Verstoß gegen die DSGVO Auskunftsverweigerungsrecht gegenüber der Datenschutzbehörde

Autor: Sarah Gandorfer

Kann ein Unternehmer sich auf sein Auskunftsverweigerungsrecht bei Selbstbelastung berufen, wenn die Datenschutzbehörde anfragt? Es kommt auf die Fragen an, so das Oberverwaltungsgericht Schleswig. Geklagt hat eine Online-Händlerin, der ein Verstoß gegen die DSGVO vorgeworfen wurde.

Firma zum Thema

Soll man lieber schweigen oder antworten? Dazu braucht es juristischen Rat.
Soll man lieber schweigen oder antworten? Dazu braucht es juristischen Rat.
(Bild: gstockstudio – stock.adobe.com)

Es ist nicht immer ganz klar, welche Voraussetzungen für das Auskunftsverweigerungsrecht (§ 40 Abs. 4 Satz 2 BDSG; Grundsatz der Selbstbelastungsfreiheit) gelten. So auch in diesem Fall, in dem die erste gerichtliche Instanz keine Grundlage für das Auskunftsverweigerungsrecht sah. Das Oberverwaltungsgericht (OVG) Schleswig entschied jedoch, dass gegenüber einer Datenschutzaufsichtsbehörde ein Auskunftsverweigerungsrecht für Fragen besteht, deren Beantwortung den Betroffenen selbst oder einen Angehörigen der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzt.

Geklagt hatte die Besitzerin eines Online-Versands für Kosmetikprodukte. Dieser versendete Werbung per E-Mail. Im Jahr 2019 gingen bei der zuständigen Datenschutzbehörde sieben Beschwerden Betroffener ein, laut denen der Händler ohne vorherige Einwilligung in persönlichen Werbeansprachen die Namen der Betroffenen verarbeitet haben soll. Eine Kundenbeziehung bestand nicht. Daraufhin forderte die Datenschutzbehörde per Bescheid Auskunft zu fünf durchnummerierten Fragen bezüglich der Verarbeitung personenbezogener Daten.

Außerdem setzte die Behörde für jede nicht fristgerecht beantwortete Frage ein Zwangsgeld in Höhe von 200 Euro fest. Im Anschluss an die Begründung der Anordnungen wies die Datenschutzbehörde auf das Auskunftsverweigerungsrecht hin sowie die Verpflichtung, bei Gebrauch des Auskunftsverweigerungsrechts, dies mitzuteilen.

Die Händlerin verweigerte die Auskunft, sodass die Datenschutzbehörde gegen sie ein Zwangsgeld in Höhe von 1.000 Euro festsetzte. Daraufhin erhob ihr Rechtsschutz Anfechtungsklage vor dem Verwaltungsgericht (VG) gegen den Zwangsgeldfestsetzungsbescheid. Der Antrag auf Anordnung der aufschiebenden Wirkung wurde durch das VG abgelehnt. Die Antragstellerin könne sich gegenüber der Zwangsgeldfestsetzung nicht auf das Auskunftsverweigerungsrecht berufen. Das Auskunftsverweigerungsrecht könne im Vollzugsverfahren gegen die bestandskräftige Verfügung nicht mehr beansprucht werden. Damit werde dem rechtsstaatlichen Gehalt des Aussageverweigerungsrechts ausreichend Rechnung getragen.

Nicht jede Auskunft begründet Gefahrenlage

Das Verfahren ging in die nächste Instanz. Das OVG Schleswig-Holstein stellte fest, dass das Auskunftsverweigerungsrecht kein generelles und umfassendes Schweigerecht ist. So formulierte es in seinem Beschluss (Beschluss vom 25.05.2021):

  • Für eine bestimmte Gefahrenlage bedarf es nicht der sicheren Erwartung einer Bestrafung oder Sanktionierung als Folge einer Auskunft.
  • Die bloße Vermutung oder theoretische Möglichkeit einer Bestrafung/Sanktionierung genügt nicht, um sich auf das Auskunftsverweigerungsrecht zu berufen.
  • Notwendig und ausreichend ist hingegen, dass nach den konkreten Umständen des Einzelfalls eine Einleitung eines strafrechtlichen Verfahrens oder eines Verfahrens möglich erscheint.

Das bedeutet speziell für die von der Datenschutzbehörde gestellten Fragen, die hier sinngemäß wiedergegeben werden:

  • 1.) Von welchen Verantwortlichen und Auftragsverarbeitern beziehen Sie die Daten, welche Sie zu Werbezwecken verwenden?
  • 2.) Welche personenbezogene Daten wurden insoweit erhoben?
  • 3.) Wie wurden die Vorgaben von Art. 24 und 32 DSGVO eingehalten?
  • 4.) Wie viele Personen sind betroffen?
  • 5.) Wie wurden die Informationspflichten aus Art. 14 Abs. 1 und 2 DSGVO erfüllt?

Allein durch die Beantwortung der Fragen 1, 2, und 4 kann kein Verstoß gegen die Grundsätze der Datenverarbeitung festgestellt werden. Die Rechtswidrigkeit der Datenverarbeitung erfordert das Hinzutreten weiterer Umstände.

Anders ist die Lage bei den Fragen 3 und 5 zu beurteilen. Durch die Beantwortung dieser zwei Fragen könnte sich die Antragstellerin der Gefahr eines Verfahrens nach Ordnungswidrigkeitengesetz (OWiG) aussetzen. Beide Fragen zielen auf die Einhaltung der Datenschutzgrundverordnung (DSGVO) ab, bei der ein Verstoß mit einer Millionen schweren Geldbuße geahndet werden kann.

Somit besteht bei Beantwortung der Fragen 3 und 5 eine konkrete Gefahrenlage. Bezüglich der verweigerten Auskunft zu den Fragen 1, 2 und 4 war die Festsetzung des Zwangsgeldes rechtmäßig.

Fazit: Kein generelles Auskunftsverweigerungsrecht

Das Urteil des OLG Schleswig zeigt, dass grundsätzlich ein Auskunftsverweigerungsrecht möglich ist. Allerdings muss sich der Betroffene auf dieses Recht ausdrücklich berufen. Ob die Berufung auf das Auskunftsverweigerungsrecht im Rahmen des Vollzugsverfahrens noch zulässig ist, ließ das Gericht offen. Bis zur Entscheidung der Hauptsache besteht demnach Unsicherheit, zu welchem Zeitpunkt das Auskunftsverweigerungsrecht geltend gemacht werden kann. Es empfiehlt sich demnach, frühzeitig von diesem Recht Gebrauch zu machen.

Generell ist bei der Verarbeitung von personenbezogenen Daten die DSGVO einzuhalten. Dem Verantwortlichen obliegt die Pflicht, die Einhaltung dieser Grundsätze nachzuweisen (gem. Art. 5 Abs. 2 DSGVO). Die Berufung auf das Auskunftsverweigerungsrecht ist nur zulässig, wenn eine Einleitung eines strafrechtlichen Verfahrens oder eines Verfahrens nach OWiG möglich erscheint. Ein umfassendes Auskunftsverweigerungsrecht im Datenschutzrecht gibt es nicht. Die Auskunft auf Fragen, aus denen sich keine Verstöße gegen die DSGVO ergeben können, kann nicht verweigert werden.

Wer einen Bescheid der Datenschutzbehörde erhält, sollte sich unbedingt juristischen Rat holen, denn die Verteidigung gegen ein potenzielles Bußgeldverfahren beginnt mit dem Auskunftsersuchen der Behörde.

(ID:47601338)

Über den Autor

 Sarah Gandorfer

Sarah Gandorfer

Redakteurin bei IT-BUSINESS