Was macht eigentlich der Datenschutzbeauftragte ?

Sachverhalt: Ein Marketingunternehmen (=MU) hat wie viele Unternehmen E-Mails mit Werbung an eine Vielzahl von Empfängern versendet. Die dafür nötigen Einwilligungserklärungen werden über eigens betriebene Internetseiten erlangt, auf denen Inhalte zum Download im Tausch gegen ein jederzeit widerrufliches Werbeeinverständnis des Nutzers angeboten werden. Das ist augenscheinlich zunächst DSGVO-konform.

Ein Mailempfänger (=ME) bat darum, keine unerwünschte E-Mail-Werbung mehr zu erhalten, auch weil sie niemals eingewilligt habe, Werbung zu erhalten. Die Beschwerde ggü. der Bundesnetzagentur und der zuständigen Aufsichtsbehörde (=AB, diese in cc) sei erfolgt, die personenbezogenen Daten sollten gelöscht, keinesfalls weitergegeben oder -verkauft werden.
AB forderte MU auf, sechs Fragen zum Sachverhalt und ihren allgemeinen Verarbeitungstätigkeiten zu beantworten. Auszugsweise lauteten sie wie folgt:

„Ist der Sachverhalt aus Ihrer Sicht zutreffend, wie viele Werbe-E-Mails an wie viele Betroffene wurden seit dem …
versendet; wie viele personenbez. Datensätze wurden verarbeitet, welches sind die Rechtsgrundlagen nach Art. 6 DSGVO, wurde der erhobene Werbewiderspruch vom … am … im Sinne von Art. 21 DSGVO eingetragen? Wenn ja, weshalb hat die Petentin darüber keine Bestätigung erhalten“

Geantwortet hat MU nie, weshalb AB eine Anordnung erließ, bestimmte Informationen schriftlich bereitzustellen wie insbes. die zu Werbezwecken per E-Mail kontaktierten natürlichen Personen („bitte Vor- und Nachnamen sowie zugehörige E-Mail-Adressen nennen“), wie oft ab … bis zum Zugang dieser Anordnung.
Die sofortige Vollziehung wurde angeordnet und ein Zwangsgeld von € 5000,00 mit ersatz-
weiser Haft angedroht.

Ergebnis: Das VG hat die Rechtmäßigkeit der datenschutzrechtlichen Auskunftsanordnung durch die AB bei der Übersendung von Werbe-E-Mails m.E. zu Recht bejaht. Die Anordnung ist vom Umfang und Inhalt angemessen, da ein milderes, gleich geeignetes Mittel nicht gegeben war. Die Beantwortung der Fragen war zur Aufklärung etwaiger datenschutzrechtlicher Verstöße geboten, dies auch um weitere notwendige Abhilfemaßnahme zu identifizieren. Antworten fehlten, so dass das VG die Anordnung für verhältnismäßig ansah.

Rechtsgrundlage sind Artt. 57 Abs. 1 lit. a), 58 Abs. 1 lit. a) iVm. 31 DSGVO, § 40 BDSG
Das macht Sinn und auch eine sofortige Vollziehung ist sachgerecht.
Es besteht ein besonderes öffentliches Interesse an der Auskunftserteilung, um Sicherheit bei der Versendung von Mails zu gewährleisten. Das ist Aufgabe der AB. Diese kann nur dann zielgerichtet und effektiv arbeiten, wenn sie die Auskunftserteilung zeitnah sicherstellen und durchsetzen kann. Das wäre nicht der Fall, wenn sich der Auskunftspflichtige durch Einlegung eines Rechtsbehelfs auf unbestimmte Zeit der Erteilung von Auskünften und damit der sofortigen gebotenen Kontrolle entziehen könnte.

Das VG hat im Rahmen der Risikoabwägung für diese zeitnahe Aufklärung die Möglichkeit beachtet, dass personenbezogene Daten weiterer Betroffener ohne Rechtsgrundlage verarbeitet wurden und wohl noch werden. Bekannt waren gleichlautende Beschwerden, die nach dem ersten Tätigwerden der AB bekannt geworden sind.
Interessant scheint der Ansatz von MU, dass die Bekanntgabe aller Daten weiterer Personen – mit Vor- und Nachnamen/zugehöriger E-Mail-Adresse/Kontakten plus Einwilligungserklärungen – eine eigenständige Datenschutzverletzung des MU zu Lasten dieser natürlichen Personen darstellen würde. D.h. AB verursacht mittels der Anordnung eine eigenständige Verletzung einschlägiger Vorschriften.

Im Ergebnis führt die Interessenabwägung zwischen dem Vollziehungsinteresse einerseits und dem Suspensivinteresse andererseits zu Ungunsten des MU aus. Die sofortige Vollziehbarkeit und Zwangsgeldandrohung wird von § 80 Abs. 2 S. 1 Nr. 4 VwGO getragen. Das besondere öffentliche Interesse an der Vollziehung überwiegt die grundsätzlich zulässige Aussetzung der Vollstreckung bis zur rechtskräftigen Entscheidung in der Hauptsache deutlich.
Das VG unterstellt m. E. zu Recht, dass die Daten der natürlichen Personen nach Bekanntgabe bei der Aufsichtsbehörde sicher aufgehoben sind.

Sitzverlagerung: Die Zuständigkeit im Laufe des Verwaltungsverfahrens bei geänderten Umständen wie einer Sitzverlagerung bleibt erhalten. D.h. die bisher zuständige Behörde kann das Verwaltungsverfahren fortführen, wenn die Interessen der Beteiligten ausreichend gewahrt werden und die Durchführung einfach und zweckmäßig ist. Allerdings muss die nunmehr zuständige Behörde zustimmen (§ 3 Abs. 3 BremVwVfG). Art. 58 DSGVO: Die AB muss bei Hinweisen tätig werden. Die Artt. 57, 58 DSGVO beschreiben die eigenständige Verpflichtung. So muss sich jede Aufsichtsbehörde mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation
oder eines Verbandes auf der Grundlage des Art. 80 DSGVO befassen. Der Gegenstand der Beschwerde muss in angemessenem Umfang und Frist untersucht, der Betroffene über den Fortgang und das Ergebnis der Untersuchung kurzfristig unterrichtet werden.

Mittel: Dazu braucht jede Aufsichtsbehörde spezielle Befugnisse, weshalb sie die Verantwortlichen, Auftragsverarbeiter oder deren Vertreter auffordern kann, alle notwendigen Informationen bereitzustellen, die für die Erfüllung eigener Aufsichtsaufgaben erforderlich sind. Das umfasst Auflagen, damit der Anweisung tatsächlich Folge geleistet wird.

Ermessen: Der AB hat in Bezug auf die Art & Weise der Informationsbereitstellung einen weiten Ermessensspielraum. Der ist von der DSGVO bewusst nicht detailliert geregelt und gerichtlich in der Regel nur eingeschränkt überprüfbar.
Richtige Adressatin ist der/die Verantwortliche, denn ihr allein obliegen die wesentlichen tatsächlichen Entscheidungen über das „Ob“ und „Wie“ der Verarbeitung der personenbezogenen Daten der kontaktierten Personen, gerade bei dem Versand von Werbe-E-Mails.
Evident rechtswidrig? Das VG hat der Anordnung der Aufsichtsbehörde schlussendlich eine „evident-materielle Rechtmäßigkeit“ zugestanden. M.E. ist das übertrieben und ungewöhnlich. Das geschah wohl mit Blick auf datenschutzrechtliche Verstöße ggü. weiteren Betroffenen und der damit verbundenen evidenten Wiederholungsgefahr (ähnlich Thür. OVG, Beschluss vom 19.03.2021 – A.Z. 3EO 423/20; Sächs. OVG, Beschluss vom 17.07.2013, A.Z. 3 B 470/12 u.a. zitiert nach juris).
Aufgrund der Vielzahl an Fakten, die auf die mangelnde Sorgfalt und auch das fehlende Interesse bei dem MU schließen lassen, ist die Wertung allerdings nachvollziehbar.

Was hat denn dann der Datenschutzbeauftragte gemacht ?

Der Fall stimmt – unabhängig von abschließenden rechtlichen Würdigungen – nachdenklich.

Kommunikation: Warum wurde nicht mit der AB gesprochen? Oder intern?
Die Datenschutzbeauftragten der Länder gehen unter vor Arbeit. Sie freuen sich, wenn proaktiv Lösungen gemeinsam gefunden werden. Ein erster Anruf, dann zwei oder Folgegespräche beim LDSB. Und schon sind die meisten Fragen geklärt.
Artt. 37, 38, 39 DSGVO: Wie steht es eig. mit der Dokumentation, wie mit der Achtung der DSGVO, was ist mit den TOM’s usw.? Und wer ist noch mal dafür verantwortlich?

Datenschutzbeauftragter

Der Katalog des Art. 39 Abs. 1 DSGVO benennt lediglich Minimalaufgaben des Datenschutzbeauftragten. Abs. 2 beschreibt die Art und Weise der Aufgabenerfüllung; wobei der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung tragen muss.
Die Antwort ist für den Fall des VG Bremen klar. Die Verantwortlichen und Auftragsverarbeiter wurden nicht ausreichend unterrichtet. Das widerspricht den Vorgaben gem. Art. 39 Abs. 1 DSGVO. Jedenfalls wurden Risiken offensichtlich falsch eingeschätzt. Oder aber, was m. E. gewichtiger ist, alle wurden in Sicherheit gewogen.

„Ach da wird schon nichts passieren!“

Schwerwiegend und allzu deutlich sind jedoch die Folgen der Kommunikationsdefizite. Ein Vorteil jeder Kommunikation ist der zielführende Austausch sachgerechter Informationen. Wenn das nicht geschieht, können die Folgen – wie zu sehen – verheerend sein.
Der verständige – und einsichtige – Datenschutzbeauftragte wird Probleme erkennen, das Unternehmen informieren, ggf. Schulungen durchführen und Lösungsvorschläge unterbreiten.
Ist das in dem Fall des VG passiert? Zweifel sind angebracht.
Zu den Möglichkeiten zielführender Kommunikation können wir gerne diskutieren.