Wenn eine Datenschutzbehörde Kenntnis von einem Verstoß gegen die DSGVO erlangt, so muss diese nicht automatisch agieren und den Verstoß ahnden. Dies gilt insbesondere für das Verhängen einer Geldbuße, so der EuGH.
Eine deutsche Sparkasse hatte festgestellt, dass eine ihrer Mitarbeiterin mehrmals unbefugt auf personenbezogene Daten eines Kunden zugegriffen hatte. Die Sparkasse setzte den Kunden hiervon nicht in Kenntnis, da ihr Datenschutzbeauftragter der Ansicht war, dass für diesen Kunden kein hohes Risiko bestehe. Denn die Mitarbeiterin hatte schriftlich bestätigt, dass sie die Daten weder kopiert oder gespeichert noch an Dritte übermittelt habe und dass sie dies auch zukünftig nicht tun werde. Außerdem hatte die Sparkasse gegen die Mitarbeiterin Disziplinarmaßnahmen ergriffen. Gleichwohl meldete die Sparkasse diesen Verstoß dem Landesdatenschutzbeauftragten.
Nachdem der Kunde nebenbei von diesem Vorfall Kenntnis erlangt hatte, reichte er beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) eine Beschwerde ein und verlangte, dass dieser eingreife.
Soforthilfe vom Anwalt
Sie brauchen rechtliche Beratung? Rufen Sie uns an für eine kostenlose Ersteinschätzung oder nutzen Sie unser Kontaktformular.
HBDI schritt nicht ein – Sparkasse habe bereits intern ausreichend agiert
Nach Anhörung der Sparkasse teilte der Landesdatenschutzbeauftragte dem Kunden mit, dass er es nicht für erforderlich halte, gegen die Sparkasse Abhilfemaßnahmen zu ergreifen. Er behauptete, dass eine Angestellte der Bank wiederholt rechtswidrig auf seine personenbezogenen Daten zugegriffen habe. Infolgedessen bejahte der HBDI einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO). Die Sparkasse habe jedoch bereits Disziplinarmaßnahmen gegen die Mitarbeiterin vorgenommen, weshalb er keine Abhilfemaßnahmen ergreifen müsse.
Der Kunde erhob daraufhin Klage beim Verwaltungsgericht (VG) Wiesbaden und beantragte, den Landesdatenschutzbeauftragten zum Einschreiten gegen die Sparkasse zu verpflichten und insbesondere dazu, gegen die Sparkasse eine Geldbuße zu verhängen.
In Rahmen eines Vorabentscheidungsersuchens vom 10.12.2021 wollte das VG geklärt wissen, wie weit die Pflichten des Datenschutzbeauftragten als Aufsichtsbehörde reichen. Nach Ansicht von Generalanwalts, der im April 2024 seine Schlussanträge vorlegte, sei eine Aufsichtsbehörde zum Einschreiten verpflichtet, wenn sie bei der Prüfung einer Beschwerde einen Verstoß feststelle. Auf Maßnahmen nach der DSGVO könne jedoch ausnahmsweise verzichtet werden, z.B. dann, wenn der Verantwortliche bestimmte Maßnahmen aus eigener Initiative ergriffen habe. Jedenfalls habe die betroffene Person keinen Anspruch auf Erlass einer bestimmten Maßnahme, so der Generalanwalt.
Aufsichtsbehörde nicht verpflichtet einzuschreiten
Dieser Ansicht schloss sich der EuGH nun weitestgehend an. Der EuGH urteilte, dass die Aufsichtsbehörde im Fall der Feststellung einer Verletzung des Schutzes personenbezogener Daten nicht verpflichtet sei, eine Abhilfemaßnahme zu ergreifen. Insbesondere sei die Behörde nicht verpflichtet, eine Geldbuße zu verhängen, wenn dies nicht erforderlich sei, um der festgestellten Unzulänglichkeit abzuhelfen und die umfassende Einhaltung der DSGVO zu gewährleisten. Ein solcher Fall könne laut EuGH, wie schon der Generalanwalt mitgeteilte hatte, u.a. dann vorliegen, wenn der für die Verarbeitung Verantwortliche, sobald er von der Verletzung Kenntnis erlangt und die erforderlichen Maßnahmen ergriffen habe, damit die Verletzung abgestellt und sich nicht wiederholen werde.
Die DSGVO räume der Aufsichtsbehörde ein Ermessen hinsichtlich der Art und Weise ein, wie sie der festgestellten Unzulänglichkeit abhelfe. Dieses Ermessen werde durch das Erfordernis begrenzt, durch den klar durchsetzbaren Rechtsrahmen der DSGVO ein gleichmäßiges und hohes Schutzniveau für personenbezogene Daten zu gewährleisten.
Es ist nun Sache des des VG Wiesbaden zu prüfen, ob der Landesdatenschutzbeauftragte diese Grenzen eingehalten hat.
tsp
