DSGVO-Ansprüche gegen Datenschutzbehörde auf bestimmte Maßnahmen gegen Mitbewerber?

Teil 1: Das Problem

Mit dem Inkrafttreten der DSGVO im Jahre 2018 haben sich für Unternehmen viele neue Pflichten und Aufgaben ergeben. Bis heute sind zahlreiche Details unklar bzw. umstritten. Auch die deutschen Datenschutzbehörden untereinander sind sich teilweise in bestimmten Bewertungen nicht einig, sei es beispielsweise bei der rechtlichen Bewertung von Videokonferenz-Tools oder Betriebssystemen wie Windows 10.

Das neue Recht verpflichtet jedoch nicht nur privatwirtschaftliche Unternehmen, sondern stellt auch für Datenschutzbehörden bestimmte Pflichten auf. So muss beispielsweise eine Datenschutzbehörde innerhalb von drei Monaten nach Eingang einer Beschwerde durch den Betroffenen reagieren. Tut sie es nicht, kann der Einzelne vor Gericht eine sogenannte Untätigkeitsklage erheben (Art. 78 DSGVO).

Dieser Anspruch ist in der Praxis jedoch häufig ein stumpfes Schwert. Denn die gesetzliche Regelung bedeutet nicht, dass die Datenschutzbehörde innerhalb von drei Monaten über einen Sachverhalt entscheiden muss. Vielmehr ist es nach dem Wortlaut der Norm ausreichend, wenn das Amt sich mit der Angelegenheit beschäftigt. Böse formuliert könnte man sagen, dass es ausreicht, wenn die Datenschutzbehörde eine Eingangsbestätigung verschickt.

Aufgrund dieser unbefriedigenden Lage ist es umso wichtiger zu klären, ob der einzelne Betroffene einen Anspruch hat, dass die Behörde gegen bestimmte Aktivitäten von Dritten direkt vorgeht.

Beispiel:
Online-Unternehmer A sieht, dass sich sein Mitbewerber B in keiner Weise an die geltenden datenschutzrechtlichen Verpflichtungen hält. Er hat aber keinerlei Interesse an einer direkten gerichtlichen Auseinandersetzung. Er meldet den Sachverhalt daher der zuständigen Datenschutzbehörde. Diese wird jedoch, aus seiner Sicht, nur unzureichend tätig und ermahnt den Mitbewerber B lediglich. Der A möchte aber, dass der B härter bestraft wird, zum Beispiel, dass eine Geldbuße verhängt wird.

Die Frage ist nun: Kann der A von der Datenschutzbehörde ein konkretes Handeln verlangen? Oder hat er nur einen ganz allgemeinen Anspruch, dass das Amt überhaupt tätig wird?

Teil 2: Die bisherige Rechtsprechung

Da die DSGVO erst vor drei Jahren in Kraft getreten ist, gibt es zu dieser Problemlage verständlicherweise noch keine abschließende höchstrichterliche Rechtsprechung. Es existieren jedoch mehrere lesenswerte gerichtliche Entscheidungen.

a) Kein Anspruch

Ein Standpunkt ist, dass der Betroffene keine bestimmte Aktivität der Datenschutzbehörde vor Gericht einklagen kann. Nach dieser Meinung steht dem Bürger lediglich ein einfaches Petitionsrecht zu, mehr aber nicht.

So hatte das OVG Koblenz ⁽¹⁾ kürzlich folgenden Sachverhalt zu beurteilen: Der Kläger beschwerte sich beim Landesdatenschutzbeauftragten Rheinland-Pfalz über die aus seiner Sicht unzulässige Datenspeicherung durch einen Dritten. Im Rahmen seiner Prüfung kam die Behörde zum Ergebnis, dass keine Verletzung der DSGVO vorliege. Sie teilte dem Kläger mit, dass das Verfahren daher beendet werde.

Dies wollte der Kläger nicht auf sich sitzen lassen und beantragte vor Gericht, dass die Behörde noch mal ihre Entscheidung überprüfen sollte.

Dieser Ansicht folgten die Richter des OVG Koblenz nicht. Einem Bürger stehe ein solches subjektives Recht nicht zu. Vielmehr gestatte die DSGVO lediglich eine Beschwerdemöglichkeit. Ein Recht auf eine bestimmte Entscheidung in der konkreten Angelegenheit gebe es jedoch nicht, so die Richter.

b) (Eingeschränkter) Anspruch

Die überwiegende Anzahl der bislang angerufenen Gerichte ⁽²⁾ hingegen teilt diese Einschätzung nicht.

Nach Auffassung dieser Gerichte hat der einzelne Betroffene durchaus vor Gericht einen Anspruch gegen die Behörde. Andernfalls würde nämlich der Sinn und Zweck der DSGVO unterlaufen.

So hatte sich das OVG Hamburg ⁽³⁾ mit folgendem Sachverhalt zu beschäftigen: Über den Kläger, der im Bereich der Immobilienvermittlung tätig war, wurden mehrere verschiedene kritische Äußerungen in einem Internet-Forum veröffentlicht. Nachdem der Kläger seine Löschungsansprüche gegen Google nicht direkt gerichtlich durchsetzen konnte, wandte er sich an den Hamburger Datenschutzbeauftragten und verlangte auf Basis des Datenschutzrechts ein behördliches Einschreiten. Dies lehnte das Amt ab. Daraufhin ging der Kläger vor Gericht.

Die Hamburger Richter bejahten zunächst ein subjektives DSGVO-Recht des Betroffenen gegen die zuständige Behörde.

Grundsätzlich sei es aufgrund der im Grundgesetz verankerten Gewaltenteilung jedoch nicht möglich, dass ein Gericht einer Behörde ein bestimmtes Verhalten vorschreibe. Vielmehr habe der einzelne Betroffene nur die Möglichkeit, gerichtlich überprüfen zu lassen, ob die Handlungen der betroffenen Beamten ermessensfehlerfrei waren.

Der Betroffene kann somit im Regelfall vor Gericht nicht eine bestimmte Aktivität der Datenschutzbehörde einklagen, zum Beispiel, ob diese lediglich eine Verwarnung verhängt oder ob ein Bußgeld fällig wird. Dies steht vielmehr im Ermessen der jeweiligen Sachbearbeiter.

Lediglich dort, wo der Sachverhalt absolut klar und eindeutig ist und keine andere vertretbare Handlung denkbar ist, hat eine Klage Erfolg. Der Jurist spricht hier von der sogenannten Ermessensreduzierung auf null, d. h., dem Sachbearbeiter der Datenschutzbehörde darf keine andere Möglichkeit zur Verfügung stehen als die vom Kläger beantragte.

In der Praxis ist eine solche Ermessensreduzierung auf null jedoch so gut wie ausgeschlossen, da die einzelnen Lebenssachverhalte stets eine gewisse subjektive Bewertung der Datenschutzbehörde ermöglichen. Gerade bei der Verhängung von Bußgeldern und ihrer Höhe ist stets eine sehr eigene Bewertung des jeweiligen Datenschutzes der Regelfall.

Das OVG Hamburg hat daher auch in dem oben genannten Sachverhalt die Klage abgewiesen.

Teil 3: Konsequenzen für die Praxis

Welche Konsequenzen haben nun diese Ansichten in der alltäglichen Praxis?

Das Ergebnis der ersten Meinung liegt auf der Hand: Hier muss der einzelne Betroffene hinnehmen, was die Behörde macht. Er hat keinen weitergehenden Anspruch.

Anders sieht es hingegen bei der zweiten Meinung aus: Hier existiert, zumindest eingeschränkt, die Möglichkeit, das Handeln des Amtes zu kontrollieren.

In der Praxis stellt sich somit die Möglichkeit, bei einer Datenschutzbehörde das Handeln eines Mitbewerbers zu beanstanden, klar als stumpfes Schwert heraus.

Auch zwei Jahre nach Inkrafttreten der DSGVO sind die deutschen Datenschutzbehörden weiterhin massiv überlastet. Bereits aus diesem Grunde scheitert ein schnelles und aktives Einschreiten. Es ist keine Seltenheit, dass Betroffene erst nach vielen Monaten überhaupt eine erste Antwort erhalten.

Jedoch behindern nicht nur diese tatsächlichen Gründe. Vielmehr gibt es auch entscheidende rechtliche Einschränkungen, dass eine Firma sich über Bande gegen einen Mitbewerber wehren kann. Wie dargestellt, ist bereits die grundsätzliche Frage, ob ein solches subjektives Recht überhaupt existiert, umstritten. Selbst wenn man ein solches Begehren als begründet ansieht, existiert kein Anspruch auf eine konkrete Handlung der Datenschutzbehörde.