Eine aktuelle Entscheidung des Verwaltungsgerichts Berlin thematisiert eine Reihe von datenschutzrechtlichen Fragestellungen, die sich im Zusammenhang mit einem Auskunftsbegehren nach Art. 15 DSGVO stellen können. Wann darf der Verantwortliche die Auskunft vorerst verweigern? Was kann der Betroffene tun, wenn die gewünschte Auskunft ausbleibt? Und was passiert, wenn auch die Datenschutzbehörde keinen Verstoß gegen Datenschutzgesetze erkennen kann?
Der Inhalt im Überblick
Wirtschaftsauskunftei zweifelt an Identität des Antragstellers
Formal hatte das Verwaltungsgericht Berlin über einen Antrag auf Prozesskostenhilfe zu entscheiden (VG Berlin, Beschluss vom 24.04.2023, VG 1 K 227/22). Materiell entscheidungserheblich waren allerdings datenschutzrechtliche Fragestellungen. Eine natürliche Person hatte bei einer Wirtschaftsauskunftei einen Antrag auf Auskunft nach Art. 15 Abs. 1 DSGVO gestellt. Der genaue Umfang des Antrags ist nicht bekannt. Allerdings soll es sich um sensible Informationen gehandelt haben, was bei einem an eine Wirtschaftsauskunftei gerichteten Antrag nicht weiter verwundert.
Die Wirtschaftsauskunftei hatte allerdings Zweifel an der Identität des Antragstellers. Sie teilte dem Antragssteller mit, dass eine zweifelsfreie Identifikation aufgrund namentlicher und/oder weiterer Überschneidungen zu weiteren Datensätzen nicht möglich sei. Die Wirtschaftsauskunftei forderte den Antragsteller daher auf, sein Geburtsdatum und gegebenenfalls frühere Anschriften zu nennen.
Der Antragsteller reagierte hierauf nicht, sondern beschwerte sich beim Berliner Beauftragten für Datenschutz und Informationssicherheit. Nach Prüfung des Sachverhalts teilte die Datenschutzbehörde dem Antragsteller mit, dass sie mangels eines erkennbaren Verstoßes gegen datenschutzrechtliche Bestimmungen seine Beschwerde zurückweise. Der Antragsteller wollte gegen die Entscheidung der Datenschutzbehörde gerichtlich vorgehen und beantragte hierfür beim VG Berlin zunächst Prozesskostenhilfe.
Die Entscheidung des Verwaltungsgerichts
Das VG Berlin lehnte den Antrag auf Prozesskostenhilfe ab, da bei einer Klage gegen die Entscheidung der Datenschutzbehörde keine Erfolgsaussichten bestünden. Die Entscheidung des Berliner Beauftragten für Datenschutz und Informationssicherheit war rechtmäßig.
Das Beschwerderecht bei der Aufsichtsbehörde
Zunächst befasst sich das VG Berlin näher mit dem Inhalt des Beschwerderechts. Die DSGVO regelt in Art. 77 Abs. 1, dass jede betroffene Person das Recht auf Beschwerde hat, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Die Aufsichtsbehörde muss den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten.
Entscheidung der Aufsichtsbehörde: Was darf das Gericht überprüfen?
Ist die betroffene Person mit dem Untersuchungsergebnis der Aufsichtsbehörde nicht zufrieden, kann Art. 78 Abs. 1 DSGVO ins Spiel kommen. Danach hat jede Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Macht die betroffene Person hiervon Gebrauch und klagt gegen den Beschluss, kann sich die Frage stellen, inwieweit das Gericht die Entscheidung der Aufsichtsbehörde überhaupt prüfen darf. Diese Frage ist nach wie vor umstritten und hängt davon ab, wie man die Rechtsnatur des Beschwerderechts nach Art. 77 DSGVO versteht.
Eine Ansicht (z.B. VG Berlin, Beschluss vom 28.01.2019, VG 1 L1.19) geht davon aus, dass das Beschwerderecht den Charakter einer Petition hat. In dem Fall wäre die gerichtliche Kontrolle darauf beschränkt, dass sich die Datenschutzbehörde mit der Beschwerde befasst hat, den Beschwerdegegenstand untersucht hat und den Beschwerdeführer über das Ergebnis der Prüfung unterrichtet. Insbesondere eine inhaltliche Kontrolle der aufsichtsbehördlichen Entscheidung ist den Gerichten verwehrt. Befürworter dieser Ansicht argumentieren, dass Art. 77 Abs. 1 DSGVO ähnlich formuliert ist wie seine Vorgängernorm Art. 28 Abs. 4 der Datenschutzrichtlinie (Richtlinie 95/46/EG). Für diese Norm war in Deutschland angenommen worden, dass es sich um ein bloßes Petitionsrecht handelte.
Eine andere Ansicht (z.B. VG Wiesbaden, Beschluss vom 31.08.2021, 6 K 226/21 oder VG Ansbach, Urteil vom 08.08.2019, AN 14 K 19.00272) meint hingegen, dass es sich bei Art. 77 Abs. 1 DSGVO nicht lediglich um ein Petitionsrecht handelt. Die Entscheidung der Aufsichtsbehörde kann nach dieser Ansicht daher auch inhaltlich gerichtlich überprüft werden. Allerdings haben die Datenschutzbehörden einen Ermessensspielraum, so dass es in der Regel nicht die eine richtige Entscheidung gibt (Ausnahme: sog. Ermessensreduzierung auf null). Vertreter dieser Ansicht verweisen u.a. auf das Ziel der DSGVO, einen wirksamen Schutz der in Art. 7 und Art. 8 Grundrechtecharta (GRCh) normierten Grundfreiheiten zu gewährleisten. Darüber hinaus wäre anderenfalls die Durchsetzung der DSGVO ganz wesentlich auf die Geltendmachung privater Rechtsbehelfe angewiesen (vgl. Art. 79 DSGVO).
Der Meinungsstreit ist nicht nur theoretischer Natur, sondern kann erhebliche praktische Auswirkungen haben. Befasst sich die Aufsichtsbehörde mit einer Beschwerde und teilt dem Beschwerdeführer das Ergebnis mit, kann der Beschwerdeführer hiergegen nach der ersten Auffassung nicht wirksam gerichtlich vorgehen, selbst wenn die Entscheidung auch unter Berücksichtigung des den Datenschutzbehörden zuzustehenden Ermessensspielraums inhaltlich falsch ist. Das VG Wiesbaden hat diese Frage daher dem EuGH zur Vorabentscheidung vorgelegt (C-552/21 und C-64/22), so dass hier eine Klärung in Aussicht ist.
Entscheidung der Datenschutzbehörde in jedem Fall rechtmäßig
Im konkreten Fall zur Prozesskostenhilfe musste das VG Berlin den Streit nicht entscheiden. Denn nach beiden Ansichten war die Entscheidung der Datenschutzbehörde rechtmäßig und daher ein Vorgehen hiergegen erkennbar ohne Aussicht auf Erfolg. Die Datenschutzbehörde hat sich mit der Beschwerde befasst, den Beschwerdegegenstand untersucht und den Beschwerdeführer über das Ergebnis der Prüfung unterrichtet.
Anforderung zusätzlicher Informationen zulässig
Darüber hinaus begegnet die Entscheidung der Aufsichtsbehörde, die Beschwerde zu verwerfen, keinen inhaltlichen Bedenken. Denn die Wirtschaftsauskunftei war berechtigt, die begehrte Auskunft zu verweigern. Die Voraussetzungen des Art. 12 Abs. 6 DSGVO lagen vor.
Artikel 12 Abs. 6 DSGVO lautet:
„Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.“
Die Norm gilt nicht nur für das hier maßgebliche Auskunftsrecht, sondern auch für die weiteren Betroffenenrechte der Art. 16 bis 21. Auf der einen Seite soll Art. 12 Abs. 6 DSGVO gewährleisten, dass nur die betroffene Person und nicht ein unbefugter Dritte die Betroffenenrechte wahrnimmt. So soll etwa bei einem Auskunftsersuchen nach Art. 15 DSGVO sichergestellt werden, dass der Verantwortliche keine personenbezogenen Daten unbefugt an einen Dritten herausgibt. Auf der anderen Seite dürfen eben auch nur diejenigen Informationen angefordert werden, die zur Identifizierung erforderlich sind, was den Grundsatz der Datensparsamkeit berücksichtigt.
Wann begründete Zweifel des Verantwortlichen an der Identität einer natürlichen Person berechtigt sind und welche weiteren Informationen zur Identifikation erforderlich sind, hängt immer von den Umständen des Einzelfalls ab. Der Grad der Verwechslungsgefahr spielt hier ebenso eine Rolle wie die Sensibilität der Informationen und die daraus herrührende Missbrauchsgefahr. Die Abfrage des Geburtsdatums sowie früherer Adressen kann regelmäßig in Betracht gezogen werden. Denkbar ist auch die Abfrage anderer Details, wie Kunden- oder Mobilfunknummer oder die Beantwortung einer Sicherheitsfrage. Vorsicht ist hingegen geboten bei Personalausweiskopien. Neben der Frage, ob die Kopie als solche zulässig ist, sollte hier auch geprüft werden, ob nicht die reine Vorlage des Personalausweises und ein entsprechender Vermerk zur Identifizierung ausreichen.
Im vorliegenden Fall waren die Zweifel der Wirtschaftsauskunftei begründet, denn bereits nach einer einfachen Internetrecherche existieren im Bundesgebiet zwei unterschiedliche Personen, die den Vor- und Nachnamen des Antragstellers tragen. Die Abfrage des Geburtsdatums sowie früherer Adressen war berechtigt, so dass ein Verstoß gegen datenschutzrechtliche Bestimmungen nicht vorlag.
Ein Begehren, viele Fragen
Die Entscheidung des VG Berlin zeigt auf, welche vielfältigen datenschutzrechtlichen Fragen sich aus einem einzigen Auskunftsbegehren ergeben können. Werden Betroffenenrechte geltend gemacht und ist die Identität des Betroffenen ungeklärt, ist das Anfordern weiterer Informationen grundsätzlich zulässig. Der Bogen sollte dabei aber nicht überspannt werden. Gerade Personalausweiskopien sollten nicht vorschnell angefordert werden. Beschwert sich die betroffene Person im Nachgang und fällt die Reaktion der Aufsichtsbehörde nicht aus wie erwünscht, könnte die betroffene Person gegen die Entscheidung der Aufsichtsbehörde klagen. Inwieweit das Gericht die Entscheidung der Aufsichtsbehörde prüfen darf, ist noch nicht abschließend geklärt. Jedenfalls eine potenziell effektivere Durchsetzung der DSGVO und damit der Grundfreiheiten von Art. 7 und Art. 8 GRCh spricht dafür, Art. 77 Abs. 1 DSGVO nicht nur als Petitionsrecht zu begreifen.
