Können sich betroffene Personen nur noch auf die in der Datenschutz-Grundverordnung selbst normierten Rechte stützen? Ist eine Unterlassungsklage zur Verfolgung eines Anspruchs nach §§ 1004 Abs. 1, 823 Abs. 2 BGB im Anwendungsbereich der DSGVO noch zulässig? Unter anderem diesen Fragen ist das VG Regensburg in seinem Gerichtsbescheid nachgegangen. Wir beschäftigen uns nun damit, ob bei fehlender Möglichkeit die Unterlassung einer rechtswidrigen Datenverarbeitung einzuklagen, noch ein effektiver Rechtsschutz gegeben ist.
Der Inhalt im Überblick
Hintergrund und Ergebnis der Klage
Der Kläger klagte vor dem Verwaltungsgericht auf Unterlassung einer von der Stadt eingeführten Videoüberwachung des öffentlichen Raumes. Da die konkreten Umstände des Sachverhaltes keinerlei Relevanz für das Problem haben, welches im Beitrag betrachtet werden soll, möchte die Verfasserin Sie diesbezüglich auf den Bescheid des VG Regensburg vom 06.08.2020 – RN 9 K 19.1061 verweisen.
Für uns soll vor allem das Ergebnis der gerichtlichen Entscheidung von Interesse sein, denn nach Ansicht des VG Regensburg schließt Art. 79 DSGVO weitere gerichtliche Rechtsbehelfe gegen Verantwortliche und Auftragsverarbeiter aus. Daher sollen Unterlassungsklagen nach §§ 1004 Abs. 1, 823 Abs. 2 BGB im Bereich des Datenschutzes grundsätzlich nicht mehr möglich seien.
Falls Sie ähnlich wie auch die Verfasserin dem Art. 79 DSGVO eher weniger Aufmerksamkeit geschenkt haben, sei Absatz 1 hier nochmal abgebildet, um die rechtlichen Bewertungen des Verwaltungsgerichtes vielleicht nicht verstehen, aber doch zumindest nachvollziehen zu können.
„Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.“
Begründung des Gerichtes
Das VG geht zunächst auf den Wortlaut des Art. 79 Abs. 1 DSGVO ein. Danach würden nur andere verwaltungsrechtliche oder außergerichtliche Rechtsbehelfe „unbeschadet“ bleiben, nicht aber gerichtliche Rechtsbehelfe. Gerichtliche Rechtsbehelfe bestünden nach dem Wortlaut nur bei einer Verletzung der aufgrund der DSGVO zustehenden Rechte.
„Jenseits der oben genannten Normen (Ergänzung durch Verfasserin: genannt wurden hier Art. 12 bis 22 DSGVO) gewährt die Datenschutz-Grundverordnung keine Rechte, zu deren Durchsetzung ein wirksamer Rechtsbehelf nach Art. 79 DSGVO zur Verfügung gestellt werden muss. In Betracht käme insbesondere ein Anspruch auf Unterlassung einer verordnungswidrigen Verarbeitung personenbezogener Daten, da gemäß Art. 8 Abs. 1 EU-GRCh, Art. 16 Abs. 1 AEUV jede natürliche Person Recht auf Schutz der sie betreffenden personenbezogenen Daten hat, wobei Inhalt des Schutzes auch das Erfordernis der Rechtmäßigkeit der Verarbeitung ist. Es müsste in einem solchen Fall daher die Möglichkeit bestehen, eine solche Verarbeitung für die Zukunft zu unterbinden, andernfalls der Grundrechtsschutz und der europarechtliche Effektivitätsgrundsatz nach Art. 4 Abs. 3 EUV beeinträchtigt wären.
Allerdings ist das Recht auf Unterlassung rechtswidriger Datenverarbeitung nicht als solches in der Datenschutz-Grundverordnung verankert. Diese konkretisiert zwar das primärrechtlich verbürgte Recht auf Schutz persönlicher Daten, aber eben nur, soweit sie die Ausprägungen dieses Rechts normiert. Dies spricht gegen die Annahme eines auf der Datenschutz-Grundverordnung basierenden Unterlassungsanspruchs bezüglich einer verordnungswidrigen Verarbeitung personenbezogener Daten.“ (Rn. 17)
Das VG verweist letztlich auf den Verwaltungsweg. Dass hieße das zunächst bei einer rechtswidrigen Verarbeitung, Beschwerde bei der datenschutzrechtlichen Aufsichtsbehörde nach Art. 77 DSGVO eingereicht werden müsste. Erst nach einem rechtsverbindlichen Beschluss der Aufsichtsbehörde könnte dann gem. Art. 78 Abs. 1 DSGVO vorgegangen werden, da aufgrund dieser Norm ein gerichtlicher Rechtsbehelf gegeben sei.
Bei der Begründung, dass Art. 79 DSGVO weitere gerichtliche Rechtsbehelfe gegen Verantwortliche und Auftragsverarbeiter ausschließt, wird in dem Gerichtsbescheid wie auch teilweise in der Kommentarliteratur auf den ehemals vorgesehenen Art. 76 Abs. 5 des Kommissionsvorschlags zur Datenschutz-Grundverordnung verwiesen, der nicht Bestandteil der DSGVO wurde. In diesem sollte folgendes geregelt werden:
„Die Mitgliedstaaten stellen sicher, dass mit den nach innerstaatlichem Recht verfügbaren Klagemöglichkeiten rasch Maßnahmen einschließlich einstweilige Maßnahmen erwirkt werden können, um mutmaßliche Rechtsverletzungen abzustellen und zu verhindern, dass dem Betroffenen weiterer Schaden entsteht.“
Aushöhlung von Rechten und Freiheiten als Folge?
Auf die genauen Gründe, warum Art. 79 DSGVO hinsichtlich gerichtlicher Rechtsbehelfe abschließend sei, geht das VG nicht ein. Insbesondere verhält es sich nicht zu Rechtsbehelfen nach Art. 47 Abs. 1 GRCh (EU-Grundrechte-Charta) der das Recht auf einen wirksamen Rechtsbehelf bei Verletzungen von durch das Recht der Union garantierten Rechten oder Freiheiten, vorsieht. Zu diesen Rechten dürfte auch das Recht auf Schutz personenbezogener Daten gem. Art. 8 Abs. 1 GRCh gehören.
Auch eine etwaige Möglichkeit der Zulässigkeit eines Rechtsbehelfs zur Geltendmachung von Verletzungen des Rechts auf informationelle Selbstbestimmung als Ausdruck des allgemeinen Persönlichkeitsrechts neben Art. 79 DSGVO wird nicht thematisiert, wenngleich das Gericht in den zusätzlichen Ausführungen zur Unbegründetheit auf eben dieses Grundrecht eingeht.
Im Ergebnis könnte aus diesem Bescheid eine Aushöhlung verfassungsrechtlich und europarechtlich statuierter Grundrechte folgen, da in einem solch weitgehenden Verweis auf den Verwaltungsweg eine Beeinträchtigung des Effektivitätsgrundsatz nach Art. 4 Abs. 3 EUV gesehen werden könnte.
Die Berufung gegen die Entscheidung wurde wegen grundsätzlicher Bedeutung zugelassen. Es darf bezweifelt werden, ob die weitreichende Rechtsansicht des VG Regensburg von höheren Gerichten so geteilt werden wird.
Das Verwaltungsgericht stellt die Klageberechtigung einer natürlichen oder juristischen Person, sofern diese in eigenen geschützten Rechten betroffen ist, in seiner Entscheidung nicht in Frage. Es hält nur eine allgemeine Leistungsklage in der Form der Unterlassungsklage im Anwendungsbereich der DSGVO für nicht statthaft, da die bloße verordnungswidrige Datenverarbeitung noch keine Rechtsverletzung darstellt und dem Kläger insofern nur das Beschwerderecht nach Art. 77 Abs. 1 DSGVO und in der Folge das Recht auf gerichtlichen Rechtsbehelf gegen die Aufsichtsbehörde nach Art. 78 Abs. 1 DSGVO zustünde.
Der Kläger machte hier (nach Auffassung des Verwaltungsgerichts Regensburg) keine konkrete Rechtsverletzung geltend, sondern den gewohnheitsrechtlich anerkannten öffentlich-rechtlichen Folgenbeseitigungsanspruch in Form einer allgemeinen Unterlassungsklage.
Das Verwaltungsgericht ist bei der Videoüberwachung von einer Datenverarbeitung nach Art. 6 Abs. 1 Buchst. e DSGVO ausgegangen, so dass für den Kläger die Widerspruchsmöglichkeit nach Art. 21 Abs. 1 DSGVO in Betracht gekommen wäre. Ist Verantwortlicher eine Behörde und lehnt diese einen Antrag des Klägers (auf Einschränkung der Videoüberwachung) ab, wäre die Ablehnung ein Verwaltungsakt, der mit den einschlägigen verwaltungsrechtlichen Rechtsbehelfen Widerspruch und regelmäßig Verpflichtungsklage gemäß §§ 42, 68 ff. VwGO angegriffen werden kann.
Der Kläger ist hier im Vorfeld der Klageerhebung allerdings mit keinem „Verlangen“ nach Art. 13 ff. DSGVO oder einem Widerspruch nach Art. 21 Abs. 1 DSGVO direkt an die Beklagte (Stadt Passau) oder nach Art. 77 DSGVO i.V.m. Art. 20 BayDSG an eine Aufsichtsbehörde herangetreten.
Ihr Kommentar trifft durchaus auf Verständnis. Im Ergebnis für den der Entscheidung konkret zugrundeliegenden Sachverhalt kann es sicherlich anders bewertet werden, dass der Kläger hier kein Rechtsschutzbedürfnis/Klagebefugnis hat, wenn er nicht in seinen Rechten betroffen ist.
Das tatsächlich eher rein juristische Problem ist, dass auch eine subjektive Rechtsverletzung bei einer verordnungswidrigen Datenverarbeitung gegeben sein kann (wenn auch nicht muss). Jedoch soll neben den Ansprüchen aus Kapitel III DSGVO keine Möglichkeit gegeben sein, bei einer subjektiven Rechtsverletzung im Zusammenhang mit einer verordnungswidrigen Datenverarbeitung mit einer Unterlassungsklage dagegen vorzugehen – was das Ergebnis ist, wenn Art. 79 DSGVO jeglichen Rechtsbehelf sperrt, der nicht auf den Rechten aus Kapitel III DSGVO beruht. Dies würde im Ergebnis ja auch nicht nur für Behörden, sondern auch bei Verarbeitungen durch ein Unternehmen gelten. Dies würde bedeuten, dass sich ein in seinen Rechten Betroffener auch in diesem Falle erst gegen einen ablehnenden Bescheid der Aufsichtsbehörde wenden könnte, aber nicht direkt gegen das Unternehmen selbst. Nach der Argumentation des VG würde Art. 79 DSGVO die Unterlassungsklage auch vor Zivilgerichten ausschließen, da der Unterlassungsanspruch aus keinem der Rechte der DSGVO hervorgeht.
So dazu das VG:
„Allerdings ist das Recht auf Unterlassung rechtswidriger Datenverarbeitung nicht als solches in der Datenschutz-Grundverordnung verankert. Diese konkretisiert zwar das primärrechtlich verbürgte Recht auf Schutz persönlicher Daten, aber eben nur, soweit sie die Ausprägungen dieses Rechts normiert. Dies spricht gegen die Annahme eines auf der Datenschutz-Grundverordnung basierenden Unterlassungsanspruchs bezüglich einer verordnungswidrigen Verarbeitung personenbezogener Daten. Das Löschungsrecht nach Art. 17 Abs. 1 Buchst. d DSGVO hilft nur eingeschränkt weiter, weil sich Art. 6 DSGVO, auf den verwiesen wird, nur mit dem Erfordernis eines zulässigen Grundes für die Datenverarbeitung befasst. (so Ende Rn. 17)“
Denn das VG kommt ja zu dem generellen Ergebnis:
„Art. 79 DSGVO schließt weitere gerichtliche Rechtsbehelfe gegen Verantwortliche und Auftragsverarbeiter aus, so dass Unterlassungsklagen nach §§ 1004 Abs. 1, 823 Abs. 2 BGB im Bereich des Datenschutzes grundsätzlich nicht mehr möglich sind.“
Ich weiß, dass der Artikel schon ein paar Monate alt ist, aber dennoch hat dieses Thema in den letzten Monaten kein Stück seiner Brisanz verloren; im Gegenteil! Was deutsche Gerichte zum Teil aus der DSGVO „rausholen“, kann manchmal nur für ungläubiges Staunen sorgen. Der Schluss, zu dem das VG in dem Fall hier kommt, wäre ja gerade noch erträglich, zeigt doch das VG hier die Möglichkeit auf, sich an die Datenschutzbehörde zu wenden, bei dieser eine Beschwerde einzulegen und gegebenenfalls gegen den die von dieser getroffenen Entscheidung Verpflichtungs- bzw. Leistungsklage bei den Verwaltungsgerichten einzulegen. Jedoch ist aktuell höchst fraglich, ob dies wirklich ein effektiver und gangbarer Weg ist. So hat das OVG Rheinland-Pfalz am 26.10.2020 (Az: 10 A 10613/20) entschieden, dass die gerichtliche Überprüfung gegen eine ablehnende Entscheidung der Behörde auf die Beschwerde von ihrem Umfang sich nicht auf den materiellen Inhalt der Entscheidung der Behörde erstreckt. An dem Verständnis des Beschwerderecht als „petitionsähnlicher“ Rechtsbehelf habe sich durch die DSGVO nichts geändert und auch bestehe kein Unterschied zwischen Art. 78 Abs. 1 und Abs. 2, da sie einen einheitlichen Rechtsbehelf regeln, der lediglich eine Überprüfung dahingehend gestatte, ob die Behörde fristgemäß sich mit der Sache außeinandergesetzt hat und eine Begründung geliefert hat.
Unterm Strich könnte das in Kombination den Super-Gau für die gerichtliche Durchsetzbarkeit datenschutzrechtlicher Ansprüche und der DSGVO bedeuten. Würden nämlich sich diese beiden Linien in der Rechtsprechung deutscher Gerichte verfestigen, würde dies bedeuten, dass man jenseits der im 3. Kapitel der DSGVO normierten Rechte keinerlei Ansprüche bsw. auf Beseitigung oder Unterlassen einer rechtswidrigen Datenverarbeitung einlegen könne, weder vor den Zivilgerichten, noch vor den Verwaltungsgerichten, und auch ließe sich eine ablehnende Entscheidung durch eine Datenschutzbehörde, die sich traurigerweise meiner Erfahrung nach oft sträubt, effektiv für den Datenschutz tätig zu werden, inhaltlich gerichtlich überprüfen. Das Ergebnis wäre, dass es praktisch kein rechtlichen Möglichkeiten mehr gäbe, eine Rechtsverletzung durch eine verordnungswidrige Datenverarbeitung zu unterbinden, was mir wirklich sorgen macht.
Diese Entscheidungen wären in ihrer Tragweite derart weitrechend, dass ich nicht nachvollziehen kann, warum das OVG Rheinland-Pfalz im vorliegenden Fall weder die Revision zugelassen hat, noch es in Betracht gezogen hat, die entsprechenden Fragen dem EuGH vorzulegen. Dies überrascht vor allem auch vor dem Hintergrund, dass vor diesen Entscheidungen in der Kommentarliteratur das Rechtsschutzsystem der DSGVO fast einheitlich eher weit ausgelegt wurde und bzgl. des Art. 77 vertreten wurde, dass dieser jetzt ein vollwertiger und voll überprüfbarer Rechtsbehelf sei.
Es bleibt wirklich nur zu hoffen, dass diese Rechtsprechung auf kurz oder lang keinen Bestand hat, denn sonst wird aus der intendierten Stärkung des Datenschutzes und des Schutzes individueller Rechte faktische eine Schwächung dieser, fiele dann doch das Rechtsschutzniveau unter das vorige vor Geltungsbeginn der DSGVO.
Können Sie mir sagen, wie sie in ihrer Praxis mit dieser nun bestehenden Rechtsunsicherheit auf diesem Gebiet umgehen und ob Sie glauben, dass sich an dieser Rechtsprechung in den beiden Fällen noch etwas ändern wird? Ich jedenfalls bin aktuell ziemlich verunsichert deswegen und weiß gar nicht so recht, welcher der beiden Wege, der Zivilrechtliche oder der über die Datenschutzbehörde in meinen Fällen aktuell der sichere und bessere Weg ist, um sich datenschutzrechtlich zur Wehr zu setzen. Ist Ihnen vielleicht bekannt, ob in diesem Fall die Klägerpartei in die Berufung gegangen ist?
Vielen Dank für Ihre Antwort auf meinen jetzt doch ziemlich langen Kommentar.
Machen Sie weiter So! :)