Das Thema
Arbeitnehmer haben wie andere betroffene Personen ein Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Diese muss sodann die Beschwerde prüfen.
Doch hat ein Arbeitnehmer einen eigenen Anspruch darauf, dass die Aufsichtsbehörde eine Datenschutzverletzung mit einer Geldbuße sanktioniert? Darüber hatte das Verwaltungsgericht Ansbach zu entscheiden (Urteil vom 16.03.2020, Az. AN 14 K 19.00464).
Arbeitnehmer will Aufsichtsbehörde zur Verhängung eines Bußgeldes per Klage zwingen
Ein Arbeitgeber war zur Erbringung von Kurierdiensten von einem Unternehmen beauftragt (P GmbH), das seinerseits als Subunternehmer von einem Hauptauftraggeber (F GmbH) beauftragt worden war. Der Arbeitgeber beschäftigte einen Aushilfsfahrer. Nachdem das Arbeitsverhältnis während der Probezeit gekündigt worden war, nahm der Kläger Kontakt zu dem Hauptauftraggeber (F GmbH) auf, um sich über den Arbeitgeber zu beschweren. Daraufhin wandte sich der Hauptauftraggeber (F GmbH) an den Subunternehmer (P GmbH), um den Hintergrund der Beschwerde zu ermitteln. Die P GmbH wandte sich ihrerseits an den Arbeitgeber, von welchem sie die Telefonnummer des Arbeitnehmers erhielt und rief den Arbeitnehmer an.
Der Arbeitnehmer beschwerte sich sodann bei der zuständigen Datenschutz-Aufsichtsbehörde, dem Bayerischen Landesamt für Datenschutzaufsicht, zum einen darüber, dass sein Arbeitgeber seine private Telefonnummer weitergegeben habe.
Außerdem vertrat er die Auffassung, dass der Einsatz eines GPS-Ortungssystems, mit dem der Arbeitgeber die Kurierfahrzeuge orten konnte, rechtswidrig gewesen sei.
Die Aufsichtsbehörde kam zu dem Ergebnis, dass die Weitergabe der Telefonnummer durch den Arbeitgeber datenschutzrechtlich vertretbar gewesen war. Auch in Bezug auf den Einsatz des Ortungssystems sah die Datenschutzaufsichtsbehörde keinen Anlass, eine Geldbuße zu verhängen.
Daraufhin erhob der Arbeitnehmer Klage beim Verwaltungsgericht und beantragte, die Datenschutz-Aufsichtsbehörde dazu zu verurteilen, gegenüber dem Arbeitgeber eine Geldbuße zu verhängen.
Verwaltungsgericht verteidigt Entscheidung der Aufsichtsbehörde
Das VG Ansbach wies die Klage des Arbeitnehmers ab. Zur Begründung führte es zum einen an, dass die Rechtsauffassung der Behörde, dass keine oder keine wesentliche Datenschutzverletzung vorgelegen habe, vertretbar gewesen sei.
Das Gericht nahm jedoch dessen ungeachtet zu der Frage Stellung, ob und inwieweit die Aufsichtsbehörde für den Fall einer Datenschutzverletzung zur Verhängung eines Bußgeldes gegenüber dem Arbeitgeber verpflichtet gewesen wäre.
Insofern führte das Gericht aus, dass die Datenschutz-Aufsichtsbehörde nach Art. 58 Abs. 2 Datenschutz-Grundverordnung (DS-GVO) eine Reihe sogenannter Abhilfebefugnisse habe, zu denen auch die Verhängung einer Geldbuße nach Art. 83 DS-GVO zähle. Die Ausübung und die Auswahl dieser Befugnisse stünde jedoch im Ermessen der Aufsichtsbehörde (sogenanntes “Opportunitätsprinzip gem. § 47 Abs. 1 OWiG). Dies folge aus der Analyse des Wortlautes des Art. 83 Abs. 2 S. 2 DS-GVO sowie aus den Erwägungsgründen 148 und 150 zur DS-GVO.
Aber: Anspruch einer betroffenen Person auf aufsichtsbehördliches Einschreiten ist prinzipiell denkbar
Ein Anspruch eines Beschwerdeführers auf die Verhängung einer Geldbuße käme nur in Betracht, wenn sich das Entschließungsermessen der Aufsichtsbehörde “auf Null” reduziert hätte. Dies könne nur angenommen werden, wenn die Verhängung einer Geldbuße die einzig mögliche Abhilfemaßnahme sei, die “zur Schaffung rechtmäßiger Zustände führe”. In diesen Fällen hält das VG Ansbach – ohne abschließend darüber zu entscheiden – einen Anspruch einer betroffenen Person auf aufsichtsbehördliches Einschreiten prinzipiell für denkbar.
Begründet wird dies mit Art. 78 Abs. 1 DS-GVO, wonach jede Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde habe.
Im vorliegenden Fall wurde jedoch eine Ermessensreduzierung “auf Null” von dem VG Ansbach verneint und entsschieden, dass der Arbeitnehmer schon deshalb keinen Anspruch auf Verhängung einer Geldbuße gegenüber der Aufsichtsbehörde habe.
Auswirkungen auf die Praxis: Beschwerden veranlassen faktisch Prüfung der Aufsichtsbehörden mit offenem Ausgang
Das VG Ansbach hat jedenfalls sehr hohe Anforderungen an einen Anspruch einer betroffenen Person auf Sanktionen der Aufsichtsbehörde gegenüber einem Verantwortlichen im Sinne der DS-GVO gestellt. Die Aufsichtsbehörde könne auch bei Vorliegen einer Datenschutzverletzung stets prüfen, ob eine Geldbuße oder eine andere Abhilfemaßnahme (z.B. eine Verwarnung oder eine Anweisung in Bezug auf die konkrete Datenverarbeitung) angemessen ist. (Anm. d. Redaktion: Schadenersatz wegen Datenschutzverstoß – Was Unternehmen tun können).
Die aktuelle Entscheidung stützt zwar die Interessen der Arbeitgeber (und anderer Verantwortlicher im Sinne der DS-GVO). Dies darf aber nicht darüber hinwegtäuschen, dass Arbeitnehmer (und andere betroffene Personen) faktisch mit einer Beschwerde bei der Aufsichtsbehörde, eine datenschutzrechtliche Prüfung veranlassen können. Diese Prüfung muss zwar auch bei einem Verstoß gegen datenschutzrechtliche Bestimmungen nicht zu einer Geldbuße führen, in vielen Fällen ist damit aber zu rechnen.
Die Aufsichtsbehörde kann zwar nach dem VG Ansbach in geeigneten Fällen ihren Ermessensspielraum zugunsten des Arbeitgebers ausüben und ggf. keine Geldbuße verhängen – sie kann ihren Ermessenspielraum aber – je nach Sachlage – auch zu Lasten des Arbeitgebers ausüben und sich für eine Geldbuße entscheiden: Das Beschwerderecht des Arbeitnehmers bleibt also ein “scharfes Schwert”.
