Die DSGVO gilt nur für Unternehmen und nicht für Privatleute. Schließlich kann der brave Bürger doch kein Verantwortlicher im Datenschutzrecht sein. So oder so ähnlich denken wohl die Meisten. Aber ist das wirklich so? Und was hat es mit der Haushaltsausnahme auf sich? Wir haben uns das einmal genauer angeschaut.
Der Inhalt im Überblick
Persönliche und familiäre Tätigkeiten
Natürlich ist die DSGVO so gestrickt, dass im Regelfall Unternehmen bzw. juristische Personen Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO sind. Privatpersonen werden normalerweise nicht erfasst. Das wäre auch seltsam. Oder könnten Sie sich vorstellen, abends nach der Arbeit mal eben noch das heimische Verarbeitungsverzeichnis zu pflegen? Nein, Art. 30 DSGVO können Sie zu Hause meistens schön ignorieren. Dafür sorgt die Haushaltsausnahme aus Art. 2 Abs. 2 lit. c DSGVO. Nach dieser Vorschrift findet die DSGVO keine Anwendung auf die Verarbeitung personenbezogener Daten
„durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.“
Also wenn Sie von Ihren Partygästen ein paar Schnappschüsse machen, verstoßen Sie vielleicht gegen das Persönlichkeitsrecht des einen oder anderen. Aber Datenschutzvorschriften müssen Sie hier normalerweise nicht beachten. Aber Sie wissen ja, wie das bei Juristen so ist: Kein Grundsatz ohne Ausnahme! Hier wäre es dann sogar eine Ausnahme zur Ausnahme.
Aus dem Wortlaut der Vorschrift ergibt sich, dass die Tätigkeit ausschließlich privater Natur sein muss, damit die Haushaltsausnahme greifen kann. Wenn ein anderer Zweck hinzukommt, wie z. B. eine Liste, auf der sich sowohl private als auch berufliche Kontaktdaten befinden, kann sich der Verantwortliche nicht mehr auf die Privilegierung berufen, sondern muss seine Pflichten aus der DSGVO erfüllen.
Datenverarbeitung nach DSGVO?
Zu dieser Frage hatte das Amtsgericht Wiesbaden kürzlich einen Fall zu entscheiden (AG Wiesbaden, Az. 93 C 2338/20). Der Kläger war Mieter einer Wohnung, welche im Eigentum der Beklagten steht. Mit der Erstellung der Betriebskostenabrechnung hatte die Beklagte eine GmbH beauftragt. Diese erstellte in Dateiform unter anderem die Betriebskostenabrechnung für den Kläger, die mit einer Nachzahlung von 720,80 € endete. Der Ehemann der Beklagten kommunizierte in Angelegenheiten des Mietvertrags mit dem Kläger per WhatsApp, unter anderem zu der Frage der Installation eines Rauchmelders im Wohnzimmer. Nach Beendigung des Mietverhältnisses kam es zu einem Räumungsrechtsstreit, in dessen Rahmen der Kläger den Auskunftsanspruch nach Art. 15 DSGVO geltend machte.
Die Beklagte war der Ansicht, dass sie keine institutionelle Vermieterin sei, sie speichere deshalb keine Daten ab. Als private Vermieterin hefte sie den Mietvertrag ab, sonst nichts. Unstreitig war aber, dass die Beklagte die Telefonnummer und den Namen des Klägers auf dem Mobiltelefon ihres Ehemanns zum Zwecke der Kommunikation per WhatsApp gespeichert hatte. Zudem verarbeitete die GmbH Daten des Klägers, um die Betriebskostenabrechnung zu erstellen. Die Auskunft, welche die Beklagte erteilt hatte, war aus Sicht des Klägers nicht ausreichend gewesen. Dieser hatte daher beantragt, die Beklagte zu verurteilen, ihm eine vollständige Datenauskunft über die bei der Beklagten zur Person des Klägers gespeicherten Daten nach Art. 15 DSGVO zu erteilen. Auf das entsprechende Versäumnisurteil hat die Beklagte Einspruch eingelegt.
Anwendungsbereich der DSGVO eröffnet
Das Amtsgericht Wiesbaden entschied, dass dem Kläger im Grundsatz der Auskunftsanspruch nach Art. 15 DSGVO zustehe. Der Anwendungsbereich der DSGVO sei insofern eröffnet, da gemäß Art. 2 Abs. 1 DSGVO sowohl eine automatisierte Verarbeitung personenbezogener Daten des Klägers durch die Beklagte, ihren Ehemann und die GmbH als auch eine Verarbeitung von Daten, die in einem Dateisystem gespeichert sind, vorliege.
Zu den personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO gehörten insbesondere der Name des Klägers, unter anderem aber auch dessen Anschrift und die Telefonnummer. Eine Verarbeitung liege gemäß Art. 4 Nr. 2 DSGVO unter anderem im Erheben, Erfassen, Speichern, Verwenden und Offenlegen durch Übermittlung.
Dies sei bereits durch die Speicherung von Namen und Telefonnummer in einem Mobiltelefon erfüllt. Außerdem liege in der Übermittlung an die GmbH und die automatisierte Verwendung der Daten durch diese zum Zwecke der Erstellung der Betriebskostenabrechnung eine Datenverarbeitung. Die GmbH sei insofern als Auftragsverarbeiter tätig, Verantwortliche im Sinne der Datenschutz-Grundverordnung bleibe die Beklagte, da diese gegenüber der GmbH über die Zwecke und Mittel der Datenverarbeitung entschied.
Keine Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO
Nach Ansicht des Gerichts ist die Sammlung der Mietverträge ein Dateisystem im Sinne des Art. 2 Abs. 1 DSGVO. Zudem bestehe kein Ausnahmetatbestand von den Verpflichtungen der DSGVO. Insbesondere handele es sich nicht um eine Datenverarbeitung durch eine natürliche Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO). Das AG führte dazu aus:
„Der Begriff entspricht weitgehend demjenigen der „Datei“ in der unionsrechtlichen Vorgängervorschrift, der Datenschutzrichtlinie 95/46. Nach der Rechtsprechung des Europäischen Gerichtshofs ist für die Strukturierung nach bestimmten Kriterien ausreichend, dass die Daten über eine bestimmte Person zur späteren Verwendung leicht wieder auffindbar sind. Dafür ist nicht erforderlich, dass die Daten in spezifischen Verzeichnissen oder einem anderen Recherchesystem enthalten sind; sogar eine Sammlung von Handzetteln genügt hierfür.“
Da das Gericht zur Ansicht gelangte, dass die Haushaltsausnahme nicht vorliegt, stand dem Kläger vorliegend grundsätzlich auch ein Auskunftsanspruch nach Art. 15 DSGVO zu.
Restriktive Auslegung
Die Entscheidung des AG Wiesbaden ist nicht überraschend und in sich konsequent. Auch die entscheidende Frage, ob hier ein Fall der Haushaltsausnahme vorliegt, wurde vom Gericht zu Recht verneint. Schließlich hat die Vermieterin die fraglichen Daten im Rahmen ihrer geschäftlichen Tätigkeit verarbeitet, so dass hier ausschließlich die vertragliche Beziehung zwischen den Parteien im Vordergrund stand. Die Entscheidung ist auch bezüglich des Schutzzwecks der DSGVO selbst folgerichtig. Die DSGVO hat – welch Überraschung – den Hauptzweck, den Schutz personenbezogener Daten jedes und jeder Einzelnen bestmöglich zu gewährleisten. Daher ist es sinnvoll, Ausnahmevorschriften restriktiv auszulegen. In Erwägungsgrund 18 S. 2 zur DSGVO findet sich folgende Formulierung zur Haushaltsausnahme:
„Als persönliche oder familiäre Tätigkeiten könnte auch das Führen eines Schriftverkehrs oder von Anschriftenverzeichnissen oder die Nutzung sozialer Netze und Online-Tätigkeiten im Rahmen solcher Tätigkeiten gelten.“
Auch hier wird deutlich, dass eine Datensammlung, welche zumindest auch dem geschäftlichen Bereich zuzuordnen ist, gerade nicht mehr unter die Haushaltsausnahme fallen kann. Die Entscheidung des AG Wiesbaden dürfte sich daher auch auf viele Tätigkeiten übertragen lassen, die nur scheinbar privat sind, aber eigentlich hauptsächlich einen geschäftlichen Charakter aufweisen.
Wieder mal ein prima Beitrag. Auch wenn ich kein Jurist bin und vielen Gerichtsurteilen skeptisch gegenüberstehe, sehe ich das hier genau so. Hier wird eine eine gewerbliche Tätigkeit (Vermietung) mit Gewinnerzielungsabsicht durchgeführt. Das entspricht den Merkmalen einer Organschaft und nicht einem Privatvergnügen. Die Auftragsverarbeitung ist das Tüpfelchen auf dem I. Hier müssen m.E. – auch wenn eine Gewerbeanmeldung fehlt – die gleichen Spielregeln gelten, wie bei jedem Soloselbstständigen.
Bisher fand ich es schwer nachvollziehbar, dass der gesamte Bereich der persönlichen und familiären Tätigkeit von der Anwendung der DSGVO ausgeschlossen sein sollte. Schaut man sich jedoch die mit der DSGVO einhergehende Bürokratie an (Informationspflichten gegenüber Betroffenen etc.), ist es nur wünschenswert und sinnvoll, dass es Freiräume von der DSGVO gibt. Daher fällt es mir schwer, die Entscheidung des Amtsgerichts Wiesbaden gut zu heißen. Der private Vermieter wird in Zukunft viel Spaß dabei haben die Informationspflichten gegenüber dem Betroffenen zu erfüllen. Zwar muss er nicht mehr tun als der institutionelle Vermieter, aber das eben auch mit wesentlich weniger Ressourcen und Fachwissen. Diese Entscheidung kann ich daher nicht nachvollziehen.
Denkt man länger über diese Fallszenarien nach, fragt man sich, ob der private Mieter dann sein gmx, yahoo oder gmail-Account aufgeben muss bzw. nicht mehr mit dem Mieter hierüber kommunizieren darf. Die Folgen dieser Entscheidung sind eigentlich für den privaten Vermieter kaum umzusetzen.
Der entscheidende Kernsatz: „… hat die Vermieterin die fraglichen Daten im Rahmen ihrer geschäftlichen Tätigkeit verarbeitet, so dass hier ausschließlich die vertragliche Beziehung zwischen den Parteien im Vordergrund stand.“ Ist doch ganz klar. Immerhin finden sich Mieteinkünfte in der Steuererklärung. Das heut eindeutig nichts mit „persönlichen oder familiären Tätigkeiten“ zu tun. Demzufolge hat eine Vermietung für private Vermieter weitreichende Konsequenzen, dessen sich vieler immer noch nicht bewusst sind. Das beginnt schon mit dem Aushändigen eines Informationsschreibens zum Datenschutz vor Mietbeginn und endet mit der Löschung nach Zweckerfüllung oder Ende der Aufbewahrungsfrist.
Sehr schöner Beitrag – ich bestelle hiermit meine Frau als DSB – die kann dann auch das VV pflegen. Die Grundproblematik dürfte auch bei allen privaten Veräußerungsgeschäften über die einschlägigen Plattformen zutreffen, schließlich sind die Adressdaten für den Versand bei DHL-Onlinefrankierung gespeichert, ganz abgesehen von den zahlreichen Mail- und Social-Media-Kanälen über die man im Zusammenhang mit den Verkäufen kommuniziert.