziehen sich jedoch zumindest ausdrücklich nur auf die Zuständigkeit der federführenden Behörde eines Verantwortlichen mit mehreren Niederlassungen (das sieht auch der EDSA in WP 244).

Laut Begründung sind bei länderübergreifenden Forschungsvorhaben  für die beteiligten verantwortlichen Stellen regelmäßig unterschiedliche Landesaufsichtsbehörden für den Datenschutz zuständig.

Es bedarf daher einer Regelung für eine federführende Aufsichtsbehörde. Hierzu finden sich Vorbilder in der Datenschutz-Grundverordnung selbst (Artikel 56, 60 der Verordnung (EU) 2016/679),…

(S. 31)

Der Entwurf referenziert auf die Regelungen der DSGVO wohl bewusst nur als Beispiel, da, wie beschrieben, gerade nicht ausdrücklich die Festlegung einer federführenden Aufsichtsbehörde bei mehreren Verantwortlichen geregelt wird.

Das BMG begründet die Regelung weiter, dass den Verantwortlichen in der Neuregelung auferlegt (!) wird, eine hauptverantwortliche Stelle zu benennen,

die dann der für sie zuständigen Aufsichtsbehörde die Verantwortung für das länderübergreifende Forschungsvorhaben in der Versorgungs- und Gesundheitsforschung anzuzeigen hat. Maßgeblich ist der in Artikel 4 Nummer 16 der Verordnung (EU) 2016/679 definierte Begriff der „Hauptniederlassung““ (S. 31)

Anmerkung

Meines Erachtens hat der Vorschlag durchaus potential für Diskussionen. Besonders interessant (gerade aus Sicht der Wirtschaft) ist, dass das BMG ganz offensichtlich davon ausgeht, dass mehrere datenschutzrechtlich (ob nun getrennt oder gemeinsam) Verantwortliche einen Verantwortlichen als „Hauptverantwortlichen“ bestimmen können und dann über diese Festlegung auch die Hauptniederlassung und hieran anknüpfend dann die federführende Datenschutzbehörde festlegen können.

Erinnert Sie dieses Thema an ein aktuell immer noch offenes Verfahren? Ja, die Verfahren der Berliner Datenschutzbehörde zum Betrieb von Facebook Fanpages. Dort geht es mitentscheidend um die Frage, ob gemeinsam Verantwortliche einen Verantwortlichen (und damit seine Hauptniederlassung) als umsetzungsbefugt für Entscheidungen zur Datenverarbeitung bestimmen können. Der nun vorliegende Entwurf des BMG spricht meines Erachtens ganz klar für eine solche Möglichkeit.

Daneben ist an der Regelung natürlich noch interessant, dass hier der Gesetzgeber kurzerhand die Datenschutzaufsicht bei Forschungsvorhaben durch die Verantwortlichen zentralisieren lassen möchte, um „eine koordinierte und einheitliche Anwendung der datenschutzrechtlichen Vorschriften ermöglichen und so Verzögerungen und Aufwände bei der Konzeption und Durchführung länderübergreifender Forschungsvorhaben“ (S. 30) verhindern.

Covid-19 als „höhere Gewalt“ im Datenschutzrecht? Unternehmen sind nicht in der Haftung

In mehreren europäischen Ländern wurden aufgrund des sich verbreitenden Corona-Virus bereits Ausgangssperren verhängt. In Bayern wurde der Katastrophenfall ausgerufen. Bürger sind zudem angehalten, im Home-Office zu arbeiten. Für viele Unternehmen bedeutet dies, dass interne (Verwaltungs)Prozesse nicht mehr uneingeschränkt oder, bei einer Schließung des Unternehmens, sogar gar nicht mehr funktionieren.

Die Folge im Datenschutzrecht ist, dass Betroffenenanfragen nach der DSGVO, etwa auf Auskunft nach Art. 15 DSGVO, entweder nur stark verzögert oder in nächster Zeit gar nicht adäquat bearbeitet werden können. So kann es sein, dass aufgrund von Home-Office nicht alle internen Dokumente auf personenbezogene Daten geprüft werden können. Eventuell ist Unternehmen auch generell die Erfüllung von Pflichten nach der DSGVO aufgrund der aktuellen Umstände nicht (mehr) vollumfänglich möglich.

Aus Sicht der Praxis stellt sich für datenverarbeitende Stellen die Frage, wie sie mit dieser Situation umgehen können. Gestattet es die DSGVO etwa, dass vorgegebene Fristen nach Art. 12 Abs. 3 DSGVO (max. 3 Monate zur Beantwortung von Betroffenenanfragen) noch weiter verlängert oder nicht beachtet werden müssen? Kann sich ein Unternehmen im Fall eines Verstoßes gegen die DSGVO, der auf der aktuellen Ausnahmesituation beruht, irgendwie entlasten oder besteht die Gefahr, dass Verwaltungsverfahren oder Bußgelder durch Behörden verhängt (Art. 83 DSGVO) oder Schadensersatzansprüche von Betroffenen geltende gemacht (Art. 82 DSGVO) werden?

Aktuelle Ansichten von Datenschutzbehörden

Die englische Behörde, ICO, wird nach eigenen Angaben bei Verzögerungen der Erfüllung von datenschutzrechtlichen Pflichten die derzeitigen Umstände berücksichtigen (ICO, Data protection and coronavirus: what you need to know). Insoweit nimmt die Behörde an, dass die gesetzlichen Fristen nicht verlängert werden können, aber Verzögerungen in der Bearbeitung der Betroffenenrechte aufgrund des Corona-Virus jedoch nicht geahndet würden.

Der EDSA äußert sich zur (Nicht-)Geltung der Fristen nicht. Allerdings ist der EDSA der Ansicht, dass die besonderen Umstände nichts an den bestehenden Pflichten der Verantwortlichen ändern würden (EDSA, Statement of the EDPB Chair on the processing of personal data in the context of the COVID-19 outbreak, pdf).

Nach Ansicht der irischen Datenschutzbehörde DPC ist eine Änderung der Fristenregelungen der DSGVO nicht möglich. Jedoch spricht die DPC einige praktische Empfehlungen aus (DPC, Data Protection and COVID-19). Die DPC verweist darauf, dass unter Darlegung der entsprechenden Gründe die Frist zur Bearbeitung des Betroffenenrechts um bis zu zwei Monate verlängert werden. Die Pflicht zur Information über die Fristverlängerung obliegt dabei nach Art. 12 Abs. 3 S. 3 DSGVO dem Verantwortlichen. Zudem ist auch ein gestuftes Vorgehen bei der Beantwortung von Betroffenenanfragen denkbar. So könnte der Verantwortliche elektronisch verfügbare Dokumente, auf die die Mitarbeiter auch im Home-Office zugreifen können, zuerst bearbeiten.

Ausnahmen nach der Fristen-Verordnung?

Die für die Berechnung europarechtlich vorgegebener Fristen (also auch jener nach Art. 12 Abs. 3 DSGVO oder Art. 33 Abs. 1 DSGVO) unmittelbar anwendbare Fristen-Verordnung (Verordnung (EWG, Euratom) Nr. 1182/71) sieht keine Ausnahme von bestehenden Fristen im Ausnahmefall vor.

Ausnahmen in der DSGVO?

Art. 12 DSGVO sieht keine Ausnahmen von den dort geregelten Fristen vor. Hinsichtlich der allgemeinen Pflichten nach der DSGVO finden sich in einzelnen Artikel zum Teil Ausnahmevorschriften. So etwa in Art. 14 Abs. 5 lit. b DSGVO, für den Fall, dass die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde. Jedoch gilt diese Ausnahme nur für die Vorgaben des Art. 14 DSGVO. Im Rahmen der Löschpflicht wird etwa in Art. 17 Abs. 3 lit. c DSGVO als Ausnahme auf Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit nach Art. 9 Abs. 2 lit. i DSGVO verwiesen. Auch hierbei handelt es sich aber nur um eine spezielle Ausnahme zu Art. 17 DSGVO.

Höhere Gewalt: keine Haftung der Unternehmen

In der aktuellen Situation ist meines Erachtens über eine, in der DSGVO zwar nicht ausdrücklich benannte, dem Sinn und Zweck nach jedoch angelegte, allgemeine Ausnahme bzw. Privilegierung nachzudenken: das Vorliegen „höherer Gewalt“.

Wichtig ist hierbei, die europarechtlichen Vorgaben zu dieser Ausnahme heranzuziehen, da die DSGVO als europäisches Recht auf europarechtsautonom anzuwenden ist.

Nach ständiger Rechtsprechung des EuGH sind unter „höherer Gewalt“ ungewöhnliche und unvorhersehbare Ereignisse zu verstehen, auf die derjenige, der sich auf höhere Gewalt beruft, keinen Einfluss hat und deren Folgen trotz Anwendung der gebotenen Sorgfalt nicht hätten vermieden werden können (vgl. etwa EuGH, Urt. v. 18.3.2010, Rs. C?218/09). Zu beachten ist, dass es ebenfalls ständiger Rechtsprechung entspricht, dass die Bedeutung des Begriffs der höheren Gewalt, da er auf den verschiedenen Anwendungsgebieten des Unionsrechts nicht den gleichen Inhalt hat, anhand des rechtlichen Rahmens zu bestimmen ist, innerhalb dessen er seine Wirkungen entfalten soll (EuGH, Urt. v. 25.1.2017, Rs. C?640/15). Maßgebend für seine Anwendung ist insofern die Zweckbestimmung der jeweiligen Verordnung (vgl. EuGH, Urt. v. 17.10.2002). Die Besonderheit des jeweiligen Rechtsgebiets beeinflusst vor allem die Auslegung des Begriffs im Einzelfall (vgl. EuGH, Urt. v. 22.1.1986).

Es ist daher zu prüfen, ob auch die DSGVO eine solche Ausnahme vorsieht, auf die sich eventuell datenverarbeitende Stellen in den aktuellen Zeiten berufen können. Bezogen auf die DSGVO fällt zunächst auf, dass diese den Begriff „höhere Gewalt“ nicht kennt. Zumindest nicht in der finalen Fassung. Betrachtet man den ersten Entwurf der EU Kommission und auch die Vorschläge des EU Parlaments im Gesetzgebungsverfahren, wird deutlich, dass der Umstand höherer Gewalt sehrwohl eine Rolle spielte: konkret im Rahmen der Haftung von Unternehmen auf Schadensersatz gegenüber Betroffenen.

ErwG 146 DSGVO lautet: „Der Verantwortliche oder der Auftragsverarbeiter sollte Schäden, die einer Person aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht, ersetzen. Der Verantwortliche oder der Auftragsverarbeiter sollte von seiner Haftung befreit werden, wenn er nachweist, dass er in keiner Weise für den Schaden verantwortlich ist.“ (Hervorhebung durch mich)

In den früheren Fassungen der DSGVO war dieser Erwägungsgrund aber noch mit konkretem Verweis auf „höhere Gewalt“ formuliert. ErwG 118 (Ratsdokument 9398/15, 1.6.2015, pdf):

„Schäden, die einer Person aufgrund einer rechtswidrigen Verarbeitung entstehen, sollten von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter ersetzt werden, die von ihrer Haftung befreit werden sollten, wenn sie nachweisen, dass ihnen der Schaden nicht angelastet werden kann, insbesondere weil ein Fehlverhalten der betroffenen Person oder ein Fall höherer Gewalt vorliegt.“ (Hervorhebungen durch mich)

Die beispielhafte Aufzählung von Umständen („insbesondere“), wann keine Haftung vorliegen soll, wurde auf Vorschlag des Rates gestrichen und durch eine generelle und umfassende Formulierung („in keiner Weise…verantwortlich ist“) ersetzt.

Zwar fehlt der konkrete Begriff „höhere Gewalt“. Jedoch meiner Meinung nach nicht, weil eine Berufung hierauf nicht mehr möglich sein soll, sondern vielmehr, weil der Gesetzgeber die Möglichkeit der (Ent)Nichthaftung allgemeiner umschreiben wollte, ohne spezielle Beispiele zu nennen.

Daher halte ich es auf jeden Fall für vertretbar, dass Unternehmen sich im Rahmen von Verstößen gegen die DSGVO, die ihren nachweisbaren Grund in den aktuellen Umständen des Corona-Virus und damit einhergehenden staatlichen Maßnahmen haben, auf den Umstand „höhere Gewalt“ berufen können. In diesem Fall haften Unternehmen dann Betroffenen nicht auf Schadensersatz.

Ich würde zudem auch vertreten, dass dieser, in der DSGVO klar angelegte Gedanke der Enthaftung in Ausnahmesituationen, nicht nur in Bezug auf Schadensersatzansprüche nach Art. 82 DSGVO greift, sondern auch hinsichtlich der Einhaltung von Fristen (zB Art. 12 Abs. 3 DSGVO oder Art. 33 Abs. 1 DSGVO) oder gegebenenfalls sogar anderen Pflichten. Denn, wenn schon keine Haftung angenommen wird, wenn ein Schaden eingetreten ist, dann muss es erst recht möglich sein, mit dieser Ausnahme einer Verlängerung gesetzlicher Fristen zu begründen. Es geht Unternehmen ja aktuell nicht darum, dass man Pflichten gar nicht mehr erfüllen möchte. Man kann es derzeit nur nicht in den regulatorisch vorgegebenen Parametern. Dies ist meine (in einer etwas längeren Nachsitzung entstandene) Meinung zur Auslegung und Anwendung der DSGVO in aktuellen Zeiten ist. Das bedeutet aber auch, wie oben schon angemerkt, dass andere Rechtsauffassungen (gerade auch von Aufsichtsbehörden) möglich sind.

Für die hier gefundene Lösung spricht meines Erachtens auch das Verständnis des Bundesverwaltungsgerichts zu diesem Begriff: „Der Begriff der höheren Gewalt ist ein allgemeiner Begriff des Gemeinschaftsrechts, dessen Funktion es ist, Härten aus der Anwendung von Präklusions- und Sanktionsvorschriften in besonders gelagerten Fällen zu vermeiden und damit dem Gebot der Verhältnismäßigkeit im Einzelfall zu entsprechen“ (BVerwG, Urt. v. 29.4.2004 – BVerwG 3 C 27.03; Hervorhebung durch mich)

Zuletzt sei im Hinblick auf mögliche Bußgelder wegen Verstößen gegen die DSGVO darauf verwiesen, dass nach Art. 82 Abs. 2 lit. k DSGVO von den Aufsichtsbehörden zwingend „jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall“ beachtet werden müssen. Hierzu zählt meines Erachtens auch ein Fall „höherer Gewalt“.

Wichtig ist jedoch, dass die Anforderungen des EuGH an die Anwendbarkeit der Ausnahme „höhere Gewalt“ beachtet werden und, dass Unternehmen nachweisbar dokumentieren, warum diese Voraussetzungen vorliegen. Es muss also ein ungewöhnliches und unvorhersehbares Ereignisse vorliegen, auf das derjenige, der sich darauf beruft, keinen Einfluss hat und deren Folgen trotz Anwendung der gebotenen Sorgfalt nicht hätten vermieden werden können.