Mit dem Beschluss vom 25.05.2021 (Az. 4 MB 14/21) hat sich das Oberverwaltungsgericht (OVG) Schleswig-Holstein zum Auskunftsverweigerungsrecht von Unternehmen auf Fragen der Datenschutzaufsichtsbehörden bei Datenschutzprüfungen (§ 58 Abs. 1 lit. b DSGVO) geäußert. Lesen Sie im Folgenden unsere Zusammenfassung und Analyse dieser brandaktuellen und für Unternehmen – auch angesichts der aktuellen Fragebögen zu “Schrems II” und Drittlandsübermittlungen – hoch relevanten Entscheidung.
Zum Sachverhalt
Dem Beschluss lag ein Rechtsstreit zwischen einem Online-Versand (Antragstellerin) und der zuständigen Datenschutzaufsichtsbehörde (Antragsgegner) über ein Auskunftsersuchen zur Verarbeitung personenbezogener Daten zugrunde. Aufgrund mehrerer Beschwerden – wonach das Unternehmen persönliche Werbeansprachen bei Betroffenen durchführe – ordnete die Aufsichtsbehörde die Auskunftserteilung zu fünf Fragen an und drohte mit der Festsetzung eines Zwangsgeldes für jede nicht beantwortete Frage. Zudem wies sie auf ein ggfs. bestehendes Auskunftsverweigerungsrecht nach § 40 Abs. 4 S. 2 BDSG hin. Die Antragstellerin verweigerte die Auskunft und erhob gegen die Zwangsgeldfestsetzung Anfechtungsklage vor dem Verwaltungsgericht (VG) und stellte einen Antrag auf Anordnung der aufschiebenden Wirkung, der durch das VG abgelehnt wurde.
Inhalt der Entscheidung
Das OVG sah die daraufhin erhobene Beschwerde als teilweise begründet an und hat sich ausgiebig mit der Frage beschäftigt, ob dem Unternehmen ein Auskunftsverweigerungsrecht zustand. Dabei vertritt das OVG die Auffassung § 40 Abs. 4 S. 2 BDSG berechtige nur zur Auskunftsverweigerung auf Fragen, durch deren Beantwortung die Gefahr einer strafgerichtlichen Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten (OWiG) bestünde. Dies erfordere eine bestimmte Gefahrenlage.
Das Auskunftsbegehren stehe vorliegend in Verbindung mit einer Datenschutzprüfung (Art. 58 Abs. 1 lit. b DSGVO) wobei zwischen den einzelnen Fragen und des damit verbundenen Risikos zu differenzieren sei.
Die einzelnen Fragen lassen sich mithilfe der Entscheidung grob wie folgt zusammenfassen:
- Welche Verantwortlichen und Auftragsverarbeiter erheben personenbezogene Daten und verarbeiten sie zu Werbezwecken?
- Welche personenbezogenen Daten werden erhoben?
- Wurden die Vorgaben von Art. 24 und Art. 32 DSGVO eingehalten?
- Wie viele Personen sind betroffen?
- Wurden die Informationspflichten aus Art. 14 Abs. 1 und Abs. 2 DSGVO eingehalten?
Die Bewertung des OVG führt zu dem Ergebnis, dass durch eine Auskunft zu den Fragen 1, 2 und 4 ohne weitere Umstände, wie das Fehlen einer Einwilligung, nicht auf eine rechtswidrige Verarbeitung geschlossen werden kann. Es bestehe keine Gefahrenlage und damit auch kein Auskunftsverweigerungsrecht. Im Gegensatz dazu zielen die Fragen 3 und 5 auf ein Verfahren nach dem OWiG ab, denn Verstöße gegen die genannten Verpflichtungen können zu Geldbußen nach Art. 83 DSGVO führen und begründen daher ein Auskunftsverweigerungsrecht.
Das OVG geht des Weiteren davon aus, dass verwaltungsrechtliche Auskunftsverweigerungsrechte nicht nur der Durchsetzung, sondern auch dem Auskunftsbegehren selbst entgegenstehen. Ihnen wohnt der Grundsatz der Selbstbelastungsfreiheit inne. Da dieser aus dem allgemeinen Persönlichkeitsrecht hergeleitet wird und damit auf natürliche Personen zugeschnitten ist, erscheint es fraglich, ob sich juristische Personen auf Auskunftsverweigerungsrechte berufen können. Vor dem Hintergrund, dass der Grundsatz auch aus dem Rechtsstaatsprinzip (Art. 20 Abs. 3 GG, Art. 6 Abs. 1 EMRK) hergeleitet wird, erscheint dies aus Sicht des OVG jedoch nicht gänzlich ausgeschlossen.
Weiterhin stellt das Gericht fest: “Ein Eingriff in die Selbstbelastungsfreiheit eines Auskunftspflichtigen kann sowohl darin liegen, dass er durch einen Verwaltungsakt rechtsverbindlich zur Selbstbezichtigung aufgefordert wird, als auch in der Durchsetzung einer solchen Pflicht mittels Verwaltungszwang begründet sein. […] Vor dem Hintergrund der genannten offenen, teils grundlegenden verfassungsrechtlichen Fragestellungen, lässt sich die vom Verwaltungsgericht angenommene und ausschließlich mit dem Verweis darauf, dass das Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG als Einwendung gegen den Grundverwaltungsakt im Vollzugsverfahren nicht geltend gemacht werden könne (vgl. § 248 Abs. 2 LVwG) begründete Rechtmäßigkeit der Zwangsgeldfestsetzung nicht ohne Weiteres mit der erforderlichen Sicherheit feststellen.”
Einordnung der Entscheidung
Vor dem Hintergrund der koordinierten Prüfungen einiger Aufsichtsbehörden mittels Fragebögen – ausgehend von der “Schrems II”-Entscheidung des Europäischen Gerichtshofes (EuGH) – kommt dem Beschluss eine besonders hohe Relevanz für die Praxis zu. Unternehmen können sich ausweislich des Beschlusses gegenüber den Datenschutzaufsichtsbehörden auf Auskunftsverweigerungsrechte berufen, wenn sie sich ansonsten der Gefahr eines weiteren Verfahrens aussetzen würden. Zu berücksichtigten ist jedoch, dass es sich bei der Entscheidung des OVG Schleswig-Holstein um eine summarische Prüfung im Wege des einstweiligen Rechtsschutzes handelt und das OVG am Ende eine Interessenabwägung zu treffen hat.
Praxishinweise
Ausgehend von unseren Erfahrungen beim Umgang mit behördlichen Prüfverfahren raten wir betroffenen Unternehmen grundsätzlich Folgendes:
- Enthält das behördliche Schreiben keine Rechtsmittelbelehrung handelt es sich nur um eine Bitte zur Auskunft. Somit liegt kein Verwaltungsakt vor. Eine Verpflichtung zur Beantwortung unter dem Druck von Sanktionen gibt es nicht.
- Auskunftsersuchen sollten vor dem Hintergrund anknüpfender Maßnahmen stets mit Bedacht behandelt werden.
- Lassen Sie sich in jedem Fall anwaltlich unterstützen, wenn Sie sich unsicher im Umgang mit der Aufsichtsbehörde fühlen. Dies gilt – wie der aktuelle Beschluss zeigt – insbesondere für die Berufung auf Auskunftsverweigerungsrechte. Wir verfügen über umfangreiche Erfahrung im Umgang mit den deutschen und europäischen Aufsichtsbehörden und unterstützen Sie gerne.
- Auch Unternehmen, die bislang nicht von Aufsichtsbehörden kontaktiert wurden, sind wegen des aktuell hohen Risikos gut beraten, umgehend ihre bestehenden Drittlandsübermittlungen zu überprüfen
Sollten Sie mit einem behördlichen Auskunftsersuchen konfrontiert sein oder rechtliche Unterstützung bei der Bewertung von Drittlandsübermittlungen benötigen, nehmen Sie gerne Kontakt mit dem Co-Head unserer Digital Business Unit, Rechtsanwalt Stefan Hessel, auf.
zurück