Dünnes Eis: Berliner Datenschützer verhängen Millionenbußgeld

Im Wettbewerb um hohe Bußgelder hat sich die Berliner Datenschutzbehörde (BlnBDI) weit vorgewagt. 14,5 Millionen EUR soll Deutsche Wohnen bezahlen. Wer jetzt den „Mut“ der Berliner Datenschützer feiert, könnte sich zu früh freuen. Der Bußgeldbescheid dürfte auf dünnem Eis stehen.

Dilemma zwischen DSGVO und gesetzlicher Archivierung

Ausweislich der Pressemitteilung der Berliner Behörde (BlnBDI, "Berliner Datenschutzbeauftragte verhängt Bußgeld gegen Immobiliengesellschaft" v. 5.11.2019) geht es um die Verfahrensweise bei der Archivierung alter Vorgänge. Nach den Regeln der digitalen Archivierungskunst erfolgt eine solche Archivierung „revisionssicher“. Die Vorgänge werden in einer Form aufbewahrt, die spätere Veränderungen ausschließt. Einzelne Daten können aus revisionssicher archivierten Akten nicht gelöscht werden.

Die „Revisionssicherheit“ dient dazu, gesetzliche Aufbewahrungspflichten zu erfüllen. Man schützt sich vor dem Verdacht (eines Finanzamts oder anderer Stellen), nachträglich Manipulationen vorgenommen zu haben, indem man eine Lösung wählt, die keine Veränderungen zulässt.

Notwendige Gewichtung

Der Konflikt mit dem Datenschutz ist vorprogrammiert:

• DSGVO vs. Steuerrecht:  Darf man Kunden-, Arbeitnehmer-, Mieterdaten archivieren und in digitalen Akten jahrelang aufbewahren, um steuerrechtliche Aufbewahrungspflichten zu erfüllen?
• Rechtsgrundlage:  Ist dies durch Art. 6 Abs. 1 Satz 1 lit. c DSGVO (Datenverarbeitung zur Erfüllung gesetzlicher Pflichten) gedeckt?

Dies ist höchst streitig und hängt letztlich davon ab, ob man die („revisionssichere“) Aufbewahrungspflicht oder den Datenschutz höher gewichtet. Eine Frage, die jeder Praktiker aus der täglichen Arbeit kennt. Einfache Antworten gibt es nicht.

Ansatz der BlnBDI: DSGVO sticht Steuerrecht

Auffällig an der Berliner Pressemeldung ist der Trick, mit der die Datenschutzbehörde Art. 6 Abs. 1 Satz 1 lit. c DSGVO ausgewichen ist. Statt Farbe zu bekennen, wann nach Auffassung der Behörde trotz bestehender Aufbewahrungspflichten Daten gelöscht werden müssen, übt man Systemkritik und stellt sich auf den - gewagten - Standpunkt, dass revisionssichere Archivierungssysteme nicht DSGVO-konform sind. Gewagt ist dies in mehrfacher Hinsicht:

• Absoluter DSGVO-Vorrang? Zum einen impliziert die behördliche Sichtweise einen absoluten Vorrang des Datenschutzes vor einer Dokumentation erfüllter Aufbewahrungspflichten. Wenn der Bußgeldbescheid im gerichtlichen Verfahren Bestand hat, werden viele Organisationen und Unternehmen neue Softwarelösungen für die Dokumentation benötigen.
• Bestimmtheitsgebot? Zum anderen stützt die Behörde den Bescheid auf Art. 5 DSGVO und auf Arr. 25 Abs. 1 DSGVO (Privacy by Design) und damit auf Grundsätze und unbestimmte Rechtsbegriffe. Viele Kommentatoren bezweifeln, dass sich auf diese Vorschriften Bußgeldbescheide stützen lassen, die dem rechtsstaatlichen Bestimmtheitsgebot standhalten.

Prognose

Der Trick der Berliner Behörde könnte zum Bumerang werden. Mit dem Rückgriff auf „Privacy by Design“ hat sich die Behörde die Mühe erspart, konkret zu sagen, welche Mieterdaten zu welchem Zeitpunkt hätten gelöscht werden müssen. Zugleich hat die Behörde jedoch einen Bescheid erlassen, der auf tönernen Füßen steht. Der Einspruch, den Deutsche Wohnen eingelegt hat, dürfte gute Erfolgschancen haben.