Das VG Ansbach verpflichtete in seinem Urteil vom 12.06.2024, Az. N 14 K 20.00941 das Landesamt für Datenschutzaufsicht (Landesamt) Maßnahmen nach Art. 58 Abs. 2 DSGVO zu ergreifen.
Die Klägerin nahm im Januar 2020 an einem Seminar des Beigeladenen, eines Seminarveranstalters, teil. Nach vorzeitigem Verlassen des Seminars forderte sie den Beigeladenen per E-Mail dazu auf, ihr eine Auskunft gemäß Art. 15 der Datenschutz-Grundverordnung (DSGVO) über die von ihm gespeicherten personenbezogenen Daten zu erteilen.
Der Beigeladene kam dieser Aufforderung nach und übersandte der Klägerin eine Excel-Tabelle. Diese Tabelle enthielt eine Übersicht der Seminarteilnehmer mit deren persönlichen Daten wie Namen, Adressen und Zimmerkategorien. Die Zimmerkategorien gaben Aufschluss darüber, welche Preisklassen die Teilnehmer für ihre Unterbringung gewählt hatten, was Rückschlüsse auf ihre finanzielle Situation zuließ. Diese Information fand die Klägerin problematisch, da sie der Meinung war, dass hierdurch die Privatsphäre der Teilnehmer verletzt und ihre personenbezogenen Daten missbräuchlich genutzt wurden.
Daraufhin legte die Klägerin Beschwerde beim Landesamt ein. Sie argumentierte, dass der Beigeladene ihre und die Daten der anderen Teilnehmer in unzulässiger Weise weitergegeben und gegen datenschutzrechtliche Bestimmungen verstoßen habe. Das Landesamt forderte den Beigeladenen daraufhin mehrfach auf, der Klägerin eine vollständige Auskunft gemäß Art. 15 DSGVO zu erteilen.
In seiner Antwort erklärte der Beigeladene, dass er die personenbezogenen Daten der Klägerin, mit Ausnahme ihrer E-Mail-Adresse, gelöscht habe. Diese E-Mail-Adresse sei erforderlich, um ihr weiterhin Kursmaterial zukommen zu lassen. Dies reichte dem Landesamt aus, das keine weiteren Maßnahmen gegen den Beigeladenen ergriff und den Fall abschloss.
Mit der Entscheidung des Landesamts war die Klägerin jedoch nicht einverstanden. Sie erhob Klage vor dem Verwaltungsgericht Ansbach mit dem Ziel, das Landesamt zu verpflichten, weitere Maßnahmen gegen den Beigeladenen zu ergreifen. Die Klägerin argumentierte, dass die Auskunft des Beigeladenen unvollständig sei und das Landesamt seiner Verpflichtung zur Durchsetzung der Datenschutzbestimmungen nicht nachgekommen sei. Sie warf dem Landesamt vor, willkürlich entschieden zu haben, den Fall abzuschließen, ohne ausreichende Maßnahmen zu ergreifen.
Das Verwaltungsgericht Ansbach prüfte den Fall ausführlich und kam zu dem Ergebnis, dass die Klage der Klägerin zulässig und begründet sei. Das Gericht stellte fest, dass die Klägerin Anspruch darauf habe, dass das Landesamt gegen den Beigeladenen Maßnahmen ergreift, da ein Verstoß gegen die DSGVO vorliege.
Das Gericht betonte, dass Art. 15 DSGVO den betroffenen Personen ein umfassendes Auskunftsrecht über die zu ihrer Person gespeicherten Daten einräume. Dieses Recht sei ein zentrales Element der Datenschutz-Grundverordnung und müsse von den Aufsichtsbehörden konsequent durchgesetzt werden. Im vorliegenden Fall habe der Beigeladene der Klägerin jedoch nur eine unvollständige Auskunft erteilt, was das Landesamt hätte beanstanden müssen. Zudem habe der Beigeladene die personenbezogenen Daten der Klägerin ohne ausreichende Rechtsgrundlage an andere Seminarteilnehmer weitergegeben, was ebenfalls einen Verstoß gegen die DSGVO darstelle.
Das Gericht wies darauf hin, dass das Landesamt nach Art. 58 Abs. 2 DSGVO verpflichtet sei, bei einem festgestellten Verstoß gegen Datenschutzbestimmungen geeignete Maßnahmen zu ergreifen. Dazu gehörten Anordnungen, die eine vollständige Auskunftserteilung sicherstellen und die unzulässige Weitergabe von Daten unterbinden sollten. Das Landesamt habe diese Pflicht in diesem Fall nicht erfüllt, obwohl die Klägerin wiederholt auf den Verstoß hingewiesen habe.
Das Verwaltungsgericht Ansbach entschied, dass die Entscheidung des Landesamts, den Fall ohne weitere Maßnahmen abzuschließen, rechtswidrig sei. Es hob daher die Abschlussmitteilung des Landesamts vom 24. März 2020 auf und verpflichtete das Landesamt, gegen den Beigeladenen Maßnahmen nach Art. 58 Abs. 2 DSGVO zu ergreifen. Dies bedeutet, dass das Landesamt nun geeignete Maßnahmen ergreifen muss, um die vollständige Auskunftserteilung durch den Beigeladenen sicherzustellen und weitere Datenschutzverstöße zu verhindern.
Das Urteil unterstreicht die Bedeutung der Aufsichtsbehörden bei der Durchsetzung der Rechte betroffener Personen gemäß der DSGVO und stellt klar, dass unzureichende Maßnahmen der Aufsichtsbehörden rechtlich überprüfbar und anfechtbar sind.
