Erste gerichtliche Entscheidung zur EU-DSGVO – Sind Sie vorbereitet?

Am 25.05.2018 tritt die neue Europäische Datenschutzgrundverordnung (EU-DSGVO) verbindlich in Kraft. Mit ihr beginnt eine neue Zeitrechnung im Datenschutzrecht. Parallel dazu kommt ebenfalls ein reformiertes, komplett neu geregeltes Bundesdatenschutzgesetz. Der Landesbeauftragte für den Datenschutz Baden-Württemberg war schon vorab aktiv und erließ eine datenschutzrechtliche Verfügung an eine Auskunftei.

Die Entscheidung des Verwaltungsgerichts Karlsruhe vom 06.07.2017, Az. 10 K 7698/16

Die Klägerin ist eine Auskunftei, deren Unternehmensgegenstand es ist, bonitätsrelevante Angaben, die die Zahlungsfähigkeit und damit die Kreditwürdigkeit einer Person infrage stellen – sogenannte Bonitätsnegativmerkmale –, zu sammeln und in dafür vorgesehenen Datenbeständen zum Zweck der Beauftragung durch Dritte zu speichern, um letztere vor finanziell riskanten Entscheidungen und Geschäften mit kreditunwürdigen Personen zu warnen. Als solche speichert und beauskunftet sie unter anderem nach § 28a Abs. 1 Bundesdatenschutzgesetz (BDSG) übermittelte personenbezogene Daten über Forderungen. Fristen für eine Überprüfung der weiteren Speichererforderlichkeit bzw. eine Löschung der Daten sieht § 35 Abs. 2 S. 2 Nr. 4 BDSG vor.

Die derzeit geltende Rechtslage wird sich ab dem 25.05.2018 mit der EU-DSGVO und dem neuen BDSG ändern: Konkrete Prüf- und Löschfristen für bei Auskunfteien gespeicherte, forderungsbezogene Daten bestimmen weder die EU-DSGVO noch das neu gefasste Bundesdatenschutzgesetz. Der Landesbeauftragte für den Datenschutz wurde vorliegend sozusagen „präventiv aktiv“.

Mit seiner Verfügung vom 19.10.2016 betreffend die Anpassung der Datenschutzlöschkonzeption an die EU-DSGVO wurde der Klägerin mitgeteilt, dass für die Speicherung von Forderungen mit Anwendbarkeit der EU-DSGVO gelte, dass Forderungen und mit diesen im Zusammenhang stehende Informationen über den Betroffenen, die der Klägerin vor dem 25.05.2018 bekannt würden, spätestens mit Ablauf von drei Jahren, beginnend mit dem Kalenderjahr, das der Einmeldung folge, zu löschen seien, es sei denn, dass der Betroffene zu diesem Zeitpunkt zahlungsunwillig bzw. zahlungsunfähig sei. Forderungen und mit diesen im Zusammenhang stehende Informationen über den Betroffenen, die der Klägerin nach dem 24.05.2018 bekannt würden, seien spätestens nach Ablauf von drei Jahren, beginnend mit dem Kalenderjahr, das der Fälligkeit der Forderung folge, zu löschen, es sei denn, dass der Betroffene zu diesem Zeitpunkt zahlungsunwillig bzw. zahlungsunfähig sei.

Die Klägerin wurde aufgefordert, mitzuteilen, ob sie bereit sei, ihre Datenlöschkonzeption diesen Vorgaben anzupassen bzw. ihre Datenbestände entsprechend zu bereinigen. Andernfalls sei der Erlass einer datenschutzrechtlichen Anordnung beabsichtigt, zu der die Klägerin sich äußern könne. Die Klägerin teilte hierauf mit Schreiben vom 20.11.2016 u. a. mit, dass sie ihre Datenschutzlöschkonzeption zum 25.05.2018 der EU-DSGVO anpassen werde. Die Antwort genügte dem Landesbeauftragten für den Datenschutz nicht und er erließ die besagte datenschutzrechtliche Verfügung mit verbindlichen Löschfristen.

Aus den Entscheidungsgründen

Die angefochtene Verfügung des Landesbeauftragten für den Datenschutz Baden-Württemberg war rechtswidrig und verletzte die Klägerin in ihren Rechten. Für die erlassene datenschutzrechtliche Verfügung fehlte es bereits an einer Ermächtigungsgrundlage. Ferner genügte die getroffene Regelung nicht den Anforderungen an die Bestimmtheit eines Verwaltungsaktes und hätte darüber hinaus auch nicht in der Form eines Verwaltungsaktes getroffen werden dürfen. Unzulässigerweise hat sie die Subsumtionsleistung bezüglich der getroffenen datenschutzrechtlichen Vorgaben zu den Überprüfungs- und Löschfristen von der Aufsichtsbehörde auf die Klägerin als Adressatin des Verwaltungsaktes übertragen.

Die tatbestandlichen Voraussetzungen des als Ermächtigungsgrundlage herangezogenen § 38 Abs. 5 S. 1 BDSG lagen nicht vor. Festgestellte Datenschutzverstöße durch die Klägerin, welche seitens der Aufsichtsbehörde gerügt worden wären, liegen der angefochtenen Verfügung unstreitig nicht zugrunde. Ausweislich der Verfügungsbegründung wollte man Missstände verhindern, die nach dem 24.05.2018 zu erwarten seien.

Es war vielmehr noch völlig ungewiss, wie die Prüf- und Löschpraxis der Klägerin bezüglich forderungsbezogener Daten künftig unter Geltung der EU-DSVGO aussehen wird und ob diese rechtswidrig sein wird, zumal auch der genaue rechtliche Rahmen hierfür noch unklar ist.

Praxishinweise

Die Klägerin obsiegte vorliegend zwar, doch zeigt die Entscheidung, dass die Datenschutzbeauftragten in den Startlöchern sitzen, um die Einhaltung der EU-DSGVO ab dem 25.05.2018 zu überwachen. Hinzu kommen die verschärften drakonischen Bußgelder, die bei Verstößen drohen. Zur Umsetzung der EU-DSGVO in Ihrem Unternehmen beraten wir Sie gerne!