Datenschutzauskunft und Datenschutzmanagement

VG Leipzig, Beschluss vom 03.12.2012 – 5 L 1308/12

Das Verwaltungsgericht Leipzig hatte zuletzt die datenschutzrechtlich relevante Fragestellung zu entscheiden, ob und gegebenenfalls wann die Anordnung der sofortigen Vollziehung einer auf § 38 Abs. 3 BDSG gestützten Verpflichtung gegen ein Unternehmen rechtmäßig ist. Das Urteil offenbart die Notwendigkeit und Bedeutung eines ausreichenden Datenschutzmanagements, welches insbesondere auch durch einen qualifizierten Datenschutzbeauftragten zu gewährleisten ist. 

Die Einhaltung des Datenschutzes wird von nicht-öffentlichen Einrichtungen durch die zuständigen Aufsichtsbehörden überwacht. Zu diesem Zwecke haben Unternehmen nach § 38 Abs. 3 Satz 1 BDSG der Aufsichtsbehörde auf Verlangen die für die Erfüllung ihrer Aufgaben erforderlichen Auskünfte unverzüglich zu erteilen.

In dem durch das VG Leipzig zu beurteilenden Fall konnte das Unternehmen der Aufsichtsbehörde die gesetzlich stets vorzuhaltenden Informationen, wie z. B. das Verfahrensverzeichnis, welches gemäß § 4g Abs. 2 Satz 1 BDSG von dem Datenschutzbeauftragten zu führen ist, nicht fristgemäß vorlegen. Ein Fristverlängerungsantrag wurde im Vorfeld der Entscheidung seitens der Behörde abgelehnt.

Das Verwaltungsgericht hat die Auffassung der Aufsichtsbehörde gestärkt. Die seitens der Behörde angeordneten Maßnahmen, Zwangsgeld und Anordnung der sofortigen Vollziehbarkeit, seien insbesondere auch verhältnismäßig und mithin rechtmäßig. Weder die Konzernstruktur der verantwortlichen Stelle noch die Größe des Unternehmens böten Anhaltspunkte dafür, dass die Erteilung der Auskunft den Geschäftsbetrieb in besonderem Maße belasten könnte. Die verantwortliche Stelle müsse vielmehr bereits gemäß § 4g Abs. 2 S. 1 BDSG in der Lage sein, eine Übersicht über die angeforderten Angaben zur Verfügung zu stellen. Da dies lediglich aufgrund von Versäumnissen in der Vergangenheit nicht der Fall sei, könne der daraus resultierende Mehraufwand nicht zur Unverhältnismäßigkeit des Auskunftsverlangens führen.

Das Urteil zeigt die weiteren Risiken für Unternehmen auf, die keinen oder keinen hinreichend qualifizierten Datenschutzbeauftragten bestellt haben. Sowohl die nicht ordnungsgemäße Bestellung eines Beauftragten für den Datenschutz, als auch die daraus resultierenden Folgen können mit entsprechenden Bußgeldern bis zu € 50.000 nach § 43 BDSG geahndet werden. Die Pflicht zur Bestellung eines Datenschutzbeauftragten trifft Unternehmen mit mindestens 10 Mitarbeitern, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Entsprechendes gilt, sofern das Unternehmen automatisierte Verarbeitungen vornimmt, die einer sog. Vorabkontrolle i. S. d. BDSG unterliegen oder personenbezogene Daten zum Zwecke der Übermittlung oder für Zwecke der Markt- und Meinungsforschung, § 4 f Abs. 1 S. 6 BDSG automatisiert verarbeitet werden.