Auskunftsverweigerungsrecht gegenüber einer Datenschutzbehörde

Mit Beschluss vom 28.05.2021 (Az.: 4 MB 14/21) befasste sich das Oberverwaltungsgericht (OVG) Schleswig-Holstein umfasst mit dem Auskunftsverweigerungsrecht nach § 40 Abs. 4 S. 2 Bundesdatenschutzgesetz (BDSG) bei einem Vorgehen der Datenschutzbehörde nach Art. 58 Abs. 1 b) Datenschutz-Grundverordnung (DSGVO).

Bisweilen herrschte keine Klarheit über die Voraussetzungen und den Umfang eines möglichen Auskunftsverweigerungsrechtes im Datenschutzrecht. Der Beschluss bietet zwar keine Rechtssicherheit, jedoch eine Orientierungshilfe für die Ausübung des Auskunftsverweigerungsrechtes nach § 40 Abs. 4 S. 2 BDSG bei Auskunftsersuchen der Datenschutzbehörde nach Art. 58 Abs. 1 b) DSGVO, weshalb nachfolgend auf die relevanten Entscheidungsgründe eingegangen wird.

1. Sachverhalt

Gegen die Betreiberin eines Online-Versandhandels für Kosmetikprodukte (Antragstellerin) sind in der Vergangenheit vermehrt Beschwerden bei der Datenschutzbehörde eingegangen. Die Betroffenen gaben an, dass die Betreiberin des Online-Handels ohne vorherige Einwilligung oder bestehende Kundenbeziehung personenbezogene Daten zu Werbezwecken per E-Mail verarbeitet. Im Raum Stand der Vorwurf der unrechtmäßigen Datenverarbeitung. Somit könnte die Antragstellerin gegen Art. 5 Abs. 1 a) DSGVO verstoßen haben.

Im Zuge dessen ordnete die zuständige Datenschutzbehörde mittels Bescheid die Auskunft zu fünf Fragen an und drohte für jede nicht beantwortetet Frage mit einem Zwangsgeld in Höhe von 200,00 € an.

Die Fragen der Datenschutzbehörde lauteten sinngemäß:

• Frage 1: Von welchen Verantwortlichen und Auftragsverarbeitern beziehen Sie die Daten, welche Sie zu Werbezwecken verwenden?
• Frage 2: Welche personenbezogene Daten wurden insoweit erhoben?
• Frage 3: Wie wurden die Vorgaben von Art. 24 und 32 DSGVO eingehalten?
• Frage 4: Wie viele Personen sind betroffen?
• Frage 5: Wie wurden die Informationspflichten aus Art. 14 Abs. 1 und 2 DSGVO erfüllt?

Mit dem Bescheid der Datenschutzbehörde wurde die Antragstellerin ebenfalls über das Auskunftsverweigerungsrecht nach § 40 Abs. 4 S. 2 BDSG aufgeklärt.

Die Antragstellerin verweigerte die Auskunft, weshalb die Behörde gegen sie ein Zwangsgeld in Höhe von 1.00,00 € festsetzte. Im Wege des einstweiligen Rechtsschutz wendete sich die Antragstellerin gegen den Zwangsgeldfestsetzungsbescheid der Datenschutzbehörde und erhob Anfechtungsklage vor dem Verwaltungsgericht (VG). Der Antrag auf Anordnung der aufschiebenden Wirkung wurde durch das VG abgelehnt.

2. Gründe

Mit dem Auskunftsverweigerungsrecht nach § 40 Abs. 4 S. 2 BDSG wird dem Grundsatz der Selbstbelastungsfreiheit Rechnung getragen. Dementsprechend steht demjenigen ein Auskunftsverweigerungsrecht bei Fragen zu, deren Beantwortung ihn selbst oder einen der in § 383 Abs. 1 Nr. 1-3 Zivilprozessordnung (ZPO) bezeichneten Angehörigen der Gefahr der strafgerichtlichen Verfolgung oder eines Verfahrens nach dem Gesetz der Ordnungswidrigkeiten (OWiG) aussetzen würde.

Das Gericht war der Auffassung, dass das Auskunftsverweigerungsrecht unzureichend von der Antragstellerin begründet wurde. Zwar Bedarf es keine Begründung zur Berufung auf das Auskunftsverweigerungsrecht, jedoch ist zulässigerweise zu fordern, dass im maßgeblichen Zeitpunkt ausdrücklich erklärt wird, dass man sich auf das Auskunftsverweigerungsrecht aus § 40 Abs. 4 S. 2 BDSG bezieht, damit eine Abgrenzung zur bloßen Auskunftsverweigerung möglich ist.

Das Auskunftsverweigerungsrecht sei kein generelles und umfassendes Schweigerecht. Vielmehr ist das Bestehen einer bestimmten Gefahrenlage maßgeblich. Das OVG Schleswig-Holstein stellt dazu folgende Maximen auf:

• Für eine bestimmte Gefahrenlage bedarf es nicht der sicheren Erwartung einer Bestrafung oder Sanktionierung als Folge einer Auskunft.
• Die bloße Vermutung oder theoretische Möglichkeit einer Bestrafung/Sanktionierung genügt nicht, um sich auf das Auskunftsverweigerungsrecht zu berufen.
• Notwendig und ausreichend ist hingegen, dass nach den konkreten Umständen des Einzelfalls eine Einleitung eines strafrechtlichen Verfahrens oder eines Verfahrens nach OWiG ernsthaft möglich erscheint.

Das Auskunftsbegehen steht in Verbindung mit einer Datenschutzprüfung nach Art. 58 Abs. 1 b) DSGVO. Es bedarf daher einer Differenzierung zwischen den einzelnen Fragen und des damit verbundenen Risikos.

Allein durch die Beantwortung der Fragen 1, 2, und 4 kann kein Verstoß gegen die Grundsätze der Datenverarbeitung festgestellt werden. Die Rechtswidrigkeit der Datenverarbeitung erfordert das hinzutreten weiterer Umstände.

Anders ist die Lage bei den Fragen 3 und 5 zu beurteilen. Durch die Beantwortung dieser zwei Fragen könnte sich die Antragstellerin der Gefahr eines Verfahrens nach OWiG aussetzen.

Frage 3 zielt auf die Einhaltung von Art. 24 und 32 DSGVO ab. Ein Verstoß gegen die Pflichten der Verantwortlichen und der Auftragsverarbeiter gem. Art. 32 DSGVO wird mit einer Geldbuße von bis zu 10 Mio. EUR der im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs sanktioniert, je nachdem, welcher der Beträge höher ist, gem. Art. 83 Abs. 4 a) DSGVO.

Mit einem Bußgeld von bis zu 20 Mio. EUR oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vergangenen Geschäftsjahrs ist zu rechnen bei Verstößen gegen die Grundsätze für die Verarbeitung personenbezogener Daten oder bei Verstößen gegen die Rechte der betroffenen Personen, vorliegend die Informationspflichten aus Art. 14 DSGVO betreffend, gem. Art. 83 Abs. 5 a) und b) DSGVO.

Somit besteht bei Beantwortung der Fragen 3 und 5 eine konkrete Gefahrenlage.

Weiter diskutierte das Gericht, ob sich die Antragstellerin, als juristische Person, auf die Selbstbelastungsfreiheit berufen könne. Die Selbstbelastungsfreiheit hat das Bundesverfassungsgericht (BVerfG) als Teil des allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 i.V.m. Art 1 Abs. 1 GG anerkannt. Bisweilen hat das BVerfG abgelehnt, dass sich auch juristische Personen auf die Selbstbelastungsfreiheit berufen können. Dennoch ist das Auskunftsverweigerungsrecht in Fällen der möglichen Selbstbelastung bei juristischen Personen nicht ausgeschlossen und wird aus dem Rechtsstaatsprinzip des Art. 20 Abs. 3 GG oder aus Art. 6 Abs. 1 Europäische Menschenrechtskonvention bzw. Art. 47 Abs. 2 S. 1 Charta der Grundrechte der Europäischen Union hergeleitet.

Somit kann sich die Antragstellerin auf den Grundsatz der Selbstbelastungsfreiheit und damit das Auskunftsverweigerungsrecht nach § 40 Abs. 4 S. 2 BDSG berufen. Hinsichtlich der Fragen 3 und 5 wäre die Antragstellerin durch das Auskunftsbegehen zur rechtsverbindlichen Selbstbezichtigung aufgefordert oder mittels Zwangsgeld gezwungen worden.

Bezüglich der verweigerten Auskunft zu den Fragen 1, 2 und 4 war die Festsetzung des Zwangsgeldes rechtmäßig.

3. Resümee für die Praxis

Bei der Verarbeitung von personenbezogenen Daten sind die Grundsätze der Datenverarbeitung aus Art. 5 Abs. 1 DSGVO einzuhalten. Dem Verantwortlichen obliegt gem. Art. 5 Abs. 2 DSGVO die Pflicht, die Einhaltung dieser Grundsätze auch nachweisen zu können.

Die Berufung auf das Auskunftsverweigerungsrecht nach § 40 Abs. 4 S. 2 BDSG ist nur zulässig, wenn nach den konkreten Umständen des Einzelfalls eine Einleitung eines strafrechtlichen Verfahrens oder eines Verfahrens nach OWiG ernsthaft möglich erscheint. Auf das Auskunftsverweigerungsrecht muss sich der Betroffene zudem ausdrücklich berufen.

Ein umfassendes Auskunftsverweigerungsrecht im Datenschutzrecht gibt es nicht. Die Auskunft auf Fragen, aus denen sich keine Verstöße gegen die DSGVO ergeben können, kann nicht verweigert werden.

Ergeht ein Bescheid einer Datenschutzbehörde nach Art. 58 Abs. 1 b) DSGVO sollte unbedingt  anwaltlicher Rat eingeholt werden, denn die „Verteidigung“ gegen ein potenzielles Bußgeldverfahren beginnt bereits mit dem Auskunftsersuchen der Datenschutzbehörde.