Aufsichtsbehörde im CC: Wirksame Betroffenenbeschwerde?

Gelegentlich kommt es vor, dass Kunden mit einem Produkt oder einer Dienstleistung unzufrieden sind. Manche beschweren sich dann beim Unternehmen per E-Mail und setzen Dritte in CC der E-Mail. Neben Vertretern der Presse oder einschlägigen Verbraucherorganisationen findet sich auch immer mal wieder die Datenschutzaufsichtsbehörde im Empfängerkreis. Welche Folgen hat das?

Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde

Im Umgang mit negativen Erfahrungen reagieren Kunden mitunter sehr unterschiedlich. Der europäische Gesetzgeber hat die Bürger der EU mit zahlreichen Rechten ausgestattet. Zu diesen zählt u.a. das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. Ausgangpunkt ist insoweit Art. 77 DSGVO.

Was die Landesdatenschutzbeauftragten (LfDI) bei datenschutzrechtlichen Beschwerden von Betroffenen nach Art. 77 DSGVO prüfen und welche Ansprüche des Betroffenen sich aus seinem Recht auf Beschwerde gegenüber den Aufsichtsbehörden ergeben, hatten wir bereits im Beitrag „Was prüft die Datenschutzaufsicht bei einer Beschwerde?“ erläutert.

Ist die Aufsichtsbehörde zum Tätigwerden verpflichtet?

Hinsichtlich des Charakters des Beschwerderechts – Tätigkeitspflicht oder Petitionsrecht – bestehen mitunter unterschiedliche Ansichten. Jüngst äußerte sich Generalanwalt Pikamäe dazu in einem Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden wie folgt:

„Auch wenn die Aufsichtsbehörde als Garantin für die Einhaltung der Bestimmungen der DSGVO verpflichtet ist, sich mit den bei ihr eingelegten Beschwerden zu befassen, sprechen mehrere Gesichtspunkte für eine Auslegung, wonach sie bei der Prüfung der Beschwerden über ein Ermessen sowie einen gewissen Handlungsspielraum bei der Wahl der geeigneten Mittel zur Erfüllung ihrer Aufgaben verfügt. […] Die detaillierte Beschreibung der Befugnis der Aufsichtsbehörden, Abhilfemaßnahmen zu erlassen, zeigt, dass der Unionsgesetzgeber nicht das Ziel verfolgt hat, das Beschwerdeverfahren zu einem petitionsähnlichen Verfahren zu machen. Vielmehr scheint es das Ziel des  Gesetzgebers gewesen zu sein, einen Mechanismus zu schaffen, der geeignet ist, die Rechte und Interessen der Personen, die Beschwerden einlegen, wirksam zu wahren.“

Auf der anderen Seite, aus Sicht der Behörde, muss berücksichtigt werden, dass sich nicht hinter jeder Beschwerde auch tatsächlich ein Verstoß gegen das Datenschutzrecht verbirgt. Darüber hinaus wird sie mitunter auch als Vehikel genutzt, um datenschutzfremde Streitigkeiten auszutragen. Die zuständige Aufsichtsbehörde ist daher gehalten, zunächst den Sachverhalt zu ermitteln und ihn im Anschluss einer datenschutzrechtlichen Prüfung zu unterziehen.

Was sind die Anforderungen an eine Betroffenenbeschwerde?

Was sind nun also die Anforderungen, damit eine Aufsichtsbehörde tätig werden muss (Art. 57 Abs. 1 lit. f DSGVO) und sind diese erfüllt, wenn die Behörde „nur“ in CC gesetzt wird?

Ein Blick auf die korrespondierenden Meldeseiten der LfDIs zeigt in der Praxis, worauf es bei einer Beschwerde ankommt:

• Die Eingabe muss den Beschwerdesachverhalt verständlich abbilden. Insoweit muss dabei ersichtlich sein, dass die betroffene Person in Ihren Rechten verletzt wurde.
• Die Eingabe muss die Identität des Beschwerdegegners enthalten.
• Unterlagen (wie Screenhots oder erfolgter Schriftverkehr), welche die behauptete Datenschutzverletzung belegen, sollten mitgesendet werden.
• Zum Teil wird darauf hingewiesen, dass bei Nichterreichen der Anforderungen die Eingabe lediglich als Kontrollanregung gewertet werde.

Alle Aufsichtsbehörden verfügen über eigens eingerichtete Beschwerdeseiten bzw. Beschwerdeformulare. Die Beschwerde mittels einer direkt an die Behörde gerichteten E-Mail ist im Umkehrschluss nicht das bevorzugte Kommunikationsmedium, zum Teil wird auch ausdrücklich auf das Online-Beschwerdeformular verwiesen. Soweit obige Anforderungen jedoch erfüllt sind und für die Datenschutzaufsichtsbehörde in der Folge hinreichend klar zum Ausdruck kommt, dass einem bestimmten Vorgang seitens der Behörde nachgegangen werden soll, steht der Beschwerde mittels einer E-Mail nichts entgegen.

Wird die Aufsichtsbehörde nun aber gar nicht unmittelbar adressiert, sondern nur in CC einer E-Mail gesetzt, dürfte aber genau das in Zweifel gezogen werden. Dabei kann mitberücksichtigt werden, dass es sich auch angesichts der alternativen Eingabemöglichkeiten zum Webportal, nämlich schriftlich, telefonisch, persönlich oder per E-Mail, bereits um hinreichend niederschwellige Angebote handelt.

Keine Konkretisierung – Keine Beschwerde

Ein insoweit interessantes und vergleichbares Szenario schildert das BayLDA in ihrem 12. Tätigkeitsbericht (S. 24 ff.). In dem dort aus der aufsichtsbehördlichen Praxis beschriebenen Fall wurde diesem eine E-Mail zugesandt, bei der man neben zwei Unternehmen in das „An“-Feld der E-Mail gesetzt worden war. Anders als die Unternehmen wurde das BayLDA in der Nachricht selbst aber weder in der Anrede, noch im weiteren Inhalt der E-Mail direkt angesprochen. Die Behörde wies den Absender sodann darauf hin, dass sie

„die Mail nicht als Beschwerde im Sinne von Art. 77 DS-GVO bewerten, weil der Inhalt der Mail nicht erkennen ließ, dass der Absender sein Anliegen unmittelbar an uns gerichtet habe. Zudem teilten wir mit, dass die E-Mail den Sachverhalt und den angenommenen datenschutzrechtlichen Verstoß nicht ausreichend umschreibe, und wir den Vorgang daher nur dann als Beschwerde bearbeiten können, wenn ausreichend konkretisierte Informationen zum Sachverhalt nachgeliefert würden.“

Hierauf reagierte der Absender trotz wiederholter Hinweise des BayLDA nicht. Stattdessen wurde vor dem Verwaltungsgericht Untätigkeitsklage erhoben. Laut Tätigkeitsbericht entschied das Verwaltungsgericht, dass keine wirksame Beschwerde eingelegt wurde, weil für einen objektiven Dritten aus der E-Mail nicht erkennbar war, dass der Absender damit die Einleitung eines Beschwerdeverfahrens bei der Aufsichtsbehörde herbeiführen wollte. Dabei sei mitzuberücksichtigen gewesen, dass die Behörde in der gesamten E-Mail vom Absender an keiner Stelle direkt angesprochen worden war.

Wird eine LfDI nun also nicht in das „An“-Feld der E-Mail gesetzt, sondern lediglich in CC, dann dürfte es an einer wirksamen Beschwerde in der Gesamtschau der E-Mail erst recht am unmittelbaren Adressieren fehlen. Dies deckt sich auch mit Schilderungen mit Mitarbeitern von Aufsichtsbehörden bei Fortbildungen und anderen Veranstaltungen. Diese schildern immer wieder das Missverhältnis zwischen personeller Ausstattung und zu bearbeitenden Eingaben. Vor diesem Hintergrund würden Beschwerden, in denen die Behörde nicht ausdrücklich adressiert werde, in der Regel nicht bearbeitet.

Am einfachsten mit dem Beschwerdeformular

Ob im Ergebnis berechtigt oder nicht, will man von seinem Recht auf Beschwerde bei einer Aufsichtsbehörde Gebrauch machen, sollten die obigen Anforderungen berücksichtigt werden. Dadurch ist gewährleistet, dass sich die Behörde mit der Eingabe beschäftigt. Am einfachsten dürfte der Weg über das jeweilige Online-Beschwerdeformular der Aufsichtsbehörde sein (Eine Übersicht zu diesen, finden Sie hier). Bei diesen werden die aus Sicht der Behörde maßgeblichen Informationen bereits systematisch abgefragt.