Category Archives: Rechtsprechung

OLG Brandenburg: DSGVO vs. BRAO & BDSG – Kein Auskunftsanspruch bei anwaltlichem Geheimnisschutz

Posted on by

Der Auskunftsanspruch nach Art. 15 DSGVO wird in der Praxis durch die Gerichte oft sehr weit verstanden. Zum Teil sind Unternehmen auch verpflichtet, ganze Dokumente oder Auszüge aus Datenbanken herauszugeben.

Doch wie verhält es sich mit dem Recht auf Auskunft nach der DSGVO, wenn Betroffenen von Rechtanwälten Informationen herausverlangen? Zu dieser Frage hat sich das OLG Brandenburg in einem Beschluss vom 11. September 2025 (Az: 1 U 16/25) geäußert.

Sachverhalt

Die Klägerin verlangt von der beklagten Rechtsanwältin Auskunft und Schadensersatz wegen behaupteter Datenschutzverletzungen. Die Rechtsanwältin vertrat den ehemaligen Lebensgefährten der Klägerin. Im Rahmen der anwaltlichen Korrespondenz mit der von der Klägerin in einem Unterhaltsverfahren mandatierten Rechtsanwältin hat die Beklagte ausgeführt, die Klägerin „sei im Erotikbereich tätig“ und generiere aus dieser Tätigkeit Einnahmen, wofür „umfangreiche Nachweise“ vorlägen.

Die Klägerin befürchtet eine Verwendung von Film-/Fotomaterial im Internet und verlangt Auskunft Art. 15 Abs. 1 und 3 DSGVO. Die Beklagte beruft sich darauf, dass ihr die begehrten Informationen im Rahmen des Mandatsverhältnisses zugetragen worden seien und dem Berufsgeheimnis unterlägen.

Entscheidung

Das OLG lehnt den Auskunftsanspruch der Klägerin gegenüber der Rechtsanwältin ab.

Die Klägerin kann die begehrte Auskunft nicht verlangen, da sich der aus dem Mandatsverhältnis zu sichernde Geheimnisschutz als vorrangig erweise (Art. 23 Abs. 1 DSGVO i.V.m. §§ 29 Abs. 1 S. 2 BDSG, § 43a Abs. 2 BRAO).

Das Gericht stellt zunächst fest, dass die DSGVO als EU-Verordnung zwar in allen Mitgliedstaaten allgemein, verbindlich sowie unmittelbar gilt und gegenüber entgegenstehenden nationalen Normen Anwendungsvorrang genieße. Gleichzeitig sehe die DSGVO an zahlreichen Stellen aber vor, dass Anpassungen des nationalen Gesetzgebers nicht nur möglich, sondern zwingend erforderlich sind.

„So wird Art. 15 DSGVO durch … § 29 Abs. 1 S. 2 BDSG, konkretisiert bzw. eingeschränkt“.

Nach § 29 Abs. 1 S. 2 BDSG besteht das Recht auf Auskunft der betroffenen Person nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.

Die beklagte Rechtsanwältin konnte sich hier auf den Ausnahmetatbestand von § 29 Abs. 1 S. 2 BDSG berufen,

„der auf der Öffnungsklausel des Art. 23 Abs. 1 lit. i DSGVO beruht, wonach Informations- und Benachrichtigungspflichten des Verantwortlichen bzw. das Auskunftsrecht betroffener Personen zum Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen beschränkt werden können.“

Die hier begehrte Auskunft unterfalle dem Anwaltsgeheimnis nach § 43a Abs. 2 BRAO. Danach ist der Rechtsanwalt zur Verschwiegenheit verpflichtet. Diese Pflicht bezieht sich auf alles, was ihm in Ausübung seines Berufes bekanntgeworden ist, gilt aber nicht für Tatsachen, die offenkundig sind oder ihrer Bedeutung nach keiner Geheimhaltung bedürfen, § 43a Abs. 2 S. 2 und 3 BRAO.

Aus diesen Vorgaben folge nicht nur die Verschwiegenheitspflicht, sondern auch ein Verschwiegenheitsrecht des Anwalts. Dadurch werde der anwaltliche Beruf an sich geschützt.

Tatbestandlich erfasst die Norm nicht nur einige spezifische Informationen, sondern  „alles“ und bezieht sich auch auf Wissen, welches der Anwalt im Zusammenhang mit dem Mandat durch eigene Recherche erlangt hat.

In dem Verfahren wandte die betroffene Person ein, dass die „Befreiung von der Informationspflicht“ nicht uneingeschränkt besteht, sondern nur, „sofern nicht das Interesse der betroffenen Person an der Informationserteilung überwiegt“.

Jedoch verweist die Betroffene hierbei auf eine anderen Ausnahmevorschrift, nämlich jene nach § 29 Abs. 2 BDSG, welche die Informationspflicht nach Art. 13 Abs. 3 DSGVO beschränkt.

Das OLG sieht für die Ausnahmevorschrift des § 29 Abs. 1 S. 2 BDSG hingegen kein Abwägungserfordernis. In der Norm ist eine solche Abwägung auch nicht vorgesehen.

„… besteht dieses Abwägungserfordernis nicht für den geltend gemachten Auskunftsanspruch nach Art. 15 DSGVO, dessen Ausnahme in § 29 Abs. 1 S. 2 BDSG geregelt ist, sondern nur für die (aktive) Pflicht des Mandanten zur Informationserteilung nach Art. 13 DSGVO, die vorliegend nicht streitgegenständlich ist“.

Zwar beziehe sich § 29 Abs. 1 S. 2 BDSG auf „überwiegende berechtigte Interessen eines Dritten“ – jedoch sollen diese Interessen das Recht auf Auskunft – neben geltenden Rechtsvorschriften – gerade ausschließen; sie führen zur Geheimhaltung, nicht zur Auskunftserteilung.

Die Regelung des § 29 Abs. 2 BDSG passe systematisch streng genommen bereits nicht in den Anwendungsbereich von § 29 BDSG, der nach der amtlichen Überschrift die Rechte der betroffenen Person und aufsichtsbehördliche Befugnisse „im Fall von Geheimhaltungspflichten“ regele.

„Ausblenden“ von Daten ist kein Löschen nach der DSGVO – Gericht: Stammdatensoftware der Bundesagentur für Arbeit nicht datenschutzkonform

Posted on by

Personenbezogene Daten müssen irgendwann gelöscht werden. Art. 17 Abs. 1 DSGVO sieht sowohl ein Recht auf Löschung als auch eine Pflicht vor, Daten zu löschen, wenn keine Ausnahmesituation nach Art. 17 Abs. 3 DSGVO vorliegt – etwa, weil die Daten noch zur Erfüllung einer rechtlichen Verpflichtung gespeichert werden müssen. Der EuGH hat zu dem korrespondieren Datenschutzgrundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e) DSGVO festgestellt, dass „dass selbst eine ursprünglich zulässige Verarbeitung von Daten im Lauf der Zeit gegen die DSGVO verstoßen kann, wenn diese Daten für die Erreichung der Zwecke, für die sie erhoben oder später verarbeitet wurden, nicht mehr erforderlich sind, und dass diese Daten gelöscht werden müssen, wenn diese Zwecke erreicht sind“ (Rs. C‑446/21, Rz. 56). 

In der Praxis stellt das Thema „Löschen von Daten“ Verantwortliche und Auftragsverarbeiter oft vor faktische Probleme. „Wir können gar nicht löschen“, ist zu hören. „Unsere Software sieht eine Löschung nicht vor“. 

Genau solch einen Fall hatte kürzlich das Sozialgericht Dresden zu entscheiden (Urt. v. 22.10.2025 – S 15 SF 304/24 DS). Das Pikante an dem Verfahren: in Rede stand dort das Stammdatenerfassungs- und -pflegesystem (STEP) der Bundesagentur für Arbeit (BA).

Sachverhalt

Die Klägerin des Verfahrens betreute verschiedene Personen ausländischer Herkunft bei der Beantragung von Leistungen bei dem beklagten Jobcenter. So erbat sie z.B. unter Vorlage einer Schweigepflichtentbindungserklärung von dem Beklagten Informationen zu einer Klientin. Der Beklagte führt seine Verwaltungsakten elektronisch und nutzt dazu verpflichtend das Stammdatenerfassungs- und -pflegesystem (STEP) der Bundesagentur für Arbeit (BA). Darin war die Klägerin aufgrund früherer eigener Antragsvorgänge mit ihrer Privatadresse gespeichert.

Nach einem Datenschutzvorfall beantragte die Klägerin die Löschung ihrer Privatadresse und persönlichen Daten aus der Verwaltungsakte der Klienten.

Der Beklagte argumentierte, dass Dokumente/Schriftstücke/Vorblätter, die die private Anschrift der Klägerin enthielten, in der elektronischen Akte der Klienten „ausgeblendet“ seien. Damit werde dem Löschanspruch nach Art. 17 DSGVO nachgekommen. Der Beklagte weigere sich nicht, das Löschen vorzunehmen, es sei einfach technisch nicht möglich. Um den datenschutzrechtlichen Bestimmungen trotz der rechtlichen Vorgaben nachkommen zu können, gebe es in der elektronischen Akte die Funktion des Ausblendens von Dokumenten. Dieses Verfahren werde im Vier-Augen-Prinzip durchgeführt. Ein Einblenden der Dokumente ist zwar grundsätzlich wieder möglich, benötige aber ebenso wieder zwei Personen. Eine Löschung von einmal zu den Akten verfügten Dokumenten sei aufgrund kassenrechtlicher Vorgaben des Bundesministeriums für Finanzen untersagt und das Löschen technisch nicht mehr möglich.

Entscheidung

Das Gericht geht in seiner Entscheidung davon aus, dass die personenbezogenen Daten der Klägerin (jedoch nur die private Adresse) gelöscht werden müssen und bisher nicht entsprechend der DSGVO gelöscht wurden. Bezüglich der privaten Adresse sei eine unrechtmäßige Verarbeitung von Daten erfolgt.

Zum Begriff des „Löschens“ stellt das Gericht zunächst fest, dass

„ein Ausblenden der Daten mit der technischen Möglichkeit des Wiedereinblendens jedoch kein Löschen i.S. von Art. 17 DSGVO“ darstelle.

Die DSGVO selbst enthalte keine Definition des Begriffs „Löschen“. Der Vorgang des „Löschens“ werde in Art. 4 Nr. 2 DSGVO neben der „Vernichtung“ als eine Form der Verarbeitung genannt.

Unter „Vernichtung“ versteht das Gericht die körperliche Zerstörung des Datenträgers und eine endgültige Löschung der personenbezogenen Daten.

„Löschen ist – ohne zwingende körperliche Zerstörung – der Entzug des Personenbezuges in den Daten mit dem Ziel der (faktischen) Unmöglichkeit, die zuvor in den zu löschenden Daten verkörperte Information wahrzunehmen, so dass die personenbezogenen Daten nicht mehr Gegenstand der (produktiven) Datenverarbeitung sind und dies irreversibel sicherzustellen ist„.

Das Gericht geht davon aus, dass „Löschen“ verschiedene Formen haben kann, wie z.B. die vollständige Zerstörung des Datenträgers oder die Löschung von Verknüpfungen oder Codierungen, die zur Wahrnehmung der Information erforderlich sind, wie etwa das Löschen eines Eintrags in einer Pseudonymliste oder andere Formen des dauerhaften Nichtzugriffs wie z.B. das Schwärzen.

Was jedoch nicht genügt

„… sind dagegen Beschränkungen der Verarbeitung i.S. von Art. 18 DSGVO, weil ein dauerhafter Zugriffsausschluss darin nicht enthalten ist„.

Das Ausblenden mit dem vom Beklagten genutzten Programm führe hier gerade nicht zu einem endgültigen Zugriffsausschluss. Vielmehr ist es nach den derzeitigen technischen Begebenheiten nur nicht mehr möglich, die Daten zu sehen. Allerdings bestehe technisch auch nach Ausblendung der Daten die Möglichkeit, dass zwei Führungskräfte oder deren Stellvertreter die ausgeblendeten Daten wieder sichtbar machen können.

„Die Möglichkeit des Wiedereinblendens widerspricht dem Löschungsprinzip der DSGVO.“

Das Jobcenter hatte vorgebracht, dass es die Daten ja eigentlich löschen wollen würde und sich nicht weigere, das Löschen vorzunehmen.

„… es sei einfach technisch nicht möglich„.

Dieses faktische Argument lässt das Gericht jedoch mit klaren Worten nicht gelten und verweist in seiner Begründung unter anderem auf die Vorgaben des Art. 25 DSGVO („Datenschutz durch Technikgestaltung“).

„Die technischen Programme haben die geltenden Gesetze und Betroffenenrechte umzusetzen (vgl. auch Art. 25 DSGVO) und nicht anders herum. Insofern ist es Aufgabe des Beklagten bzw. der Bundesagentur für Arbeit, sein Programm zur Nutzung seiner elektronischen Akte so umschreiben zu lassen, dass ein irreversibles Löschen technisch tatsächlich auch erfolgen kann„.

Einen ebenfalls geltend gemachten Schadenersatzanspruch nach Art. 82 DSGVO lehnt das Gericht meines Erachtens jedoch zurecht ab. Insbesondere ein Kontrollverlust liege nicht vor. Mit dem derzeitigen Ausblenden bestehe eine begründete Befürchtung der Betroffenen bzgl. dieses Kontrollverlustes nicht. Die Privatadresse sei bereits ausgeblendet und kann weder von dem Klienten noch von einem Mitarbeiter des Beklagten alleine wieder eingeblendet werden.

Fazit

Überträgt man diesen Fall und die Ansichten des Gerichts auf den privatwirtschaftlichen Bereich von Unternehmen, dürfte schnell klar werden, dass Verantwortliche bei dem Einsatz von Software, in der personenbezogene Daten verarbeitet werden, als Anforderungsmerkmal darauf achten sollten, dass Daten gelöscht werden können. Wie das Gericht aufzeigt, bedeute dies nicht zwingend eine elektronische / physische Zerstörung. Auch eine Anonymisierung kann den Personenbezug endgültig entfernen.

Meiner Erfahrung nach ist jedoch extrem wichtig, dass Verantwortliche bereits bei der Entwicklung und noch mehr im (IT)Einkaufsprozess darauf achten, dass anzuschaffende Software die Grundprinzipien der DSGVO umsetzen kann. Es lohnen sich hierbei durchaus auch einmal konkrete Nachfragen an den Hersteller (und ja, mir ist bewusst, dass dies nicht in jeder Situation möglich ist).

Wichtig zu beachten ist zudem, dass die Softwarehersteller selbst oft gar nicht in den Anwendungsbereich der DSGVO fallen, da sie nicht zwingend als Verantwortliche agieren, wenn ihr Produkt durch Kunden genutzt und mit Daten gefüllt wird. Der „Verantwortliche“ nach der DSGVO ist in diesem Fall zumeist der Kunde, der die Software für die Datenverarbeitung verwendet.

 

Ist der Versuch einer Datenverarbeitung bereits eine „Verarbeitung“ im Sinne der DSGVO?

Posted on by

In seinem Urteil vom 4.10.2024 (Rs. C‑548/21) hatte der EuGH u.a. die Frage zu beantworten, ob der Anwendungsbereich der Richtlinie (EU) 2016/680 eröffnet ist und eine „Verarbeitung“ nach Art. 3 Nr. 2 der Richtlinie vorliegt, wenn Polizeibehörden versuchen, Zugang zu den auf einem Mobiltelefon gespeicherten Daten zu erlangen – auch wenn dieser Versuch scheitert und Daten faktisch nicht verarbeitet werden.

Zwar erging die Entscheidung zu Art. 3 Nr. 2 der Richtlinie 2016/680 (der Schwesterrichtlinie der DSGVO für den polizeilichen Bereich). Die Definition der „Verarbeitung“ ist jedoch deckungsgleich mit jener Definition in Art. 4 Nr. 2 DSGVO. Daher sind die Erwägungen des EuGH auch auf die DSGVO übertragbar.

„Verarbeitung“ bezeichnet nach Art. 3 Nr. 2 der Richtlinie und auch Art. 4 Nr. 2 der DSGVO jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Wortlaut

Der EuGH betrachtet zunächst den Wortlaut der Norm. Insbesondere aus der Verwendung der Begriffe „jeder … Vorgang“, „jede … Vorgangsreihe“ und „eine andere Form der Bereitstellung“, ergebe sich, dass der Unionsgesetzgeber den Ausdruck „Verarbeitung“ und damit den sachlichen Anwendungsbereich der Richtlinie weit fassen wollte.

Zudem fügt der EuGH hinzu, dass die Aufzählung an Verarbeitungsformen in der Definition bewusst nicht abschließend sei.

Bereits diese, den Wortlaut betreffenden Gesichtspunkte sprechen nach Auffassung des EuGH somit für eine Auslegung,

„wonach Polizeibehörden, wenn sie ein Telefon sicherstellen und versuchen, auf diesem Telefon gespeicherte personenbezogene Daten auszulesen oder abzufragen, eine Verarbeitung im Sinne von Art. 3 Nr. 2 der Richtlinie 2016/680 vornehmen, auch wenn es ihnen aus technischen Gründen nicht gelingen sollte, auf diese Daten zuzugreifen“.

Allein der Versuch einer Verarbeitung stellt also bereits die Verarbeitung dar, auch wenn es faktisch gerade nicht zu der beabsichtigten Verarbeitung kommt.

Grundsatz der Zweckbindung

Zudem betrachtet der EuGH auch den Kontext, in dem Art. 3 Nr. 2 der Richtlinie steht.

Nach Art. 4 Abs. 1 b) sehen die Mitgliedstaaten vor, dass personenbezogene Daten für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden. In der DSGVO entspricht dies dem Grundsatz der Zweckbindung nach Art. 5 Abs. 1 b) DSGVO.

Die Wirksamkeit dieses Grundsatzes setzt nach Ansicht des EuGH aber zwingend voraus, dass der Zweck der Datenerhebung

„schon dann ermittelt wird, wenn die zuständigen Behörden versuchen, auf personenbezogene Daten zuzugreifen, da ein solcher Versuch, wenn er erfolgreich ist, es ihnen u. a. ermöglichen kann, die fraglichen Daten unverzüglich zu erheben, auszulesen oder abzufragen“.

Der EuGH betrachtet hier also nicht isoliert den Versuch, sondern bezieht auch die Folge des erfolgreichen Versuchs (= Zugriff auf Daten) mit ein. Bei erfolgreichem Versuch kommt es zur Verarbeitung. Da dazwischen keine weiteren Schritte liegen, können die datenschutzrechtlichen nur bereits vorab erfüllt werden. Nach erfolgreichem Versuch wäre es etwa für eine Information des Betroffenen zu spät.

Im Ergebnis stellt der EuGH fest, dass ein Versuch von Polizeibehörden, für die Zwecke strafrechtlicher Ermittlungen, Zugang zu den auf einem Mobiltelefon gespeicherten Daten zu erlangen, in den Anwendungsbereich der Richtlinie 2016/680 fällt. Auch der Generalanwalt hatte in seinen Schlussanträgen diese Ansicht vertreten. Seines Erachtens führt eine Polizeibehörde, die ein Telefon sicherstellt, auf dem solche Daten gespeichert sind, und daran hantiert, um auf die Daten zuzugreifen, einen „Verarbeitungsvorgang“ durch, auch wenn dieser aus technischen Gründen infolge der Verschlüsselung erfolglos bleibt.

Fazit

Ich denke, dass für den EuGH bei seiner Auslegung ein wichtiger Aspekt war, dass der erfolgreiche Versuch direkt zur Verarbeitung geführt hätte. Datenschutzrechtliche Pflichten konnten dann nur bereits vor dem Versuch ordentlich beachtet und erfüllt werden.

Vorbeugende Beschwerde bei der Datenschutzbehörde zulässig?

Posted on by

In seinen Schlussanträgen vom 25.9.2025 (Rs. C‑474/24) befasst sich Generalanwalt Spielmann u.a. auch mit der interessanten Frage, ob Betroffene nach Art. 77 eine Beschwerde bei einer Datenschutzbehörde gegen eine Verarbeitung einlegen können, die noch nicht stattfindet – also eine Art vorbeugende Beschwerde.

Wortlaut sieht diesen Fall nicht explizit vor

Nach Art. 77 DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde hat, „wenn [sie] der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“.

Der Wortlaut der Norm sieht zumindest nicht ausdrücklich den Fall vor, in dem die Verarbeitung noch nicht stattgefunden hat. Es wird der Ausdruck „verstößt“ im Präsens verwendet, was nach Ansicht des Generalanwalt zu bedeuten scheint, dass die Verarbeitung bereits stattgefunden haben muss. Jedoch schließt er die Möglichkeit, dass auch eine künftige Verarbeitung umfasst sein kann, als solche nicht aus).

Zweck der Beschwerde

Danach widmet sich der Generalanwalt im Rahmen der Auslegung dem Sinne und Zweck des Art. 77 DSGVO.

Eine Beschwerde durch Betroffene soll dazu führen, dass Datenschutzbehörden tätig werden, um ihre Aufgaben zu erfüllen und ihre Befugnisse wahrzunehmen.

Der Generalanwalt verweist auf Art. 58 Abs. 1 DSGVO, wonach jeder Aufsichtsbehörde weitreichende Untersuchungsbefugnisse zur Bearbeitung eingereichter Beschwerden zur Verfügung stehen. Zu den Befugnissen der Aufsichtsbehörde nach Art. 58 Abs. 2 a) DSGVO gehört es, einen Verantwortlichen zu „warnen“, dass „beabsichtigte“ Verarbeitungsvorgänge „voraussichtlich“ gegen die DSGVO verstoßen.

Dass die DSGVO hier vorsieht, dass eine Aufsichtsbehörde auch eine zukünftige Verarbeitung prüfen kann, sieht der Generalanwalt als Teil eines Ansatzes,

„den man als „vorbeugenden Schutz“ der Rechte der betroffenen Person bezeichnen kann“.

Vorbeugende Pflichten der DSGVO

Zudem stellt der Generalanwalt heraus, dass der Verantwortliche, bestimmte Verpflichtungen erfüllen und insbesondere die betroffene Person vor der Verarbeitung informieren muss.

Aus diesen kontextbezogenen Gesichtspunkten leitet der Generalanwalt ab, ein vorsorglicher oder präventiver Ansatz der Aufsichtsbehörden bei der Bearbeitung von Beschwerden im Kontext der DSGVO nicht von vornherein ausgeschlossen werden kann.

Ziele der DSGVO

Zuletzt betrachtet der Generalanwalt bei seiner Auslegung des Art. 77 DSGVO auch die generellen Ziele der DSGVO. Aus ErwG 10 geht hervor, dass sie darauf abzielt, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten in der Union zu gewährleisten.

Würde man die den Aufsichtsbehörden in Art. 57 Abs. 1 f) DSGVO auferlegte Verpflichtung, sich mit Beschwerden zu befassen, durch eine Auslegung von Art. 77 Abs. 1 DSGVO einschränken, nach der jede Möglichkeit ausgeschlossen wäre, eine Beschwerde bei einer Aufsichtsbehörde „im Vorfeld einer Verarbeitung“ einzureichen, könnte dies den Zielen dieser Verordnung zuwiderlaufen.

Zulässigkeit der vorbeugenden Beschwerde – aber …

Insgesamt geht der Generalanwalt daher davon aus, dass eine gemäß Art. 77 DSGVO eingelegte Beschwerde zulässig sein kann, obwohl die Verarbeitung personenbezogener Daten der betroffenen Person zum Zeitpunkt der Einreichung ihrer Beschwerde bei der Aufsichtsbehörde noch nicht stattgefunden hat.

Rein praktisch stellt sich dann natürlich die Frage, „wie früh“ die Beschwerde eingelegt werden kann? Wie konkret muss also die geplante Verarbeitung feststehen?

Einschränkend zur generellen Zulässigkeit der vorbeugenden Beschwerde geht der Generalanwalt davon aus, dass der geltend gemachte Verstoß gegen die DSGVO dafür geeignet sein muss und dass die betreffende Verarbeitung

„nicht rein hypothetischer Natur sein darf“.

So wäre seiner Ansicht nach etwa eine Beschwerde, die sich auf die in Art. 12 DSGVO vorgesehene Informationspflicht oder auf das in Art. 15 DSGVO vorgesehene Auskunftsrecht bezieht, beispielsweise vor Beginn einer Datenverarbeitung zulässig.

Der Generalanwalt fügt danach ein Beispiel an, wann eine vorbeugende Beschwerde jedoch unzulässig ist. Hierbei stellt er auf den konkret geltend gemachten Verstoß und auch die Möglichkeit des Verantwortlichen ab, diesen Verstoß zu beseitigen.

Im vorliegenden Fall legte die Betroffene eine Beschwerde zur Löschung von Daten nach Art. 17 DSGVO sein, wobei die Daten noch nicht veröffentlicht waren. Die Betroffene hat angegeben, dass die Veröffentlichung ihrer Daten „mit ziemlicher Sicherheit unmittelbar bevorstehe“.

Konkret zu dieser Beschwerde geht der Generalanwalt davon aus, dass die auf das Recht auf Löschung gemäß Art. 17 DSGVO gestützte Beschwerde unzulässig war, weil sie eine Verarbeitung (hier die Veröffentlichung der personenbezogenen Daten der betroffenen Person) betrifft, die, auch wenn sie unmittelbar bevorsteht, weder zum Zeitpunkt der Einreichung der Beschwerde bei der Aufsichtsbehörde noch zum Zeitpunkt des Erlasses der Entscheidung dieser Aufsichtsbehörde vorlag.

Eine auf Löschung der Daten gerichtete Beschwerde setze naturgemäß voraus, dass die betreffende Verarbeitung, in diesem Fall die Veröffentlichung der Daten, tatsächlich stattgefunden hat. Dem Verantwortlichen dürfte es nämlich unmöglich sein, aufgrund einer solchen Beschwerde tätig zu werden und Daten zu löschen, wenn diese noch nicht veröffentlicht wurden.

Bundesverwaltungsgericht Österreich: Falsche Einschätzung des Datenschtzbeauftragten wird dem Verantwortlichen im Bußgeldverfahren zugerechnet

Posted on by

Das Bundesverwaltungsgericht Österreich musste sich in seiner Entscheidung vom 27. Dezember 2024 (Aktenzeichen W258 2227269-1/39E) mit der Rechtmäßigkeit des Verkaufs personenbezogener Daten, darunter auch Angaben zu politischen Affinitäten der betroffenen Personen befassen. Eine wichtige Frage war hier, ob bestimmte Informationen „personenbezogene Daten“ darstellen.


Sachverhalt
Im Jahr 2019 leitete die österreichische Aufsichtsbehörde eine Untersuchung ein, nachdem Medienberichte behauptet hatten, ein Unternehmen habe personenbezogene Daten, einschließlich Angaben zu „politischen Affinitäten“, verkauft. Daraufhin wurde ein Verwaltungsstrafverfahren wegen des Verdachts der unrechtmäßigen Verarbeitung besonderer Kategorien personenbezogener Daten ohne Einwilligung, weiterer rechtswidriger Verarbeitungen, Versäumnissen bei der Datenschutz-Folgenabschätzung, sowie unzureichender Transparenz eingeleitet. Nachdem gegen das Unternehmen eine Geldbuße verhängt wurde, legte es Rechtsmittel gegen den Bescheid beim Bundesverwaltungsgericht ein, welches die Entscheidung zunächst aufhob. Diese Aufhebung kassierte allerdings der österreichische Verwaltungsgerichtshof unter Verweis auf das EuGH-Urteil in der Rechtssache C-807/21. Damit landete der Fall wieder beim Bundesverwaltungsgericht.


Entscheidung
Das Urteil ist insbesondere in Bezug auf die Haftung des Verantwortlichen für Fehleinschätzungen des eigenen Datenschutzpersonals und des Datenschutzbeauftragten bemerkenswert.

Im Rahmen der subjektiven Voraussetzungen zur Verhängig einer Geldbuße gemäß Art. 83 DSGVO ist es erforderlich, dass der Verantwortliche einen in Art. 83 Abs 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat. Das BVwG geht hier von einem fahrlässigen Verhalten aus, welches u.a. aus den Fehleinschätzungen der Datenschutzmanagerin und der Datenschutzbeauftragten abgeleitet wird.

Kein Ausschluss der Zurechnung durch das existierende Kontrollsystem

Zwar geht das BVwG davon aus, dass sich das Unternehmen auf organisatorischer Seite mit beachtlichen Ressourcen-Aufwand auf die Anwendbarkeit der DSGVO vorbereitet hat.

So wurde intern die datenschutzrechtliche Bewertung wie folgt gegliedert:

  • Erstbeurteilung einer Datenverwendung in dem jeweiligen Fachbereich einerseits.
  • Verpflichtenden Einbindung der Datenschutzbeauftragten andererseits.

Dieses System scheint nach Auffassung des BVwG auf den ersten Blick zweckmäßig zu sein, zumal die Fachbereiche den besten Einblick in die von Ihnen vorgenommenen Datenverwendung haben und die Datenschutzbeauftragte eine rechtlich unabhängige Kontrolle ermöglichen sollte.

„Im konkreten Fall gestaltet sich diese Aufteilung allerdings als problematisch, weil die Erstbeurteilung damit Personen auferlegt worden ist, die – wenngleich datenschutzrechtlich ausgebildeten – juristischen Laien sein konnten/bzw waren und – als aus dem Fachbereich kommend – ein starkes Interesse an der Durchführung der geplanten „eigenen“ Datenverarbeitungen haben können.“

Hieraus folgte nach Ansicht des Gerichts „die beachtliche Gefahr grundlegender juristischer Fehlinterpretationen aufgrund fehlender allgemeiner juristischer Kenntnisse„.

Das BVwG geht daher hinsichtlich des Kontrollsystemens davon aus, dass dies nicht ausreichend war.

„entgegen ihrer Meinung lag damit auch kein wirksames Überwachungs- und Kontrollsystem vor, dass eine verschuldensbegründende Zurechnung an die Beschwerdeführerin ausschließen könnte“

Fehlerhafte Einschätzungen der Mitarbeiter

Hinsichtlich der Datenverarbeitungen sind die Datenschutzmanagerin und die Datenschutzbeauftragte davon ausgegangen, dass es sich bei statistischen Werten nicht um personenbezogene Daten handelt, und zwar auch dann, wenn sie konkreten Personen zugeschrieben werden.

Nach Auffassung des BVwG war diese Rechtsansicht

„insbesondere vor dem Hintergrund der bereits vor Anwendbarkeit der DSGVO zur in diesen Aspekten vergleichbaren Datenschutz-Richtlinie (95/46/EG) und dem DSG 2000 vorliegenden Judikatur der Datenschutzkommission, der Datenschutzbehörde (…) und des EuGH (EuGH 22.06.2017, C-434/16, Nowak) unvertretbar“

Das Gericht geht in seiner Begründung danach u.a. darauf ein, welches Verhalten den beteiligten Personen vorzuwerfen ist.

„Der Datenschutzmanagerin ist vorzuwerfen, dass sie bei ihrer Meinungsbildung auffallend sorglos war, zumal sie eine einschlägige datenschutzrechtliche Entscheidung denkunmöglich interpretiert…“

„Die weiteren von der Datenschutzmanagerin ergriffen Recherchetätigkeiten waren ungeeignet ihren Fehler aufzudecken,…“

„Der Datenschutzbeauftragten ist vorzuwerfen, dass sie sich – in offenbarer Unkenntnis der bestehenden Rechtsprechung sowie trotz einer neuen Rechtslage – auf ihre bestehende (irrige) Meinung verlassen hat, dass es sich bei statistischen Daten auch dann um keine personenbezogenen Daten handelt, wenn sie konkreten Personen zugeschrieben werden, und keine eigenen relevanten Recherchen durchgeführt hat.“

Die führte im Ergebnis dazu, dass das Unternehmen die „ XXXX -Affinitäten“ nicht weiter dahingehend überprüft hat, ob es sich tatschlich um eine besondere Kategorie von Daten nach Art. 9 Abs. 1 DSGVO handelt und ob und unter welchen Voraussetzungen ihre Verarbeitung zulässig sein könnte.

Hieraus folgert das BVwG:

„Dieses fahrlässige Verhalten muss sich die Beschwerdeführerin zurechnen lassen; eine Handlung oder Kenntnis eines Leitungsorgans der Beschwerdeführerin, ist hierfür nicht erforderlich (EuGH 05.12.2023, C-807/21, Deutsche Wohnen SE, Rz 77).“

Bedeutung für die Praxis
Die Entscheidung zeigt, dass Verantwortliche auch für fehlerhafte Einschätzungen bzw. Handlungen ihrer Datenschutzbeauftragten haften müssen. Bereits in der Entscheidung C-807/21 (Deutsche Wohnen) hat der EuGH klargestellt, dass Art. 83 DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans des Verantwortlichen voraussetzt. Diese Position wurde vom Kammergericht Berlin in seiner Entscheidung vom 22. Januar 2024 bestätigt. Die vorliegende Entscheidung folgt dem Ansatz, dass die Unternehmen auch für solche Verstöße haften, die von jeder anderen Person begangen wurden, die im Rahmen der unternehmerischen Tätigkeit und im Namen dieser juristischen Person gehandelt hatte.

Das BVwG geht sogar noch einen Schritt weiter: Trotz der (zumindest teilweise) unabhängigen Stellung der Datenschutzbeauftragten haften die Unternehmen auch für deren Verstöße, zumindest solange diese Verstöße in den Bereich ihrer gesetzlichen Pflichten gem. Art. 39 DSGVO fallen.

Geht es um Rechtsansichten (wie hier, bei der Auslegung und Anwendung der DSGVO), sollten Verantwortliche und Auftragsverarbeiter daher darauf achten, internes Personal entsprechend zu qualifizieren oder extern spezialisierten Fachrat einzuholen.

Zudem sind die Ansichten des BVwG zu dem Compliance/Konrollsystem sehr praxisrelevant.

Verwaltungsgericht: Rechtsmissbräuchliche Instrumentalisierung der Datenschutzbehörde – hier: Beschwerde gegen gegnerische Anwaltskanzlei

Posted on by

Das Verwaltungsgericht Hamburg hat sich in einem Beschluss (Beschl. v. 6.8.2025 – 17 K 3445/24, aktuell nur bei BeckRS 2025, 20692 verfügbar) sehr deutlich zu einem möglichen Anspruch eines Betroffenen auf Einschreiten der Datenschutzbehörde gegen eine gegnerische Anwaltskanzlei geäußert.

Hintergrund

Der Kläger des Verfahrens befand sich offensichtlich mit einem Unternehmen in einer zivilrechtlichen Auseinandersetzung in Bezug auf einen Schadenersatzanspruch. Das Unternehmen wurde von einer Anwaltskanzlei vertreten.

In einem Schreiben der Kanzlei an den Kläger verwendete diese irrtümlich „428/23“ als Zeichen des Klägers und speicherte das Schreiben mit diesem unzutreffenden Zeichen bei sich. Hiergegen legte der Kläger eine Beschwerde bei der Datenschutzbehörde in Hamburg ein. Die Aufsichtsbehörde wollte sich jedoch entweder mit der Beschwerde gar nicht befassen (ggfs. unter Berufung auf die EuGH Rechtsprechung) oder zumindest keine Maßnahmen ergreifen.

Der Kläger erhob darauf hin gegen die Datenschutzbehörde Klage beim Verwaltungsgericht. Da er einen Anspruch auf Behandlung seiner Beschwerde nach Art. 57 Abs. 1 f) DSGVO, Art. 77 DSGVO habe.

Entscheidung

Das Verwaltungsgericht musste, da die Parteien den Rechtsstreit für erledigt erklärt hatten, nur noch über die Kosten und dort über die Erfolgsaussuchten der Klage des Betroffenen entscheiden.

Die Ansicht des Gerichts fällt mehr als deutlich aus.  Der Kläger trägt die gesamten Kosten, da er mit seiner Klage wahrscheinlich unterlegen wäre.

„Seine datenschutzrechtliche Beschwerde dürfte … als rechtsmissbräuchliche Instrumentalisierung des Beklagten, nur um der Beschwerdegegnerin in feindseliger Haltung Nachteile zuzufügen.“

Das VG geht hier also von einer missbräuchlichen Geltendmachung des Beschwerderechts nach der DSGVO aus. Hierzu führt das Gericht auch einige Faktoren an, die aus seiner Sicht für eine Missbräuchlichkeit der Geltendmachung der Beschwerde sprachen.

Erstens

„Die Beschwerde des Klägers diente allein dazu, der Rechtsanwaltskanzlei der Gegenseite, an die der Kläger einen Schadensersatzanspruch gerichtet hatte, Probleme und Aufwand zu bereiten.“

Für das VG war es hier also offensichtlich, dass es dem Kläger gerade nicht um Fragen des Datenschutzes ging, sondern die DSGVO nur als Instrument genutzt wurde, um Probleme zu bereiten.

Zweitens

„Die datenschutzrechtliche Beschwerde an den Beklagten hat der Kläger erkennbar dazu genutzt, die Rechtsanwaltskanzlei, die in der zivilrechtlichen Auseinandersetzung mit ihm für die Gegenseite tätig war, weiter zu eskalieren, ohne hierdurch einen relevanten Vorteil für sich zu gewinnen.“

Zudem geht das VG davon aus, dass es dem Kläger erkennbar nur um eine weitere Eskalationsstufe des Streits ging. Also er gerade nicht Zwecke des Datenschutzes verfolgte.

Dies begründet das Gericht u.a. auch damit „kein auch nur ansatzweise anzuerkennendes rechtliches Interesse des Klägers daran“ bestehe, dass die Rechtsanwaltskanzlei das Schreiben und die Speicherung entsprechend berichtigt und hierzu die Kanzlei mit einem aufsichtsbehördlichen Verfahren zu überziehen.

Drittens

Zudem argumentiert das VG mit dem Sinn und Zweck des Datenschutzrechts.

„Das Datenschutzrecht mit der Einrichtung des Datenschutzbeauftragten als staatliche Stelle ist nicht dazu bestimmt, völlig belanglose Irrtümlichkeiten bei der Verarbeitung von Daten…, behördlich verfolgen zu lassen, nur um mit dem Mittel der Datenschutzaufsicht eine aus einem anderen Grund bestehende Auseinandersetzung, hier der Streit um einen zivilrechtlichen Schadensersatz, böswillig auf dieses weitere Konfliktfeld auszuweiten.“

Das Gericht sieht anscheinend die Kombination aus Zweck und Mittel auch als Faktor für den Missbrauch.

Fazit

Die Begründung des VG ist sehr deutlich. Man mag, mit Blick auf die Rechtsprechung des EuGH zur Geltendmachung des Auskunftsrechts, welches danach keine Begründung erfordert, eventuell auch gegen das Gericht argumentieren. Aus Sicht der Verantwortlichen kann die Begründung jedoch auch gut auf Situationen übertragen werden, in denen Betroffene im Streit mit der „Aufsichtsbehörde drohen“ – und das passiert in der Praxis leider regelmäßig.

Anwendung der neuen EuGH-Rechtsprechung: keine Information über „berechtigte Interessen“ – keine Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO

Posted on by

In letzter Zeit hat der EuGH einige relevante Aussagen zum Erlaubnistatbestand der Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO getroffen. Die Tendenz des Gerichts ist hierbei recht streng. Bekanntlich verknüpft der EuGH die Frage, ob sich ein Unternehmen überhaupt auf diese Rechtsgrundlage berufen kann, auch mit der Transparenzanforderung des Art. 13 Abs. 1 d) DSGVO.

Danach muss der Verantwortliche zum Zeitpunkt der Erhebung von personenbezogenen Daten, wenn die Verarbeitung auf Art. 6 Abs. 1 f) DSGVO beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden, der betroffenen Person mitteilen.

Rechtssache „Mousse“

In der Rechtssache C‑394/23 („Mousse“, Rz. 52) verknüpft der EuGH die Erfüllung der Transparenzpflicht mit der Rechtsgrundlage nach Art. 6 Abs. 1 f) DSGVO.

„Wie der Generalanwalt in Nr. 58 seiner Schlussanträge ausgeführt hat, verlangt diese Bestimmung, dass den betroffenen Personen zum Zeitpunkt der Erhebung der Daten unmittelbar das verfolgte berechtigte Interesse mitgeteilt wird, da andernfalls diese Erhebung nicht auf der Grundlage von Art. 6 Abs. 1 Unterabs. 1 Buchst. f dieser Verordnung gerechtfertigt werden kann.“

Zu den erwähnten Schlussanträgen des Generalanwalts hatte ich hier im Blog berichtet (Blogbeitrag). Er ist sogar noch deutlicher als der EuGH:

„Mit anderen Worten: Die aus der Nichteinhaltung der Informationspflicht nach Art. 13 Abs. 1 Buchst. d DSGVO resultierende Sanktion ist die Rechtswidrigkeit der Verarbeitung der betreffenden personenbezogenen Daten.“

Koninklijke Nederlandse Lawn Tennisbond

Bereits zuvor, im Oktober 2024, hat der EuGH (Rechtssache C-621/22) im Hinblick auf die Frage, ob sich ein Verantwortlicher auf Art. 6 Abs. 1 f) DSGVO berufen kann, eine strenge Ansicht vertreten (Rz. 50).

„Sollte ein solches Interesse als berechtigt angesehen werden, müsste der Verantwortliche zudem allen anderen ihm obliegenden Pflichten aus der DSGVO nachkommen, damit die Wahrnehmung dieses Interesses eine Verarbeitung personenbezogener Daten gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO rechtfertigen kann.“

Im Unterschied zur Entscheidung „Mousse“ verknüpft der EuGH hier die Möglichkeit, sich auf Art. 6 Abs. 1 f) DSGVO zu berufen, sogar nicht nur mit der Erfüllung der Transparenzpflicht des Art. 13 Abs. 1 d) DSGVO, sondern mit der Einhaltung aller (!) Pflichten aus der DSGVO. Man kann sicher gut darüber diskutieren, ob nun z.B. ein Verstoß gegen Art. 30 Abs. 1 DSGVO, weil es einen Fehler im Verzeichnis gibt, direkt dazu führen sollte, dass ein Verantwortlicher nicht mehr die Rechtsgrundlage des Art. 6 Abs. 1 f) DSGVO nutzen kann – die Tendenz beim EuGH zu dieser Frage scheint zumindest derzeit aber klar.

Anwendung der Vorgaben in der Praxis

Und wie kommt diese Rechtsprechung in der Praxis an? Sie scheint auf jeden Fall von Gerichten und Aufsichtsbehörden angewendet zu werden – mit entsprechenden (negativen) Folgen für Verantwortliche.

Beispiel 1 – Aufsichtsbehörde Berlin

In ihrem letzten Newsletter berichtet die Datenschutzbehörde Berlin, dass sie die Vorgaben des EuGH aus der Entscheidung „Mousse“ konkret anwendet und eine Rechtmäßigkeit auf Basis von Art. 6 Abs. 1 f) DSGVO ablehnt, wenn Verantwortliche nicht über die berechtigten Interessen informieren. Konkret ging es um Prüfverfahren im Rahmen der Datenverarbeitung für Zwecke des Einsatzes von KI.

„Dieser Verstoß gegen die Informationspflichten nach Art. 13 bzw. Art. 14 DSGVO kann sich unmittelbar auf die Rechtmäßigkeit der Datenverarbeitung auswirken. Gerade wenn sich Verantwortliche auf die Verarbeitung personenbezogener Daten zur Wahrung berechtigter Interessen berufen, gehen wir nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH) davon aus, dass dies unzulässig ist, wenn betroffenen Personen nicht einmal das berechtigte Interesse mitgeteilt wird, auf das sich die Verantwortlichen berufen.“

Beispiel 2 – Bundesverwaltungsgericht Österreich

Und auch die jüngste Rechtsprechung scheint die neuen Vorgaben des EuGH umzusetzen. In einer Entscheidung des Bundesverwaltungsgerichts Österreich vom 11. Juni 2025 (W211 2308914-1) verweist das Gericht auf die EuGH-Rechtsprechung. Es ging in dem Verfahren um die Frage, ob eine umfassende Videoüberwachung auf Art. 6 Abs. 1 f) DSGVO gestützt werden konnte. Die Datenschutzbehörde Österreich lehnte dies ab. Das Gericht folgt der Argumentation und sieht Art. 6 Abs. 1 f) DSGVO als nicht anwendbar, da der Verantwortliche nicht über die „berechtigten Interessen“ informierte.

„Auf Basis der neuen Rechtsprechung des EuGH ist es im Fall einer Rechtfertigung gemäß Art. 6 Abs. 1 lit. f DSGVO erforderlich, dass der:die Verantwortliche in der Phase der Erhebung der in Rede stehenden Daten gemäß Art. 13 DSGVO das konkrete berechtigte Interesse den Betroffenen mitgeteilt hat (vgl. EuGH 09.01.2025, C-394/23 (Mousse), EU:C:2025:2, Rz 52, 63, 64).“

„Bereits aufgrund dieses rezenten Judikats des EuGH kann – umgelegte auf den konkreten Sachverhalt – nicht von einer für den vorbrachten Zweck erforderlichen und somit rechtmäßigen Datenverarbeitung ausgegangen werden, welche auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann.“

Fazit

Die Tendenz ist klar: berechtigte Interessen sollten in jedem Fall so konkret wie möglich in Datenschutzhinweisen bzw. entsprechenden Informationen angegeben werden, wenn sich ein Verantwortlicher auf die Rechtsgrundlage des Art. 6 Abs. 1 f) DSGVO stützen möchte. Ein Nachschieben dieser Information scheint aufgrund des Wortlauts von Art. 13 Abs. 1 DSGVO („zum Zeitpunkt der Erhebung dieser Daten“) wohl nicht möglich.

Zum Cookie-Banner-Urteil des VG Hannover: Gericht verpflichtet nicht zu „Alles ablehnen“-Schaltfläche

Posted on by

In den letzten Tagen wurde vermehrt über die Entscheidung des Verwaltungsgerichts Hannover (Urteil vom 19.März 2025, Az: 10 A 5385/22) zur unzulässigen Gestaltung eines Cookie-Banners auf der Webseite eines Verlagshauses berichtet. 

In der Berichterstattung war zu lesen, dass das Gericht entschieden hätte, dass Cookie-Banner eine „Alles ablehnen“-Schaltfläche zwingend vorhalten müssten. 

Und sogar die im Verfahren involvierte Aufsichtsbehörde aus Niedersachsen betitelt ihre Pressemeldung dazu leider wie folgt: „Urteil zu manipulativem Cookie-Banner: „Alles ablehnen“-Schaltfläche ist ein Muss“. Die Behörde führt dort weiter aus: „Webseitenbetreiber müssen bei Cookie-Einwilligungsabfragen eine gut sichtbare „Alles ablehnen“-Schaltfläche auf der ersten Ebene im Einwilligungsbanner anbieten, wenn es eine „Alle akzeptieren“-Option gibt“. Diese Aussage kann ich der Entscheidung des Gerichts nicht entnehmen. 

Meines Erachtens ist diese Auslegung des Urteils und sind die Aussagen in der Pressemitteilung jedoch falsch. Das Gericht hat gerade nicht entschieden, dass es zwingend (und stets) eine Pflicht gibt, das Cookie-Banner eine solche Schaltfläche vorhalten müssen. 

Dies möchte ich kurz anhand der Aussagen des Gerichts und dem zugrundeliegenden Sachverhalt begründen. 

Erstens

Bereits die Leitsätze des Urteils geben eine Auslegung für eine Pflicht zu einem „Alles ablehnen“-Button nicht her. 

Das Gericht stellt fest, dass eine Einwilligung nicht freiwillig erteilt wird (und damit unwirksam ist), wenn es wie hier die Gestaltung eines Cookie-Einwilligungsbanners mit zwei Ebenen betrifft, bei welchem auf erster Ebene nur die Auswahlmöglichkeiten „Alle akzeptieren“, „Akzeptieren & schließen x“ und „Einstellungen“ bestehen. Es ist meines Erachtens sehr wichtig zu verstehen, was das Gericht geprüft hat: einen Cookie-Banner, der auf der ersten Eben schlicht keine Ablehnungsmöglichkeit vorsah. 

Die Pflicht, eine „Alles ablehnen“-Schaltfläche vorzuhalten, wird aber gar nicht angesprochen. 

Im Übrigen hat auch die Aufsichtsbehörde selbst, in ihrem Bescheid gegenüber dem Unternehmen, dies gar nicht verlangt. In dem Bescheid vom 23.11.2022 verpflichtet die Aufsichtsbehörde das Unternehmen 

„auf der Website www.noz.de die Anforderungen an wirksame – insbesondere informierte und freiwillige – Einwilligungen gemäß Art. 4 Nr. 11 und Art. 7 DSGVO umzusetzen, soweit es für die Rechtmäßigkeit des Einsatzes von lokalen Speicherobjekten, Tracking-Techniken und Drittdiensten erforderlich ist“.

Es geht um eine Umgestaltung, die zur Einholung wirksamer Einwilligungen führen soll. Wie dies konkret geschieht, wird nicht vorgegeben. 

Zweitens

Das Gericht prüft, ob durch die damals verwendete Gestaltung des Banners auf der Webseite eine wirksame Einwilligung nach Art. 4 Nr. 11 DSGVO eingeholt werden konnte. Dies lehnt das Gericht unter mehreren Gesichtspunkten ab. 

Zum einen, da die „Informiertheit“ der Betroffenen nicht gegeben war. Das Gericht verweist auf die Rechtsprechung des EuGH, der als Mindestinformationen eine Angabe der Funktionsdauer sowie Angaben zu eventuellen Empfängern der in den Cookies enthaltenen Informationen verlangt (C-673/17).

„Daran gemessen ist zu bezweifeln, ob das Merkmal der Informiertheit für die mittels des Einwilligungsbanners der Klägerin erteilten Einwilligungen der Nutzer vorliegt.“

Zum anderen fehlt nach Ansicht des Gerichts auch eine erforderliche „freiwillige Entscheidung“. 

„Jedenfalls beruhen die von der Klägerin eingeholten Einwilligungen nicht auf einer freiwilligen Entscheidung der Nutzer.“ 

Es fehle etwa an einer tatsächlichen Wahlmöglichkeit, also dass Betroffene ohne Nachteile auf die Erteilung der Einwilligung verzichten können.

Und dann kommt die entscheidende Aussage des Gerichts. 

„Ob aus diesen Vorschriften herzuleiten ist, dass die Möglichkeit zur Ablehnung von Cookies in gleicher Weise wie die Einwilligung in das Setzen von Cookies gestaltet sein muss, ist durch die Rechtsprechung noch keiner abschließenden Klärung zugeführt worden (vgl. Sesing, MMR 2021, S. 544 (547) m.w.N.; OLG Köln, Urteil vom 3. November 2023 – I-6 U 58/23 –, juris Rn. 50). Jedenfalls darf aber das Cookie-Banner nicht so gestaltet sein, dass es den Nutzer gezielt zur Abgabe der Einwilligung hinlenkt und von der Ablehnung der Cookies abhält“.

Juristisch entscheidet sich das Gericht also gar nicht, ob es eine Pflicht zur Möglichkeit der Ablehnung auf erster Ebene, wie die Akzeptieren-Schaltfläche, geben muss. Das muss es auch nicht, da die Einwilligung bereits aus anderen Gründen nicht wirksam war. Deutlich wird dies auch durch die Einleitung des zweiten Satzes: „Jedenfalls…“. Es kommt dem Gericht also für seine Begründung nicht auf die Klärung der Frage an, ob es eine „Alles ablehnen-Schaltfläche“ braucht. 

Die Kritik des Gerichts, in Bezug auf die fehlende Wahlmöglichkeit, richtet sich etwa auf den erheblichen Mehraufwand für Betroffene, wenn sie die Einwilligung nicht erteilen möchten. Hierzu das Gericht: 

„Während die umfassende Einwilligung auf erster Ebene gleich durch zwei Buttons („Alle akzeptieren“ sowie „Akzeptieren & schließen x“) erteilt werden kann, muss für eine Ablehnung zunächst auf erster Ebene der Button „Einstellungen“ ausgewählt werden. Auf zweiter Ebene des Banners folgen fünf verschiedene Drop Down Menus mit weiteren Unterpunkten,…“

Das Gericht geht in seiner Begründung auch ausdrücklich davon aus, dass „eine Ablehnungsoption auf erster Ebene nicht besteht“ – fügt jedoch nicht an, dass allein dies bereits einen Verstoß gegen die DSGVO oder das TDDDG darstellen würde. Wie gesagt, das musste es auch nicht. 

Fazit

Die Frage, ob zwingend eine „Alles ablehnen-Schaltfläche“ vorzuhalten ist, hat auch das VG Hannover (verständlicherweise) nicht adressiert. Weil es auf diese Frage nicht ankam. Dass die zuständige Aufsichtsbehörde in ihrer Pressemitteilung aus dem Urteil eine solche Pflicht ableitet bzw. dem Gericht im Grunde diese Aussage zuspricht, finde ich sehr schade.

(P.S.: zudem würde mich die Meinung der Aufsichtsbehörde dazu interessieren, ob denn eine „Alles ablehnen-Schaltfläche“ tatsächlich auch gesetzeskonform und nicht selbst irreführend ist? Denn: wenn ich Nutzern suggeriere, dass sie alle Cookies ablehnen können, obwohl ich auch technisch erforderliche Cookies nutze, die man nicht ablehnen kann, dann stelle eine solche Schaltfläche aus meiner Sicht eine falsche Information dar)

Landesarbeitsgericht: Ausschluss eines Betriebsratsmitglieds aus dem Betriebsrat wegen eines groben Verstoßes gegen datenschutzrechtliche Pflichten

Posted on by

Welche Folgen kann ein gesetzwidriger Umgang mit Beschäftigtendaten für Betriebsratsmitglieder haben? In gravierenden Fällen kann der Arbeitgeber den Ausschluss des Mitglieds aus dem Betriebsrat verlangen (§ 23 Abs. 1 BetrVG). Einen solchen Fall hatte das Landesarbeitsgericht Hessen (LAG) hat mit Beschluss vom 10.3.2025 (Az. 16 TaBV 109/24) zu entscheiden. Das LAG bestätigte eine Entscheidung des Arbeitsgerichts Wiesbaden, wonach ein Betriebsratsmitglied wegen grober Verstöße gegen datenschutzrechtliche Pflichten aus dem Betriebsrat auszuschließen ist. 

Sachverhalt

Im September 2023 stellte der Arbeitgeber fest, dass im dienstlichen E-Mail-Account des Betriebsratsvorsitzenden eine Regel eingerichtet war, wonach alle eingehenden E-Mails automatisiert an dessen (private) GMX-Adresse weitergeleitet werden. Der Arbeitgeber sah hierin einen Datenschutzverstoß und erteilte dem Betriebsratsvorsitzenden eine Abmahnung. 

Danach stellte der Arbeitgeber erneut fest, dass der Betriebsratsvorsitzende unter anderem Termine an eine neue private E-Mail-Adresse weitergeleitet hat. Zudem wurde ermittelt, dass eine E-Mail mit einer vollständigen Personalliste von der privaten E-Mail-Adresse des Betriebsratsvorsitzenden an seinen dienstlichen E-Mail Account sowie an die E-Mail-Adresse des Betriebsrats versandt wurde. Diese E-Mail enthielt eine Excel-Liste mit den Namen sämtlicher Mitarbeiter, Stellung im Betrieb, Zeitansatz, Tarifgruppe, Stufe, Grundentgelt, zeitliche Stufenverlauf, Tarifeintritt, Eingruppierung, Vergleichsdaten zur Eingruppierung Konzern, zu Grundgehalt Konzern.

Damit dies möglich war, musste der Betriebsratsvorsitzende diese Personalliste vorher von seinem dienstlichen E-Mail Account als Mitarbeiter oder von dem des Betriebsrats an seine private E-Mail-Adresse verschickt haben. Diese E-Mail hat der Betriebsratsvorsitzende (auch aus dem -elektronischen- Papierkorb) gelöscht.

Danach beantragte der Arbeitgeber beim Arbeitsgericht den Ausschluss des Betriebsratsvorsitzenden aus dem Betriebsrat.

Der Betriebsratsvorsitzende und der Betriebsrat haben behauptet, der Betriebsratsvorsitzende habe die E-Mail vom 07.11.2023 nur deshalb an seinen privaten E-Mail-Account geschickt, um eine zeitnahe Bearbeitung der Excel-Tabelle zu Hause auf seinem größeren Bildschirm zu ermöglichen. Nach erfolgter Bearbeitung habe er die Daten vollständig auf seinen privaten Speichermedien gelöscht. Er habe seinen Betriebsratskollegen eine Gegenüberstellung der aktuellen Betriebsvereinbarung „Vergütungsordnung“ und dem Entwurf des Betriebsrats sowie der Konzern- Rahmenvereinbarung für die Betriebsratssitzung zur Verfügung stellen wollen.

Das Arbeitsgericht gab dem Antrag des Arbeitgeber statt, wogegen der Betriebsrat und der Vorsitzende Beschwerde einlegten.

Entscheidung

Das LAG lehnt die Beschwerden des Betriebsratsvorsitzenden und des Betriebsrats als unbegründet ab. 

Datenschutzrechtliche Pflichten des Betriebsrates

Nach § 23 Abs. 1 S. 1 BetrVG kann (unter anderem) der Arbeitgeber den Ausschluss eines Mitglieds aus dem Betriebsrat wegen grober Verletzung seiner gesetzlichen Pflichten verlangen. Gemäß § 79a S. 1 BetrVG hat der Betriebsrat bei der Verarbeitung personenbezogener Daten die Vorschriften über den Datenschutz einzuhalten.

Das LAG geht daher davon aus, dass der Betriebsrat bei jeder Datenverarbeitung -und damit auch bei der Verarbeitung besonderer Kategorien personenbezogener Daten- die Datenschutzbestimmungen einzuhalten und ihre Vorgaben zu beachten hat.

Im konkreten Fall lag durch die Weiterleitung der personenbezogenen Daten sämtlicher Mitarbeiter an seinen privaten E-Mail-Account mindestens eine Erhebung der Daten im Sinne von Art. 4 Nr. 2 DSGVO vor. 

„Diese Verarbeitung personenbezogener Daten war nicht rechtmäßig.“

§ 26 Abs. 1 BDSG unionsrechtswidrig?

Das LAG befasst sich zunächst kurz mit der Frage, ob § 26 Abs. 1 BDSG, nach dem Urteil des EuGH vom 30.3.2023 zu § 23 HDSIG, noch angewendet werden darf – oder als unionrechtswidrig anzusehen und damit nicht anwendbar ist.  

Im Ergebnis lässt das LAG die Frage offen und prüft die Rechtsmäßigkeit der Datenverarbeitung durch den Betriebsratsvorsitzenden sowohl nach § 26 Abs. 1 BDSG als auch nach den direkt anwendbaren Vorgaben der Art. 5 und 6 DGSVO. 

Jedoch zeigt das LAG klare Tendenzen dafür, dass § 26 Abs. 1 BDSG wohl nicht mehr angewendet werden kann:

„Vor dem Hintergrund, dass § 26 Abs. 1 BDSG weitgehend wortgleich mit § 23 HDSIG ist (siehe die Gegenüberstellung in EuGH 30.03.2023 C-34/21, Rn. 11 und 12) könnte diese Vorschrift unionsrechtlich unanwendbar sein.“

Keine Erforderlichkeit der Verarbeitung

Im Falle einer Anwendung von § 26 Abs. 1 S. 1 BDSG geht das LAG von dem Fehlen der Erforderlichkeit der Weiterleitung der Daten an die private E-Mail-Adresse aus. 

Es wäre des Betriebsratsvorsitzenden möglich gewesen, die zur Vorbereitung der abzuschließenden Betriebsvereinbarung erforderliche Verarbeitung der Daten der Beschäftigten von dem ihm für die Betriebsratstätigkeit vom Arbeitgeber gemäß § 40 Abs. 2 BetrVG zur Verfügung gestellten Computer zu bearbeiten.

Die Weiterleitung auf private Systeme, sieht das LAG hier daher keine Veranlassung.

Verstöße gegen Art. 5 und 6 DSGVO

Zunächst geht das LAG von einem Verstoß gegen Art. 5 Abs. 1 a) DSGVO aus. Die Verarbeitung muss auf „rechtmäßige Weise“ erfolgen. Dies bedeutet u.a., dass die Verarbeitung auf der Einwilligung der betroffenen Person oder auf einer anderweitigen Rechtsgrundlage beruhen muss.

„Hier lag weder eine Einwilligung sämtlicher Beschäftigter hinsichtlich der Weiterleitung ihrer persönlichen Daten an den privaten E-Mail-Account des Betriebsratsvorsitzenden vor, noch eine anderweitige Rechtsgrundlage hierfür.“

Zudem erfolgte die Verarbeitung der Daten nicht in einer für die betroffene Person nachvollziehbaren Weise. Damit ist der Ausschluss heimlicher Verarbeitungen personenbezogener Daten und die umfassende Information der betroffenen Person über die Verarbeitung der auf sie bezogenen Daten gemeint. 

„Auch eine derartige Information der Beschäftigten ist nicht erfolgt.“ 

Die Betroffenen hatten keine Kenntnis von der Weiterleitung ihrer Daten. Der Betriebsratsvorsitzende hat diese nicht darüber informiert, dass er deren personenbezogene Daten vom Betriebsratsaccount an seinen privaten E-Mail-Account weitergeleitet und von dort aus im Rahmen der Vorbereitung auf eine abzuschließende Betriebsvereinbarung verarbeitet hat.

Zudem geht das LAG bei der Weiterleitung der personenbezogenen (Entgelt-) Daten sämtlicher Beschäftigter an die private E-Mail-Adresse von einem Verstoß gegen Art. 5 Abs. 1 c) DSGVO (Grundsatz der Datenminimierung) aus. Dieser Grundsatz wurde vom Betriebsratsvorsitzenden hier deshalb nicht beachtet, 

„weil er auf dem ihm in seiner Eigenschaft als Betriebsrat zur Verfügung gestellten Computer Zugang zu den für die Wahrnehmung seiner Mitbestimmungsrechte ihm vom Arbeitgeber zur Verfügung gestellten Daten hatte und -wie ausgeführt- keine Veranlassung bestand, diese Daten an sein privates Endgerät weiterzuleiten und auch dort zu verarbeiten.“

Zuletzt prüft das LAG, ob eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO für die Weiterleitung vorlag. 

Weder lag eine Einwilligung der Beschäftigten vor, noch bestand eine rechtliche Verpflichtung, die Daten an die private E-Mail-Adresse zu senden. 

„Es bestand gerade keine Verpflichtung zur Weiterleitung der personenbezogenen Daten an den privaten E-Mail Account des Betriebsratsvorsitzenden. Dies auch nicht im Hinblick auf die Vorbereitung der abzuschließenden Betriebsvereinbarung.“

Auch eine Rechtfertigung auf der Grundlage einer Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO lehnt das LAG ab. 

Grober Verstoß im Sinne des § 23 BetrVG

Zuletzt teilt das LAG auch die Ansicht des Arbeitsgerichts, dass die Pflichtverletzung im vorliegenden Fall auch „grob“ im Sinne von § 23 Abs. 1 BetrVG war. 

„Der Verstoß gegen den Datenschutz wirkt zunächst deshalb schwer, weil es sich um die Mitteilung der Höhe der Vergütung jedes einzelnen Mitarbeiters handelte.“ 

Das LAG stellt hierbei auf die Art und damit die Sensibilität der Daten ab. Mit dem Umgang solcher Daten müsse allergrößte Sensibilität verbunden sein. 

Zum wertet das LAG negativ, dass dem Betriebsratsvorsitzenden bereits aufgrund der vorangegangenen Auseinandersetzung mit seinem Arbeitgeber wegen der Weiterleitung dienstlicher E-Mails an seinen privaten E-Mail-Account bekannt war, dass der Arbeitgeber hierin einen (gravierenden) Datenschutzverstoß sieht. 

Zuletzt verweist das LAG auch auf das persönliche Fehlverhalten des Betriebsratsvorsitzenden. Dieser zeigte sich als unbelehrbar.

„Er handelte bewusst zur Umgehung der ihm vom Arbeitgeber im Interesse des Datenschutzes der Beschäftigten auferlegten Verpflichtung. Dieses Fehlverhalten war durch nichts zu rechtfertigen.“ 

Amtsgericht: Betroffene haben keinen Anspruch auf einen Nachweis der Löschung von Daten

Posted on by

Kann der Betroffene von dem Verantwortlichen verlangen, einen Nachweis über die Löschung personenbezogener Daten zu erhalten? Diese Frage stellt sich in der Praxis häufiger, etwa wenn Kunden oder (ehemalige) Mitarbeiter nach einer Löschbestätigung durch ein Unternehmen oder eine öffentliche Stelle vermuten, dass Daten nicht gelöscht wurden.

Das Amtsgericht (AG) hat sich in seinem Urteil vom 03.03.2025 (Az. 3 C 1099/24) nun mit dieser Frage befasst.

Sachverhalt

In dem Verfahren stritten die Beteiligten (jeweils natürlich Personen) über die Anfertigung von Videos durch den Beklagten. Dieser wollte per Videoaufnahmen nachweisen, dass auf dem Grundstück des Nachbarn gewerbliche Tätigkeiten vorgenommen wurden – obwohl die Häuser in einem reinen Wohngebiet liegen. Auf den Videos war auch der Kläger erkennbar.

U.a. beantragte der Kläger, die Videos zu löschen und dies nachzuweisen.

Entscheidung

Das AG hat einen Anspruch des Betroffenen auf Nachweis der Löschung ihm gegenüber abgelehnt.

Aus Art. 5 Abs. 2 DSGVO, der Rechenschaftspflicht, ergebe sich

„lediglich eine abstrakte Nachweispflicht und kein Anspruch des Klägers“.

Die Rechenschaftspflicht obliege dem Verantwortlichen und bürde ihm auch die Darlegungs- und Beweislast in Streitfällen auf.

„Daraus ergibt sich aber noch kein Anspruch den Nachweis ohne einen Streitfall vorzulegen“.

Unter anderem verweist das AG darauf, dass im Gesetz ein Gläubiger der Rechenschaftspflicht nicht vorgesehen sei.

Interessant war dann die Frage, ob denn nicht die Löschung als Vorgang in Bezug auf personenbezogene Daten eine Datenverarbeitung nach Art. 4 Nr. 2 DSGVO darstellt. Denn dann könnte der Kläger ja eventuell über den Auskunftsanspruch nach Art. 15 DSGVO verlangen, hierüber informiert zu werden.

Jedoch lehnt das AG eine solche Argumentation ab. Soweit die Löschung eine Datenverarbeitung darstelle (meine Anmerkung: das tut sie in jedem Fall, wie sich aus Art. 4 Nr. 2 DSGVO ergibt) und daher ein Auskunftsanspruch bestehe,

„würde das dazu führen, dass die Daten nicht rückstandslos gelöscht werden, da noch ein Löschnachweis verbleiben muss“.

Dieses Ergebnis widerspreche aber dem erklärten Ziel – nämlich der Löschung der Daten.

Das AG schlägt als Alternative vor, dass der Beklagte die Möglichkeit habe, die Löschung durch eidesstattliche Versicherung nach den §§ 259 Abs. 2; 260 Abs. 2 BGB glaubhaft zu machen.

Eine Vorlage zu dieser Frage an den EuGH lehnt das AG leider ab.

Es handele sich hier nur um einen untergeordneten Nebenanspruch und das Gericht hält es für unzweckmäßig das Verfahren für (aus Erfahrung des Gerichts) zwei Jahre auszusetzen.

Ein weiteres mögliches Argument, welches gegen einen personenbezogenen Nachweis der erfolgten Löschung spricht, würde sich meines Erachtens aus Art. 11 Abs. 1 DSGVO ergeben. Danach ist der Verantwortliche nicht verpflichtet, personenbezogene Daten nur deshalb zu verarbeiten, um die Einhaltung der DSGVO nachweisen zu können.