Verhängung von DSGVO-Bußgelder gegen Behörden

Geldbußen sind das schärfste Mittel der staatlichen Aufsicht zur Sanktionierung von DSGVO-Verstößen. Blickt man in die Tätigkeitsberichte der Bundes- und Landesdatenschützer stellt man aber fest, dass primär private Akteure in den Genuss dieser Wohltat kommen und Behörden oft kein Bußgeld zahlen müssen. Der Beitrag erläutert, warum das so ist.

Können Behörden nach der DSGVO bußgeldpflichtig sein?

Um die Kernfrage vorwegzunehmen: Ja – auch gegen Behörden kann prinzipiell nach der DSGVO ein Bußgeld verhängt werden. Das setzt aber voraus, dass der Mitgliedstaat dies auch so vorgesehen hat. So heißt es lapidar, die Staaten können:

„(…)  Vorschriften dafür festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können. (Art. 83 Abs. 7 DSGVO).“

Wer könnte solche Bußgelder in Deutschland verhängen?

Grundsätzlich wären in Deutschland entweder die Bundes- oder die Landesdatenschutzbehörden zuständig, wenn Bußgelder gegen Behörden verhängt werden (könnten). Die föderalen Zuständigkeiten sind nicht immer leicht zu überblicken, aber grundsätzlich ist die Aufteilung wie folgt:

• Die Zuständigkeit der Bundesbeauftragten für den Datenschutz erstreckt sich auf alle öffentlichen Stellen des Bundes, wie z.B. den BND und auf Firmen, welche entweder Telekommunikations- oder Postdienste erbringen oder unter das Sicherheitsüberprüfungsgesetz fallen.
• Landesbehörden, sonstige private Stellen sowie Vereine, Verbände und freie Berufe unterliegen der Aufsicht der Beauftragten der Länder.

Warum findet man keine Infos zu gegen Behörden verhängten Bußgelder?

Die Antwort ist im Prinzip simpel: Es gibt keine Vorschriften in Deutschland zur Bußgeldpflichtigkeit von Behörden. Im Gegenteil sah sich der Bundesgesetzgeber für die den BDSG unterfallenden Behörden klarzustellen. Gegen solche:

„(…) werden keine Geldbußen verhängt. (§ 43 Abs. 3 BDSG).“

Ähnlich heißt es in den Landesgesetzen, so zum Beispiel im Bayerischen Datenschutzgesetz:

„Gegen öffentliche Stellen (…) dürfen Geldbußen nach Art. 83 DSGVO nur verhängt werden, soweit diese als Unternehmen am Wettbewerb teilnehmen.“

Dieselbe Ausnahme dürfte auch für Bundesbehörden gelten, obwohl im BDSG eine Wettbewerbsklausel ähnlich der im BayDG fehlt. Das ist aber auch insoweit verständlich, als der Regelfall ist, dass Bundesbehörden nicht wettbewerblich handeln. Wenn, dann sind es auf Landesebene kommunale Behörden und Unternehmen, auf die dies in der Mehrzahl zutrifft.

Das polnische Datenschutzrecht als Gegenentwurf

Dass es auch anders geht, zeigt ein gegen die Staatsanwaltschaft verhängtes Bußgeld der polnischen Aufsichtsbehörde in Höhe von fünfundachtzigtausend Zlotys. Hintergrund des Bußgeldes ist, dass die Staatsanwaltschaft im Rahmen einer Pressekonferenz Daten zu einem am Strafverfahren Beteiligten veröffentlichte, wie dessen Namen, Status als Geschädigter und Gesundheitszustand. Die polnische Aufsicht sah ausweislich Ihres Beschlusses zu dem Vorgang hierin einen Verstoß gegen Art. 5, 6 und 9 DSGVO, da es für die Veröffentlichung an einer Rechtsgrundlage gefehlt habe.

Sollten auch Behörden nach der DSGVO bebußt werden können?

Ob es Sinn macht, Bußgelder auch gegen Behörden verhängen zu können, ist letztlich wohl eine Frage der Perspektive. Dagegen lässt sich anführen, dass das Bußgeld letztlich wieder in die Tasche desselben Rechtsträgers, also dem Bund oder dem Land fließt; dafür spricht, dass gerade die rechtsstaatlich gebundenen Behörden eigentlich als Vorbild handeln und haften sollten. Es bleibt zumindest ein disparates Bild, dass Staatsorgane gegenüber anderen Verantwortlichen besser gestellt werden. Das gilt umso mehr, als es auch bei der Durchsetzung datenschutzrechtlicher Sanktionen Privilegien gibt.