Maßstab der gerichtlichen Prüfung von Datenschutzbeschwerden

Das Beschwerderecht bei der Datenschutzaufsichtsbehörde gemäß Art. 77 DSGVO ist für Betroffene ein zentrales Mittel, um ihre Rechte aus Kapitel III der DSGVO durchzusetzen. Oft sind solche Beschwerden auch erfolgreich. Hilft die Aufsichtsbehörde der Beschwerde jedoch nicht ab, stellt sich die Frage, nach welchem Maßstab ihre Entscheidung gerichtlich überprüft werden kann. Hierzu durfte sich das VG Saarlous äußern, dessen Ansicht der Beitrag darstellt.

Wer hat sich bei der Datenschutzaufsicht beschwert?

Der Kläger möchte, dass die Datenschutzbehörde tätig wird, um seinen Auskunftsanspruch durchzusetzen. Mit Schreiben vom 14. Januar 2022 ersuchte er seinen Arbeitgeber um Auskunft gemäß Art. 15 DSGVO. Der Arbeitgeber antwortete nicht. Nach Erhebung einer Klage, die nicht direkt mit der Auskunft verbunden war, schlossen die Parteien zur Beendigung des Arbeitsverhältnisses einen gerichtlichen Vergleich, der auszugsweise wie folgt lautete:

„Mit Erfüllung des Vergleichs sind alle Ansprüche aus dem Arbeitsverhältnis und dessen Beendigung, gleich ob bekannt oder unbekannt, gleich aus welchem Rechtsgrund, abgegolten mit Ausnahme der Arbeitspapiere.“

Der Kläger wandte sich am 17.02.2022 über das Online-Beschwerdeformular nach an die beklagte Aufsichtsbehörde. Er beanstandete, dass sein Auskunftsersuchen nicht beantwortet worden sei. Mit Bescheid vom 26.07.2022 stellte die Beklagte das Verfahren ein. Zur Begründung führte die Aufsicht aus, dass der Kläger im gerichtlichen Vergleich auch auf den Anspruch aus Art. 15 DSGVO verzichtet habe. Hiergegen erhob der Kläger Klage zum VG Saarlouis und beantragte

„die Beklagte unter Aufhebung des Bescheides vom 26.07.2022 zu verpflichten, das gegen die Beigeladene eingeleitete datenschutzrechtliche Verfahren fortzuführen.“

Der Kläger wies in diesem Zusammenhang darauf hin, dass der Vergleich nur arbeitsrechtliche und keine datenschutzrechtlichen Ansprüche umfasse. Im Übrigen seien die Rechte aus Kapitel III der DSGVO nicht disponibel.

War die Einstellungsentscheidung der Datenschutzaufsicht fehlerhaft?

Laut dem Urteil des VG Saarlouis hat der Kläger keinen Anspruch auf Fortführung des Verfahrens.

Zur Begründung legt das Gericht zunächst auf der Grundlage von Art. 78 Abs. 1 DSGVO den Prüfungsmaßstab fest, anhand dessen es die Einstellung durch die Datenschutzaufsichtsbehörde überprüft. Art. 78 Abs. 1 DSGVO lautet:

„Jede ( …) Person hat (…) das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen (…) Beschluss einer Aufsichtsbehörde.“

Um dem Ziel der DSGVO, ein hohes Datenschutzniveau zu gewährleisten, gerecht zu werden, sei Art. 78 Abs. 1 DSGVO dahin auszulegen, dass die gerichtliche Überprüfung sich nicht darauf beschränke,

„ob die Behörde sich mit der Beschwerde befasst, den Gegenstand (…) in angemessenem Umfang untersucht und den Beschwerdeführer über das Ergebnis der Prüfung in Kenntnis setzt. Vielmehr muss die (.) Beschwerdeentscheidung (…) einer vollständigen (.) Überprüfung (…) unterliegen.“

Dabei:

(…) verfügt die Behörde indes über ein Ermessen in Bezug auf die geeigneten und erforderlichen Mittel, welches das Gericht nur dahingehend überprüft, ob die Aufsichtsbehörde die Grenzen ihres Ermessens eingehalten hat.“

Auch wenn das VG Saarlouis dies nicht direkt ausspricht, prüft es die Entscheidung insofern nur darauf,

„(…) ob der Verwaltungsakt oder die Ablehnung oder Unterlassung des Verwaltungsakts rechtswidrig ist, weil die gesetzlichen Grenzen des Ermessens überschritten sind oder von dem Ermessen in einer dem Zweck der Ermächtigung nicht entsprechenden Weise Gebrauch gemacht ist.“

Nach diesem Maßstab sei die Einstellungsentscheidung ermessensfehlerfrei, da die Beklagte mit dem Verzicht im Vergleich vor dem ArbG des Saarlandes auch auf den Auskunftsanspruch nach Art. 15 DSGVO verzichtet habe.

Aus dem Umstand, dass der Betroffene in die Verarbeitung seiner personenbezogenen Daten einwilligen könne, ergebe sich, dass er auch auf den hierauf bezogenen Auskunftsanspruch verzichten könne. Auch der Anspruch auf Auskunft aus Art. 15 DSGVO sei als Anspruch aus dem Arbeitsverhältnis von dem Vergleich erfasst. Die Klage sei daher abzuweisen.

Alter Wein in neuen Schläuchen oder Beginn einer Sonderdogmatik?

Da das VG des Saarlands bereits das Bestehen eines Auskunftsanspruchs verneint hat, musste es sich nicht mit der Frage auseinandersetzen, ob und welche Abhilfemaßnahme die Datenschutzaufsichtsbehörde bei einem festgestellten Datenschutzverstoß hätte ergreifen müssen. Insofern unterscheidet sich das Urteil des VG Saarlouis von dem des VG Ansbach, das auf Basis eines festgestellten Datenschutzverstoßes die Aufsichtsbehörde zum Tätigwerden verurteilte. Interessant ist, dass die Gerichte hier zwischen Entschließungs- und Auswahlermessen zu unterscheiden scheinen. Während das VG Saarlouis in seinem Fall nur geprüft hat, ob die Entscheidung der Datenschutzbehörde, nichts (mehr) zu unternehmen, frei von Ermessensfehlern war (Entschließungsermessen), hatte das VG Ansbach in seinem Fall zu klären, ob die beklagte Datenschutzaufsicht nach Feststellung eines Datenschutzverstoßes untätig bleiben durfte (Auswahlermessen). Obwohl die Fälle auf den ersten Blick vergleichbar scheinen, sind sie es nach dem gerichtlichen Prüfmaßstab somit nicht. Dies bietet je nach Stand des Beschwerdeverfahrens Raum für Differenzierung.