In bestimmten Fällen hat ein Betroffener einen Anspruch gegen Datenschutzbehörde, dass diese entsprechende Maßnahmen gegen einen Dritten ergreift (VG Ansbach, Urt. v. 12.06.2024 - Az.: AN 14 K 20.00941).
Die Klägerin verlangte von einem Unternehmen eine DSGVO-Auskunft. Da sie keine zufriedenstellende Antwort erhielt, wandte sie sich an das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) und beschwerte sich über eine Datenschutzverletzung.
Das Bayerische Landesamt für Datenschutzaufsicht forderte den Dritten zweimal auf, der Klägerin die geforderte Auskunft zu erteilen. Trotzdem erhielt die Klägerin keine vollständige Auskunft.
Daraufhin ging die Klägerin gegen das BayLDA und verlangte, dass die Behörde entsprechende Maßnahmen gegen den Dritten ergreift.
Zu Recht, wie das VG Ansbach nun entschied.
Es liege im vorliegenden Fall eine sogenannte Ermessensreduzierung auf Null vor, sodass die Klägerin das Aktivwerden des BayLDA verlangen könne.
"Die Klägerin hat im maßgeblichen Entscheidungszeitpunkt einen Anspruch auf aufsichtliches Einschreiten der Datenschutzaufsichtsbehörde gegen den Beigeladenen. Die konkret zu ergreifende Abhilfemaßnahme nach Art. 58 Abs. 2 DS-GVO steht dabei im Ermessen des Landesamts. (…)
Der Beklagte ist im Entscheidungszeitpunkt seiner Pflicht zum Ergreifen von Abhilfemaßnahmen ermessensfehlerhaft nicht nachgekommen. Das Entschließungsermessen des Landesamts zum Ergreifen von Abhilfemaßnahmen ist angesichts der konkreten Umstände des Verstoßes des Beigeladenen gegen das subjektive Auskunftsrecht der Klägerin aus Art. 15 Abs. 1 DS-GVO auf null reduziert. (…)
Der Beigeladene kam nach den dem Gericht vorliegenden Erkenntnissen demnach (…) trotz der zweimaligen ausdrücklichen Aufforderung durch das Landesamt seiner Rechtspflicht aus Art. 15 Abs. 1 DS-GVO gegenüber der Klägerin nicht nach.
Erst am 5. April 2024 erteilte er der Klägerin eine Negativauskunft.
Zwar kann einem Auskunftsersuchen auch durch Negativauskunft nachgekommen werden; auch dann, wenn keine Datenverarbeitung stattfindet, hat die (potenziell) betroffene Person einen Anspruch darauf, dass dies ihr gegenüber bestätigt wird (…).
Die Negativauskunft, die am 5. April 2024 gegenüber der Klägerin erfolgte, war allerdings erkennbar unzureichend. Zu diesem Zeitpunkt verarbeitete der Beigeladene laut eigener Aussage jedenfalls noch die E-Mail-Adresse der Klägerin. Jedenfalls diesbezüglich traf ihn also nach Art. 15 Abs. 1 Buchst. c DS-GVO die Pflicht, der Klägerin mitzuteilen, gegenüber welchen Empfängern oder Kategorien von Empfängern die E-Mail-Adresse offengelegt worden war oder noch offengelegt wurde. Der Beigeladene teilte aber lediglich mit, die E-Mail-Adresse gelöscht zu haben und keine Daten mehr zu verarbeiten; eine auf die Vergangenheit bezogene (ggf. Negativ-) Auskunft blieb er schuldig."
Und weiter:
"Stellt die Datenschutzaufsichtsbehörde – hier das Landesamt – am Ende ihrer Untersuchung einen Verstoß gegen die Bestimmungen der DS-GVO fest, ist sie verpflichtet, in geeigneter Weise zu reagieren, um der festgestellten Unzulänglichkeit abzuhelfen. Zu diesem Zweck stehen insbesondere die in Art. 58 Abs. 2 DS-GVO aufgezählten Abhilfebefugnisse zur Verfügung. (…)
Zunächst ist festzustellen, dass das Landesamt den Beigeladenen zwar zweimal (…) mit „Aufsicht nach Art. 58 DS-GVO“ überschriebenen Schreiben zur Auskunftserteilung aufforderte. Hierin ist aber jeweils keine formale Abhilfemaßnahme zu sehen, insbesondere keine Anweisung i.S.d. Art. 58 Abs. 2 Buchst. c DS-GVO. Den Aufforderungen fehlt es ihrem Wortlaut nach an der Verbindlichkeit einer solchen Anweisung, außerdem wird nicht der Begriff der „Anweisung“ verwendet. Das zweite Schreiben vom 24. März 2020 ist als bloße Bitte formuliert. (…)
Das Gericht stellt außerdem fest, dass das Landesamt vorliegend das Beschwerdeverfahren durch Erlass der Abschlussmitteilung beendet hat, ohne vorher sicherzustellen, dass dem begründeten Begehren der Klägerin abgeholfen wurde bzw. würde.
Vielmehr hat es dem Beigeladenen durch die Ankündigung, aktuell keine weiteren Maßnahmen zu ergreifen und die Angelegenheit als erledigt zu betrachten, implizit zu erkennen gegeben, dass der Beigeladene unabhängig von seinem weiteren Vorgehen keine aufsichtlichen Maßnahmen zu befürchten habe. Der Beklagte hat seine Untersuchung verfrüht abgeschlossen. Das Landesamt ist damit im Zeitpunkt der Abschlussmitteilung ermessensfehlerhaft nicht seiner Pflicht nachgekommen, die Datenschutzbeschwerde der Klägerin mit aller gebotenen Sorgfalt zu bearbeiten und dem Verstoß abzuhelfen (vgl. EuGH, U.v. 7.12.2023 – C-26/22, C-64/22 – juris Rn. 56 f.)."