Generalanwalt: Handlungspflicht von Datenschutzbehörde
Laut den Schlussanträgen von EuGH-Generalanwalt Pikamäe vom 11.04.2024 trifft die Datenschutzbehörde eine Handlungspflicht, wenn sie in Folge der Prüfung einer Beschwerde eine Verletzung von DSGVO-Vorschriften feststellt. Hierbei kommt ihr allerdings ein Ermessensspielraum zu.
Der zugrundeliegende Sachverhalt
Im vorliegenden Fall vom Sommer 2020 verlangte ein deutscher Sparkassenkunde vom Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) wegen einer Datenschutzverletzung einzugreifen. Er behauptet, dass eine Angestellte der Bank wiederholt rechtswidrig auf seine personenbezogenen Daten zugegriffen habe. Infolgedessen bejahte der HBDI einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO). Die Sparkasse habe jedoch nach der Pressemitteilung des EuGH (abrufbar hier) bereits Disziplinarmaßnahmen gegen die Mitarbeiterin vorgenommen, weshalb er keine Abhilfemaßnahmen ergreifen müsse. Hiergegen hat der Kunde beim Verwaltungsgericht (VG) Wiesbaden Klage eingereicht. Er verlangt, den HBDI zum Handeln, etwa zum Verhängen von Bußgeldern, zu verpflichten. In Rahmen eines Vorabentscheidungsersuchens vom 10.12.2021 möchte das VG Wiesbaden nun geklärt wissen, wie weit die Pflichten des Datenschutzbeauftragten als Aufsichtsbehörde reichen.
Schlussanträge: Kein Anspruch auf Abhilfemaßnahme
Der EuGH-Generalanwalt erkennt in seinen Schlussanträgen zur Rechtssache C-768/21 eine Handlungspflicht der Datenschutzbehörde an, „wenn sie bei der Prüfung einer Beschwerde einen Verstoß feststellt“. Die konkret vorzunehmenden Abhilfemaßnahmen ergäben sich aus den jeweiligen Gegebenheiten des Einzelfalls. Dabei sei zu ermitteln, welche Maßnahmen zur Behebung der Datenschutzverletzung und zur Durchsetzung von Betroffenenrechten am besten geeignet seien. Das eingeräumte Ermessen müsse zu Maßnahmen führen, die geeignet, erforderlich und verhältnismäßig seien. Deshalb gäbe es in gewissen Konstellationen ein so stark beschränktes Ermessen, dass nur eine Maßnahme in Frage komme. Andererseits könnten es die Umstände des Einzelfalls auch erlauben, gänzlich von Maßnahmen abzusehen. Das könne etwa „der Fall sein, wenn der Verantwortliche bestimmte Maßnahmen aus eigener Initiative ergriffen habe“. Somit bestehe grundsätzlich kein Anspruch auf eine konkrete Maßnahme, auch nicht auf einen Bußgelderlass.
Fazit
Die Schlussanträge des EuGH-Generalanwalts konkretisieren die Handlungspflicht von Datenschutzbehörden. Einerseits stärkt er die Rechte der Bürger, indem er festlegt, dass grundsätzlich Abhilfemaßnahmen bei Datenschutzverstößen ergriffen werden müssen. Andererseits räumt er den Aufsichtsbehörden ein Ermessen ein, dass auch zum Wegfall der Handlungspflicht führen kann. Die Schlussanträge des Generalanwalts sind für die Entscheidung des EuGHs nicht bindend. Vielmehr handelt es sich hierbei um einen Entscheidungsvorschlag, dem die EuGH-Richter jedoch häufig folgen. Nun kommt es abschließend darauf an, wie die Entscheidung des EuGH ausfällt.
