Post von der Datenschutzbehörde - Risiken des Wohlverhaltens
Was ist zu beachten, wenn eine Datenschutzbehörde Auskünfte verlangt?
Wer von einer Datenschutzbehörde zu Auskünften aufgefordert wird, sollte diese Auskünfte nicht übereilt erteilen. Denn die Auskünfte sind vielfach der Auftakt Zeit raubender Korrespondenz. Schlimmstenfalls können sie zu empfindlichen Bußgeldern führen, bei denen die Auskünfte wie ein Geständnis wirken. Wer als Berater in einer solchen Situation allzu eilfertig zu Wohlverhalten rät, läuft Gefahr, sich selbst haftbar zu machen.
- Sind Unternehmen verpflichtet, Auskunftsersuchen einer Datenschutzbehörde zu beantworten?
Grundsätzlich ja. Nach Art. 58 Abs. 1 lit. a DSGVO und § 40 Abs. 4 Satz 1 BDSG sind die Aufsichtsbehörden zu derartigen Auskunftsersuchen befugt.
- Was kann die Datenschutzbehörde unternehmen, wenn das Auskunftsersuchen unbeantwortet bleibt?
Die Behörde kann Verwaltungszwang ausüben. Insbesondere kann die Behörde ein Zwangsgeld von bis zu 25.000 EUR (auf Bundesebene mit Abweichungen in einzelnen Bundesländern) verhängen. Rechtsgrundlage auf Bundesebene ist § 11 Verwaltungs-Vollstreckungsgesetz (VwVG).
Verwaltungszwang setzt jedoch nach § 6 VwVG einen unanfechtbaren Verwaltungsakt voraus. Fragebögen, wie sie das Bayerische Landesamt für Datenaufsicht (BayLDA) versendet, enthalten oft keine Rechtsbehelfsbelehrung. Es handelt sich jedoch um Verwaltungsakte, da sie alle Voraussetzungen eines Verwaltungsakts gem. § 35 Verwaltungsverfahrensgesetz (VwVfG) erfüllen (vgl. Härting/Flisek/Thiess, CR 2018, 296 ff.).
Verwaltungsakte werden ohne eine Rechtsbehelfsbelehrung erst nach einem Jahr unanfechtbar (§ 58 Abs. 2 Verwaltungsgerichtsordnung, VwGO).
- Heißt dies, dass die Fristen, die die Behörde für die Rücksendung der Fragbögen setzt, ohne Bedeutung sind?
Faktisch ja. Geht bei der Behörde innerhalb der gesetzten Frist keine Antwort ein, sind der Behörde die Hände gebunden. Sie kann die Beantwortung der Fragen nicht erzwingen, bevor das Auskunftsersuchen (nach einem Jahr) unanfechtbar wird.
- Welche Möglichkeiten hat die Behörde, die Beantwortung der Fragen zu beschleunigen?
Die Behörde kann jederzeit die Beantwortung der Fragen per förmlichem Verwaltungsakt (mit Rechtsbehelfsbelehrung) anordnen. In Eilfällen kann sie zudem die sofortige Vollziehung gem. § 80 Abs. 2 Satz 1 Nr. 4 VwGO anordnen. Dann steht einer sofortigen Erzwingung der Auskünfte per Verwaltungszwang (Zwangsgeld) nichts entgegen.
- Drohen Bußgelder, wenn Fragen nicht oder nicht fristgemäß beantwortet werden?
Nein. Die Verweigerung von Auskünften erfüllt keinen der Bußgeldtatbestände des Art. 83 DSGVO. Eine verwegene Behörde könnte zwar auf die Idee kommen, einen Bußgeldbescheid auf eine Verletzung der Pflicht zur „Zusammenarbeit mit der Aufsichtsbehörde“ (Art. 31 DSGVO) zu stützen (vgl. Art. 83 Abs. 4 lit. a DSGVO). Art. 31 DSGVO ist jedoch viel zu vage formuliert, um einen Bußgeldbescheid zu stützen, der dem rechtsstaatlichen Bestimmtheitsgebot standhält.
- Kann man Auskünfte verweigern, wenn man durch die Auskünfte Gefahr laufen würde, einen Datenschutzverstoß zuzugeben?
Grundsätzlich ja. Drohen eine Selbstbelastung und ein Bußgeld, besteht ein Auskunftsverweigerungsrecht nach § 40 Abs. 4 Satz 2 BDSG. Die Behörde ist zudem verpflichtet, über dieses Auskunftsverweigerungsrecht aufzuklären (§ 40 Abs. 4 Satz 3 BDSG).
- Wie kann ich feststellen, ob mir Auskünfte in einem späteren Bußgeldverfahren schaden können?
Um zu entscheiden, ob Anlass für eine Aussageverweigerung besteht, ist eine Einsicht in die Akte der Aufsichtsbehörde ratsam. Ein Akteneinsichtsrecht besteht nach § 29 VwVfG. Bevor man naiv und blauäugig Informationen preisgibt, obwohl ein Auskunftsverweigerungsrecht besteht, lohnt ein Blick in die Akte.
- Schade ich nicht mir selbst, wenn ich alle Möglichkeiten ausschöpfe, Auskünfte zurückzuhalten?
Nein. Die Förmlichkeiten des Verwaltungsverfahrensrechts sichern ein rechtsstaatliches Handeln der Behörden. Wer auf die Einhaltung dieser Förmlichkeiten besteht, hat keine Sanktionen zu befürchten. Insbesondere darf man es einem Unternehmen im Falle eines späteren Bußgelds nicht straferhöhend anrechnen (vgl. Art. 83 Abs. 2 DSGVO), dass es seine gesetzlichen Rechte wahrgenommen hat.