Recht-News Archiv

VG Karlsruhe: Erstes Urteil zur EU-DSGVO: Datenschutzbehörde hat keine Ermächtigungsgrundlage vor Inkrafttreten der EU-Datenschutzgrundverordnung

Noch vor Inkrafttreten der EU-Datenschutzgrundverordnung (EU-DSGVO) liegt bereits das erste Urteil hierzu vor. Das VG Karlsruhe (Urt. v. 06.07.2017 - Az.: 10 K 7698/16) hat entschieden dass die Datenschutzbehörde sich nicht auf Rechtsnormen der EU-DSGVO berufen kann, bevor diese nicht am 25. Mai 2018 in Kraft getreten ist.

Inhaltlich ging es um eine Anordnung der Datenschutzbehörde aus Baden-Württemberg.

Die Klägerin, eine Auskunftei, speicherte Daten bonitätsrelevante Angaben zu Personen. Die aktuelle Regelung in § 35 BDSG sieht hierfür bestimmte Überprüfungs- und Löschfristen vor. An diese Vorgaben hielt sich die Klägerin auch.

Die Aufsichtsbehörde teilte nun mit, dass die Klägerin nach Inkrafttreten der EU-DSGVO zum 25. Mai 2018 die Fristen so anpassen zu habe, dass spätestens mit Ablauf von drei Jahren die Informationen zu löschen seien, es sei denn, dass der Betroffene zu diesem Zeitpunkt zahlungsunwillig bzw. zahlungsunfähig sei.

Die betroffene Auskunftei teilte mit, dass sie ihre Datenschutzlöschkonzeption der EU-DSGVO anpassen werde. Derzeit werde in Absprache mit der Arbeitsgruppe Auskunfteien des Düsseldorfer Kreises an der Abstimmung eines sogenannten "Code of Conduct" gearbeitet, welcher auch zu den Speicher- und Löschfristen einen Vorschlag enthalten solle.

Dies genügte der Aufsichtsbehörde jedoch nicht. Das Amt erließ eine entsprechende verwaltungsrechtliche Anordnung, wonach spätestens nach Ablauf von drei Jahren, beginnend mit dem Zeitpunkt der Fälligkeit der Forderung, die Bonitätsmerkmale zu löschen seien, es sei denn, dass der Betroffene zu diesem Zeitpunkt zahlungsunfähig oder zahlungsunwillig sei. Sie stützte ihre Maßnahme u.a. auf die Regelungen EU-DSGVO.

Gegen diese Maßnahme wehrte sich die Auskunftei und bekam vor Gericht Recht. Das VG Karlsruhe hob die Anordnung auf.

Zum einen fehle es der Maßnahme an der notwendigen Ermächtigungsgrundlage. Auf die jetzige BDSG-Regelungen könne die Anordnung nicht gestützt werden, denn die Klägerin halte sich unbestritten an geltendes Recht. Auf die Bestimmungen der EU-DSGVO könne sich die Behörde (noch) nicht berufen, da dieses Gesetzeswerk noch gar nicht in Kraft getreten sei:

"Zunächst kann dahingestellt bleiben, ob aus einem Erwägungsgrund einer zwar in Kraft getretenen, jedoch noch nicht anwendbaren Verordnung in Verbindung mit einer Regelung, die bei Geltung der Verordnung weggefallen sein wird, eine Rechtsgrundlage hergeleitet werden kann.

Denn jedenfalls ergibt sich auch aus dem ergänzend herangezogenen Erwägungsgrund nicht, dass die Klägerin bereits vor Geltung der Verordnung verpflichtet wäre, der Verfügung entsprechende Überprüfungs- und Löschfristen zu schaffen und sie hierzu bereits vor Anwendbarkeit der Verordnung durch die Aufsichtsbehörde verpflichtet werden könnte.

Eine frühzeitige Anpassung ihrer Datenschutzlöschkonzeption an die EU- Datenschutzgrundverordnung liegt unzweifelhaft im Interesse der Klägerin, da bei Verstößen gegen das europäische Datenschutzrecht erhebliche Sanktionen drohen (...).

Eine Ermächtigung für ein Tätigwerden der Aufsichtsbehörde bereits vor Geltung der EU-Datenschutzgrundverordnung – gewissermaßen um frühzeitig sicherzustellen, dass die künftig anwendbaren Vorschriften unter Berücksichtigung der Rechtsauffassung der Aufsichtsbehörde durch die Verantwortlichen eingehalten werden –  lässt sich jedoch weder der Verordnung im Wege einer Vorwirkung, noch den aktuell geltenden Bestimmungen des Bundesdatenschutzgesetzes entnehmen."

Zum anderen sei die behördliche Verfügung auch inhaltlich mehr als zweifelhaft. Denn zukünftig bestimme Art. 6 Abs. 1 f) EU-DSGVO, dass im Rahmen der berechtigten Interessen über die Löschfristen abzuwägen sei. Daher sei die starre Vorgabe von drei Jahren nicht mehr der zukünftigen Rechtslage abgedeckt. Vielmehr könnten auch deutlich längere Fristen möglich sein:

"Insbesondere kann auch nicht davon ausgegangen werden, dass nur eine Handhabung entsprechend der in der angegriffenen Verfügung vorgesehenen Prüf- und Löschpraxis mit der EU-Datenschutzgrundverordnung vereinbar wäre.

Denn die vom Landesbeauftragen für den Datenschutz Baden-Württemberg für angemessen erachtete Frist, wonach Forderungen im Sinne von § 28a BDSG und die mit diesen in Zusammenhang stehenden Informationen über Personen, die die Klägerin in ihren Datenbeständen, aus denen Bonitätsauskünfte erteilt würden, nach dem 24.05.2018 speichere, spätestens nach Ablauf von drei Jahren, beginnend mit dem Zeitpunkt der  Fälligkeit der Forderung, zu löschen seien, es sei denn, dass der Betroffene zu diesem Zeitpunkt zahlungsunfähig oder zahlungsunwillig sei, stellt keineswegs die einzig mögliche Speicher- und Löschkonzeption dar, die mit der EU-Datenschutzgrundverordnung in Einklang steht bzw. sich aus selbiger zwingend ergibt"

Anmerkung von RA Dr. Bahr:
Nicht nur die aktuelle Entscheidung zeigt, wie wichtig als Unternehmer es ist, sich auf die EU-DSGVO nächstes Jahr vorzubereiten.

Es gibt ein weiteres Seminar mit RA Dr. Bahr zur Datenschutz-Reform 2018 und den Auswirkungen auf das Dialogmarketing am renommierten Siegfried Vögele Institut. Da die Veranstaltung letzte Woche restlos ausgebucht war, gibt es einen weiteren Termin am 24. Oktober 2017.

Einen ausführlichen Inhalt der Veranstaltung und die Möglichkeit zur Anmeldung gibt es hier.

Jetzt twittern / bookmarken:share on facebooktwitterngoogle.comblogmarksdel.icio.usdigg.comDZoneMister WongnetvouzTechnoratiThisNextWebnews
Die URL dieser News lautet:
http://www.dr-bahr.com/news/erstes-urteil-zur-eu-dsgvo-datenschutzbehoerde-hat-keine-ermaechtigungsgrundlage-vor-inkrafttreten.html